Адресные базы и почтовая рассылка: что говорит GDPR (RGPD)

Карточка по законодательству, обновлена 2 ноября 2026. Общая информация, а не юридическая консультация: тексты меняются, проверяйте их по первоисточнику.

Коротко

• Клиент, отправляющий почтовую рассылку, является контролёром (ответственным за обработку): именно он должен иметь правовое основание, информировать адресатов и обрабатывать возражения.
• Типография или оператор рассылки, получающие базу для печати и отправки писем, в принципе выступают обработчиком: они обрабатывают адреса только по указанию клиента.
• Эти отношения должны быть оформлены письменным договором в соответствии со статьёй 28 GDPR (RGPD — французская аббревиатура Общего регламента ЕС по защите данных).
• Для маркетинговой рассылки обычной почтой CNIL признаёт правовым основанием законный интерес при условии, что люди были проинформированы и могут просто и бесплатно возразить.

1. Кто за что отвечает?

• Контролёр (GDPR, статья 4, 7)): организация, определяющая цели и средства обработки, — здесь клиент, который решает отправить письма и предоставляет (или арендует) базу.
• Обработчик (GDPR, статья 4, 8)): организация, обрабатывающая данные от имени контролёра, — здесь типография или оператор рассылки, которые персонализируют, вкладывают в конверты и сдают письма на почту.
• Если типография повторно использует базу в собственных целях (собственный маркетинг, перепродажа), она выходит за рамки роли обработчика и становится контролёром для этого нового использования (GDPR, статья 28, пункт 10).

Источник: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4

CNIL приводит очень близкий пример: предприятие, рассылающее маркетинговые письма по клиентским базам других предприятий, является их обработчиком, поскольку обрабатывает данные, необходимые для отправки, от их имени и по их указаниям; при этом оно остаётся контролёром в отношении своего персонала и своих клиентов (CNIL, Guide du sous-traitant — «Руководство для обработчика», издание сентября 2017 г., врезка «Пример квалификации обработчика и контролёра»). Источник: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf

2. Правовое основание рассылки (со стороны клиента)

• GDPR, статья 6, 1, f): законный интерес. CNIL указывает, что реклама по почте возможна, если в момент сбора адреса человек был проинформирован об использовании адреса в маркетинговых целях и мог просто и бесплатно возразить против этого (например, отметив флажок). Источник: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
• Каждое письмо должно позволять установить организацию-отправителя и просто выразить отказ от дальнейших предложений (тот же источник).
• Право на возражение (GDPR, статья 21, пункты 2 и 3): в маркетинге оно абсолютно и не требует указания причин. CNIL рекомендует вести стоп-лист и хранить возражения не менее 3 лет. Источник: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
• Арендованные или купленные базы: передача данных партнёрам для почтового маркетинга может основываться на законном интересе передающей стороны, если люди были проинформированы и могли отказаться от передачи — при сборе данных и в любой момент. Источник: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
• Срок хранения (типовые требования CNIL к управлению коммерческой деятельностью): для потенциального клиента — 3 года с момента сбора данных или последнего обращения с его стороны. Источник: https://www.cnil.fr/fr/questions-reponses-sur-les-referentiels-relatifs-la-gestion-des-activites-commerciales-et-des

Внимание: эти правила касаются бумажной почты. Маркетинг по электронной почте или SMS подчиняется другим правилам (предварительное согласие для частных лиц, Code des postes et des communications électroniques — Кодекс почтовой связи и электронных коммуникаций, статья L. 34-5).

3. Информирование адресатов

• Данные, собранные непосредственно у человека: GDPR, статья 13.
• Данные, полученные иным путём (арендованная, купленная база, партнёр): GDPR, статья 14; информация предоставляется не позднее первого контакта с человеком, если данные используются для связи с ним (статья 14, пункт 3, b)).
• CNIL публикует образец уведомления: https://www.cnil.fr/fr/exemple-dinformation-de-prospects-prospection-commerciale-par-voie-postale

Основное содержание: сведения о контролёре, цель, правовое основание (и преследуемый законный интерес), получатели, срок хранения, права (доступ, исправление, возражение), право подать жалобу в CNIL, а для статьи 14 — источник данных.

