Fichiers d'adresses et publipostage : ce que dit le RGPD

Fiche de réglementation, mise à jour le 2 novembre 2026. Information générale, pas un conseil juridique : les textes évoluent, vérifiez-les à la source.

En bref

• Le client qui envoie le publipostage est responsable du traitement : c'est à lui de disposer d'une base légale, d'informer les destinataires et de gérer les oppositions.
• L'imprimeur ou le routeur qui reçoit le fichier pour imprimer et envoyer les courriers agit en principe comme sous-traitant : il ne traite les adresses que sur instruction du client.
• Un contrat écrit conforme à l'article 28 du RGPD doit encadrer cette sous-traitance.
• Pour la prospection par courrier postal, la CNIL admet l'intérêt légitime comme base légale, à condition que les personnes aient été informées et puissent s'opposer simplement et gratuitement.

1. Qui est responsable de quoi ?

• Responsable du traitement (RGPD, article 4, 7)) : l'organisme qui détermine les finalités et les moyens du traitement, ici le client qui décide d'envoyer le courrier et fournit (ou loue) le fichier.
• Sous-traitant (RGPD, article 4, 8)) : l'organisme qui traite les données pour le compte du responsable, ici l'imprimeur ou le routeur qui personnalise, met sous pli et dépose les courriers.
• Si l'imprimeur réutilise le fichier pour son propre compte (prospection, revente), il sort de son rôle de sous-traitant et devient responsable de traitement pour cette nouvelle utilisation (RGPD, article 28, paragraphe 10).

Source : https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4

La CNIL donne un exemple très proche : une entreprise qui envoie des courriers de prospection commerciale à partir des fichiers clients d'autres entreprises est leur sous-traitant, dans la mesure où elle traite les données nécessaires à l'envoi pour leur compte et sur leurs instructions ; elle reste responsable de traitement pour la gestion de son propre personnel et de ses propres clients (CNIL, Guide du sous-traitant, édition septembre 2017, encadré « Exemple de qualification de sous-traitant et de responsable de traitement »). Source : https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf

2. Base légale du publipostage (côté client)

• RGPD, article 6, 1, f) : intérêt légitime. La CNIL indique que la publicité par voie postale est possible si, au moment de la collecte de l'adresse, la personne a été informée de l'usage à des fins de prospection et a pu s'y opposer simplement et gratuitement (par exemple, une case à cocher). Source : https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
• Chaque courrier doit permettre d'identifier l'organisme émetteur et d'exprimer simplement le refus de recevoir de nouvelles sollicitations (même source).
• Droit d'opposition (RGPD, article 21, paragraphes 2 et 3) : en prospection, il est absolu, sans motif à fournir. La CNIL recommande de tenir une liste repoussoir et de conserver les oppositions au moins 3 ans. Source : https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
• Fichiers loués ou achetés : la transmission de données à des partenaires pour de la prospection postale peut reposer sur l'intérêt légitime du cédant, si les personnes ont été informées et ont pu refuser la cession, lors de la collecte et à tout moment. Source : https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
• Durée de conservation (référentiel CNIL gestion commerciale) : pour un prospect, 3 ans à compter de la collecte ou du dernier contact émanant de lui. Source : https://www.cnil.fr/fr/questions-reponses-sur-les-referentiels-relatifs-la-gestion-des-activites-commerciales-et-des

Attention : ces règles valent pour le courrier papier. La prospection par courriel ou SMS obéit à d'autres règles (consentement préalable pour les particuliers, Code des postes et des communications électroniques, article L. 34-5).

3. Information des destinataires

• Données collectées directement auprès de la personne : RGPD, article 13.
• Données obtenues autrement (fichier loué, acheté, partenaire) : RGPD, article 14 ; l'information est donnée au plus tard lors de la première communication avec la personne lorsque les données servent à la contacter (article 14, paragraphe 3, b)).
• La CNIL publie un modèle de mention : https://www.cnil.fr/fr/exemple-dinformation-de-prospects-prospection-commerciale-par-voie-postale

Contenu essentiel : identité du responsable, finalité, base légale (et l'intérêt légitime poursuivi), destinataires, durée de conservation, droits (accès, rectification, opposition), droit de réclamation auprès de la CNIL, et, pour l'article 14, la source des données.

