# Indirizzari e mailing postale: che cosa dice il GDPR

## In breve

- Il **cliente** che invia il mailing è il **titolare del trattamento**: spetta a lui disporre di una base giuridica, informare i destinatari e gestire le opposizioni.
- La **tipografia o l'azienda di postalizzazione** che riceve il file per stampare e spedire le lettere agisce in linea di principio come **responsabile del trattamento**: tratta gli indirizzi solo su istruzione del cliente.
- Un **contratto scritto conforme all'articolo 28 del GDPR** (RGPD in francese) deve disciplinare questo rapporto.
- Per la **prospezione commerciale per posta**, la CNIL ammette il **legittimo interesse** come base giuridica, a condizione che le persone siano state **informate** e possano **opporsi** in modo semplice e gratuito.

## 1. Chi è responsabile di che cosa?

- **Titolare del trattamento** (GDPR, articolo 4, 7)): l'organismo che determina le finalità e i mezzi del trattamento, qui il cliente che decide di inviare la corrispondenza e fornisce (o noleggia) il file.
- **Responsabile del trattamento** (GDPR, articolo 4, 8)): l'organismo che tratta i dati per conto del titolare, qui la tipografia o l'azienda di postalizzazione che personalizza, imbusta e consegna le lettere.
- Se la tipografia **riutilizza** il file per conto proprio (prospezione, rivendita), esce dal ruolo di responsabile e diventa titolare del trattamento per questo nuovo uso (GDPR, articolo 28, paragrafo 10).

Fonte: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4

La CNIL fornisce un esempio molto vicino: un'impresa che invia lettere di prospezione commerciale a partire dagli archivi clienti di altre imprese è il loro **responsabile del trattamento**, nella misura in cui tratta i dati necessari all'invio per loro conto e secondo le loro istruzioni; resta titolare del trattamento per la gestione del proprio personale e dei propri clienti (CNIL, *Guide du sous-traitant*, edizione settembre 2017, riquadro «Exemple de qualification de sous-traitant et de responsable de traitement»).
Fonte: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf

## 2. Base giuridica del mailing (lato cliente)

- **GDPR, articolo 6, 1, f)**: legittimo interesse. La CNIL indica che la pubblicità per posta è possibile se, **al momento della raccolta dell'indirizzo**, la persona è stata **informata** dell'uso a fini di prospezione e ha potuto **opporvisi** in modo semplice e gratuito (per esempio con una casella da spuntare).
  Fonte: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
- **Ogni lettera** deve consentire di identificare l'organismo mittente e di esprimere semplicemente il rifiuto di ricevere nuove sollecitazioni (stessa fonte).
- **Diritto di opposizione** (GDPR, **articolo 21**, paragrafi 2 e 3): in materia di prospezione è assoluto, senza necessità di motivazione. La CNIL raccomanda di tenere una **lista di opposizione** (*liste repoussoir*) e di conservare le opposizioni per almeno 3 anni.
  Fonte: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
- **File noleggiati o acquistati**: la trasmissione di dati a partner per la prospezione postale può basarsi sul legittimo interesse del cedente, se le persone sono state informate e hanno potuto rifiutare la cessione, al momento della raccolta e in qualsiasi momento.
  Fonte: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
- **Durata di conservazione** (quadro di riferimento CNIL per la gestione commerciale): per un potenziale cliente, **3 anni** dalla raccolta o dall'ultimo contatto proveniente da lui.
  Fonte: https://www.cnil.fr/fr/questions-reponses-sur-les-referentiels-relatifs-la-gestion-des-activites-commerciales-et-des

> Attenzione: queste regole valgono per la **posta cartacea**. La prospezione via **e-mail o SMS** segue altre regole (consenso preventivo per i privati, Code des postes et des communications électroniques, articolo L. 34-5).

## 3. Informativa ai destinatari

- **Dati raccolti direttamente** presso la persona: GDPR, **articolo 13**.
- **Dati ottenuti in altro modo** (file noleggiato, acquistato, partner): GDPR, **articolo 14**; l'informativa è fornita al più tardi al momento della **prima comunicazione** con la persona quando i dati servono a contattarla (articolo 14, paragrafo 3, b)).
- La CNIL pubblica un modello di informativa: https://www.cnil.fr/fr/exemple-dinformation-de-prospects-prospection-commerciale-par-voie-postale

Contenuto essenziale: identità del titolare, finalità, base giuridica (e legittimo interesse perseguito), destinatari, durata di conservazione, diritti (accesso, rettifica, opposizione), diritto di proporre reclamo alla CNIL e, per l'articolo 14, la **fonte** dei dati.

