Soutěže a GDPR: souhlas, přihlášky k newsletteru a data

Podle GDPR jsou pořádání soutěže a následné zasílání marketingu dva různé účely a každý potřebuje vlastní právní základ. Souhlas s marketingem musí být svobodný a čl. 7 odst. 4 říká, že při jeho posuzování je třeba co nejvíce zohlednit, zda je služba podmíněna souhlasem, který pro ni není nutný. Proto mnoho značek používá samostatné, nezaškrtnuté políčko pro newsletter a nechává lidi soutěžit bez ohledu na to, zda ho zaškrtnou.

Soutěže patří k nejlepším způsobům, jak získat registrace a marketingový souhlas. Znamenají ale také, že shromažďujete osobní údaje, často od tisíců lidí během pár dní. Tento průvodce projde otázky GDPR, které je třeba vyřešit před spuštěním: právní základ, otázku podmiňování, jak žádat o souhlas, co sdělit účastníkům, jak dlouho uchovávat data, údaje výherců a zpracovatele, s poznámkami pro Dánsko a Německo.

Tento článek je obecná informace, nikoli právní poradenství. Čtěte ho jako seznam témat, která projdete se svým právním poradcem.

Dva účely, dvě otázky

Většina soutěží zpracovává osobní údaje minimálně ke dvěma věcem:

1. Pořádání soutěže. Registrace účasti, kontrola dodržování pravidel, losování výherce, jeho kontaktování a doručení výhry.
2. Marketing. Zasílání newsletterů, SMS nebo nabídek po skončení soutěže.

GDPR vyjmenovává právní základy v čl. 6 odst. 1, mimo jiné souhlas (písm. a), zpracování nezbytné pro splnění smlouvy, jejíž stranou je subjekt údajů (písm. b), a oprávněné zájmy (písm. f). Evropský sbor pro ochranu osobních údajů (EDPB) ve svých pokynech 05/2020 k souhlasu vysvětluje, že pokud je zpracování skutečně nezbytné pro plnění smlouvy, souhlas není vhodným základem a že souhlas a smlouvu „nelze slučovat a zamlžovat“.

Který základ se hodí pro údaje z účasti ve vaší soutěži, je otázka pro vašeho právního poradce. Důležité je držet oba účely odděleně ve formuláři, v textech i v záznamech.

Marketing e-mailem a SMS upravují také národní marketingová pravidla. V Dánsku a Německu tato pravidla vyžadují předchozí souhlas příjemce, než mu pošlete marketing e-mailem (viz poznámky k zemím níže). Pravidla v České republice si ověřte u právníka.

Co znamená „svobodný“

GDPR definuje souhlas jako svobodný, konkrétní, informovaný a jednoznačný. Pokyny EDPB říkají, že „svobodný“ znamená skutečnou volbu a kontrolu a že souhlas není platný, pokud se lidé cítí k souhlasu nuceni nebo pokud by jim odmítnutí přineslo negativní důsledky.

Čl. 7 odst. 4 je ustanovení, kterému se často říká pravidlo o podmiňování (coupling):

„Při posuzování toho, zda je souhlas svobodný, musí být co nejvíce zohledněna skutečnost, zda je mimo jiné plnění smlouvy, včetně poskytnutí služby, podmíněno souhlasem se zpracováním osobních údajů, které není pro plnění dané smlouvy nutné.“

Bod odůvodnění 43 dodává, že souhlas se nepovažuje za svobodný, pokud plnění smlouvy, včetně poskytnutí služby, závisí na souhlasu, který k němu není nutný. EDPB uvádí, že důkazní břemeno nese pořadatel a že případy, kdy by takové podmínění souhlas nezneplatnilo, budou „zcela výjimečné“.

EDPB zároveň říká, že GDPR „nevylučuje veškeré pobídky“, ale pořadatel musí být schopen prokázat, že souhlas byl i tak svobodný. Výhra je pobídka. Zda podmínění účasti souhlasem s newsletterem zachází příliš daleko, je otázka níže.

Můžete účast v soutěži podmínit přihlášením k newsletteru?

To je jedna z nejčastějších otázek a upřímná odpověď zní, že záleží na zemi a na nastavení soutěže a že se úřady neshodují.

• Obecný pohled EDPB na podmiňování je přísný, jak je citováno výše.
• V Německu napsal úřad pro ochranu osobních údajů spolkové země Severní Porýní-Vestfálsko ve své výroční zprávě za rok 2021, že podmínění soutěže souhlasem s newsletterem obvykle porušuje pravidlo o podmiňování, ale že může být možné založit toto propojení na smlouvě, pokud je výměna transparentní a soutěž se neprezentuje jako „zdarma“. Německý odvolací soud (OLG Frankfurt, 6 U 6/19, 27. června 2019) shledal, že souhlas s reklamou udělený za účelem účasti v losování může být dobrovolný, jak shrnuje Spolková federace spotřebitelských organizací (v němčině).
• V Dánsku uvádějí pokyny dánského spotřebitelského ombudsmana k soutěžím a souhlasu (v dánštině), že podle marketingových pravidel smíte spotřebitele za udělení souhlasu s marketingem odměnit účastí v soutěži, pokud je jasné, že se souhlas shromažďuje. Tytéž pokyny uvádějí, že se nevztahují na pravidla ochrany osobních údajů, a v tomto ohledu odkazují na dánský úřad pro ochranu osobních údajů (Datatilsynet).

