GDPR:n näkökulmasta kilpailun järjestäminen ja markkinoinnin lähettäminen sen jälkeen ovat kaksi eri käyttötarkoitusta, ja kumpikin tarvitsee oman käsittelyperusteensa. Markkinointisuostumuksen on oltava vapaaehtoinen, ja 7 artiklan 4 kohdan mukaan tätä arvioitaessa on otettava mahdollisimman tarkasti huomioon, onko palvelu tehty ehdolliseksi suostumukselle, joka ei ole sen kannalta tarpeen. Siksi moni brändi käyttää erillistä, rastittamatonta uutiskirjeruutua ja antaa ihmisten osallistua, rastittivatpa he sen tai eivät.
Kilpailut ovat yksi parhaista tavoista kerätä rekisteröitymisiä ja markkinointisuostumuksia. Ne tarkoittavat myös, että keräät henkilötietoja, usein tuhansilta ihmisiltä muutamassa päivässä. Tämä opas käy läpi GDPR-kysymykset, jotka kannattaa selvittää ennen julkaisua: käsittelyperuste, kytkentäkysymys, miten suostumusta pyydetään, mitä osallistujille kerrotaan, kauanko tietoja säilytetään, voittajien tiedot ja käsittelijät, sekä huomioita Tanskasta ja Saksasta.
Tämä artikkeli on yleistä tietoa, ei oikeudellista neuvontaa. Lue se listana aiheista, jotka käyt läpi oikeudellisen neuvonantajasi kanssa.
Kaksi käyttötarkoitusta, kaksi kysymystä
Useimmat kilpailut käsittelevät henkilötietoja ainakin kahteen tarkoitukseen:
- Kilpailun järjestäminen. Osallistumisen kirjaaminen, sääntöjen noudattamisen tarkistaminen, voittajan arvonta, yhteydenotto ja palkinnon toimittaminen.
- Markkinointi. Uutiskirjeiden, tekstiviestien tai tarjousten lähettäminen kilpailun jälkeen.
GDPR luettelee käsittelyperusteet 6 artiklan 1 kohdassa, mukaan lukien suostumus (a), sopimuksen täytäntöönpanon edellyttämä käsittely, kun henkilö on sopimuksen osapuoli (b), ja oikeutettu etu (f). Euroopan tietosuojaneuvosto (EDPB) selittää suostumusta koskevissa ohjeissaan 05/2020, että jos käsittely on tosiasiassa tarpeen sopimuksen täytäntöönpanemiseksi, suostumus ei ole oikea peruste, ja että suostumusta ja sopimusta "ei voi yhdistää ja sekoittaa".
Mikä peruste sopii kilpailusi osallistumistietoihin, on kysymys oikeudelliselle neuvonantajallesi. Tärkeintä on pitää kaksi käyttötarkoitusta erillään lomakkeessasi, teksteissäsi ja kirjauksissasi.
Sähköposti- ja tekstiviestimarkkinointia koskevat myös kansalliset markkinointisäännöt. Tanskassa ja Saksassa nämä säännöt edellyttävät vastaanottajan ennakkosuostumusta ennen markkinoinnin lähettämistä sähköpostilla (katso maakohtaiset huomiot alla).
Mitä "vapaaehtoinen" tarkoittaa
GDPR määrittelee suostumuksen vapaaehtoiseksi, yksilöidyksi, tietoiseksi ja yksiselitteiseksi. EDPB:n ohjeiden mukaan "vapaaehtoinen" edellyttää todellista valinnanvaraa ja hallintaa, eikä suostumus ole pätevä, jos ihmiset tuntevat olevansa pakotettuja suostumaan tai kärsivät kielteisiä seurauksia, jos he kieltäytyvät.
7 artiklan 4 kohta on säännös, jota kutsutaan usein kytkentäkielloksi:
"Arvioitaessa, onko suostumus annettu vapaaehtoisesti, on otettava mahdollisimman tarkasti huomioon muun muassa se, onko sopimuksen täytäntöönpano, palvelujen tarjoaminen mukaan lukien, ehdollinen sellaiseen henkilötietojen käsittelyä koskevaan suostumukseen, joka ei ole tarpeen kyseisen sopimuksen täytäntöönpanemiseksi."
Johdanto-osan 43 kappale lisää, että suostumuksen ei oleteta olevan vapaaehtoinen, jos sopimuksen täytäntöönpano, palvelun tarjoaminen mukaan lukien, on riippuvainen suostumuksesta, joka ei ole sen kannalta tarpeen. EDPB:n mukaan todistustaakka on järjestäjällä, ja tapaukset, joissa tällainen ehdollisuus ei tekisi suostumuksesta pätemätöntä, ovat "hyvin poikkeuksellisia".
