# 地址文件与邮件直投：GDPR 的规定

## 要点

- 发送直投邮件的**客户**是**数据控制者**（responsable du traitement）：由其负责具备合法性基础、告知收件人并处理反对请求。
- 接收文件以打印和寄送邮件的**印刷商或邮件处理商**（routeur）原则上作为**数据处理者**（sous-traitant）：仅按客户的指示处理地址。
- 这种委托处理必须由一份**符合 GDPR（法语 RGPD）第 28 条的书面合同**加以规范。
- 对于**通过邮政信件进行的营销**，CNIL（法国国家信息与自由委员会）认可以**正当利益**作为合法性基础，前提是当事人已**被告知**，并能简单、免费地**提出反对**。

## 1. 谁对什么负责？

- **数据控制者**（GDPR 第 4 条第 7 项）：确定处理目的和方式的机构，此处指决定寄送信件并提供（或租用）文件的客户。
- **数据处理者**（GDPR 第 4 条第 8 项）：代表控制者处理数据的机构，此处指进行个性化打印、装封并交寄信件的印刷商或邮件处理商。
- 如果印刷商为自身目的**再次使用**该文件（营销、转售），即超出数据处理者的角色，就该新用途成为数据控制者（GDPR 第 28 条第 10 款）。

来源：https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4

CNIL 举过一个非常相近的例子：一家企业利用其他企业的客户文件寄送商业营销信件，就其代表这些企业、按其指示处理寄送所需数据而言，它是这些企业的**数据处理者**；但就其自身员工和自身客户的管理而言，它仍是数据控制者（CNIL，*Guide du sous-traitant*〔数据处理者指南〕，2017 年 9 月版，“Exemple de qualification de sous-traitant et de responsable de traitement”〔数据处理者与数据控制者认定示例〕专栏）。
来源：https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf

## 2. 邮件直投的合法性基础（客户方）

- **GDPR 第 6 条第 1 款 f 项**：正当利益。CNIL 指出，如果**在收集地址时**当事人已**被告知**其将用于营销目的，并能简单、免费地**表示反对**（例如通过勾选框），即可通过邮政渠道进行广告推送。
  来源：https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
- **每封信件**都必须能识别发送机构，并让收件人能简单地表示拒绝再接收此类信件（同一来源）。
- **反对权**（GDPR **第 21 条**第 2 款和第 3 款）：在营销领域，反对权是绝对的，无需说明理由。CNIL 建议建立**拒收名单**（liste repoussoir），并将反对记录至少保存 3 年。
  来源：https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
- **租用或购买的文件**：为邮政营销目的向合作方传输数据，可以以转让方的正当利益为依据，前提是当事人在收集时及任何时候都已被告知并能拒绝转让。
  来源：https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
- **保存期限**（CNIL 商业管理参考规范）：对潜在客户，自收集之日或其最后一次主动联系之日起 **3 年**。
  来源：https://www.cnil.fr/fr/questions-reponses-sur-les-referentiels-relatifs-la-gestion-des-activites-commerciales-et-des

> 注意：上述规则适用于**纸质信件**。通过**电子邮件或短信**进行营销适用其他规则（对个人须事先征得同意，Code des postes et des communications électroniques〔邮政与电子通信法典〕第 L. 34-5 条）。

## 3. 告知收件人

- **直接**向当事人收集的数据：GDPR **第 13 条**。
- **以其他方式**获得的数据（租用、购买的文件或来自合作方的文件）：GDPR **第 14 条**；当数据用于联系当事人时，最迟在与其**首次通信**时告知（第 14 条第 3 款 b 项）。
- CNIL 发布了告知文字范本：https://www.cnil.fr/fr/exemple-dinformation-de-prospects-prospection-commerciale-par-voie-postale

基本内容：控制者身份、处理目的、合法性基础（及所追求的正当利益）、接收方、保存期限、各项权利（查阅、更正、反对）、向 CNIL 投诉的权利，以及（第 14 条情形下）数据的**来源**。

