# Bazy adresowe i mailing pocztowy: co mówi RODO

## W skrócie

- **Klient**, który wysyła mailing, jest **administratorem danych**: to on musi mieć podstawę prawną, informować adresatów i obsługiwać sprzeciwy.
- **Drukarnia lub firma wysyłkowa**, która otrzymuje bazę, aby wydrukować i wysłać przesyłki, działa co do zasady jako **podmiot przetwarzający**: przetwarza adresy wyłącznie na polecenie klienta.
- Takie powierzenie przetwarzania musi regulować **pisemna umowa zgodna z art. 28 RODO** (fr. RGPD).
- W przypadku **marketingu w formie tradycyjnej poczty** CNIL (francuski organ ochrony danych) dopuszcza **prawnie uzasadniony interes** jako podstawę prawną, pod warunkiem że osoby zostały **poinformowane** i mogą w prosty i bezpłatny sposób **wnieść sprzeciw**.

## 1. Kto za co odpowiada?

- **Administrator** (RODO, art. 4 pkt 7): podmiot, który ustala cele i sposoby przetwarzania, tutaj klient, który decyduje o wysyłce i dostarcza (lub wynajmuje) bazę.
- **Podmiot przetwarzający** (RODO, art. 4 pkt 8): podmiot przetwarzający dane w imieniu administratora, tutaj drukarnia lub firma wysyłkowa, która personalizuje, kopertuje i nadaje przesyłki.
- Jeśli drukarnia **wykorzystuje** bazę ponownie na własny rachunek (marketing, odsprzedaż), wychodzi z roli podmiotu przetwarzającego i staje się administratorem w odniesieniu do tego nowego wykorzystania (RODO, art. 28 ust. 10).

Źródło: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4

CNIL podaje bardzo podobny przykład: przedsiębiorstwo, które wysyła listy z ofertami handlowymi na podstawie baz klientów innych przedsiębiorstw, jest ich **podmiotem przetwarzającym**, o ile przetwarza dane niezbędne do wysyłki w ich imieniu i na ich polecenie; pozostaje administratorem w zakresie zarządzania własnym personelem i własnymi klientami (CNIL, *Guide du sous-traitant*, wydanie z września 2017 r., ramka „Exemple de qualification de sous-traitant et de responsable de traitement”).
Źródło: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf

## 2. Podstawa prawna mailingu (po stronie klienta)

- **RODO, art. 6 ust. 1 lit. f**: prawnie uzasadniony interes. CNIL wskazuje, że reklama pocztowa jest możliwa, jeśli **w momencie zbierania adresu** osoba została **poinformowana** o jego wykorzystaniu do celów marketingowych i mogła **wnieść sprzeciw** w prosty i bezpłatny sposób (np. przez pole wyboru).
  Źródło: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
- **Każda przesyłka** musi umożliwiać identyfikację nadawcy oraz proste wyrażenie odmowy otrzymywania kolejnych ofert (to samo źródło).
- **Prawo do sprzeciwu** (RODO, **art. 21** ust. 2 i 3): w marketingu jest bezwzględne, bez konieczności podawania przyczyny. CNIL zaleca prowadzenie **listy wykluczeń** i przechowywanie sprzeciwów przez co najmniej 3 lata.
  Źródło: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
- **Bazy wynajęte lub kupione**: przekazanie danych partnerom do celów marketingu pocztowego może opierać się na prawnie uzasadnionym interesie przekazującego, jeśli osoby zostały poinformowane i mogły odmówić przekazania – przy zbieraniu danych i w dowolnym momencie.
  Źródło: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
- **Okres przechowywania** (standard CNIL dotyczący zarządzania działalnością handlową): w przypadku potencjalnego klienta **3 lata** od zebrania danych lub od ostatniego kontaktu z jego strony.
  Źródło: https://www.cnil.fr/fr/questions-reponses-sur-les-referentiels-relatifs-la-gestion-des-activites-commerciales-et-des

> Uwaga: zasady te dotyczą **poczty tradycyjnej**. Marketing przez **e-mail lub SMS** podlega innym zasadom (uprzednia zgoda w przypadku osób prywatnych, Code des postes et des communications électroniques – francuski kodeks pocztowy i łączności elektronicznej, art. L. 34-5).

## 3. Informowanie adresatów

- **Dane zebrane bezpośrednio** od osoby: RODO, **art. 13**.
- **Dane pozyskane w inny sposób** (baza wynajęta, kupiona, od partnera): RODO, **art. 14**; informacji udziela się najpóźniej przy **pierwszej komunikacji** z osobą, jeśli dane służą do kontaktu z nią (art. 14 ust. 3 lit. b).
- CNIL publikuje wzór klauzuli: https://www.cnil.fr/fr/exemple-dinformation-de-prospects-prospection-commerciale-par-voie-postale

Niezbędna treść: tożsamość administratora, cel, podstawa prawna (i realizowany prawnie uzasadniony interes), odbiorcy, okres przechowywania, prawa (dostęp, sprostowanie, sprzeciw), prawo do wniesienia skargi do CNIL, a w przypadku art. 14 także **źródło** danych.

