קובצי כתובות ודיוור ממוזג: מה קובע ה-RGPD (GDPR)

דף מידע על רגולציה, עודכן ב-2 בנובמבר 2026. מידע כללי, לא ייעוץ משפטי: הטקסטים משתנים, בדקו אותם במקור.

בקצרה

• הלקוח ששולח את הדיוור הוא בעל השליטה בעיבוד (responsable du traitement): עליו להחזיק בבסיס חוקי, ליידע את הנמענים ולטפל בהתנגדויות.
• בית הדפוס או חברת ההפצה (routeur) שמקבלים את הקובץ כדי להדפיס ולשלוח את המכתבים פועלים עקרונית כמעבד (sous-traitant): הם מעבדים את הכתובות רק לפי הוראות הלקוח.
• חוזה בכתב התואם לסעיף 28 של ה-RGPD (התקנה הכללית להגנה על מידע של האיחוד האירופי, GDPR) צריך להסדיר את העיבוד הזה.
• לדיוור שיווקי בדואר, ה-CNIL (הרשות הצרפתית להגנת מידע) מכירה באינטרס הלגיטימי כבסיס חוקי, בתנאי שהאנשים יודעו ויכולים להתנגד בפשטות ובחינם.

1. מי אחראי למה?

• בעל השליטה בעיבוד (RGPD, סעיף 4, 7)): הגוף הקובע את מטרות העיבוד ואת אמצעיו, כאן הלקוח שמחליט לשלוח את הדואר ומספק (או שוכר) את הקובץ.
• מעבד (RGPD, סעיף 4, 8)): הגוף שמעבד את הנתונים עבור בעל השליטה, כאן בית הדפוס או חברת ההפצה שמבצעים את ההתאמה האישית, מכניסים למעטפות ומפקידים את המכתבים בדואר.
• אם בית הדפוס עושה שימוש חוזר בקובץ לצרכיו שלו (שיווק, מכירה), הוא יוצא מתפקיד המעבד והופך לבעל שליטה בעיבוד לגבי השימוש החדש הזה (RGPD, סעיף 28, פסקה 10).

מקור: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4

ה-CNIL מביאה דוגמה קרובה מאוד: חברה ששולחת מכתבי שיווק מסחרי מתוך קובצי הלקוחות של חברות אחרות היא המעבד שלהן, במידה שהיא מעבדת את הנתונים הדרושים למשלוח עבורן ולפי הוראותיהן; היא נשארת בעלת שליטה בעיבוד לגבי ניהול העובדים שלה והלקוחות שלה עצמה (CNIL, Guide du sous-traitant (מדריך למעבד), מהדורת ספטמבר 2017, מסגרת „Exemple de qualification de sous-traitant et de responsable de traitement”). מקור: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf

2. הבסיס החוקי לדיוור (מצד הלקוח)

• RGPD, סעיף 6, 1, f): אינטרס לגיטימי. ה-CNIL מציינת שפרסום בדואר אפשרי אם, בעת איסוף הכתובת, האדם יודע על השימוש למטרות שיווק ויכול היה להתנגד לכך בפשטות ובחינם (למשל, תיבת סימון). מקור: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
• כל מכתב צריך לאפשר לזהות את הגוף השולח ולהביע בפשטות סירוב לקבלת פניות נוספות (אותו מקור).
• זכות ההתנגדות (RGPD, סעיף 21, פסקאות 2 ו-3): בשיווק היא מוחלטת, ללא צורך בנימוק. ה-CNIL ממליצה לנהל רשימת חסימה ולשמור את ההתנגדויות לפחות 3 שנים. מקור: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
• קבצים שכורים או קנויים: העברת נתונים לשותפים לצורך שיווק בדואר יכולה להתבסס על האינטרס הלגיטימי של המעביר, אם האנשים יודעו ויכלו לסרב להעברה, בעת האיסוף ובכל עת. מקור: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
• משך השמירה (מסגרת הייחוס של ה-CNIL לניהול מסחרי): ללקוח פוטנציאלי, 3 שנים ממועד האיסוף או ממועד הפנייה האחרונה שיזם. מקור: https://www.cnil.fr/fr/questions-reponses-sur-les-referentiels-relatifs-la-gestion-des-activites-commerciales-et-des

שימו לב: כללים אלה חלים על דואר נייר. שיווק בדואר אלקטרוני או ב-SMS כפוף לכללים אחרים (הסכמה מראש לגבי אנשים פרטיים, Code des postes et des communications électroniques (חוק הדואר והתקשורת האלקטרונית הצרפתי), סעיף L. 34-5).

3. יידוע הנמענים

• נתונים שנאספו ישירות מהאדם: RGPD, סעיף 13.
• נתונים שהושגו בדרך אחרת (קובץ שכור, קנוי, משותף): RGPD, סעיף 14; המידע נמסר לכל המאוחר בפנייה הראשונה לאדם כאשר הנתונים משמשים ליצירת קשר עמו (סעיף 14, פסקה 3, b)).
• ה-CNIL מפרסמת נוסח לדוגמה: https://www.cnil.fr/fr/exemple-dinformation-de-prospects-prospection-commerciale-par-voie-postale

התוכן החיוני: זהות בעל השליטה, המטרה, הבסיס החוקי (והאינטרס הלגיטימי שבו מדובר), הנמענים, משך השמירה, הזכויות (עיון, תיקון, התנגדות), הזכות להגיש תלונה ל-CNIL, ולגבי סעיף 14, מקור הנתונים.