Protože odpověď není ustálená, mnoho značek volí možnost, která vyvolává nejméně otázek: lidé se mohou zapojit bez přihlášení a newsletter je samostatná volba. Na jednu účast možná získáte méně přihlášek, ale každý souhlas se snáz obhájí. Pokud chcete účast přihlášením podmínit, nechte si nejprve poradit pro každý trh.

Jak žádat o souhlas

Praktické body vycházející z GDPR a pokynů EDPB:

• Použijte samostatné políčko, které není předem zaškrtnuté. EDPB uvádí, že předem zaškrtnutá políčka jsou podle GDPR neplatná a mlčení nebo nečinnost nejsou souhlasem.
• Jeden účel na jeden souhlas. EDPB tomu říká granularita: pokud chcete souhlas s newsletterem i se sdílením údajů s partnerem, žádejte o každý zvlášť.
• Uveďte kdo, co a jak. Jasně řekněte, kdo bude lidi kontaktovat, o čem a jakými kanály (e-mail, SMS).
• Usnadněte odvolání. Čl. 7 odst. 3 říká, že lidé mohou souhlas kdykoli odvolat, musí o tom být informováni před udělením souhlasu a odvolat souhlas musí být stejně snadné jako ho udělit.
• Mějte to doložitelné. Podle čl. 7 odst. 1 musíte být schopni prokázat, že člověk souhlas udělil. EDPB doporučuje uchovávat záznam o tom, jak a kdy byl souhlas udělen a jaké informace člověk viděl. Dánský spotřebitelský ombudsman jde dál a uvádí, že snímky obrazovky nebo záznam celého procesu, od reklamy nebo příspěvku až po souhlas, mohou doložit, co účastník viděl.

Double opt-in, kdy lidé potvrdí svou e-mailovou adresu kliknutím na odkaz, vám pomůže prokázat, že adresa patří tomu, kdo se zapojil. Zda ho potřebujete, závisí na trhu; zeptejte se svého poradce.

Bezplatný generátor textu souhlasu napíše text zaškrtávacího políčka, e-mail pro double opt-in a větu do vašich zásad ochrany osobních údajů.

Co sdělit účastníkům (článek 13)

Když údaje shromažďujete přímo od lidí, článek 13 vyjmenovává, co jim musíte sdělit v okamžiku shromáždění. U soutěže to obvykle znamená:

• Kdo jste a jak vás kontaktovat (a vašeho pověřence pro ochranu osobních údajů, pokud ho máte)
• Účely a právní základ pro každý z nich: soutěž a odděleně marketing
• Vaše oprávněné zájmy, pokud se o ně opíráte
• Kdo údaje dostane, například váš e-mailový nástroj nebo kurýr s výhrou
• Případné předávání mimo EU
• Jak dlouho údaje uchováváte, nebo kritéria pro určení této doby
• Práva lidí: přístup, oprava, výmaz, omezení, námitka, přenositelnost
• Právo kdykoli odvolat souhlas
• Právo podat stížnost u dozorového úřadu

Obvyklým řešením je krátký text u formuláře s odkazem na zásady ochrany osobních údajů a pravidla. Soutěžní stránku věci pokrývá náš kontrolní seznam pravidel soutěže.

Jak dlouho uchovávat data

Čl. 5 odst. 1 písm. e) říká, že osobní údaje nesmí být uchovávány ve formě umožňující identifikaci déle, než je nezbytné pro daný účel. V praxi:

• Údaje z účasti v soutěži: rozhodněte, kdy je po skončení soutěže a uplynutí lhůty pro případné reklamace smažete.
• Marketingový souhlas: uchovávejte ho, dokud ho využíváte, spolu s doklady o tom, jak byl udělen. Pokyny dánského spotřebitelského ombudsmana uvádějí, že firma by měla uchovávat dokumentaci souhlasu po dobu, kdy chce člověka kontaktovat, a ještě dva roky po posledním kontaktu.
• Výherci: uchovávejte to, co potřebujete k doručení výhry a vyřízení případných dotazů, a pak to smažte. Pravidla účetnictví a daní si ověřte u svého účetního.

Data výmazu nastavte před spuštěním a uveďte je v informacích o ochraně osobních údajů.

