Bases de datos de direcciones y mailing postal: lo que dice el RGPD

Ficha de normativa, actualizada el 2 de noviembre de 2026. Información general, no asesoramiento jurídico: los textos cambian, compruébelos en la fuente.

En resumen

• El cliente que envía el mailing es el responsable del tratamiento: le corresponde disponer de una base jurídica, informar a los destinatarios y gestionar las oposiciones.
• La imprenta o la empresa de mailing que recibe la base de datos para imprimir y enviar las cartas actúa en principio como encargado del tratamiento: solo trata las direcciones siguiendo las instrucciones del cliente.
• Este encargo debe regirse por un contrato por escrito conforme al artículo 28 del RGPD.
• Para la prospección por correo postal, la CNIL (autoridad francesa de protección de datos) admite el interés legítimo como base jurídica, siempre que los interesados hayan sido informados y puedan oponerse de forma sencilla y gratuita.

1. ¿Quién es responsable de qué?

• Responsable del tratamiento (RGPD, artículo 4, punto 7)): el organismo que determina los fines y los medios del tratamiento; aquí, el cliente que decide enviar la carta y facilita (o alquila) la base de datos.
• Encargado del tratamiento (RGPD, artículo 4, punto 8)): el organismo que trata los datos por cuenta del responsable; aquí, la imprenta o la empresa de mailing que personaliza, ensobra y deposita las cartas.
• Si la imprenta reutiliza la base de datos por cuenta propia (prospección, reventa), deja de actuar como encargado y pasa a ser responsable del tratamiento para ese nuevo uso (RGPD, artículo 28, apartado 10).

Fuente: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4

La CNIL da un ejemplo muy parecido: una empresa que envía cartas de prospección comercial a partir de las bases de datos de clientes de otras empresas es su encargado del tratamiento, en la medida en que trata los datos necesarios para el envío por cuenta de ellas y siguiendo sus instrucciones; sigue siendo responsable del tratamiento para la gestión de su propio personal y de sus propios clientes (CNIL, Guide du sous-traitant, edición de septiembre de 2017, recuadro «Exemple de qualification de sous-traitant et de responsable de traitement»). Fuente: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf

2. Base jurídica del mailing (por parte del cliente)

• RGPD, artículo 6, apartado 1, letra f): interés legítimo. La CNIL indica que la publicidad por correo postal es posible si, en el momento de recoger la dirección, se informó a la persona del uso con fines de prospección y esta pudo oponerse de forma sencilla y gratuita (por ejemplo, con una casilla que marcar). Fuente: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
• Cada carta debe permitir identificar al organismo emisor y expresar de forma sencilla la negativa a recibir nuevas comunicaciones (misma fuente).
• Derecho de oposición (RGPD, artículo 21, apartados 2 y 3): en prospección es absoluto, sin necesidad de alegar motivos. La CNIL recomienda mantener una lista de exclusión y conservar las oposiciones al menos 3 años. Fuente: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
• Bases de datos alquiladas o compradas: la cesión de datos a socios para prospección postal puede basarse en el interés legítimo del cedente, si los interesados fueron informados y pudieron negarse a la cesión, en el momento de la recogida y en cualquier momento posterior. Fuente: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
• Plazo de conservación (referencial de la CNIL sobre gestión comercial): para un cliente potencial, 3 años a partir de la recogida o del último contacto procedente de él. Fuente: https://www.cnil.fr/fr/questions-reponses-sur-les-referentiels-relatifs-la-gestion-des-activites-commerciales-et-des

Atención: estas normas valen para el correo en papel. La prospección por correo electrónico o SMS se rige por otras normas (consentimiento previo en el caso de los particulares, Code des postes et des communications électroniques, el código francés de correos y comunicaciones electrónicas, artículo L. 34-5).

3. Información a los destinatarios

• Datos recogidos directamente del interesado: RGPD, artículo 13.
• Datos obtenidos de otro modo (base de datos alquilada, comprada, de un socio): RGPD, artículo 14; la información se facilita a más tardar en el momento de la primera comunicación con el interesado cuando los datos se utilizan para contactarle (artículo 14, apartado 3, letra b)).
• La CNIL publica un modelo de cláusula informativa: https://www.cnil.fr/fr/exemple-dinformation-de-prospects-prospection-commerciale-par-voie-postale

Contenido esencial: identidad del responsable, finalidad, base jurídica (y el interés legítimo perseguido), destinatarios, plazo de conservación, derechos (acceso, rectificación, oposición), derecho a presentar una reclamación ante la CNIL y, en el caso del artículo 14, el origen de los datos.

