Bazy adresowe i mailing pocztowy: co mówi RODO

Opracowanie przepisów, zaktualizowane 2 listopada 2026. Informacja ogólna, a nie porada prawna: przepisy się zmieniają, sprawdzaj je w źródle.

W skrócie

• Klient, który wysyła mailing, jest administratorem danych: to on musi mieć podstawę prawną, informować adresatów i obsługiwać sprzeciwy.
• Drukarnia lub firma wysyłkowa, która otrzymuje bazę, aby wydrukować i wysłać przesyłki, działa co do zasady jako podmiot przetwarzający: przetwarza adresy wyłącznie na polecenie klienta.
• Takie powierzenie przetwarzania musi regulować pisemna umowa zgodna z art. 28 RODO (fr. RGPD).
• W przypadku marketingu w formie tradycyjnej poczty CNIL (francuski organ ochrony danych) dopuszcza prawnie uzasadniony interes jako podstawę prawną, pod warunkiem że osoby zostały poinformowane i mogą w prosty i bezpłatny sposób wnieść sprzeciw.

1. Kto za co odpowiada?

• Administrator (RODO, art. 4 pkt 7): podmiot, który ustala cele i sposoby przetwarzania, tutaj klient, który decyduje o wysyłce i dostarcza (lub wynajmuje) bazę.
• Podmiot przetwarzający (RODO, art. 4 pkt 8): podmiot przetwarzający dane w imieniu administratora, tutaj drukarnia lub firma wysyłkowa, która personalizuje, kopertuje i nadaje przesyłki.
• Jeśli drukarnia wykorzystuje bazę ponownie na własny rachunek (marketing, odsprzedaż), wychodzi z roli podmiotu przetwarzającego i staje się administratorem w odniesieniu do tego nowego wykorzystania (RODO, art. 28 ust. 10).

Źródło: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4

CNIL podaje bardzo podobny przykład: przedsiębiorstwo, które wysyła listy z ofertami handlowymi na podstawie baz klientów innych przedsiębiorstw, jest ich podmiotem przetwarzającym, o ile przetwarza dane niezbędne do wysyłki w ich imieniu i na ich polecenie; pozostaje administratorem w zakresie zarządzania własnym personelem i własnymi klientami (CNIL, Guide du sous-traitant, wydanie z września 2017 r., ramka „Exemple de qualification de sous-traitant et de responsable de traitement”). Źródło: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf

2. Podstawa prawna mailingu (po stronie klienta)

• RODO, art. 6 ust. 1 lit. f: prawnie uzasadniony interes. CNIL wskazuje, że reklama pocztowa jest możliwa, jeśli w momencie zbierania adresu osoba została poinformowana o jego wykorzystaniu do celów marketingowych i mogła wnieść sprzeciw w prosty i bezpłatny sposób (np. przez pole wyboru). Źródło: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
• Każda przesyłka musi umożliwiać identyfikację nadawcy oraz proste wyrażenie odmowy otrzymywania kolejnych ofert (to samo źródło).
• Prawo do sprzeciwu (RODO, art. 21 ust. 2 i 3): w marketingu jest bezwzględne, bez konieczności podawania przyczyny. CNIL zaleca prowadzenie listy wykluczeń i przechowywanie sprzeciwów przez co najmniej 3 lata. Źródło: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
• Bazy wynajęte lub kupione: przekazanie danych partnerom do celów marketingu pocztowego może opierać się na prawnie uzasadnionym interesie przekazującego, jeśli osoby zostały poinformowane i mogły odmówić przekazania – przy zbieraniu danych i w dowolnym momencie. Źródło: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
• Okres przechowywania (standard CNIL dotyczący zarządzania działalnością handlową): w przypadku potencjalnego klienta 3 lata od zebrania danych lub od ostatniego kontaktu z jego strony. Źródło: https://www.cnil.fr/fr/questions-reponses-sur-les-referentiels-relatifs-la-gestion-des-activites-commerciales-et-des

Uwaga: zasady te dotyczą poczty tradycyjnej. Marketing przez e-mail lub SMS podlega innym zasadom (uprzednia zgoda w przypadku osób prywatnych, Code des postes et des communications électroniques – francuski kodeks pocztowy i łączności elektronicznej, art. L. 34-5).

3. Informowanie adresatów

• Dane zebrane bezpośrednio od osoby: RODO, art. 13.
• Dane pozyskane w inny sposób (baza wynajęta, kupiona, od partnera): RODO, art. 14; informacji udziela się najpóźniej przy pierwszej komunikacji z osobą, jeśli dane służą do kontaktu z nią (art. 14 ust. 3 lit. b).
• CNIL publikuje wzór klauzuli: https://www.cnil.fr/fr/exemple-dinformation-de-prospects-prospection-commerciale-par-voie-postale

Niezbędna treść: tożsamość administratora, cel, podstawa prawna (i realizowany prawnie uzasadniony interes), odbiorcy, okres przechowywania, prawa (dostęp, sprostowanie, sprzeciw), prawo do wniesienia skargi do CNIL, a w przypadku art. 14 także źródło danych.

