# Адресные базы и почтовая рассылка: что говорит GDPR (RGPD)

## Коротко

- **Клиент**, отправляющий почтовую рассылку, является **контролёром** (ответственным за обработку): именно он должен иметь правовое основание, информировать адресатов и обрабатывать возражения.
- **Типография или оператор рассылки**, получающие базу для печати и отправки писем, в принципе выступают **обработчиком**: они обрабатывают адреса только по указанию клиента.
- Эти отношения должны быть оформлены **письменным договором в соответствии со статьёй 28 GDPR** (RGPD — французская аббревиатура Общего регламента ЕС по защите данных).
- Для **маркетинговой рассылки обычной почтой** CNIL признаёт правовым основанием **законный интерес** при условии, что люди были **проинформированы** и могут просто и бесплатно **возразить**.

## 1. Кто за что отвечает?

- **Контролёр** (GDPR, статья 4, 7)): организация, определяющая цели и средства обработки, — здесь клиент, который решает отправить письма и предоставляет (или арендует) базу.
- **Обработчик** (GDPR, статья 4, 8)): организация, обрабатывающая данные от имени контролёра, — здесь типография или оператор рассылки, которые персонализируют, вкладывают в конверты и сдают письма на почту.
- Если типография **повторно использует** базу в собственных целях (собственный маркетинг, перепродажа), она выходит за рамки роли обработчика и становится контролёром для этого нового использования (GDPR, статья 28, пункт 10).

Источник: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4

CNIL приводит очень близкий пример: предприятие, рассылающее маркетинговые письма по клиентским базам других предприятий, является их **обработчиком**, поскольку обрабатывает данные, необходимые для отправки, от их имени и по их указаниям; при этом оно остаётся контролёром в отношении своего персонала и своих клиентов (CNIL, *Guide du sous-traitant* — «Руководство для обработчика», издание сентября 2017 г., врезка «Пример квалификации обработчика и контролёра»).
Источник: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf

## 2. Правовое основание рассылки (со стороны клиента)

- **GDPR, статья 6, 1, f)**: законный интерес. CNIL указывает, что реклама по почте возможна, если **в момент сбора адреса** человек был **проинформирован** об использовании адреса в маркетинговых целях и мог просто и бесплатно **возразить** против этого (например, отметив флажок).
  Источник: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
- **Каждое письмо** должно позволять установить организацию-отправителя и просто выразить отказ от дальнейших предложений (тот же источник).
- **Право на возражение** (GDPR, **статья 21**, пункты 2 и 3): в маркетинге оно абсолютно и не требует указания причин. CNIL рекомендует вести **стоп-лист** и хранить возражения не менее 3 лет.
  Источник: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
- **Арендованные или купленные базы**: передача данных партнёрам для почтового маркетинга может основываться на законном интересе передающей стороны, если люди были проинформированы и могли отказаться от передачи — при сборе данных и в любой момент.
  Источник: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
- **Срок хранения** (типовые требования CNIL к управлению коммерческой деятельностью): для потенциального клиента — **3 года** с момента сбора данных или последнего обращения с его стороны.
  Источник: https://www.cnil.fr/fr/questions-reponses-sur-les-referentiels-relatifs-la-gestion-des-activites-commerciales-et-des

> Внимание: эти правила касаются **бумажной почты**. Маркетинг по **электронной почте или SMS** подчиняется другим правилам (предварительное согласие для частных лиц, Code des postes et des communications électroniques — Кодекс почтовой связи и электронных коммуникаций, статья L. 34-5).

## 3. Информирование адресатов

- **Данные, собранные непосредственно** у человека: GDPR, **статья 13**.
- **Данные, полученные иным путём** (арендованная, купленная база, партнёр): GDPR, **статья 14**; информация предоставляется не позднее **первого контакта** с человеком, если данные используются для связи с ним (статья 14, пункт 3, b)).
- CNIL публикует образец уведомления: https://www.cnil.fr/fr/exemple-dinformation-de-prospects-prospection-commerciale-par-voie-postale

Основное содержание: сведения о контролёре, цель, правовое основание (и преследуемый законный интерес), получатели, срок хранения, права (доступ, исправление, возражение), право подать жалобу в CNIL, а для статьи 14 — **источник** данных.