4. El contrato de encargo del tratamiento (artículo 28 del RGPD)

RGPD, artículo 28, apartado 3: el tratamiento por un encargado se rige por un contrato (por escrito, incluso en formato electrónico — apartado 9) que establece el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos, las categorías de interesados y los derechos y obligaciones del responsable. Estipula, en particular, que el encargado:

• a) trata los datos únicamente siguiendo instrucciones documentadas del responsable;
• b) garantiza la confidencialidad de las personas autorizadas para tratar los datos;
• c) toma las medidas de seguridad del artículo 32;
• d) solo recurre a otro encargado (taller de acabado, empresa de mailing…) con la autorización por escrito del responsable, imponiéndole las mismas obligaciones (apartados 2 y 4);
• e) asiste al responsable para responder a las solicitudes de ejercicio de derechos;
• f) ayuda al responsable a cumplir sus obligaciones de seguridad, de notificación de violaciones y de evaluación de impacto;
• g) suprime o devuelve los datos al final de la prestación, a elección del responsable;
• h) pone a disposición la información necesaria para demostrar el cumplimiento de estas obligaciones y permite las auditorías.

El encargado informa inmediatamente al responsable si considera que una instrucción infringe el RGPD (artículo 28, apartado 3, último párrafo).

Modelos: la CNIL remite a las cláusulas contractuales tipo adoptadas por la Comisión Europea el 4 de junio de 2021 (Decisión de Ejecución (UE) 2021/915); su guía del encargado del tratamiento (2017) propone también ejemplos de cláusulas. Fuentes: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf y https://www.cnil.fr/fr/securite-gerer-la-sous-traitance La página de la CNIL «Travailler avec un sous-traitant» (https://www.cnil.fr/fr/sous-traitant), consultada el 1 de noviembre de 2026, sigue ofreciendo la guía en su edición de septiembre de 2017; indica que el contrato puede basarse total o parcialmente en cláusulas contractuales tipo y remite a la página de la CNIL «Clauses contractuelles types entre responsable de traitement et sous-traitant»: https://www.cnil.fr/fr/clauses-contractuelles-types-entre-responsable-de-traitement-et-sous-traitant

5. Obligaciones propias de la imprenta / empresa de mailing

• Llevar un registro de las categorías de tratamientos efectuados por cuenta de sus clientes (RGPD, artículo 30, apartado 2).
• Garantizar la seguridad de la base de datos: transferencia cifrada, acceso limitado, borrado al final de la prestación (artículo 32; guía de la CNIL «Gérer la sous-traitance»).
• Notificar al cliente cualquier violación de datos sin dilación indebida tras tener conocimiento de ella (artículo 33, apartado 2).
• No conservar ni reutilizar la base de datos después de la prestación, salvo instrucción en contrario u obligación legal.

6. Sanciones

Multas administrativas de hasta 20 millones de euros o el 4 % del volumen de negocio total anual mundial, según las infracciones (RGPD, artículo 83); el encargado puede ser sancionado por sus propias infracciones.

Para la imprenta: lista de control

1. Contrato o adenda conforme al artículo 28 firmado antes de recibir la base de datos.
2. Base de datos recibida por un medio seguro y almacenada en un espacio de acceso restringido.
3. Uso limitado al pedido (sin reutilización ni copia).
4. Subencargados (empresa de mailing, taller de acabado) autorizados por escrito por el cliente.
5. Supresión (o devolución) de la base de datos al final, dejando constancia.
6. Registro de tratamientos como «encargado» actualizado.

Fuentes principales

• RGPD (Reglamento (UE) 2016/679), capítulo IV, artículos 24 a 43: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
• CNIL, prospección comercial por correo postal: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
• CNIL, cesión de datos a socios: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
• CNIL, lista de exclusión: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
• CNIL, guía del encargado del tratamiento: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf
• CNIL, seguridad: gestionar el encargo del tratamiento: https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
• CNIL, trabajar con un encargado del tratamiento: https://www.cnil.fr/fr/sous-traitant

Información general, no asesoramiento jurídico. Redactado el 1 de noviembre de 2026.

Versión de texto : Markdown