## 4. Umowa powierzenia przetwarzania (art. 28 RODO)

**RODO, art. 28 ust. 3**: przetwarzanie przez podmiot przetwarzający odbywa się na podstawie **umowy** (pisemnej, w tym w formie elektronicznej – ust. 9), która określa przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych, kategorie osób, których dane dotyczą, oraz prawa i obowiązki administratora. Przewiduje ona w szczególności, że podmiot przetwarzający:

- a) przetwarza dane **wyłącznie na udokumentowane polecenie** administratora;
- b) zapewnia **poufność** osób upoważnionych do przetwarzania danych;
- c) stosuje środki **bezpieczeństwa** z art. 32;
- d) korzysta z usług **innego podmiotu przetwarzającego** (introligatornia, firma wysyłkowa…) wyłącznie za **pisemną zgodą** administratora, nakładając na niego te same obowiązki (ust. 2 i 4);
- e) **pomaga** administratorowi odpowiadać na żądania dotyczące wykonywania praw;
- f) pomaga administratorowi wywiązywać się z obowiązków dotyczących bezpieczeństwa, zgłaszania naruszeń i oceny skutków;
- g) **usuwa lub zwraca** dane po zakończeniu usługi, zależnie od decyzji administratora;
- h) udostępnia informacje niezbędne do wykazania przestrzegania tych obowiązków i umożliwia **audyty**.

Podmiot przetwarzający niezwłocznie informuje administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO (art. 28 ust. 3, ostatni akapit).

**Wzory**: CNIL odsyła do **standardowych klauzul umownych** przyjętych przez Komisję Europejską 4 czerwca 2021 r. (decyzja wykonawcza (UE) 2021/915); jej poradnik dla podmiotów przetwarzających (2017) również zawiera przykładowe klauzule.
Źródła: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf oraz https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
Strona CNIL „Travailler avec un sous-traitant” (https://www.cnil.fr/fr/sous-traitant), sprawdzona 1 listopada 2026 r., nadal udostępnia poradnik w **wydaniu z września 2017 r.**; wskazuje, że umowa może w całości lub w części opierać się na standardowych klauzulach umownych, i odsyła do strony CNIL „Clauses contractuelles types entre responsable de traitement et sous-traitant”: https://www.cnil.fr/fr/clauses-contractuelles-types-entre-responsable-de-traitement-et-sous-traitant

## 5. Własne obowiązki drukarni / firmy wysyłkowej

- Prowadzić **rejestr** kategorii czynności przetwarzania dokonywanych w imieniu klientów (RODO, art. 30 ust. 2).
- Zapewnić **bezpieczeństwo** bazy: szyfrowany transfer, ograniczony dostęp, usunięcie po zakończeniu usługi (art. 32; poradnik CNIL „Gérer la sous-traitance”).
- **Zgłaszać** klientowi każde naruszenie ochrony danych bez zbędnej zwłoki po jego stwierdzeniu (art. 33 ust. 2).
- Nie przechowywać ani nie wykorzystywać ponownie bazy po wykonaniu usługi, chyba że administrator poleci inaczej lub wymaga tego przepis prawa.

## 6. Sankcje

Administracyjne kary pieniężne do 20 milionów euro lub 4 % całkowitego rocznego światowego obrotu, zależnie od naruszenia (RODO, art. 83); podmiot przetwarzający może zostać ukarany za własne naruszenia.

## Dla drukarni: lista kontrolna

1. Umowa lub aneks zgodny z **art. 28** podpisany przed otrzymaniem bazy.
2. Baza otrzymana **bezpiecznym** kanałem, przechowywana w miejscu o ograniczonym dostępie.
3. Wykorzystanie **ograniczone do zlecenia** (bez ponownego wykorzystania, bez kopii).
4. Dalsze podmioty przetwarzające (firma wysyłkowa, introligatornia) **zatwierdzone na piśmie** przez klienta.
5. **Usunięcie** (lub zwrot) bazy na koniec, z zachowaniem śladu.
6. Aktualny rejestr czynności przetwarzania jako podmiot przetwarzający.

## Główne źródła

- RODO (rozporządzenie (UE) 2016/679), rozdział IV, art. 24–43: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
- CNIL, marketing w formie tradycyjnej poczty: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
- CNIL, przekazywanie danych partnerom: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
- CNIL, lista wykluczeń: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
- CNIL, poradnik dla podmiotów przetwarzających: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf
- CNIL, bezpieczeństwo: zarządzanie powierzeniem przetwarzania: https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
- CNIL, współpraca z podmiotem przetwarzającym: https://www.cnil.fr/fr/sous-traitant

---

*Informacja ogólna, a nie porada prawna. Opracowano 1 listopada 2026 r.*

## Najczęstsze pytania

### Czy drukarnia odpowiada za bazę adresową?

Klient wysyłający mailing jest administratorem danych; drukarnia lub firma wysyłkowa działa co do zasady jako podmiot przetwarzający, zgodnie z jego poleceniami.

### Czy potrzebna jest umowa z klientem?

Tak, pisemna umowa zgodna z art. 28 RODO, podpisana przed otrzymaniem bazy.

### Czy mailing pocztowy wymaga zgody?

Nie: CNIL dopuszcza prawnie uzasadniony interes, jeśli osoby zostały poinformowane przy zbieraniu danych i mogą w prosty i bezpłatny sposób wnieść sprzeciw. E-mail i SMS podlegają innym zasadom.

### Co zrobić z bazą po wysyłce?

Usunąć ją lub zwrócić, według wyboru klienta, zachować ślad tej czynności i nie wykorzystywać jej ponownie.

---

Zaktualizowano 2 listopada 2026. Źródło : https://imprimeur.paris/pl/guides/reglementation-rgpd-publipostage/