Según el RGPD, hacer un concurso y enviar marketing después son dos finalidades distintas, y cada una necesita su propia base jurídica. El consentimiento para marketing debe darse libremente, y el artículo 7, apartado 4, dice que al evaluarlo se tendrá en cuenta en la mayor medida posible si un servicio se supedita a un consentimiento que no es necesario para él. Por eso muchas marcas usan una casilla de newsletter separada y sin marcar, y dejan participar a la gente la marque o no.
Los concursos son una de las mejores formas de conseguir registros y consentimiento de marketing. También suponen recoger datos personales, a menudo de miles de personas en pocos días. Esta guía repasa las cuestiones del RGPD que hay que resolver antes del lanzamiento: la base jurídica, la cuestión de la condicionalidad, cómo pedir el consentimiento, qué informar a los participantes, cuánto tiempo guardar los datos, los datos de los ganadores y los encargados del tratamiento, con notas sobre Dinamarca y Alemania.
Este artículo es información general, no asesoramiento jurídico. Léelo como una lista de temas que revisar con tu asesor jurídico.
Dos finalidades, dos preguntas
La mayoría de los concursos tratan datos personales para al menos dos cosas:
- Gestionar el concurso. Registrar la participación, comprobar que se cumplen las normas, sortear un ganador, contactar con él y entregar el premio.
- Marketing. Enviar newsletters, SMS u ofertas después del concurso.
El RGPD enumera las bases jurídicas en el artículo 6, apartado 1, entre ellas el consentimiento (a), el tratamiento necesario para la ejecución de un contrato en el que el interesado es parte (b) y el interés legítimo (f). El Comité Europeo de Protección de Datos (CEPD) explica en sus directrices 05/2020 sobre el consentimiento que, si el tratamiento es realmente necesario para ejecutar un contrato, el consentimiento no es la base adecuada, y que consentimiento y contrato «no pueden fusionarse ni confundirse».
Qué base encaja con los datos de participación de tu concurso es una pregunta para tu asesor jurídico. Lo importante es mantener las dos finalidades separadas en tu formulario, tus textos y tus registros.
El marketing por email y SMS también está sujeto a las normas nacionales de marketing. En Dinamarca y Alemania, estas normas exigen el consentimiento previo del destinatario antes de enviar marketing por email (consulta las notas por país más abajo).
Qué significa «libremente»
El RGPD define el consentimiento como una manifestación de voluntad libre, específica, informada e inequívoca. Las directrices del CEPD dicen que «libre» implica una elección y un control reales, y que el consentimiento no es válido si la gente se siente obligada a darlo o sufre consecuencias negativas si dice que no.
El artículo 7, apartado 4 es la disposición que suele llamarse norma de condicionalidad o de vinculación:
«Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato.»
El considerando 43 añade que se presume que el consentimiento no se ha dado libremente si la ejecución de un contrato, incluida la prestación de un servicio, depende de un consentimiento que no es necesario para ella. El CEPD dice que la carga de la prueba recae en el organizador y que los casos en los que esa condicionalidad no invalidaría el consentimiento serán «muy excepcionales».
Al mismo tiempo, el CEPD dice que el RGPD «no excluye todos los incentivos», pero el organizador debe poder demostrar que el consentimiento se siguió dando libremente. Un premio es un incentivo. Si supeditar la participación al consentimiento para la newsletter va demasiado lejos es la pregunta siguiente.
¿Puedes exigir la suscripción a la newsletter para participar en un concurso?
Es una de las preguntas más habituales, y la respuesta honesta es que depende del país y de cómo esté planteado el concurso, y que las autoridades no están todas de acuerdo.
- La postura general del CEPD sobre la condicionalidad es estricta, como se cita arriba.
- En Alemania, la autoridad de protección de datos de Renania del Norte-Westfalia escribió en su informe anual de 2021 que supeditar un concurso al consentimiento para la newsletter suele infringir la norma de condicionalidad, pero que puede ser posible basar el vínculo en un contrato, si el intercambio es transparente y el concurso no se presenta como «gratuito». Un tribunal superior regional alemán (OLG Frankfurt, 6 U 6/19, 27 de junio de 2019) consideró que el consentimiento a la publicidad dado para participar en un sorteo puede ser voluntario, según resume la Federación de Organizaciones de Consumidores de Alemania (en alemán).