## 4. 数据处理委托合同（GDPR 第 28 条）

**GDPR 第 28 条第 3 款**：数据处理者的处理活动须受**合同**约束（书面形式，包括电子形式——第 9 款），合同应规定处理的标的、期限、性质和目的、数据类型、数据主体类别以及控制者的权利和义务。合同尤其应规定数据处理者：

- a) **仅按控制者有记录的指示**处理数据；
- b) 确保获授权处理数据的人员履行**保密**义务；
- c) 采取第 32 条规定的**安全**措施；
- d) 只有在获得控制者**书面授权**后才能委托**其他数据处理者**（印后加工商、邮件处理商……），并使其承担相同的义务（第 2 款和第 4 款）；
- e) **协助**控制者答复行使权利的请求；
- f) 协助控制者履行其安全、数据泄露通知和影响评估义务；
- g) 服务结束时，按控制者的选择**删除或返还**数据；
- h) 提供证明遵守上述义务所需的信息，并允许**审计**。

如数据处理者认为某项指示违反 GDPR，应立即通知控制者（第 28 条第 3 款最后一段）。

**范本**：CNIL 推荐欧盟委员会于 2021 年 6 月 4 日通过的**标准合同条款**（décision d'exécution (UE) 2021/915，第 2021/915 号实施决定）；其数据处理者指南（2017 年）也提供了条款示例。
来源：https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf 及 https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
CNIL 的“Travailler avec un sous-traitant”（与数据处理者合作）页面（https://www.cnil.fr/fr/sous-traitant ）于 2026 年 11 月 1 日查阅时，提供的仍是**2017 年 9 月版**指南；该页面指出，合同可全部或部分以标准合同条款为基础，并链接至 CNIL 页面“Clauses contractuelles types entre responsable de traitement et sous-traitant”（控制者与处理者之间的标准合同条款）：https://www.cnil.fr/fr/clauses-contractuelles-types-entre-responsable-de-traitement-et-sous-traitant

## 5. 印刷商 / 邮件处理商自身的义务

- 就其代表客户进行的各类处理活动建立**记录**（GDPR 第 30 条第 2 款）。
- 确保文件**安全**：加密传输、限制访问、服务结束时删除（第 32 条；CNIL 指南“Gérer la sous-traitance”〔管理委托处理〕）。
- 在知悉任何数据泄露后，尽快**通知**客户（第 33 条第 2 款）。
- 服务结束后，除另有指示或法律义务外，不得保留或再次使用该文件。

## 6. 处罚

视违规情况，行政罚款最高可达 2000 万欧元或全球年营业额的 4%（GDPR 第 83 条）；数据处理者可因其自身的违规行为受到处罚。

## 印刷商检查清单

1. 在收到文件之前签署**第 28 条**合同或补充协议。
2. 通过**安全**方式接收文件，存放在访问受限的空间。
3. 使用**仅限于该订单**（不得再次使用，不得复制）。
4. 分包商（邮件处理商、印后加工商）须经客户**书面授权**。
5. 服务结束时**删除**（或返还）文件，并留存记录。
6. 及时更新“数据处理者”处理活动记录。

## 主要来源

- GDPR（règlement (UE) 2016/679，第 2016/679 号条例），第四章，第 24 条至第 43 条：https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
- CNIL，邮政信件商业营销：https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
- CNIL，向合作方传输数据：https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
- CNIL，拒收名单：https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
- CNIL，数据处理者指南：https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf
- CNIL，安全：管理委托处理：https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
- CNIL，与数据处理者合作：https://www.cnil.fr/fr/sous-traitant

---

*仅为一般性信息，不构成法律意见。撰写于 2026 年 11 月 1 日。*

## 常见问题

### 印刷商要对地址文件负责吗？

发送直投邮件的客户是数据控制者；印刷商或邮件处理商原则上作为数据处理者，按客户的指示行事。

### 需要与客户签订合同吗？

需要，在收到文件之前签订一份符合 GDPR 第 28 条的书面合同。

### 纸质邮件直投需要征得同意吗？

不需要：如果当事人在收集信息时已被告知，并能简单、免费地提出反对，CNIL（法国国家信息与自由委员会）认可以正当利益为依据。电子邮件和短信适用其他规则。

### 发送后如何处理文件？

按客户的选择删除或返还文件，保留记录，并且不得再次使用。

---

更新于2026年11月2日。 来源 : https://imprimeur.paris/zh/guides/reglementation-rgpd-publipostage/