Automatyzacja LinkedIn zgodna z RODO: jak korzystać z agenta outreachu

Agent do outreachu na LinkedIn to system AI, który wspiera kontakt B2B na LinkedIn: wyszukuje kontakty docelowe, wzbogaca je o dane, personalizuje przekaz i przygotowuje szkice wiadomości. Korzystanie z niego zgodnie z RODO oznacza, że przetwarzanie danych opiera się na art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes) z udokumentowanym testem równowagi, zapewnia skuteczne prawo sprzeciwu i spełnia obowiązki przejrzystości, a przy tym automatyzacja przeglądarki ani scraping nie naruszają regulaminu LinkedIn.

Najczęstsze błędne założenie: skoro agent technicznie może wszystko zautomatyzować, to wolno mu to robić. W rzeczywistości istnieją dwa odrębne poziomy ryzyka: prawo umowne platformy (regulamin LinkedIn) i ustawowe przepisy o ochronie danych i reklamie. Przetwarzanie danych reguluje RODO, a przy skutkach w Szwajcarii revDSG (art. 3 DSG), również w przypadku dostawców z Austrii lub Niemiec. Reklamowe e-maile i SMS-y regulują dodatkowo § 7 UWG w Niemczech, § 174 TKG 2021 w Austrii oraz, w przypadku reklamy masowej, art. 3 ust. 1 lit. o UWG w Szwajcarii. Oba poziomy muszą być spełnione niezależnie od siebie.

Na początek trzy szybkie odpowiedzi:

• Co agenci mogą robić bez ryzyka: research, wzbogacanie danych, personalizacja i szkice wiadomości, zawsze z akceptacją człowieka przed wysyłką.
• Co jest ryzykowne: w pełni automatyczne wysyłanie zaproszeń i wiadomości przez automatyzację przeglądarki, scraping wykraczający poza oficjalne API, masowy kontakt bez limitów częstotliwości.
• Co jest obowiązkiem prawnym: udokumentowanie testu równowagi z art. 6 ust. 1 lit. f, spełnienie obowiązku informacyjnego (art. 14) i zapewnienie prostego sprzeciwu (art. 21), a od 2 sierpnia 2026 roku dodatkowo przejrzystość wymagana przez AI Act (art. 50) przy bezpośredniej interakcji z AI.

Ryzyko po stronie platformy: automatyzacja przeglądarki i blokady kont

LinkedIn aktywnie zwalcza narzędzia do automatyzacji. Umowa użytkownika LinkedIn wprost zakazuje botów i innych nieautoryzowanych zautomatyzowanych metod dodawania kontaktów lub wysyłania wiadomości, a także scrapowania profili. Kto ją narusza, ryzykuje blokadę konta. Jak szybko LinkedIn reaguje, pokazuje przypadek firmy Artisan: w grudniu 2025 roku LinkedIn ograniczył stronę firmową i profile pracowników tego dostawcy agentów do outboundu. Według TechCrunch CEO Jaspar Carmichael-Jack wskazał dwa powody: używanie nazwy LinkedIn na stronie internetowej Artisan oraz brokerów danych, którzy mieli bez zgody scrapować LinkedIn. Według artykułu powodem nie był spam generowany przez agentów. Na początku stycznia 2026 roku dostęp firmy Artisan został przywrócony. Kto steruje agentem bezpośrednio przez login do LinkedIn, oprócz dyskusji o RODO naraża sam kanał sprzedaży.

Wniosek strategiczny: agent nie powinien działać jak bot, który loguje się do sesji LinkedIn i działa tam autonomicznie. Bezpieczne jest takie rozwiązanie, w którym agent pracuje poza platformą (research i przygotowywanie szkiców we własnych systemach), a człowiek sam uruchamia właściwe działania, czyli zaproszenie do sieci i wiadomość, w zwykłym interfejsie LinkedIn. LinkedIn pozostaje dominującym kanałem w B2B w regionie DACH (Niemcy, Austria, Szwajcaria); Xing praktycznie nie ma już znaczenia do celów B2B. Właśnie dlatego konto jest zbyt cenne, by narażać je przez automatyzację.

Podstawa prawna z RODO dla kontaktu B2B na zimno

W przypadku kontaktu B2B na zimno typową podstawą prawną jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes). Zgodnie z wytycznymi EROD 1/2024 (przyjętymi 8 października 2024 roku) i opinią EROD 28/2024 (17 grudnia 2024 roku) administrator musi udokumentować trzyetapową ocenę:

1. Test celu: interes musi być zgodny z prawem, rzeczywisty, aktualny i konkretnie określony. „Usprawnienie pozyskiwania klientów z pomocą AI” nie wystarczy; „kwalifikowany pierwszy kontakt z odpowiednimi decydentami dla produktu X” już tak.
2. Test niezbędności: czy cel można osiągnąć przy mniejszej ilości danych lub danych bardziej zanonimizowanych? To przemawia za minimalizacją danych: tylko pola potrzebne do kontaktu, bez pełnej kopii profilu.
3. Test równowagi: wyważenie względem rozsądnych oczekiwań osób, których dane dotyczą, rodzaju danych i kontekstu. Należy uwzględnić kryteria EROD (czy informacja była publiczna? jaka jest relacja między osobą, której dane dotyczą, a administratorem? jaki to rodzaj usługi? czy osoba miała świadomość, że jest online?).

