Бази адрес і адресна розсилка: що каже GDPR

Картка з нормативних вимог, оновлено 2 листопада 2026. Загальна інформація, а не юридична консультація: нормативні акти змінюються, перевіряйте їх у першоджерелах.

Коротко

• Клієнт, який здійснює адресну розсилку, є контролером даних: саме він має мати правову підставу, інформувати адресатів і опрацьовувати заперечення.
• Друкарня чи компанія-розсильник, яка отримує базу для друку та відправлення листів, за загальним правилом діє як обробник: вона обробляє адреси лише за вказівкою клієнта.
• Цю обробку має регулювати письмовий договір відповідно до статті 28 GDPR.
• Для маркетингових розсилок звичайною поштою CNIL визнає законний інтерес правовою підставою — за умови, що людей поінформовано і вони можуть заперечити просто й безкоштовно.

1. Хто за що відповідає?

• Контролер (GDPR, стаття 4, 7)): організація, яка визначає цілі та засоби обробки, — тут клієнт, який вирішує надіслати листи й надає (або орендує) базу.
• Обробник (GDPR, стаття 4, 8)): організація, яка обробляє дані від імені контролера, — тут друкарня чи компанія-розсильник, яка персоналізує, вкладає в конверти й передає листи на пошту.
• Якщо друкарня повторно використовує базу у власних цілях (маркетинг, перепродаж), вона виходить за межі ролі обробника і стає контролером щодо цього нового використання (GDPR, стаття 28, параграф 10).

Джерело: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4

CNIL наводить дуже схожий приклад: підприємство, яке надсилає маркетингові листи на основі клієнтських баз інших підприємств, є їхнім обробником, оскільки обробляє дані, необхідні для розсилки, від їхнього імені та за їхніми вказівками; при цьому воно лишається контролером щодо управління власним персоналом і власними клієнтами (CNIL, Guide du sous-traitant — «Посібник для обробника», видання вересня 2017 року, врізка «Exemple de qualification de sous-traitant et de responsable de traitement» — «Приклад кваліфікації обробника та контролера»). Джерело: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf

2. Правова підстава адресної розсилки (з боку клієнта)

• GDPR, стаття 6, 1, f): законний інтерес. CNIL зазначає, що реклама поштою можлива, якщо під час збирання адреси людину поінформували про використання з маркетинговою метою і вона могла заперечити просто й безкоштовно (наприклад, позначивши квадратик). Джерело: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
• Кожен лист має давати змогу встановити організацію-відправника і просто висловити відмову отримувати подальші пропозиції (те саме джерело).
• Право на заперечення (GDPR, стаття 21, параграфи 2 і 3): у разі маркетингу воно абсолютне, без потреби наводити підстави. CNIL радить вести список виключень і зберігати заперечення щонайменше 3 роки. Джерело: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
• Орендовані чи придбані бази: передача даних партнерам для поштового маркетингу може ґрунтуватися на законному інтересі сторони, що передає, якщо людей поінформували і вони могли відмовитися від передачі — під час збирання та будь-коли згодом. Джерело: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
• Строк зберігання (довідник CNIL щодо комерційної діяльності): для потенційного клієнта — 3 роки від збирання даних або від останнього контакту з його ініціативи. Джерело: https://www.cnil.fr/fr/questions-reponses-sur-les-referentiels-relatifs-la-gestion-des-activites-commerciales-et-des

Увага: ці правила стосуються паперових листів. Маркетинг через електронну пошту чи SMS підпорядковується іншим правилам (попередня згода для фізичних осіб, Code des postes et des communications électroniques (Кодекс пошти та електронних комунікацій), стаття L. 34-5).

3. Інформування адресатів

• Дані, зібрані безпосередньо в особи: GDPR, стаття 13.
• Дані, отримані іншим шляхом (орендована, придбана база, партнер): GDPR, стаття 14; інформацію надають не пізніше першого контакту з особою, якщо дані використовують для зв'язку з нею (стаття 14, параграф 3, b)).
• CNIL публікує зразок повідомлення: https://www.cnil.fr/fr/exemple-dinformation-de-prospects-prospection-commerciale-par-voie-postale

Основний зміст: відомості про контролера, мета, правова підстава (і законний інтерес, що переслідується), одержувачі, строк зберігання, права (доступ, виправлення, заперечення), право подати скаргу до CNIL, а для статті 14 — джерело даних.

