# Бази адрес і адресна розсилка: що каже GDPR

## Коротко

- **Клієнт**, який здійснює адресну розсилку, є **контролером даних**: саме він має мати правову підставу, інформувати адресатів і опрацьовувати заперечення.
- **Друкарня чи компанія-розсильник**, яка отримує базу для друку та відправлення листів, за загальним правилом діє як **обробник**: вона обробляє адреси лише за вказівкою клієнта.
- Цю обробку має регулювати **письмовий договір відповідно до статті 28 GDPR**.
- Для **маркетингових розсилок звичайною поштою** CNIL визнає **законний інтерес** правовою підставою — за умови, що людей **поінформовано** і вони можуть **заперечити** просто й безкоштовно.

## 1. Хто за що відповідає?

- **Контролер** (GDPR, стаття 4, 7)): організація, яка визначає цілі та засоби обробки, — тут клієнт, який вирішує надіслати листи й надає (або орендує) базу.
- **Обробник** (GDPR, стаття 4, 8)): організація, яка обробляє дані від імені контролера, — тут друкарня чи компанія-розсильник, яка персоналізує, вкладає в конверти й передає листи на пошту.
- Якщо друкарня **повторно використовує** базу у власних цілях (маркетинг, перепродаж), вона виходить за межі ролі обробника і стає контролером щодо цього нового використання (GDPR, стаття 28, параграф 10).

Джерело: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4

CNIL наводить дуже схожий приклад: підприємство, яке надсилає маркетингові листи на основі клієнтських баз інших підприємств, є їхнім **обробником**, оскільки обробляє дані, необхідні для розсилки, від їхнього імені та за їхніми вказівками; при цьому воно лишається контролером щодо управління власним персоналом і власними клієнтами (CNIL, *Guide du sous-traitant* — «Посібник для обробника», видання вересня 2017 року, врізка «Exemple de qualification de sous-traitant et de responsable de traitement» — «Приклад кваліфікації обробника та контролера»).
Джерело: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf

## 2. Правова підстава адресної розсилки (з боку клієнта)

- **GDPR, стаття 6, 1, f)**: законний інтерес. CNIL зазначає, що реклама поштою можлива, якщо **під час збирання адреси** людину **поінформували** про використання з маркетинговою метою і вона могла **заперечити** просто й безкоштовно (наприклад, позначивши квадратик).
  Джерело: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
- **Кожен лист** має давати змогу встановити організацію-відправника і просто висловити відмову отримувати подальші пропозиції (те саме джерело).
- **Право на заперечення** (GDPR, **стаття 21**, параграфи 2 і 3): у разі маркетингу воно абсолютне, без потреби наводити підстави. CNIL радить вести **список виключень** і зберігати заперечення щонайменше 3 роки.
  Джерело: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
- **Орендовані чи придбані бази**: передача даних партнерам для поштового маркетингу може ґрунтуватися на законному інтересі сторони, що передає, якщо людей поінформували і вони могли відмовитися від передачі — під час збирання та будь-коли згодом.
  Джерело: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
- **Строк зберігання** (довідник CNIL щодо комерційної діяльності): для потенційного клієнта — **3 роки** від збирання даних або від останнього контакту з його ініціативи.
  Джерело: https://www.cnil.fr/fr/questions-reponses-sur-les-referentiels-relatifs-la-gestion-des-activites-commerciales-et-des

> Увага: ці правила стосуються **паперових листів**. Маркетинг через **електронну пошту чи SMS** підпорядковується іншим правилам (попередня згода для фізичних осіб, Code des postes et des communications électroniques (Кодекс пошти та електронних комунікацій), стаття L. 34-5).

## 3. Інформування адресатів

- **Дані, зібрані безпосередньо** в особи: GDPR, **стаття 13**.
- **Дані, отримані іншим шляхом** (орендована, придбана база, партнер): GDPR, **стаття 14**; інформацію надають не пізніше **першого контакту** з особою, якщо дані використовують для зв'язку з нею (стаття 14, параграф 3, b)).
- CNIL публікує зразок повідомлення: https://www.cnil.fr/fr/exemple-dinformation-de-prospects-prospection-commerciale-par-voie-postale

Основний зміст: відомості про контролера, мета, правова підстава (і законний інтерес, що переслідується), одержувачі, строк зберігання, права (доступ, виправлення, заперечення), право подати скаргу до CNIL, а для статті 14 — **джерело** даних.