## 4. Договор об обработке данных (статья 28 GDPR)

**GDPR, статья 28, пункт 3**: обработка обработчиком регулируется **договором** (письменным, в том числе в электронной форме — пункт 9), который определяет предмет, срок, характер и цель обработки, тип данных, категории субъектов данных, а также права и обязанности контролёра. В нём, в частности, предусматривается, что обработчик:

- a) обрабатывает данные **только по документально оформленному указанию** контролёра;
- b) обеспечивает **конфиденциальность** со стороны лиц, допущенных к обработке данных;
- c) принимает меры **безопасности** по статье 32;
- d) привлекает **другого обработчика** (подрядчика по послепечатной обработке, оператора рассылки…) только с **письменного разрешения** контролёра, возлагая на него те же обязанности (пункты 2 и 4);
- e) **помогает** контролёру отвечать на запросы об осуществлении прав;
- f) помогает контролёру соблюдать обязанности по безопасности, уведомлению об утечках и оценке воздействия;
- g) **удаляет или возвращает** данные по окончании услуги, по выбору контролёра;
- h) предоставляет информацию, необходимую для подтверждения соблюдения этих обязанностей, и допускает **аудиты**.

Обработчик немедленно сообщает контролёру, если считает, что какое-либо указание нарушает GDPR (статья 28, пункт 3, последний абзац).

**Образцы**: CNIL отсылает к **стандартным договорным условиям**, принятым Европейской комиссией 4 июня 2021 года (имплементационное решение (ЕС) 2021/915); в её руководстве для обработчика (2017) также приводятся примеры условий.
Источники: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf и https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
Страница CNIL «Travailler avec un sous-traitant» («Работа с обработчиком», https://www.cnil.fr/fr/sous-traitant), просмотренная 1 ноября 2026 г., по-прежнему предлагает руководство в **издании сентября 2017 года**; на ней указано, что договор может полностью или частично основываться на стандартных договорных условиях, и дана ссылка на страницу CNIL «Clauses contractuelles types entre responsable de traitement et sous-traitant» («Стандартные договорные условия между контролёром и обработчиком»): https://www.cnil.fr/fr/clauses-contractuelles-types-entre-responsable-de-traitement-et-sous-traitant

## 5. Собственные обязанности типографии / оператора рассылки

- Вести **реестр** категорий обработки, осуществляемой от имени клиентов (GDPR, статья 30, пункт 2).
- Обеспечивать **безопасность** базы: зашифрованная передача, ограниченный доступ, удаление по окончании услуги (статья 32; руководство CNIL «Gérer la sous-traitance» — «Управление обработкой данных подрядчиками»).
- **Уведомлять** клиента о любой утечке данных без неоправданной задержки после того, как о ней стало известно (статья 33, пункт 2).
- Не хранить и не использовать повторно базу после выполнения услуги, если нет иного указания или требования закона.

## 6. Санкции

Административные штрафы до 20 миллионов евро или 4 % годового мирового оборота в зависимости от нарушений (GDPR, статья 83); обработчик может быть наказан за собственные нарушения.

## Для типографии: контрольный список

1. Договор или дополнительное соглашение по **статье 28** подписаны до получения базы.
2. База получена **защищённым** способом и хранится в месте с ограниченным доступом.
3. Использование **ограничено заказом** (без повторного использования и копирования).
4. Подрядчики (оператор рассылки, подрядчик по послепечатной обработке) **письменно одобрены** клиентом.
5. **Удаление** (или возврат) базы по окончании, с подтверждением.
6. Реестр обработки в качестве «обработчика» поддерживается в актуальном состоянии.

## Основные источники

- GDPR (регламент (ЕС) 2016/679), глава IV, статьи 24–43: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
- CNIL, маркетинговая рассылка обычной почтой: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
- CNIL, передача данных партнёрам: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
- CNIL, стоп-лист: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
- CNIL, руководство для обработчика: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf
- CNIL, безопасность: управление обработкой данных подрядчиками: https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
- CNIL, работа с обработчиком: https://www.cnil.fr/fr/sous-traitant

---

*Общая информация, а не юридическая консультация. Составлено 1 ноября 2026 г.*

## Частые вопросы

### Несёт ли типография ответственность за адресную базу?

Клиент, отправляющий рассылку, является контролёром (ответственным за обработку); типография или оператор рассылки в принципе выступает обработчиком и действует по его указаниям.

### Нужен ли договор с клиентом?

Да, письменный договор в соответствии со статьёй 28 GDPR, подписанный до получения базы.

### Нужно ли согласие для бумажной почтовой рассылки?

Нет: CNIL признаёт законный интерес, если люди были проинформированы при сборе данных и могут просто и бесплатно возразить. Для электронной почты и SMS действуют другие правила.

### Что делать с базой после отправки?

Удалить её или вернуть по выбору клиента, сохранить подтверждение этого и не использовать её повторно.

---

Обновлено 2 ноября 2026. Источник : https://imprimeur.paris/ru/guides/reglementation-rgpd-publipostage/