地址文件与邮件直投：GDPR 的规定

法规说明，更新于2026年11月2日。仅为一般性信息，不构成法律意见：法规会变化，请查阅原始文本。

要点

发送直投邮件的客户是数据控制者（responsable du traitement）：由其负责具备合法性基础、告知收件人并处理反对请求。
接收文件以打印和寄送邮件的印刷商或邮件处理商（routeur）原则上作为数据处理者（sous-traitant）：仅按客户的指示处理地址。
这种委托处理必须由一份符合 GDPR（法语 RGPD）第 28 条的书面合同加以规范。
对于通过邮政信件进行的营销，CNIL（法国国家信息与自由委员会）认可以正当利益作为合法性基础，前提是当事人已被告知，并能简单、免费地提出反对。

1. 谁对什么负责？

数据控制者（GDPR 第 4 条第 7 项）：确定处理目的和方式的机构，此处指决定寄送信件并提供（或租用）文件的客户。
数据处理者（GDPR 第 4 条第 8 项）：代表控制者处理数据的机构，此处指进行个性化打印、装封并交寄信件的印刷商或邮件处理商。
如果印刷商为自身目的再次使用该文件（营销、转售），即超出数据处理者的角色，就该新用途成为数据控制者（GDPR 第 28 条第 10 款）。

来源：https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4

CNIL 举过一个非常相近的例子：一家企业利用其他企业的客户文件寄送商业营销信件，就其代表这些企业、按其指示处理寄送所需数据而言，它是这些企业的数据处理者；但就其自身员工和自身客户的管理而言，它仍是数据控制者（CNIL，Guide du sous-traitant〔数据处理者指南〕，2017 年 9 月版，“Exemple de qualification de sous-traitant et de responsable de traitement”〔数据处理者与数据控制者认定示例〕专栏）。来源：https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf

2. 邮件直投的合法性基础（客户方）

GDPR 第 6 条第 1 款 f 项：正当利益。CNIL 指出，如果在收集地址时当事人已被告知其将用于营销目的，并能简单、免费地表示反对（例如通过勾选框），即可通过邮政渠道进行广告推送。来源：https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
每封信件都必须能识别发送机构，并让收件人能简单地表示拒绝再接收此类信件（同一来源）。
反对权（GDPR 第 21 条第 2 款和第 3 款）：在营销领域，反对权是绝对的，无需说明理由。CNIL 建议建立拒收名单（liste repoussoir），并将反对记录至少保存 3 年。来源：https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
租用或购买的文件：为邮政营销目的向合作方传输数据，可以以转让方的正当利益为依据，前提是当事人在收集时及任何时候都已被告知并能拒绝转让。来源：https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
保存期限（CNIL 商业管理参考规范）：对潜在客户，自收集之日或其最后一次主动联系之日起 3 年。来源：https://www.cnil.fr/fr/questions-reponses-sur-les-referentiels-relatifs-la-gestion-des-activites-commerciales-et-des

注意：上述规则适用于纸质信件。通过电子邮件或短信进行营销适用其他规则（对个人须事先征得同意，Code des postes et des communications électroniques〔邮政与电子通信法典〕第 L. 34-5 条）。

3. 告知收件人

直接向当事人收集的数据：GDPR 第 13 条。
以其他方式获得的数据（租用、购买的文件或来自合作方的文件）：GDPR 第 14 条；当数据用于联系当事人时，最迟在与其首次通信时告知（第 14 条第 3 款 b 项）。
CNIL 发布了告知文字范本：https://www.cnil.fr/fr/exemple-dinformation-de-prospects-prospection-commerciale-par-voie-postale

基本内容：控制者身份、处理目的、合法性基础（及所追求的正当利益）、接收方、保存期限、各项权利（查阅、更正、反对）、向 CNIL 投诉的权利，以及（第 14 条情形下）数据的来源。

