# קובצי כתובות ודיוור ממוזג: מה קובע ה-RGPD (GDPR)

## בקצרה

- **הלקוח** ששולח את הדיוור הוא **בעל השליטה בעיבוד** (responsable du traitement): עליו להחזיק בבסיס חוקי, ליידע את הנמענים ולטפל בהתנגדויות.
- **בית הדפוס או חברת ההפצה** (routeur) שמקבלים את הקובץ כדי להדפיס ולשלוח את המכתבים פועלים עקרונית כ**מעבד** (sous-traitant): הם מעבדים את הכתובות רק לפי הוראות הלקוח.
- **חוזה בכתב התואם לסעיף 28 של ה-RGPD** (התקנה הכללית להגנה על מידע של האיחוד האירופי, GDPR) צריך להסדיר את העיבוד הזה.
- ל**דיוור שיווקי בדואר**, ה-CNIL (הרשות הצרפתית להגנת מידע) מכירה ב**אינטרס הלגיטימי** כבסיס חוקי, בתנאי שהאנשים **יודעו** ויכולים **להתנגד** בפשטות ובחינם.

## 1. מי אחראי למה?

- **בעל השליטה בעיבוד** (RGPD, סעיף 4, 7)): הגוף הקובע את מטרות העיבוד ואת אמצעיו, כאן הלקוח שמחליט לשלוח את הדואר ומספק (או שוכר) את הקובץ.
- **מעבד** (RGPD, סעיף 4, 8)): הגוף שמעבד את הנתונים עבור בעל השליטה, כאן בית הדפוס או חברת ההפצה שמבצעים את ההתאמה האישית, מכניסים למעטפות ומפקידים את המכתבים בדואר.
- אם בית הדפוס **עושה שימוש חוזר** בקובץ לצרכיו שלו (שיווק, מכירה), הוא יוצא מתפקיד המעבד והופך לבעל שליטה בעיבוד לגבי השימוש החדש הזה (RGPD, סעיף 28, פסקה 10).

מקור: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4

ה-CNIL מביאה דוגמה קרובה מאוד: חברה ששולחת מכתבי שיווק מסחרי מתוך קובצי הלקוחות של חברות אחרות היא ה**מעבד** שלהן, במידה שהיא מעבדת את הנתונים הדרושים למשלוח עבורן ולפי הוראותיהן; היא נשארת בעלת שליטה בעיבוד לגבי ניהול העובדים שלה והלקוחות שלה עצמה (CNIL, *Guide du sous-traitant* (מדריך למעבד), מהדורת ספטמבר 2017, מסגרת „Exemple de qualification de sous-traitant et de responsable de traitement”).
מקור: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf

## 2. הבסיס החוקי לדיוור (מצד הלקוח)

- **RGPD, סעיף 6, 1, f)**: אינטרס לגיטימי. ה-CNIL מציינת שפרסום בדואר אפשרי אם, **בעת איסוף הכתובת**, האדם **יודע** על השימוש למטרות שיווק ויכול היה **להתנגד לכך** בפשטות ובחינם (למשל, תיבת סימון).
  מקור: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
- **כל מכתב** צריך לאפשר לזהות את הגוף השולח ולהביע בפשטות סירוב לקבלת פניות נוספות (אותו מקור).
- **זכות ההתנגדות** (RGPD, **סעיף 21**, פסקאות 2 ו-3): בשיווק היא מוחלטת, ללא צורך בנימוק. ה-CNIL ממליצה לנהל **רשימת חסימה** ולשמור את ההתנגדויות לפחות 3 שנים.
  מקור: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
- **קבצים שכורים או קנויים**: העברת נתונים לשותפים לצורך שיווק בדואר יכולה להתבסס על האינטרס הלגיטימי של המעביר, אם האנשים יודעו ויכלו לסרב להעברה, בעת האיסוף ובכל עת.
  מקור: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
- **משך השמירה** (מסגרת הייחוס של ה-CNIL לניהול מסחרי): ללקוח פוטנציאלי, **3 שנים** ממועד האיסוף או ממועד הפנייה האחרונה שיזם.
  מקור: https://www.cnil.fr/fr/questions-reponses-sur-les-referentiels-relatifs-la-gestion-des-activites-commerciales-et-des