4. Umowa powierzenia przetwarzania (art. 28 RODO)

RODO, art. 28 ust. 3: przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy (pisemnej, w tym w formie elektronicznej – ust. 9), która określa przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych, kategorie osób, których dane dotyczą, oraz prawa i obowiązki administratora. Przewiduje ona w szczególności, że podmiot przetwarzający:

• a) przetwarza dane wyłącznie na udokumentowane polecenie administratora;
• b) zapewnia poufność osób upoważnionych do przetwarzania danych;
• c) stosuje środki bezpieczeństwa z art. 32;
• d) korzysta z usług innego podmiotu przetwarzającego (introligatornia, firma wysyłkowa…) wyłącznie za pisemną zgodą administratora, nakładając na niego te same obowiązki (ust. 2 i 4);
• e) pomaga administratorowi odpowiadać na żądania dotyczące wykonywania praw;
• f) pomaga administratorowi wywiązywać się z obowiązków dotyczących bezpieczeństwa, zgłaszania naruszeń i oceny skutków;
• g) usuwa lub zwraca dane po zakończeniu usługi, zależnie od decyzji administratora;
• h) udostępnia informacje niezbędne do wykazania przestrzegania tych obowiązków i umożliwia audyty.

Podmiot przetwarzający niezwłocznie informuje administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO (art. 28 ust. 3, ostatni akapit).

Wzory: CNIL odsyła do standardowych klauzul umownych przyjętych przez Komisję Europejską 4 czerwca 2021 r. (decyzja wykonawcza (UE) 2021/915); jej poradnik dla podmiotów przetwarzających (2017) również zawiera przykładowe klauzule. Źródła: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf oraz https://www.cnil.fr/fr/securite-gerer-la-sous-traitance Strona CNIL „Travailler avec un sous-traitant” (https://www.cnil.fr/fr/sous-traitant), sprawdzona 1 listopada 2026 r., nadal udostępnia poradnik w wydaniu z września 2017 r.; wskazuje, że umowa może w całości lub w części opierać się na standardowych klauzulach umownych, i odsyła do strony CNIL „Clauses contractuelles types entre responsable de traitement et sous-traitant”: https://www.cnil.fr/fr/clauses-contractuelles-types-entre-responsable-de-traitement-et-sous-traitant

5. Własne obowiązki drukarni / firmy wysyłkowej

• Prowadzić rejestr kategorii czynności przetwarzania dokonywanych w imieniu klientów (RODO, art. 30 ust. 2).
• Zapewnić bezpieczeństwo bazy: szyfrowany transfer, ograniczony dostęp, usunięcie po zakończeniu usługi (art. 32; poradnik CNIL „Gérer la sous-traitance”).
• Zgłaszać klientowi każde naruszenie ochrony danych bez zbędnej zwłoki po jego stwierdzeniu (art. 33 ust. 2).
• Nie przechowywać ani nie wykorzystywać ponownie bazy po wykonaniu usługi, chyba że administrator poleci inaczej lub wymaga tego przepis prawa.

6. Sankcje

Administracyjne kary pieniężne do 20 milionów euro lub 4 % całkowitego rocznego światowego obrotu, zależnie od naruszenia (RODO, art. 83); podmiot przetwarzający może zostać ukarany za własne naruszenia.

Dla drukarni: lista kontrolna

1. Umowa lub aneks zgodny z art. 28 podpisany przed otrzymaniem bazy.
2. Baza otrzymana bezpiecznym kanałem, przechowywana w miejscu o ograniczonym dostępie.
3. Wykorzystanie ograniczone do zlecenia (bez ponownego wykorzystania, bez kopii).
4. Dalsze podmioty przetwarzające (firma wysyłkowa, introligatornia) zatwierdzone na piśmie przez klienta.
5. Usunięcie (lub zwrot) bazy na koniec, z zachowaniem śladu.
6. Aktualny rejestr czynności przetwarzania jako podmiot przetwarzający.

Główne źródła

• RODO (rozporządzenie (UE) 2016/679), rozdział IV, art. 24–43: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
• CNIL, marketing w formie tradycyjnej poczty: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
• CNIL, przekazywanie danych partnerom: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
• CNIL, lista wykluczeń: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
• CNIL, poradnik dla podmiotów przetwarzających: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf
• CNIL, bezpieczeństwo: zarządzanie powierzeniem przetwarzania: https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
• CNIL, współpraca z podmiotem przetwarzającym: https://www.cnil.fr/fr/sous-traitant

Informacja ogólna, a nie porada prawna. Opracowano 1 listopada 2026 r.

Wersja tekstowa : Markdown