- En Dinamarca, la guía del Defensor del Consumidor sobre concursos y consentimiento (en danés) dice, en el marco de las normas de marketing, que puedes recompensar a un consumidor por dar su consentimiento al marketing con la participación en un concurso, siempre que quede claro que se está recogiendo un consentimiento. La misma guía dice que no cubre las normas de protección de datos y remite para ellas a la autoridad danesa de protección de datos (Datatilsynet).
Como la respuesta no está clara, muchas marcas eligen la opción que menos preguntas plantea: se puede participar sin suscribirse y la newsletter es una decisión aparte. Puede que consigas menos suscripciones por participación, pero cada consentimiento es más fácil de defender. Si quieres supeditar la participación a una suscripción, busca antes asesoramiento jurídico para cada mercado. Si haces el concurso en España, revisa también las normas españolas con un abogado.
Cómo pedir el consentimiento
Puntos prácticos, basados en el RGPD y en las directrices del CEPD:
- Usa una casilla separada que no esté premarcada. El CEPD dice que las casillas de aceptación premarcadas no son válidas según el RGPD, y que el silencio o la inactividad no son consentimiento.
- Una finalidad por consentimiento. El CEPD lo llama granularidad: si quieres consentimiento para tu newsletter y para compartir datos con un partner, pide cada uno por separado.
- Di quién, qué y cómo. Deja claro quién contactará con la gente, sobre qué y por qué canales (email, SMS).
- Facilita la retirada. El artículo 7, apartado 3 dice que se puede retirar el consentimiento en cualquier momento, que hay que informar de ello antes de que se dé y que retirarlo debe ser tan fácil como darlo.
- Poder demostrarlo. Según el artículo 7, apartado 1, debes poder demostrar que la persona dio su consentimiento. El CEPD sugiere guardar un registro de cómo y cuándo se dio el consentimiento y qué información vio la persona. El Defensor del Consumidor danés va más allá y dice que unas capturas de pantalla o una grabación de todo el proceso, desde el anuncio o la publicación hasta el consentimiento, pueden documentar lo que vio el participante.
El doble opt-in, en el que la gente confirma su email haciendo clic en un enlace, te ayuda a demostrar que la persona que participó es la titular de la dirección. Si lo necesitas depende de tu mercado; pregunta a tu asesor.
El generador de texto de consentimiento gratuito escribe el texto de la casilla, el email de doble opt-in y una línea para tu política de privacidad.
Qué informar a los participantes (artículo 13)
Cuando recoges datos directamente de las personas, el artículo 13 enumera lo que debes informarles en el momento de la recogida. En un concurso, eso suele significar:
- Quién eres y cómo contactar contigo (y con tu delegado de protección de datos, si lo tienes)
- Las finalidades y la base jurídica de cada una: el concurso y, por separado, el marketing
- Tus intereses legítimos, si te basas en ellos
- Quién recibe los datos, como tu herramienta de email o la empresa de mensajería que entrega el premio
- Cualquier transferencia fuera de la UE
- Cuánto tiempo guardas los datos, o los criterios para decidirlo
- Los derechos de las personas: acceso, rectificación, supresión, limitación, oposición, portabilidad
- El derecho a retirar el consentimiento en cualquier momento
- El derecho a presentar una reclamación ante una autoridad de control
Lo habitual es un texto breve junto al formulario, con un enlace a tu política de privacidad y a las bases. Nuestra checklist de bases legales para concursos cubre la parte del concurso.
Cuánto tiempo guardar los datos
El artículo 5, apartado 1, letra e dice que los datos personales no deben conservarse de forma que permitan identificar a las personas durante más tiempo del necesario para la finalidad. En la práctica:
- Datos de participación en el concurso: decide cuándo los borrarás una vez terminado el concurso y pasado cualquier plazo de reclamaciones.
- Consentimiento de marketing: guárdalo mientras lo uses, junto con la prueba de cómo se dio. La guía del Defensor del Consumidor danés dice que una empresa debe guardar la documentación del consentimiento mientras quiera contactar con la persona y hasta dos años después del último contacto.
- Ganadores: guarda lo que necesites para entregar el premio y responder a posibles preguntas, y después bórralo. Comprueba las normas contables y fiscales con tu gestor.
Fija las fechas de borrado antes del lanzamiento y escríbelas en tu información de privacidad.
Datos de los ganadores
Pide a los ganadores solo lo que necesitas para entregar el premio, como una dirección de entrega. Si quieres publicar el nombre del ganador, dilo en tus bases y limítalo al mínimo, como el nombre de pila y la ciudad. Consulta cómo elegir al ganador de un sorteo para anunciar a los ganadores respetando su privacidad.