Údaje výherců

Od výherců žádejte jen to, co potřebujete k doručení výhry, například doručovací adresu. Pokud chcete zveřejnit jméno výherce, uveďte to v pravidlech a omezte se na minimum, například křestní jméno a město. Jak oznamovat výherce s ohledem na soukromí, najdete v článku jak vybrat výherce soutěže.

Zpracovatelé a smlouva o zpracování

Pokud s údaji účastníků pracuje vaším jménem nějaký nástroj, například soutěžní platforma, e-mailový nástroj nebo CRM, jedná jako váš zpracovatel. Čl. 28 odst. 3 vyžaduje smlouvu nebo jiný právní akt, který stanoví předmět, dobu trvání, povahu a účel zpracování, typ osobních údajů a povinnosti a práva správce. Ověřte si, že máte smlouvu o zpracování osobních údajů (DPA) s každým nástrojem v řetězci.

Poznámky k zemím

Dánsko

§ 10 dánského zákona o marketingových praktikách (markedsføringsloven) říká, že firma nesmí nikoho kontaktovat elektronickou poštou za účelem přímého marketingu bez jeho předchozího souhlasu, že lidé musí být informováni o možnosti souhlas odvolat a že odvolání musí být snadné a bezplatné. Je citován v pokynech spotřebitelského ombudsmana k soutěžím a souhlasu, které také uvádějí, co by měl text souhlasu obsahovat. Stránku ochrany osobních údajů pokrývají pokyny úřadu Datatilsynet k souhlasu (v dánštině). Více v článku pořádání online soutěží v Dánsku a EU.

Německo

Podle § 7 odst. 2 bodu 2 německého zákona proti nekalé soutěži (UWG) je reklama e-mailem bez předchozího výslovného souhlasu příjemce vždy nepřiměřeným obtěžováním. § 7 odst. 3 obsahuje úzkou výjimku pro adresy, které firma získala v souvislosti s prodejem zboží nebo služeb; zda by se kdy mohla vztahovat na účast v soutěži, je otázka pro vašeho právníka. K otázce podmiňování viz postoje úřadu a soudu výše a nechte si poradit od německého právníka.

Jak to podporuje Scratcher

Žádný nástroj za vás kampaň v souladu s předpisy nezajistí: o nastavení, textech a pravidlech rozhodujete vy. Scratcher vám dává nastavení, abyste ji mohli vést tak, jak jste se rozhodli:

• Políčka pro souhlas s vlastními texty a volba, která pole jsou povinná, takže newsletter může být nepovinný
• Double opt-in e-maily (e-mailový modul: součást tarifu Professional, nebo jako doplněk)
• Vlastní odkazy na pravidla a zásady ochrany osobních údajů v přihlašovacím formuláři
• Nastavení výmazu, takže rozhodujete, kdy se údaje hráčů smažou, plus export účastí a výherců
• Registrace odesílané do e-mailového nástroje nebo CRM přes nativní integrace, Zapier, API nebo webhooky

Scratcher jedná jako váš zpracovatel na základě smlouvy o zpracování osobních údajů, má certifikaci ISO/IEC 27001:2022 a data hostuje v EU. Více na naší stránce o bezpečnosti a GDPR. K samotné soutěži viz online soutěže a giveaway a náš průvodce jak uspořádat online soutěž.

Časté otázky

Lze účast v soutěži podmínit přihlášením k newsletteru?

Záleží na zemi a na nastavení a úřady se neshodují. Čl. 7 odst. 4 GDPR a pokyny EDPB jsou přísné vůči podmiňování služby souhlasem, který pro ni není nutný. Možnost s nejmenším počtem otázek je nechat lidi soutěžit bez přihlášení a newsletter nabídnout jako samostatné, nezaškrtnuté políčko.

Je povoleno předem zaškrtnuté políčko pro souhlas?

Ne. Pokyny EDPB uvádějí, že předem zaškrtnutá políčka jsou podle GDPR neplatná.

Spadá soutěž na sociálních sítích pod GDPR?

Ano, pokud shromažďujete nebo používáte osobní údaje, například uživatelská jména, e-mailové adresy nebo doručovací adresy výherců. Viz náš článek o pravidlech soutěží na Instagramu a Facebooku.

Jak dlouho mohu uchovávat účasti v soutěži?

Jen tak dlouho, jak je potřebujete pro daný účel. Stanovte datum výmazu údajů z účasti po skončení soutěže a doklady o marketingovém souhlasu uchovávejte, dokud se o něj opíráte.

Vytvářejte soutěže s vestavěným souhlasem

Vyzkoušejte Scratcher 14 dní zdarma, bez platební karty, nebo si domluvte schůzku a ukážeme vám, jak nastavit souhlas, double opt-in a výmaz.

Tento článek je obecná informace, nikoli právní poradenství. Pravidla se mezi zeměmi liší a v čase mění, proto si před spuštěním kampaně ověřte aktuální pravidla a nechte si poradit od právníka.