Indirizzari e mailing postale: che cosa dice il GDPR

Scheda sulla normativa, aggiornata il 2 novembre 2026. Informazione generale, non una consulenza legale: i testi cambiano, verificateli alla fonte.

In breve

• Il cliente che invia il mailing è il titolare del trattamento: spetta a lui disporre di una base giuridica, informare i destinatari e gestire le opposizioni.
• La tipografia o l'azienda di postalizzazione che riceve il file per stampare e spedire le lettere agisce in linea di principio come responsabile del trattamento: tratta gli indirizzi solo su istruzione del cliente.
• Un contratto scritto conforme all'articolo 28 del GDPR (RGPD in francese) deve disciplinare questo rapporto.
• Per la prospezione commerciale per posta, la CNIL ammette il legittimo interesse come base giuridica, a condizione che le persone siano state informate e possano opporsi in modo semplice e gratuito.

1. Chi è responsabile di che cosa?

• Titolare del trattamento (GDPR, articolo 4, 7)): l'organismo che determina le finalità e i mezzi del trattamento, qui il cliente che decide di inviare la corrispondenza e fornisce (o noleggia) il file.
• Responsabile del trattamento (GDPR, articolo 4, 8)): l'organismo che tratta i dati per conto del titolare, qui la tipografia o l'azienda di postalizzazione che personalizza, imbusta e consegna le lettere.
• Se la tipografia riutilizza il file per conto proprio (prospezione, rivendita), esce dal ruolo di responsabile e diventa titolare del trattamento per questo nuovo uso (GDPR, articolo 28, paragrafo 10).

Fonte: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4

La CNIL fornisce un esempio molto vicino: un'impresa che invia lettere di prospezione commerciale a partire dagli archivi clienti di altre imprese è il loro responsabile del trattamento, nella misura in cui tratta i dati necessari all'invio per loro conto e secondo le loro istruzioni; resta titolare del trattamento per la gestione del proprio personale e dei propri clienti (CNIL, Guide du sous-traitant, edizione settembre 2017, riquadro «Exemple de qualification de sous-traitant et de responsable de traitement»). Fonte: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf

2. Base giuridica del mailing (lato cliente)

• GDPR, articolo 6, 1, f): legittimo interesse. La CNIL indica che la pubblicità per posta è possibile se, al momento della raccolta dell'indirizzo, la persona è stata informata dell'uso a fini di prospezione e ha potuto opporvisi in modo semplice e gratuito (per esempio con una casella da spuntare). Fonte: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
• Ogni lettera deve consentire di identificare l'organismo mittente e di esprimere semplicemente il rifiuto di ricevere nuove sollecitazioni (stessa fonte).
• Diritto di opposizione (GDPR, articolo 21, paragrafi 2 e 3): in materia di prospezione è assoluto, senza necessità di motivazione. La CNIL raccomanda di tenere una lista di opposizione (liste repoussoir) e di conservare le opposizioni per almeno 3 anni. Fonte: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
• File noleggiati o acquistati: la trasmissione di dati a partner per la prospezione postale può basarsi sul legittimo interesse del cedente, se le persone sono state informate e hanno potuto rifiutare la cessione, al momento della raccolta e in qualsiasi momento. Fonte: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
• Durata di conservazione (quadro di riferimento CNIL per la gestione commerciale): per un potenziale cliente, 3 anni dalla raccolta o dall'ultimo contatto proveniente da lui. Fonte: https://www.cnil.fr/fr/questions-reponses-sur-les-referentiels-relatifs-la-gestion-des-activites-commerciales-et-des

Attenzione: queste regole valgono per la posta cartacea. La prospezione via e-mail o SMS segue altre regole (consenso preventivo per i privati, Code des postes et des communications électroniques, articolo L. 34-5).

3. Informativa ai destinatari

• Dati raccolti direttamente presso la persona: GDPR, articolo 13.
• Dati ottenuti in altro modo (file noleggiato, acquistato, partner): GDPR, articolo 14; l'informativa è fornita al più tardi al momento della prima comunicazione con la persona quando i dati servono a contattarla (articolo 14, paragrafo 3, b)).
• La CNIL pubblica un modello di informativa: https://www.cnil.fr/fr/exemple-dinformation-de-prospects-prospection-commerciale-par-voie-postale

Contenuto essenziale: identità del titolare, finalità, base giuridica (e legittimo interesse perseguito), destinatari, durata di conservazione, diritti (accesso, rettifica, opposizione), diritto di proporre reclamo alla CNIL e, per l'articolo 14, la fonte dei dati.