Encargados del tratamiento y el contrato de encargo
Si una herramienta trata los datos de los participantes por cuenta tuya, como una plataforma de concursos, una herramienta de email o un CRM, actúa como tu encargado del tratamiento. El artículo 28, apartado 3 exige un contrato u otro acto jurídico que establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos y las obligaciones y derechos del responsable. Asegúrate de tener un contrato de encargo del tratamiento (DPA) con cada herramienta de la cadena.
Notas por país
Dinamarca
El artículo 10 de la Ley danesa de prácticas de marketing (markedsføringsloven) dice que una empresa no puede contactar con nadie por correo electrónico con fines de marketing directo sin su consentimiento previo, que hay que informar de que se puede retirar y que retirarlo debe ser fácil y gratuito. Lo cita la guía del Defensor del Consumidor sobre concursos y consentimiento, que también enumera lo que debe incluir el texto de consentimiento. La guía de Datatilsynet sobre el consentimiento (en danés) cubre la parte de protección de datos. Lee más en concursos online en Dinamarca y la UE.
Alemania
Según el artículo 7, apartado 2, número 2, de la Ley alemana contra la competencia desleal (UWG), la publicidad por email sin el consentimiento previo y expreso del destinatario es siempre una molestia inaceptable. El apartado 3 del artículo 7 tiene una excepción limitada para las direcciones que una empresa ha recibido en relación con la venta de bienes o servicios; si podría aplicarse alguna vez a una participación en un concurso es una pregunta para tu abogado. Sobre la cuestión de la condicionalidad, consulta las posturas del regulador y del tribunal citadas arriba y busca asesoramiento jurídico alemán.
Cómo te ayuda Scratcher
Ninguna herramienta puede hacer que una campaña cumpla la normativa por ti: tú decides la configuración, los textos y las bases. Scratcher te da los ajustes para hacerla como hayas decidido:
- Casillas de consentimiento con tus propios textos, y tú eliges qué campos son obligatorios, para que la newsletter pueda ser opcional
- Emails de doble opt-in (módulo de email: incluido en Professional o como complemento)
- Tus propios enlaces a las bases y a la política de privacidad en el formulario de registro
- Ajustes de borrado, para que decidas cuándo se borran los datos de los jugadores, más exportación de participaciones y ganadores
- Registros enviados a tu herramienta de email o CRM mediante integraciones nativas, Zapier, la API o webhooks
Scratcher actúa como tu encargado del tratamiento en virtud de un contrato de encargo del tratamiento, tiene la certificación ISO/IEC 27001:2022 y aloja los datos en la UE. Lee más en nuestra página de seguridad y RGPD. Para el propio concurso, consulta sorteos y concursos online y nuestra guía sobre cómo hacer un sorteo o concurso online.
Preguntas frecuentes
¿Se puede exigir la suscripción a la newsletter para participar en un concurso?
Depende del país y de la configuración, y las autoridades no están todas de acuerdo. El artículo 7, apartado 4, del RGPD y las directrices del CEPD son estrictos con supeditar un servicio a un consentimiento que no es necesario para él. La opción que menos preguntas plantea es dejar participar sin suscribirse y ofrecer la newsletter como una casilla separada y sin marcar.
¿Se permite una casilla de consentimiento premarcada?
No. Las directrices del CEPD dicen que las casillas de aceptación premarcadas no son válidas según el RGPD.
¿Un sorteo en redes sociales está sujeto al RGPD?
Sí, si recoges o usas datos personales, como nombres de usuario, direcciones de email o direcciones de entrega de los ganadores. Consulta nuestro artículo sobre las normas para sorteos en Instagram y Facebook.
¿Cuánto tiempo puedo guardar las participaciones de un concurso?
Solo mientras las necesites para la finalidad. Fija una fecha de borrado para los datos de participación después del concurso y guarda la prueba del consentimiento de marketing mientras te bases en él.
Crea concursos con el consentimiento integrado
Prueba Scratcher gratis durante 14 días, sin tarjeta de crédito, o reserva una reunión y te enseñamos a configurar el consentimiento, el doble opt-in y el borrado de datos.
Este artículo es información general, no asesoramiento jurídico. Las normas varían entre países y cambian con el tiempo, así que comprueba las normas vigentes y busca asesoramiento jurídico antes de lanzar una campaña.
