# Bases de datos de direcciones y mailing postal: lo que dice el RGPD

## En resumen

- El **cliente** que envía el mailing es el **responsable del tratamiento**: le corresponde disponer de una base jurídica, informar a los destinatarios y gestionar las oposiciones.
- La **imprenta o la empresa de mailing** que recibe la base de datos para imprimir y enviar las cartas actúa en principio como **encargado del tratamiento**: solo trata las direcciones siguiendo las instrucciones del cliente.
- Este encargo debe regirse por un **contrato por escrito conforme al artículo 28 del RGPD**.
- Para la **prospección por correo postal**, la CNIL (autoridad francesa de protección de datos) admite el **interés legítimo** como base jurídica, siempre que los interesados hayan sido **informados** y puedan **oponerse** de forma sencilla y gratuita.

## 1. ¿Quién es responsable de qué?

- **Responsable del tratamiento** (RGPD, artículo 4, punto 7)): el organismo que determina los fines y los medios del tratamiento; aquí, el cliente que decide enviar la carta y facilita (o alquila) la base de datos.
- **Encargado del tratamiento** (RGPD, artículo 4, punto 8)): el organismo que trata los datos por cuenta del responsable; aquí, la imprenta o la empresa de mailing que personaliza, ensobra y deposita las cartas.
- Si la imprenta **reutiliza** la base de datos por cuenta propia (prospección, reventa), deja de actuar como encargado y pasa a ser responsable del tratamiento para ese nuevo uso (RGPD, artículo 28, apartado 10).

Fuente: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4

La CNIL da un ejemplo muy parecido: una empresa que envía cartas de prospección comercial a partir de las bases de datos de clientes de otras empresas es su **encargado del tratamiento**, en la medida en que trata los datos necesarios para el envío por cuenta de ellas y siguiendo sus instrucciones; sigue siendo responsable del tratamiento para la gestión de su propio personal y de sus propios clientes (CNIL, *Guide du sous-traitant*, edición de septiembre de 2017, recuadro «Exemple de qualification de sous-traitant et de responsable de traitement»).
Fuente: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf

## 2. Base jurídica del mailing (por parte del cliente)

- **RGPD, artículo 6, apartado 1, letra f)**: interés legítimo. La CNIL indica que la publicidad por correo postal es posible si, **en el momento de recoger la dirección**, se **informó** a la persona del uso con fines de prospección y esta pudo **oponerse** de forma sencilla y gratuita (por ejemplo, con una casilla que marcar).
  Fuente: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
- **Cada carta** debe permitir identificar al organismo emisor y expresar de forma sencilla la negativa a recibir nuevas comunicaciones (misma fuente).
- **Derecho de oposición** (RGPD, **artículo 21**, apartados 2 y 3): en prospección es absoluto, sin necesidad de alegar motivos. La CNIL recomienda mantener una **lista de exclusión** y conservar las oposiciones al menos 3 años.
  Fuente: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
- **Bases de datos alquiladas o compradas**: la cesión de datos a socios para prospección postal puede basarse en el interés legítimo del cedente, si los interesados fueron informados y pudieron negarse a la cesión, en el momento de la recogida y en cualquier momento posterior.
  Fuente: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
- **Plazo de conservación** (referencial de la CNIL sobre gestión comercial): para un cliente potencial, **3 años** a partir de la recogida o del último contacto procedente de él.
  Fuente: https://www.cnil.fr/fr/questions-reponses-sur-les-referentiels-relatifs-la-gestion-des-activites-commerciales-et-des

> Atención: estas normas valen para el **correo en papel**. La prospección por **correo electrónico o SMS** se rige por otras normas (consentimiento previo en el caso de los particulares, Code des postes et des communications électroniques, el código francés de correos y comunicaciones electrónicas, artículo L. 34-5).

## 3. Información a los destinatarios

- **Datos recogidos directamente** del interesado: RGPD, **artículo 13**.
- **Datos obtenidos de otro modo** (base de datos alquilada, comprada, de un socio): RGPD, **artículo 14**; la información se facilita a más tardar en el momento de la **primera comunicación** con el interesado cuando los datos se utilizan para contactarle (artículo 14, apartado 3, letra b)).
- La CNIL publica un modelo de cláusula informativa: https://www.cnil.fr/fr/exemple-dinformation-de-prospects-prospection-commerciale-par-voie-postale

Contenido esencial: identidad del responsable, finalidad, base jurídica (y el interés legítimo perseguido), destinatarios, plazo de conservación, derechos (acceso, rectificación, oposición), derecho a presentar una reclamación ante la CNIL y, en el caso del artículo 14, el **origen** de los datos.