> שימו לב: כללים אלה חלים על **דואר נייר**. שיווק ב**דואר אלקטרוני או ב-SMS** כפוף לכללים אחרים (הסכמה מראש לגבי אנשים פרטיים, Code des postes et des communications électroniques (חוק הדואר והתקשורת האלקטרונית הצרפתי), סעיף L. 34-5).

## 3. יידוע הנמענים

- **נתונים שנאספו ישירות** מהאדם: RGPD, **סעיף 13**.
- **נתונים שהושגו בדרך אחרת** (קובץ שכור, קנוי, משותף): RGPD, **סעיף 14**; המידע נמסר לכל המאוחר ב**פנייה הראשונה** לאדם כאשר הנתונים משמשים ליצירת קשר עמו (סעיף 14, פסקה 3, b)).
- ה-CNIL מפרסמת נוסח לדוגמה: https://www.cnil.fr/fr/exemple-dinformation-de-prospects-prospection-commerciale-par-voie-postale

התוכן החיוני: זהות בעל השליטה, המטרה, הבסיס החוקי (והאינטרס הלגיטימי שבו מדובר), הנמענים, משך השמירה, הזכויות (עיון, תיקון, התנגדות), הזכות להגיש תלונה ל-CNIL, ולגבי סעיף 14, **מקור** הנתונים.

## 4. חוזה העיבוד (סעיף 28 של ה-RGPD)

**RGPD, סעיף 28, פסקה 3**: עיבוד על ידי מעבד כפוף ל**חוזה** (בכתב, כולל בצורה אלקטרונית — פסקה 9) המגדיר את נושא העיבוד, משכו, אופיו ומטרתו, את סוג הנתונים, את קטגוריות האנשים הנוגעים בדבר ואת הזכויות והחובות של בעל השליטה. הוא קובע בין היתר שהמעבד:

- a) מעבד את הנתונים **רק לפי הוראה מתועדת** של בעל השליטה;
- b) מקפיד על **סודיות** מצד האנשים המורשים לעבד את הנתונים;
- c) נוקט את אמצעי ה**אבטחה** של סעיף 32;
- d) אינו נעזר ב**מעבד אחר** (בית גימור, חברת הפצה…) אלא ב**הרשאה בכתב** של בעל השליטה, תוך הטלת אותן חובות עליו (פסקאות 2 ו-4);
- e) **מסייע** לבעל השליטה להשיב לבקשות למימוש זכויות;
- f) מסייע לבעל השליטה לעמוד בחובותיו בנושאי אבטחה, דיווח על הפרות והערכת השפעה;
- g) **מוחק או מחזיר** את הנתונים בתום השירות, לפי בחירת בעל השליטה;
- h) מעמיד לרשותו את המידע הדרוש להוכחת העמידה בחובות אלה ומאפשר **ביקורות**.

המעבד מודיע מיד לבעל השליטה אם לדעתו הוראה מסוימת מהווה הפרה של ה-RGPD (סעיף 28, פסקה 3, פסקת משנה אחרונה).