Publiczne nie znaczy wolne. Uporczywym błędem jest przekonanie, że publicznie widoczne dane z profilu są wyłączone spod RODO. Standard TSUE z wyroku Meta/Bundeskartellamt (C-252/21, 4 lipca 2023 roku) oraz kary nałożone na Clearview AI we Włoszech, Francji, Grecji, Wielkiej Brytanii i Holandii potwierdzają coś przeciwnego: publiczna dostępność nie stanowi ani zgody, ani innej podstawy prawnej, a test równowagi z art. 6 ust. 1 lit. f nadal jest wymagany.

Pochodzenie danych i obowiązek informacyjny. Ponieważ dane kontaktowe nie są zbierane bezpośrednio od osoby, której dotyczą (pochodzą z profili, od brokerów danych B2B lub z usług wzbogacania danych), zastosowanie ma obowiązek informacyjny z art. 14 RODO. Wyjątek „niewspółmiernie dużego wysiłku” (art. 14 ust. 5 lit. b) przy kontakcie na zimno z reguły nie pomaga: jeśli piszesz do danej osoby, musisz ją poinformować zgodnie z art. 14 ust. 3 lit. b najpóźniej przy pierwszej komunikacji, a w każdym razie w ciągu miesiąca od pozyskania danych (art. 14 ust. 3 lit. a). Tak interpretują to również wytyczne w sprawie przejrzystości Grupy Roboczej Art. 29 (WP260 rev.01, pkt 27 i nast.). W praktyce oznacza to, że już pierwsza wiadomość w przejrzysty sposób informuje o źródle danych, celu, prawnie uzasadnionym interesie i sposobie wniesienia sprzeciwu. CNIL zaleca warstwową informację o ochronie danych: krótką, jasną warstwę (charakter AI, okres przechowywania, opt-out) z linkiem do warstwy szczegółowej.

Sprzeciw (art. 21). Przy przetwarzaniu na podstawie art. 6 ust. 1 lit. f prawo sprzeciwu musi być proste, widoczne i skuteczne. Kontakt B2B na zimno to marketing bezpośredni, a w tym przypadku prawo sprzeciwu z art. 21 ust. 2 i 3 RODO obowiązuje bezwarunkowo: osoba, której dane dotyczą, nie musi niczego uzasadniać, a po sprzeciwie jej danych nie wolno już przetwarzać do celów marketingowych. Otrzymany sprzeciw (lub wyraźna odmowa w rozmowie) musi niezawodnie prowadzić do wstrzymania dalszych kontaktów i usunięcia danych z własnych systemów. Pozostaje jedynie minimalny wpis na liście wykluczeń marketingowych, aby nie kontaktować się z tą osobą ponownie, na przykład gdy broker danych dostarczy jej dane jeszcze raz.

Działanie, ryzyko, rekomendacja: tabela decyzyjna

Poniższa tabela oddziela to, co agenci mogą robić bez ryzyka, od tego, co zagraża kontu lub zgodności z przepisami. To ocena merytoryczna, a nie porada prawna.

Limity częstotliwości i zachowanie zbliżone do ludzkiego

Nawet tam, gdzie działania uruchamia człowiek, liczą się częstotliwość i wzorce. Masowe zaproszenia wysyłane co sekundę są zarówno technicznym sygnałem rozpoznawczym dla systemów ochronnych platformy, jak i przesłanką przetwarzania wykraczającego poza rozsądne oczekiwania osób, których dane dotyczą. Realistyczne dzienne wolumeny, rozłożenie w czasie i wiadomości dopasowane do kontekstu, a nie szablonowe, chronią konto i są zarazem argumentem w teście równowagi. W B2B w regionie DACH decydenci i tak w ciągu kilku tygodni rozpoznają nadmiernie szablonowy kontakt generowany przez AI; cierpią na tym dostarczalność i postrzeganie marki.