Samalla EDPB toteaa, että GDPR "ei estä kaikkia kannustimia", mutta järjestäjän on pystyttävä osoittamaan, että suostumus annettiin silti vapaaehtoisesti. Palkinto on kannustin. Meneekö osallistumisen sitominen uutiskirjesuostumukseen liian pitkälle, on alla käsiteltävä kysymys.
Voiko uutiskirjeen tilaamisen vaatia kilpailun ehtona?
Tämä on yksi yleisimmistä kysymyksistä, ja rehellinen vastaus on, että se riippuu maasta ja kilpailun toteutuksesta, eivätkä viranomaiset ole kaikki samaa mieltä.
- EDPB:n yleinen kanta ehdollisuuteen on tiukka, kuten yllä lainattiin.
- Saksassa Nordrhein-Westfalenin tietosuojaviranomainen kirjoitti vuoden 2021 vuosikertomuksessaan, että kilpailun sitominen uutiskirjesuostumukseen rikkoo yleensä kytkentäkieltoa, mutta että kytkös voi olla mahdollista perustaa sen sijaan sopimukseen, jos vaihtokauppa on läpinäkyvä eikä kilpailua esitetä "ilmaisena". Saksalainen hovioikeus (OLG Frankfurt, 6 U 6/19, 27.6.2019) katsoi, että arvontaan osallistumiseksi annettu suostumus mainontaan voi olla vapaaehtoinen, kuten Saksan kuluttajajärjestöjen liitto (saksaksi) tiivistää.
- Tanskassa kuluttaja-asiamiehen ohje kilpailuista ja suostumuksesta (tanskaksi) sanoo markkinointisääntöjen osalta, että kuluttajaa saa palkita markkinointisuostumuksen antamisesta osallistumisella kilpailuun, kunhan on selvää, että suostumusta kerätään. Sama ohje toteaa, ettei se kata tietosuojasääntöjä, ja viittaa niiden osalta Tanskan tietosuojaviranomaiseen (Datatilsynet).
Koska vastaus ei ole vakiintunut, moni brändi valitsee vaihtoehdon, joka herättää vähiten kysymyksiä: ihmiset voivat osallistua tilaamatta, ja uutiskirje on erillinen valinta. Saatat saada vähemmän tilauksia osallistumista kohden, mutta jokainen suostumus on helpompi puolustaa. Jos haluat sitoa osallistumisen tilaukseen, hanki ensin oikeudellista neuvontaa jokaisesta markkinasta. Suomen osalta kysy juristiltasi.
Näin pyydät suostumusta
Käytännön huomioita GDPR:n ja EDPB:n ohjeiden pohjalta:
- Käytä erillistä valintaruutua, jota ei ole rastitettu valmiiksi. EDPB:n mukaan valmiiksi rastitetut suostumusruudut ovat GDPR:n nojalla pätemättömiä, eikä vaikeneminen tai toimettomuus ole suostumus.
- Yksi käyttötarkoitus per suostumus. EDPB kutsuu tätä eriyttämiseksi: jos haluat suostumuksen sekä uutiskirjeeseen että tietojen jakamiseen kumppanille, pyydä kumpaakin erikseen.
- Kerro kuka, mitä ja miten. Tee selväksi, kuka ottaa yhteyttä, mistä aiheesta ja mitä kanavia pitkin (sähköposti, tekstiviesti).
- Tee peruuttamisesta helppoa. 7 artiklan 3 kohdan mukaan ihmiset voivat peruuttaa suostumuksensa milloin tahansa, heille on kerrottava tästä ennen suostumuksen antamista, ja peruuttamisen on oltava yhtä helppoa kuin suostumuksen antamisen.
- Pysty osoittamaan se. 7 artiklan 1 kohdan mukaan sinun on pystyttävä osoittamaan, että henkilö on antanut suostumuksensa. EDPB ehdottaa kirjaamaan, miten ja milloin suostumus annettiin ja mitä tietoja henkilö näki. Tanskan kuluttaja-asiamies menee pidemmälle ja sanoo, että kuvakaappaukset tai tallenne koko polusta mainoksesta tai postauksesta suostumukseen voivat dokumentoida, mitä osallistuja näki.
Kaksivaiheinen vahvistus (double opt-in), jossa ihmiset vahvistavat sähköpostiosoitteensa klikkaamalla linkkiä, auttaa osoittamaan, että osallistuja omistaa osoitteen. Tarvitsetko sitä, riippuu markkinastasi; kysy neuvonantajaltasi.