## 4. Il contratto con il responsabile del trattamento (articolo 28 del GDPR)

**GDPR, articolo 28, paragrafo 3**: il trattamento da parte di un responsabile è disciplinato da un **contratto** (scritto, anche in formato elettronico — paragrafo 9) che stabilisce la materia, la durata, la natura e la finalità del trattamento, il tipo di dati, le categorie di interessati e i diritti e gli obblighi del titolare. Prevede in particolare che il responsabile:

- a) tratti i dati **soltanto su istruzione documentata** del titolare;
- b) garantisca la **riservatezza** delle persone autorizzate al trattamento dei dati;
- c) adotti le misure di **sicurezza** dell'articolo 32;
- d) ricorra a un **altro responsabile** (allestitore, azienda di postalizzazione…) solo con l'**autorizzazione scritta** del titolare, imponendogli gli stessi obblighi (paragrafi 2 e 4);
- e) **assista** il titolare nel rispondere alle richieste di esercizio dei diritti;
- f) assista il titolare nel rispetto dei suoi obblighi di sicurezza, di notifica delle violazioni e di valutazione d'impatto;
- g) **cancelli o restituisca** i dati al termine della prestazione, a scelta del titolare;
- h) metta a disposizione le informazioni necessarie a dimostrare il rispetto di tali obblighi e consenta le **attività di revisione** (audit).

Il responsabile informa immediatamente il titolare qualora ritenga che un'istruzione violi il GDPR (articolo 28, paragrafo 3, ultimo comma).

**Modelli**: la CNIL rinvia alle **clausole contrattuali tipo** adottate dalla Commissione europea il 4 giugno 2021 (decisione di esecuzione (UE) 2021/915); la sua guida per i responsabili del trattamento (2017) propone anche esempi di clausole.
Fonti: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf e https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
La pagina CNIL «Travailler avec un sous-traitant» (lavorare con un responsabile del trattamento; https://www.cnil.fr/fr/sous-traitant), consultata il 1º novembre 2026, propone ancora la guida nella sua **edizione di settembre 2017**; indica che il contratto può basarsi in tutto o in parte su clausole contrattuali tipo e rinvia alla pagina CNIL «Clauses contractuelles types entre responsable de traitement et sous-traitant»: https://www.cnil.fr/fr/clauses-contractuelles-types-entre-responsable-de-traitement-et-sous-traitant

## 5. Obblighi propri della tipografia / azienda di postalizzazione

- Tenere un **registro** delle categorie di trattamenti effettuati per conto dei propri clienti (GDPR, articolo 30, paragrafo 2).
- Garantire la **sicurezza** del file: trasferimento cifrato, accesso limitato, cancellazione al termine della prestazione (articolo 32; guida CNIL «Gérer la sous-traitance»).
- **Notificare** al cliente ogni violazione dei dati senza ingiustificato ritardo dopo esserne venuta a conoscenza (articolo 33, paragrafo 2).
- Non conservare né riutilizzare il file dopo la prestazione, salvo istruzione contraria o obbligo di legge.

## 6. Sanzioni

Sanzioni amministrative fino a 20 milioni di euro o al 4 % del fatturato mondiale annuo a seconda delle violazioni (GDPR, articolo 83); il responsabile del trattamento può essere sanzionato per le proprie violazioni.

## Per la tipografia: lista di controllo

1. Contratto o addendum **articolo 28** firmato prima di ricevere il file.
2. File ricevuto con un mezzo **sicuro**, conservato in uno spazio ad accesso limitato.
3. Uso **limitato all'ordine** (nessun riutilizzo, nessuna copia).
4. Altri responsabili (azienda di postalizzazione, allestitore) **autorizzati per iscritto** dal cliente.
5. **Cancellazione** (o restituzione) del file al termine, con traccia.
6. Registro dei trattamenti come «responsabile» aggiornato.

## Fonti principali

- GDPR (regolamento (UE) 2016/679), capo IV, articoli da 24 a 43: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
- CNIL, prospezione commerciale per posta: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
- CNIL, trasmissione di dati a partner: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
- CNIL, lista di opposizione: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
- CNIL, guida per i responsabili del trattamento: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf
- CNIL, sicurezza: gestire i responsabili del trattamento: https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
- CNIL, lavorare con un responsabile del trattamento: https://www.cnil.fr/fr/sous-traitant

---

*Informazione generale, non una consulenza legale. Redatto il 1º novembre 2026.*

## Domande frequenti

### La tipografia è responsabile dell'indirizzario?

Il cliente che invia il mailing è il titolare del trattamento; la tipografia o l'azienda di postalizzazione agisce in linea di principio come responsabile del trattamento, secondo le sue istruzioni.

### Serve un contratto con il cliente?

Sì, un contratto scritto conforme all'articolo 28 del GDPR, firmato prima di ricevere il file.

### Serve il consenso per un mailing cartaceo?

No: la CNIL ammette il legittimo interesse se le persone sono state informate al momento della raccolta e possono opporsi in modo semplice e gratuito. E-mail e SMS seguono altre regole.

### Che cosa fare del file dopo l'invio?

Cancellarlo o restituirlo, a scelta del cliente, conservarne traccia e non riutilizzarlo.

---

Aggiornato il 2 novembre 2026. Fonte : https://imprimeur.paris/it/guides/reglementation-rgpd-publipostage/