PostNL moet als uitvoerder van de universele postdienst in Nederland zorgvuldig omgaan met gegevens van klanten. Het bedrijf verwerkt namelijk een enorme hoeveelheid persoonsgegevens: offline en online. 

Nog voordat je toegang krijgt tot de website de site van PostNL wordt er tijdens het tonen van de cookieverklaring al een trackingcookie van Adobe Analytics op je computer geplaatst. Je pseudo-geanonimiseerde zoekgeschiedenis, locatiegegevens en klikgedrag worden vanaf dat moment geanalyseerd. 

Het is positief dat op elke pagina van de PostNL-website een verwijzing is te vinden naar de voorwaarden. Wanneer je als bezoeker op de privacyverklaring klikt, staat daarin dat PostNL persoonsgegevens alleen zal gebruiken voor de in de verklaring omschreven doeleinden. Het valt bijna niet op dat bepalingen uit één van de zes aparte privacyverklaringen van PostNL, zoals die van de verhuisservice op grond waarvan op grote schaal gegevens mogen worden verkocht, voorrang kunnen hebben op deze privacyverklaring. 

PostNL Holding BV is een Nederlands bedrijf met dochterbedrijven in Duitsland, Italië en Verenigd Koninkrijk. Persoonsgegevens kunnen met deze bedrijven worden gedeeld, daar is PostNL helder in. Het is voor klanten niet inzichtelijk of dit ook geldt voor de partners van deze dochterbedrijven in ruim 190 landen.

Bedrijven kunnen hun adressenbestand tegen betaling matchen met het verhuisbestand van Post NL. Het is opvallend dat via de profielen van de verhuisservice volgens het toenmalige College Bescherming Persoonsgegevens in een onderzoek naar de AH-bonuskaarten naar voren kwam dat via PostNL zelfs de identiteit van anonieme houders van de bonuskaart kan worden achterhaald. Het CBP heeft hier geen nader onderzoek naar gedaan.

PostNL verzamelt niet alleen adressen en namen, maar ook gegevens over het geslacht en de persoonlijke voorkeur. Op het gebied van dataminimalisatie zou PostNL een slag kunnen slaan: het opvragen van iemands geslacht is niet nodig om een brief of pakketje te kunnen bezorgen. Wanneer je gebruik maakt van de verhuisservice van PostNL moet je ook een geboortedatum opgeven, maar het is niet duidelijk waarom dat nodig is: naam en adres zouden voldoende moeten zijn bij het versturen van een verhuizingsmelding. PostNL stelt verder in de cookieverklaring bij gegevensbestanden van Innometrics dat gegevens die de cookies verzamelen maximaal tien jaar worden bewaard. Dit is een buitenproportioneel lange termijn voor het bewaren van gegevens.