4. Il contratto con il responsabile del trattamento (articolo 28 del GDPR)

GDPR, articolo 28, paragrafo 3: il trattamento da parte di un responsabile è disciplinato da un contratto (scritto, anche in formato elettronico — paragrafo 9) che stabilisce la materia, la durata, la natura e la finalità del trattamento, il tipo di dati, le categorie di interessati e i diritti e gli obblighi del titolare. Prevede in particolare che il responsabile:

• a) tratti i dati soltanto su istruzione documentata del titolare;
• b) garantisca la riservatezza delle persone autorizzate al trattamento dei dati;
• c) adotti le misure di sicurezza dell'articolo 32;
• d) ricorra a un altro responsabile (allestitore, azienda di postalizzazione…) solo con l'autorizzazione scritta del titolare, imponendogli gli stessi obblighi (paragrafi 2 e 4);
• e) assista il titolare nel rispondere alle richieste di esercizio dei diritti;
• f) assista il titolare nel rispetto dei suoi obblighi di sicurezza, di notifica delle violazioni e di valutazione d'impatto;
• g) cancelli o restituisca i dati al termine della prestazione, a scelta del titolare;
• h) metta a disposizione le informazioni necessarie a dimostrare il rispetto di tali obblighi e consenta le attività di revisione (audit).

Il responsabile informa immediatamente il titolare qualora ritenga che un'istruzione violi il GDPR (articolo 28, paragrafo 3, ultimo comma).

Modelli: la CNIL rinvia alle clausole contrattuali tipo adottate dalla Commissione europea il 4 giugno 2021 (decisione di esecuzione (UE) 2021/915); la sua guida per i responsabili del trattamento (2017) propone anche esempi di clausole. Fonti: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf e https://www.cnil.fr/fr/securite-gerer-la-sous-traitance La pagina CNIL «Travailler avec un sous-traitant» (lavorare con un responsabile del trattamento; https://www.cnil.fr/fr/sous-traitant), consultata il 1º novembre 2026, propone ancora la guida nella sua edizione di settembre 2017; indica che il contratto può basarsi in tutto o in parte su clausole contrattuali tipo e rinvia alla pagina CNIL «Clauses contractuelles types entre responsable de traitement et sous-traitant»: https://www.cnil.fr/fr/clauses-contractuelles-types-entre-responsable-de-traitement-et-sous-traitant

5. Obblighi propri della tipografia / azienda di postalizzazione

• Tenere un registro delle categorie di trattamenti effettuati per conto dei propri clienti (GDPR, articolo 30, paragrafo 2).
• Garantire la sicurezza del file: trasferimento cifrato, accesso limitato, cancellazione al termine della prestazione (articolo 32; guida CNIL «Gérer la sous-traitance»).
• Notificare al cliente ogni violazione dei dati senza ingiustificato ritardo dopo esserne venuta a conoscenza (articolo 33, paragrafo 2).
• Non conservare né riutilizzare il file dopo la prestazione, salvo istruzione contraria o obbligo di legge.

6. Sanzioni

Sanzioni amministrative fino a 20 milioni di euro o al 4 % del fatturato mondiale annuo a seconda delle violazioni (GDPR, articolo 83); il responsabile del trattamento può essere sanzionato per le proprie violazioni.

Per la tipografia: lista di controllo

1. Contratto o addendum articolo 28 firmato prima di ricevere il file.
2. File ricevuto con un mezzo sicuro, conservato in uno spazio ad accesso limitato.
3. Uso limitato all'ordine (nessun riutilizzo, nessuna copia).
4. Altri responsabili (azienda di postalizzazione, allestitore) autorizzati per iscritto dal cliente.
5. Cancellazione (o restituzione) del file al termine, con traccia.
6. Registro dei trattamenti come «responsabile» aggiornato.

Fonti principali

• GDPR (regolamento (UE) 2016/679), capo IV, articoli da 24 a 43: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
• CNIL, prospezione commerciale per posta: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
• CNIL, trasmissione di dati a partner: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
• CNIL, lista di opposizione: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
• CNIL, guida per i responsabili del trattamento: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf
• CNIL, sicurezza: gestire i responsabili del trattamento: https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
• CNIL, lavorare con un responsabile del trattamento: https://www.cnil.fr/fr/sous-traitant

Informazione generale, non una consulenza legale. Redatto il 1º novembre 2026.

Versione testo : Markdown