**נוסחים לדוגמה**: ה-CNIL מפנה ל**סעיפים חוזיים סטנדרטיים** שאימצה הנציבות האירופית ב-4 ביוני 2021 (החלטת ביצוע (UE) 2021/915); גם המדריך שלה למעבד (2017) מציע דוגמאות לסעיפים.
מקורות: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf ו-https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
העמוד של ה-CNIL „Travailler avec un sous-traitant” (עבודה עם מעבד, https://www.cnil.fr/fr/sous-traitant), שנבדק ב-1 בנובמבר 2026, עדיין מציע את המדריך ב**מהדורת ספטמבר 2017**; הוא מציין שהחוזה יכול להתבסס כולו או חלקו על סעיפים חוזיים סטנדרטיים ומפנה לעמוד ה-CNIL „Clauses contractuelles types entre responsable de traitement et sous-traitant”: https://www.cnil.fr/fr/clauses-contractuelles-types-entre-responsable-de-traitement-et-sous-traitant

## 5. החובות של בית הדפוס / חברת ההפצה עצמם

- לנהל **מרשם** של קטגוריות העיבוד המבוצעות עבור הלקוחות (RGPD, סעיף 30, פסקה 2).
- להבטיח את **אבטחת** הקובץ: העברה מוצפנת, גישה מוגבלת, מחיקה בתום השירות (סעיף 32; מדריך ה-CNIL „Gérer la sous-traitance”).
- **לדווח** ללקוח על כל הפרת נתונים ללא דיחוי מיותר לאחר שנודע עליה (סעיף 33, פסקה 2).
- לא לשמור ולא לעשות שימוש חוזר בקובץ לאחר השירות, אלא אם ניתנה הוראה אחרת או קיימת חובה חוקית.

## 6. עונשים

קנסות מנהליים של עד 20 מיליון אירו או 4 % מהמחזור השנתי העולמי, לפי סוג ההפרה (RGPD, סעיף 83); המעבד עשוי להיענש על ההפרות שלו עצמו.

## לבית הדפוס: רשימת בדיקה

1. חוזה או נספח לפי **סעיף 28** שנחתם לפני קבלת הקובץ.
2. הקובץ מתקבל באמצעי **מאובטח** ונשמר באזור עם גישה מוגבלת.
3. שימוש **המוגבל להזמנה** (ללא שימוש חוזר, ללא העתקה).
4. מעבדי משנה (חברת הפצה, בית גימור) **שהלקוח הרשה בכתב**.
5. **מחיקה** (או החזרה) של הקובץ בסוף, עם תיעוד.
6. מרשם עיבודים מעודכן בתפקיד „מעבד”.

## מקורות עיקריים

- RGPD (תקנה (UE) 2016/679), פרק IV, סעיפים 24 עד 43: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
- CNIL, שיווק מסחרי בדואר: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
- CNIL, העברת נתונים לשותפים: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
- CNIL, רשימת חסימה: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
- CNIL, מדריך למעבד: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf
- CNIL, אבטחה: ניהול מיקור משנה: https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
- CNIL, עבודה עם מעבד: https://www.cnil.fr/fr/sous-traitant

---

*מידע כללי, לא ייעוץ משפטי. נכתב ב-1 בנובמבר 2026.*

## שאלות נפוצות

### האם בית הדפוס אחראי לקובץ הכתובות?

הלקוח ששולח את הדיוור הוא בעל השליטה בעיבוד; בית הדפוס או חברת ההפצה פועלים עקרונית כמעבד משנה (מעבד), לפי הוראותיו.

### האם צריך חוזה עם הלקוח?

כן, חוזה בכתב התואם לסעיף 28 של ה-RGPD, שנחתם לפני קבלת הקובץ.

### האם נדרשת הסכמה לדיוור ממוזג בדואר נייר?

לא: ה-CNIL מכירה באינטרס הלגיטימי אם האנשים יודעו בעת האיסוף ויכולים להתנגד בפשטות ובחינם. דואר אלקטרוני ו-SMS כפופים לכללים אחרים.

### מה עושים עם הקובץ אחרי המשלוח?

מוחקים אותו או מחזירים אותו לפי בחירת הלקוח, שומרים תיעוד, ולא משתמשים בו שוב.

---

עודכן ב-2 בנובמבר 2026. מקור : https://imprimeur.paris/he/guides/reglementation-rgpd-publipostage/