4. Договор об обработке данных (статья 28 GDPR)

GDPR, статья 28, пункт 3: обработка обработчиком регулируется договором (письменным, в том числе в электронной форме — пункт 9), который определяет предмет, срок, характер и цель обработки, тип данных, категории субъектов данных, а также права и обязанности контролёра. В нём, в частности, предусматривается, что обработчик:

• a) обрабатывает данные только по документально оформленному указанию контролёра;
• b) обеспечивает конфиденциальность со стороны лиц, допущенных к обработке данных;
• c) принимает меры безопасности по статье 32;
• d) привлекает другого обработчика (подрядчика по послепечатной обработке, оператора рассылки…) только с письменного разрешения контролёра, возлагая на него те же обязанности (пункты 2 и 4);
• e) помогает контролёру отвечать на запросы об осуществлении прав;
• f) помогает контролёру соблюдать обязанности по безопасности, уведомлению об утечках и оценке воздействия;
• g) удаляет или возвращает данные по окончании услуги, по выбору контролёра;
• h) предоставляет информацию, необходимую для подтверждения соблюдения этих обязанностей, и допускает аудиты.

Обработчик немедленно сообщает контролёру, если считает, что какое-либо указание нарушает GDPR (статья 28, пункт 3, последний абзац).

Образцы: CNIL отсылает к стандартным договорным условиям, принятым Европейской комиссией 4 июня 2021 года (имплементационное решение (ЕС) 2021/915); в её руководстве для обработчика (2017) также приводятся примеры условий. Источники: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf и https://www.cnil.fr/fr/securite-gerer-la-sous-traitance Страница CNIL «Travailler avec un sous-traitant» («Работа с обработчиком», https://www.cnil.fr/fr/sous-traitant), просмотренная 1 ноября 2026 г., по-прежнему предлагает руководство в издании сентября 2017 года; на ней указано, что договор может полностью или частично основываться на стандартных договорных условиях, и дана ссылка на страницу CNIL «Clauses contractuelles types entre responsable de traitement et sous-traitant» («Стандартные договорные условия между контролёром и обработчиком»): https://www.cnil.fr/fr/clauses-contractuelles-types-entre-responsable-de-traitement-et-sous-traitant

5. Собственные обязанности типографии / оператора рассылки

• Вести реестр категорий обработки, осуществляемой от имени клиентов (GDPR, статья 30, пункт 2).
• Обеспечивать безопасность базы: зашифрованная передача, ограниченный доступ, удаление по окончании услуги (статья 32; руководство CNIL «Gérer la sous-traitance» — «Управление обработкой данных подрядчиками»).
• Уведомлять клиента о любой утечке данных без неоправданной задержки после того, как о ней стало известно (статья 33, пункт 2).
• Не хранить и не использовать повторно базу после выполнения услуги, если нет иного указания или требования закона.

6. Санкции

Административные штрафы до 20 миллионов евро или 4 % годового мирового оборота в зависимости от нарушений (GDPR, статья 83); обработчик может быть наказан за собственные нарушения.

Для типографии: контрольный список

1. Договор или дополнительное соглашение по статье 28 подписаны до получения базы.
2. База получена защищённым способом и хранится в месте с ограниченным доступом.
3. Использование ограничено заказом (без повторного использования и копирования).
4. Подрядчики (оператор рассылки, подрядчик по послепечатной обработке) письменно одобрены клиентом.
5. Удаление (или возврат) базы по окончании, с подтверждением.
6. Реестр обработки в качестве «обработчика» поддерживается в актуальном состоянии.

Основные источники

• GDPR (регламент (ЕС) 2016/679), глава IV, статьи 24–43: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
• CNIL, маркетинговая рассылка обычной почтой: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
• CNIL, передача данных партнёрам: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
• CNIL, стоп-лист: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
• CNIL, руководство для обработчика: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf
• CNIL, безопасность: управление обработкой данных подрядчиками: https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
• CNIL, работа с обработчиком: https://www.cnil.fr/fr/sous-traitant

Общая информация, а не юридическая консультация. Составлено 1 ноября 2026 г.

Текстовая версия : Markdown