GDPR 第 28 条第 3 款：数据处理者的处理活动须受合同约束（书面形式，包括电子形式——第 9 款），合同应规定处理的标的、期限、性质和目的、数据类型、数据主体类别以及控制者的权利和义务。合同尤其应规定数据处理者：

a) 仅按控制者有记录的指示处理数据；
b) 确保获授权处理数据的人员履行保密义务；
c) 采取第 32 条规定的安全措施；
d) 只有在获得控制者书面授权后才能委托其他数据处理者（印后加工商、邮件处理商……），并使其承担相同的义务（第 2 款和第 4 款）；
e) 协助控制者答复行使权利的请求；
f) 协助控制者履行其安全、数据泄露通知和影响评估义务；
g) 服务结束时，按控制者的选择删除或返还数据；
h) 提供证明遵守上述义务所需的信息，并允许审计。

如数据处理者认为某项指示违反 GDPR，应立即通知控制者（第 28 条第 3 款最后一段）。

范本：CNIL 推荐欧盟委员会于 2021 年 6 月 4 日通过的标准合同条款（décision d'exécution (UE) 2021/915，第 2021/915 号实施决定）；其数据处理者指南（2017 年）也提供了条款示例。来源：https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf 及 https://www.cnil.fr/fr/securite-gerer-la-sous-traitance CNIL 的“Travailler avec un sous-traitant”（与数据处理者合作）页面（https://www.cnil.fr/fr/sous-traitant ）于 2026 年 11 月 1 日查阅时，提供的仍是2017 年 9 月版指南；该页面指出，合同可全部或部分以标准合同条款为基础，并链接至 CNIL 页面“Clauses contractuelles types entre responsable de traitement et sous-traitant”（控制者与处理者之间的标准合同条款）：https://www.cnil.fr/fr/clauses-contractuelles-types-entre-responsable-de-traitement-et-sous-traitant

5. 印刷商 / 邮件处理商自身的义务

就其代表客户进行的各类处理活动建立记录（GDPR 第 30 条第 2 款）。
确保文件安全：加密传输、限制访问、服务结束时删除（第 32 条；CNIL 指南“Gérer la sous-traitance”〔管理委托处理〕）。
在知悉任何数据泄露后，尽快通知客户（第 33 条第 2 款）。
服务结束后，除另有指示或法律义务外，不得保留或再次使用该文件。

6. 处罚

视违规情况，行政罚款最高可达 2000 万欧元或全球年营业额的 4%（GDPR 第 83 条）；数据处理者可因其自身的违规行为受到处罚。

印刷商检查清单

在收到文件之前签署第 28 条合同或补充协议。
通过安全方式接收文件，存放在访问受限的空间。
使用仅限于该订单（不得再次使用，不得复制）。
分包商（邮件处理商、印后加工商）须经客户书面授权。
服务结束时删除（或返还）文件，并留存记录。
及时更新“数据处理者”处理活动记录。

主要来源

GDPR（règlement (UE) 2016/679，第 2016/679 号条例），第四章，第 24 条至第 43 条：https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
CNIL，邮政信件商业营销：https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-postal
CNIL，向合作方传输数据：https://www.cnil.fr/fr/la-prospection-b-to-c-quelles-regles-pour-transmettre-des-donnees-des-partenaires
CNIL，拒收名单：https://www.cnil.fr/fr/comment-utiliser-une-liste-repoussoir-pour-respecter-lopposition-la-prospection
CNIL，数据处理者指南：https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf
CNIL，安全：管理委托处理：https://www.cnil.fr/fr/securite-gerer-la-sous-traitance
CNIL，与数据处理者合作：https://www.cnil.fr/fr/sous-traitant

仅为一般性信息，不构成法律意见。撰写于 2026 年 11 月 1 日。

常见问题

印刷商要对地址文件负责吗？

发送直投邮件的客户是数据控制者；印刷商或邮件处理商原则上作为数据处理者，按客户的指示行事。

需要与客户签订合同吗？

需要，在收到文件之前签订一份符合 GDPR 第 28 条的书面合同。

纸质邮件直投需要征得同意吗？

不需要：如果当事人在收集信息时已被告知，并能简单、免费地提出反对，CNIL（法国国家信息与自由委员会）认可以正当利益为依据。电子邮件和短信适用其他规则。

发送后如何处理文件？

按客户的选择删除或返还文件，保留记录，并且不得再次使用。

文本版本 : Markdown