## 4. Договір про обробку (стаття 28 GDPR)

**GDPR, стаття 28, параграф 3**: обробку обробником регулює **договір** (письмовий, зокрема в електронній формі — параграф 9), який визначає предмет, тривалість, характер і мету обробки, тип даних, категорії суб'єктів даних, а також права й обов'язки контролера. Він передбачає, зокрема, що обробник:

- a) обробляє дані **лише за задокументованою вказівкою** контролера;
- b) забезпечує **конфіденційність** з боку осіб, уповноважених обробляти дані;
- c) вживає заходів **безпеки** за статтею 32;
- d) залучає **іншого обробника** (післядрукарську майстерню, розсильника…) лише з **письмового дозволу** контролера, покладаючи на нього ті самі обов'язки (параграфи 2 і 4);
- e) **допомагає** контролеру відповідати на запити щодо здійснення прав;
- f) допомагає контролеру виконувати обов'язки щодо безпеки, повідомлення про порушення та оцінки впливу;
- g) **видаляє або повертає** дані після завершення послуги — на вибір контролера;
- h) надає інформацію, необхідну для підтвердження виконання цих обов'язків, і дає змогу проводити **аудити**.

Обробник негайно повідомляє контролера, якщо вважає, що вказівка порушує GDPR (стаття 28, параграф 3, останній абзац).

**Зразки**: CNIL посилається на **типові договірні положення**, ухвалені Європейською комісією 4 червня 2021 року (імплементаційне рішення (ЄС) 2021/915); її посібник для обробника (2017) також містить приклади положень.
Джерела: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf та https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
Сторінка CNIL «Travailler avec un sous-traitant» («Робота з обробником», https://www.cnil.fr/fr/sous-traitant), переглянута 1 листопада 2026 року, досі пропонує посібник у **виданні вересня 2017 року**; вона зазначає, що договір може повністю або частково ґрунтуватися на типових договірних положеннях, і посилається на сторінку CNIL «Clauses contractuelles types entre responsable de traitement et sous-traitant» («Типові договірні положення між контролером і обробником»): https://www.cnil.fr/fr/clauses-contractuelles-types-entre-responsable-de-traitement-et-sous-traitant

## 5. Власні обов'язки друкарні / компанії-розсильника

- Вести **реєстр** категорій обробки, що здійснюється від імені клієнтів (GDPR, стаття 30, параграф 2).
- Забезпечувати **безпеку** бази: зашифрована передача, обмежений доступ, видалення після завершення послуги (стаття 32; посібник CNIL «Gérer la sous-traitance» — «Управління обробкою на підряді»).
- **Повідомляти** клієнта про будь-яке порушення безпеки даних без зволікань після того, як про нього стало відомо (стаття 33, параграф 2).
- Не зберігати й не використовувати повторно базу після завершення послуги, якщо немає іншої вказівки чи вимоги закону.

## 6. Санкції

Адміністративні штрафи до 20 мільйонів євро або 4 % світового річного обороту залежно від порушень (GDPR, стаття 83); обробника можуть покарати за його власні порушення.

## Для друкарні: контрольний список

1. Договір або додаткова угода за **статтею 28**, підписані до отримання бази.
2. Базу отримано **захищеним** способом і зберігають у місці з обмеженим доступом.
3. Використання **лише для цього замовлення** (без повторного використання, без копіювання).
4. Субпідрядники (розсильник, післядрукарська майстерня) **письмово дозволені** клієнтом.
5. **Видалення** (або повернення) бази наприкінці, з підтвердженням.
6. Актуальний реєстр обробки в ролі «обробника».

## Основні джерела

- GDPR (RGPD, регламент (ЄС) 2016/679), глава IV, статті 24–43: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
- CNIL, маркетинг звичайною поштою: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
- CNIL, передача даних партнерам: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
- CNIL, список виключень: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
- CNIL, посібник для обробника: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf
- CNIL, безпека: управління обробкою на підряді: https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
- CNIL, робота з обробником: https://www.cnil.fr/fr/sous-traitant

---

*Загальна інформація, а не юридична консультація. Складено 1 листопада 2026 року.*

## Часті запитання

### Чи відповідає друкарня за базу адрес?

Клієнт, який здійснює розсилку, є контролером даних; друкарня чи компанія-розсильник за загальним правилом діє як обробник, за його вказівками.

### Чи потрібен договір із клієнтом?

Так, письмовий договір відповідно до статті 28 GDPR, підписаний до отримання бази.

### Чи потрібна згода для паперової адресної розсилки?

Ні: CNIL (французький орган із захисту персональних даних) визнає законний інтерес, якщо людей поінформували під час збирання даних і вони можуть просто й безкоштовно заперечити. Для електронної пошти та SMS діють інші правила.

### Що робити з базою після розсилки?

Видалити її або повернути — на вибір клієнта, зберегти підтвердження цього і не використовувати її повторно.

---

Оновлено 2 листопада 2026. Джерело : https://imprimeur.paris/uk/guides/reglementation-rgpd-publipostage/