## 4. El contrato de encargo del tratamiento (artículo 28 del RGPD)

**RGPD, artículo 28, apartado 3**: el tratamiento por un encargado se rige por un **contrato** (por escrito, incluso en formato electrónico — apartado 9) que establece el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos, las categorías de interesados y los derechos y obligaciones del responsable. Estipula, en particular, que el encargado:

- a) trata los datos **únicamente siguiendo instrucciones documentadas** del responsable;
- b) garantiza la **confidencialidad** de las personas autorizadas para tratar los datos;
- c) toma las medidas de **seguridad** del artículo 32;
- d) solo recurre a **otro encargado** (taller de acabado, empresa de mailing…) con la **autorización por escrito** del responsable, imponiéndole las mismas obligaciones (apartados 2 y 4);
- e) **asiste** al responsable para responder a las solicitudes de ejercicio de derechos;
- f) ayuda al responsable a cumplir sus obligaciones de seguridad, de notificación de violaciones y de evaluación de impacto;
- g) **suprime o devuelve** los datos al final de la prestación, a elección del responsable;
- h) pone a disposición la información necesaria para demostrar el cumplimiento de estas obligaciones y permite las **auditorías**.

El encargado informa inmediatamente al responsable si considera que una instrucción infringe el RGPD (artículo 28, apartado 3, último párrafo).

**Modelos**: la CNIL remite a las **cláusulas contractuales tipo** adoptadas por la Comisión Europea el 4 de junio de 2021 (Decisión de Ejecución (UE) 2021/915); su guía del encargado del tratamiento (2017) propone también ejemplos de cláusulas.
Fuentes: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf y https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
La página de la CNIL «Travailler avec un sous-traitant» (https://www.cnil.fr/fr/sous-traitant), consultada el 1 de noviembre de 2026, sigue ofreciendo la guía en su **edición de septiembre de 2017**; indica que el contrato puede basarse total o parcialmente en cláusulas contractuales tipo y remite a la página de la CNIL «Clauses contractuelles types entre responsable de traitement et sous-traitant»: https://www.cnil.fr/fr/clauses-contractuelles-types-entre-responsable-de-traitement-et-sous-traitant

## 5. Obligaciones propias de la imprenta / empresa de mailing

- Llevar un **registro** de las categorías de tratamientos efectuados por cuenta de sus clientes (RGPD, artículo 30, apartado 2).
- Garantizar la **seguridad** de la base de datos: transferencia cifrada, acceso limitado, borrado al final de la prestación (artículo 32; guía de la CNIL «Gérer la sous-traitance»).
- **Notificar** al cliente cualquier violación de datos sin dilación indebida tras tener conocimiento de ella (artículo 33, apartado 2).
- No conservar ni reutilizar la base de datos después de la prestación, salvo instrucción en contrario u obligación legal.

## 6. Sanciones

Multas administrativas de hasta 20 millones de euros o el 4 % del volumen de negocio total anual mundial, según las infracciones (RGPD, artículo 83); el encargado puede ser sancionado por sus propias infracciones.

## Para la imprenta: lista de control

1. Contrato o adenda conforme al **artículo 28** firmado antes de recibir la base de datos.
2. Base de datos recibida por un medio **seguro** y almacenada en un espacio de acceso restringido.
3. Uso **limitado al pedido** (sin reutilización ni copia).
4. Subencargados (empresa de mailing, taller de acabado) **autorizados por escrito** por el cliente.
5. **Supresión** (o devolución) de la base de datos al final, dejando constancia.
6. Registro de tratamientos como «encargado» actualizado.

## Fuentes principales

- RGPD (Reglamento (UE) 2016/679), capítulo IV, artículos 24 a 43: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
- CNIL, prospección comercial por correo postal: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
- CNIL, cesión de datos a socios: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
- CNIL, lista de exclusión: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
- CNIL, guía del encargado del tratamiento: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf
- CNIL, seguridad: gestionar el encargo del tratamiento: https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
- CNIL, trabajar con un encargado del tratamiento: https://www.cnil.fr/fr/sous-traitant

---

*Información general, no asesoramiento jurídico. Redactado el 1 de noviembre de 2026.*

## Preguntas frecuentes

### ¿Es la imprenta responsable de la base de datos de direcciones?

El cliente que envía el mailing es el responsable del tratamiento; la imprenta o la empresa de mailing actúa en principio como encargado del tratamiento, siguiendo sus instrucciones.

### ¿Hace falta un contrato con el cliente?

Sí, un contrato por escrito conforme al artículo 28 del RGPD, firmado antes de recibir la base de datos.

### ¿Hace falta consentimiento para un mailing en papel?

No: la CNIL admite el interés legítimo si los interesados fueron informados en el momento de la recogida y pueden oponerse de forma sencilla y gratuita. El correo electrónico y el SMS se rigen por otras normas.

### ¿Qué hacer con la base de datos después del envío?

Suprimirla o devolverla, a elección del cliente, dejar constancia de ello y no reutilizarla.

---

Actualizado el 2 de noviembre de 2026. Fuente : https://imprimeur.paris/es/guides/reglementation-rgpd-publipostage/