4. Договір про обробку (стаття 28 GDPR)

GDPR, стаття 28, параграф 3: обробку обробником регулює договір (письмовий, зокрема в електронній формі — параграф 9), який визначає предмет, тривалість, характер і мету обробки, тип даних, категорії суб'єктів даних, а також права й обов'язки контролера. Він передбачає, зокрема, що обробник:

• a) обробляє дані лише за задокументованою вказівкою контролера;
• b) забезпечує конфіденційність з боку осіб, уповноважених обробляти дані;
• c) вживає заходів безпеки за статтею 32;
• d) залучає іншого обробника (післядрукарську майстерню, розсильника…) лише з письмового дозволу контролера, покладаючи на нього ті самі обов'язки (параграфи 2 і 4);
• e) допомагає контролеру відповідати на запити щодо здійснення прав;
• f) допомагає контролеру виконувати обов'язки щодо безпеки, повідомлення про порушення та оцінки впливу;
• g) видаляє або повертає дані після завершення послуги — на вибір контролера;
• h) надає інформацію, необхідну для підтвердження виконання цих обов'язків, і дає змогу проводити аудити.

Обробник негайно повідомляє контролера, якщо вважає, що вказівка порушує GDPR (стаття 28, параграф 3, останній абзац).

Зразки: CNIL посилається на типові договірні положення, ухвалені Європейською комісією 4 червня 2021 року (імплементаційне рішення (ЄС) 2021/915); її посібник для обробника (2017) також містить приклади положень. Джерела: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf та https://www.cnil.fr/fr/securite-gerer-la-sous-traitance Сторінка CNIL «Travailler avec un sous-traitant» («Робота з обробником», https://www.cnil.fr/fr/sous-traitant), переглянута 1 листопада 2026 року, досі пропонує посібник у виданні вересня 2017 року; вона зазначає, що договір може повністю або частково ґрунтуватися на типових договірних положеннях, і посилається на сторінку CNIL «Clauses contractuelles types entre responsable de traitement et sous-traitant» («Типові договірні положення між контролером і обробником»): https://www.cnil.fr/fr/clauses-contractuelles-types-entre-responsable-de-traitement-et-sous-traitant

5. Власні обов'язки друкарні / компанії-розсильника

• Вести реєстр категорій обробки, що здійснюється від імені клієнтів (GDPR, стаття 30, параграф 2).
• Забезпечувати безпеку бази: зашифрована передача, обмежений доступ, видалення після завершення послуги (стаття 32; посібник CNIL «Gérer la sous-traitance» — «Управління обробкою на підряді»).
• Повідомляти клієнта про будь-яке порушення безпеки даних без зволікань після того, як про нього стало відомо (стаття 33, параграф 2).
• Не зберігати й не використовувати повторно базу після завершення послуги, якщо немає іншої вказівки чи вимоги закону.

6. Санкції

Адміністративні штрафи до 20 мільйонів євро або 4 % світового річного обороту залежно від порушень (GDPR, стаття 83); обробника можуть покарати за його власні порушення.

Для друкарні: контрольний список

1. Договір або додаткова угода за статтею 28, підписані до отримання бази.
2. Базу отримано захищеним способом і зберігають у місці з обмеженим доступом.
3. Використання лише для цього замовлення (без повторного використання, без копіювання).
4. Субпідрядники (розсильник, післядрукарська майстерня) письмово дозволені клієнтом.
5. Видалення (або повернення) бази наприкінці, з підтвердженням.
6. Актуальний реєстр обробки в ролі «обробника».

Основні джерела

• GDPR (RGPD, регламент (ЄС) 2016/679), глава IV, статті 24–43: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
• CNIL, маркетинг звичайною поштою: https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
• CNIL, передача даних партнерам: https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
• CNIL, список виключень: https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
• CNIL, посібник для обробника: https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf
• CNIL, безпека: управління обробкою на підряді: https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
• CNIL, робота з обробником: https://www.cnil.fr/fr/sous-traitant

Загальна інформація, а не юридична консультація. Складено 1 листопада 2026 року.

Текстова версія : Markdown