4. חוזה העיבוד (סעיף 28 של ה-RGPD)

RGPD, סעיף 28, פסקה 3: עיבוד על ידי מעבד כפוף לחוזה (בכתב, כולל בצורה אלקטרונית — פסקה 9) המגדיר את נושא העיבוד, משכו, אופיו ומטרתו, את סוג הנתונים, את קטגוריות האנשים הנוגעים בדבר ואת הזכויות והחובות של בעל השליטה. הוא קובע בין היתר שהמעבד:

• a) מעבד את הנתונים רק לפי הוראה מתועדת של בעל השליטה;
• b) מקפיד על סודיות מצד האנשים המורשים לעבד את הנתונים;
• c) נוקט את אמצעי האבטחה של סעיף 32;
• d) אינו נעזר במעבד אחר (בית גימור, חברת הפצה…) אלא בהרשאה בכתב של בעל השליטה, תוך הטלת אותן חובות עליו (פסקאות 2 ו-4);
• e) מסייע לבעל השליטה להשיב לבקשות למימוש זכויות;
• f) מסייע לבעל השליטה לעמוד בחובותיו בנושאי אבטחה, דיווח על הפרות והערכת השפעה;
• g) מוחק או מחזיר את הנתונים בתום השירות, לפי בחירת בעל השליטה;
• h) מעמיד לרשותו את המידע הדרוש להוכחת העמידה בחובות אלה ומאפשר ביקורות.

המעבד מודיע מיד לבעל השליטה אם לדעתו הוראה מסוימת מהווה הפרה של ה-RGPD (סעיף 28, פסקה 3, פסקת משנה אחרונה).

נוסחים לדוגמה: ה-CNIL מפנה לסעיפים חוזיים סטנדרטיים שאימצה הנציבות האירופית ב-4 ביוני 2021 (החלטת ביצוע (UE) 2021/915); גם המדריך שלה למעבד (2017) מציע דוגמאות לסעיפים. מקורות: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf ו-https://www.cnil.fr/fr/securite-gerer-la-sous-traitance העמוד של ה-CNIL „Travailler avec un sous-traitant” (עבודה עם מעבד, https://www.cnil.fr/fr/sous-traitant), שנבדק ב-1 בנובמבר 2026, עדיין מציע את המדריך במהדורת ספטמבר 2017; הוא מציין שהחוזה יכול להתבסס כולו או חלקו על סעיפים חוזיים סטנדרטיים ומפנה לעמוד ה-CNIL „Clauses contractuelles types entre responsable de traitement et sous-traitant”: https://www.cnil.fr/fr/clauses-contractuelles-types-entre-responsable-de-traitement-et-sous-traitant

5. החובות של בית הדפוס / חברת ההפצה עצמם

• לנהל מרשם של קטגוריות העיבוד המבוצעות עבור הלקוחות (RGPD, סעיף 30, פסקה 2).
• להבטיח את אבטחת הקובץ: העברה מוצפנת, גישה מוגבלת, מחיקה בתום השירות (סעיף 32; מדריך ה-CNIL „Gérer la sous-traitance”).
• לדווח ללקוח על כל הפרת נתונים ללא דיחוי מיותר לאחר שנודע עליה (סעיף 33, פסקה 2).
• לא לשמור ולא לעשות שימוש חוזר בקובץ לאחר השירות, אלא אם ניתנה הוראה אחרת או קיימת חובה חוקית.

6. עונשים

קנסות מנהליים של עד 20 מיליון אירו או 4 % מהמחזור השנתי העולמי, לפי סוג ההפרה (RGPD, סעיף 83); המעבד עשוי להיענש על ההפרות שלו עצמו.

לבית הדפוס: רשימת בדיקה

1. חוזה או נספח לפי סעיף 28 שנחתם לפני קבלת הקובץ.
2. הקובץ מתקבל באמצעי מאובטח ונשמר באזור עם גישה מוגבלת.
3. שימוש המוגבל להזמנה (ללא שימוש חוזר, ללא העתקה).
4. מעבדי משנה (חברת הפצה, בית גימור) שהלקוח הרשה בכתב.
5. מחיקה (או החזרה) של הקובץ בסוף, עם תיעוד.
6. מרשם עיבודים מעודכן בתפקיד „מעבד”.

מקורות עיקריים

• RGPD (תקנה (UE) 2016/679), פרק IV, סעיפים 24 עד 43: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
• CNIL, שיווק מסחרי בדואר: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
• CNIL, העברת נתונים לשותפים: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
• CNIL, רשימת חסימה: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
• CNIL, מדריך למעבד: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf
• CNIL, אבטחה: ניהול מיקור משנה: https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
• CNIL, עבודה עם מעבד: https://www.cnil.fr/fr/sous-traitant

מידע כללי, לא ייעוץ משפטי. נכתב ב-1 בנובמבר 2026.

גרסת טקסט : Markdown