Konkretny przykład z liczbami

Producent oprogramowania z sektora MŚP w regionie DACH chce dotrzeć do 600 decydentów w firmach produkcyjnych. Konfiguracja zgodna z RODO i regulaminem LinkedIn wygląda tak:

• Agent do researchu (poza LinkedIn): na podstawie źródła sales intelligence zgodnego z RODO od podstaw, takiego jak Dealfront (Karlsruhe, ~6 mln firm, ~24 mln rekordów kontaktowych, stan na 2026 rok), tworzy listę z ograniczonym zakresem pól: imię i nazwisko, stanowisko, firma, jeden trafny punkt zaczepienia.
• Agent do szkiców: dla każdego kontaktu przygotowuje spersonalizowaną pierwszą wiadomość wraz z informacją o pochodzeniu danych i możliwości opt-out.
• Człowiek (rep-in-the-loop): sprawdza każdy szkic, poprawia halucynacje i sam wysyła zaproszenie oraz wiadomość na LinkedIn, np. rozkładając to na około 20 kontaktów na dzień roboczy zamiast 600 naraz. Wzbogacanie danych odbywa się w tygodniowych transzach, tak aby między pozyskaniem danych a pierwszą wiadomością nigdy nie upłynął więcej niż miesiąc.
• Logika sprzeciwu: każda odmowa lub sprzeciw jest oznaczana w CRM za pomocą subject_id; zaplanowane zadanie usuwa dane z warstw wzbogacania i pamięci.

Dokumentuje się: LIA (Legitimate Interest Assessment) według trzech etapów, listę źródeł danych, okresy przechowywania i rejestr opt-outów. Dzięki temu przetwarzanie jest możliwe do prześledzenia, a konto LinkedIn pozostaje nienaruszone, bo nie obsługuje go żaden bot.

Dlaczego pełna autonomia zawodzi w B2B w regionie DACH

Pokusa, by całkowicie wyeliminować człowieka, jest duża, ale dowody przemawiają przeciwko temu. Czysto autonomiczne stacki SDR nie sprawdziły się dotąd na dużą skalę w MŚP B2B w regionie DACH. Odpowiada za to kombinacja czynników: ostre egzekwowanie zasad przez LinkedIn wobec automatyzacji, prawo dotyczące reklamy (§ 7 UWG w DE, § 174 TKG 2021 w AT, art. 3 ust. 1 lit. o UWG w CH) oraz wieloetapowy proces zakupowy w MŚP z regionu DACH (dział techniczny, zakupy, finanse, zarząd; zwykle od 6 do 18 miesięcy). W Niemczech „domniemana zgoda” wystarcza tylko w przypadku połączeń reklamowych do firm (§ 7 ust. 2 pkt 1 UWG); zimne e-maile reklamowe wymagają tam uprzedniej wyraźnej zgody. W Austrii § 174 ust. 3 TKG 2021 wymaga uprzedniej zgody na reklamowe e-maile. Do tego dochodzi jakość produktów: CEO firmy Artisan przyznał, że AI SDR pierwszej generacji miały „stosunkowo wysoki odpływ klientów”, a własny produkt firmy na starcie miał „wyjątkowo złe halucynacje”. W regionie DACH sprawdza się nie „zastępowanie SDR”, lecz wspieranie handlowców w modelu rep-in-the-loop.

W Szwajcarii prawo ochrony danych przyjmuje inne podejście: revDSG nie wymaga podstawy prawnej dla każdego przetwarzania. Uzasadnienie zgodnie z art. 31 (zgoda, przeważający interes lub ustawa) jest potrzebne dopiero wtedy, gdy przetwarzanie narusza dobra osobiste osób, których dane dotyczą. Surowsza jest odpowiedzialność: osoby fizyczne mogą zostać ukarane grzywną do 250 000 CHF za umyślne naruszenie obowiązków informacyjnych, obowiązków związanych z prawem dostępu i obowiązków staranności lub tajemnicy zawodowej (art. 60–62 revDSG). Samo przedsiębiorstwo może zostać ukarane tylko wyjątkowo, grzywną do 50 000 CHF, jeśli ustalenie osoby odpowiedzialnej wymagałoby nieproporcjonalnie dużego nakładu pracy (art. 64 revDSG).

Uwaga: ten artykuł jest oceną merytoryczną i nie zastępuje porady prawnej. Cytowane artykuły, terminy i procedury pochodzą z badań, na których się opiera; do oceny Twojego konkretnego przypadku skorzystaj z pomocy wykwalifikowanego prawnika.

Dla agencji i zespołów B2B

Dla agencji agent do outreachu na LinkedIn zgodny z RODO to wyraźnie określona obietnica usługi: dostarczasz automatyzację researchu, personalizacji i szkiców wraz z udokumentowanym testem równowagi i procesem opt-out, a automatyzację obsługującą konto świadomie pomijasz. To się sprzedaje, bo zmniejsza ryzyko, zamiast je tworzyć. Dla zespołów B2B kolejność wygląda tak: najpierw podsumowania spotkań i aktualizacja CRM (najpewniejszy ROI, najmniejsze ryzyko), potem prospecting i personalizacja, a dopiero po zatwierdzeniu zgodności z RODO lub revDSG, § 7 UWG (DE), § 174 TKG 2021 (AT) i art. 3 ust. 1 lit. o UWG (CH) oraz po wyraźnym sprawdzeniu regulaminu LinkedIn ostrożne spojrzenie na dalej idącą automatyzację. Jeśli zostawiasz człowieka na etapie decyzji, zyskujesz szybkość, nie ryzykując ani konta, ani zgodności z przepisami.