4. Le contrat de sous-traitance (article 28 du RGPD)

RGPD, article 28, paragraphe 3 : le traitement par un sous-traitant est régi par un contrat (écrit, y compris sous forme électronique — paragraphe 9) qui définit l'objet, la durée, la nature et la finalité du traitement, le type de données, les catégories de personnes concernées et les droits et obligations du responsable. Il prévoit notamment que le sous-traitant :

• a) ne traite les données que sur instruction documentée du responsable ;
• b) veille à la confidentialité des personnes autorisées à traiter les données ;
• c) prend les mesures de sécurité de l'article 32 ;
• d) ne recourt à un autre sous-traitant (façonnier, routeur…) qu'avec l'autorisation écrite du responsable, en lui imposant les mêmes obligations (paragraphes 2 et 4) ;
• e) aide le responsable à répondre aux demandes d'exercice des droits ;
• f) aide le responsable à respecter ses obligations de sécurité, de notification des violations et d'analyse d'impact ;
• g) supprime ou restitue les données à la fin de la prestation, au choix du responsable ;
• h) met à disposition les informations nécessaires pour démontrer le respect de ces obligations et permet les audits.

Le sous-traitant informe immédiatement le responsable s'il estime qu'une instruction constitue une violation du RGPD (article 28, paragraphe 3, dernier alinéa).

Modèles : la CNIL renvoie aux clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021 (décision d'exécution (UE) 2021/915) ; son guide du sous-traitant (2017) propose aussi des exemples de clauses. Sources : https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf et https://www.cnil.fr/fr/securite-gerer-la-sous-traitance La page CNIL « Travailler avec un sous-traitant » (https://www.cnil.fr/fr/sous-traitant), consultée le 1er novembre 2026, propose toujours le guide dans son édition de septembre 2017 ; elle indique que le contrat peut reposer en tout ou partie sur des clauses contractuelles types et renvoie à la page CNIL « Clauses contractuelles types entre responsable de traitement et sous-traitant » : https://www.cnil.fr/fr/clauses-contractuelles-types-entre-responsable-de-traitement-et-sous-traitant

5. Obligations propres de l'imprimeur / routeur

• Tenir un registre des catégories de traitements effectués pour le compte de ses clients (RGPD, article 30, paragraphe 2).
• Assurer la sécurité du fichier : transfert chiffré, accès limité, effacement à la fin de la prestation (article 32 ; guide CNIL « Gérer la sous-traitance »).
• Notifier au client toute violation de données dans les meilleurs délais après en avoir pris connaissance (article 33, paragraphe 2).
• Ne conserver ni réutiliser le fichier après la prestation, sauf instruction contraire ou obligation légale.

6. Sanctions

Amendes administratives jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial selon les manquements (RGPD, article 83) ; le sous-traitant peut être sanctionné pour ses propres manquements.

Pour l'imprimeur : liste de contrôle

1. Contrat ou avenant article 28 signé avant de recevoir le fichier.
2. Fichier reçu par un moyen sécurisé, stocké dans un espace à accès restreint.
3. Utilisation limitée à la commande (pas de réutilisation, pas de copie).
4. Sous-traitants (routeur, façonnier) autorisés par écrit par le client.
5. Suppression (ou restitution) du fichier à la fin, avec trace.
6. Registre des traitements « sous-traitant » à jour.

Sources principales

• RGPD (règlement (UE) 2016/679), chapitre IV, articles 24 à 43 : https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
• CNIL, prospection commerciale par courrier postal : https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
• CNIL, transmission de données à des partenaires : https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
• CNIL, liste repoussoir : https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
• CNIL, guide du sous-traitant : https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf
• CNIL, sécurité : gérer la sous-traitance : https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
• CNIL, travailler avec un sous-traitant : https://www.cnil.fr/fr/sous-traitant

Information générale, pas un conseil juridique. Rédigé le 1er novembre 2026.

Version texte : Markdown