Ilmainen suostumustekstin generaattori kirjoittaa valintaruudun tekstin, kaksivaiheisen vahvistuksen sähköpostin ja rivin tietosuojaselosteeseesi.
Mitä osallistujille kerrotaan (13 artikla)
Kun keräät tietoja suoraan ihmisiltä, 13 artikla luettelee, mitä heille on kerrottava keräämisen yhteydessä. Kilpailussa se tarkoittaa tyypillisesti:
- Kuka olet ja miten sinuun saa yhteyden (ja tietosuojavastaavaasi, jos sinulla on sellainen)
- Käyttötarkoitukset ja kunkin käsittelyperuste: kilpailu ja erikseen markkinointi
- Oikeutetut etusi, jos nojaat niihin
- Kuka tiedot vastaanottaa, kuten sähköpostityökalusi tai palkinnon kuljetusyhtiö
- Mahdolliset siirrot EU:n ulkopuolelle
- Kuinka kauan tietoja säilytetään tai säilytysajan määrittämisen kriteerit
- Ihmisten oikeudet: pääsy tietoihin, oikaisu, poistaminen, käsittelyn rajoittaminen, vastustaminen, siirrettävyys
- Oikeus peruuttaa suostumus milloin tahansa
- Oikeus tehdä valitus valvontaviranomaiselle
Lyhyt teksti lomakkeen vieressä ja linkki tietosuojaselosteeseen ja sääntöihin on tavallinen tapa. Kilpailusääntöjen tarkistuslistamme kattaa kilpailupuolen.
Kuinka kauan tietoja säilytetään
5 artiklan 1 kohdan e alakohdan mukaan henkilötietoja ei saa säilyttää tunnistettavassa muodossa pidempään kuin käyttötarkoituksen kannalta on tarpeen. Käytännössä:
- Kilpailun osallistumistiedot: päätä, milloin poistat ne kilpailun päätyttyä ja mahdollisen valitusajan umpeuduttua.
- Markkinointisuostumus: säilytä se niin kauan kuin käytät sitä, sekä todiste siitä, miten se annettiin. Tanskan kuluttaja-asiamiehen ohjeen mukaan yrityksen tulee säilyttää suostumuksen dokumentaatio niin kauan kuin se haluaa ottaa yhteyttä henkilöön ja kaksi vuotta viimeisen yhteydenoton jälkeen.
- Voittajat: säilytä se, mitä tarvitset palkinnon toimittamiseen ja kysymysten käsittelyyn, ja poista sitten. Tarkista kirjanpito- ja verosäännöt kirjanpitäjäsi kanssa.
Aseta poistopäivät ennen julkaisua ja kirjoita ne tietosuojatietoihisi.
Voittajien tiedot
Pyydä voittajilta vain se, mitä tarvitset palkinnon toimittamiseen, kuten toimitusosoite. Jos haluat julkaista voittajan nimen, kerro siitä säännöissäsi ja pidä se minimissä, kuten etunimi ja paikkakunta. Katso arvonnan voittajan valitseminen voittajien julkistamisesta yksityisyys huomioiden.
Käsittelijät ja tietojenkäsittelysopimus
Jos työkalu käsittelee osallistujatietoja puolestasi, kuten kilpailualusta, sähköpostityökalu tai CRM, se toimii käsittelijänäsi. 28 artiklan 3 kohta edellyttää sopimusta tai muuta oikeudellista asiakirjaa, jossa määritellään käsittelyn kohde, kesto, luonne ja tarkoitus, henkilötietojen tyyppi sekä rekisterinpitäjän velvollisuudet ja oikeudet. Varmista, että sinulla on tietojenkäsittelysopimus (DPA) jokaisen ketjun työkalun kanssa.
Maakohtaiset huomiot
Tanska
Tanskan markkinointilain (markedsføringsloven) 10 §:n mukaan yritys ei saa ottaa keneenkään yhteyttä sähköisesti suoramarkkinointitarkoituksessa ilman tämän ennakkosuostumusta, ihmisille on kerrottava, että he voivat peruuttaa sen, ja peruuttamisen on oltava helppoa ja maksutonta. Säännöstä lainataan kuluttaja-asiamiehen ohjeessa kilpailuista ja suostumuksesta, joka myös luettelee, mitä suostumustekstissä pitäisi olla. Datatilsynetin suostumusta koskeva ohje (tanskaksi) käsittelee tietosuojapuolta. Lue lisää artikkelista verkkokilpailut Tanskassa ja EU:ssa.
Saksa
Saksan sopimatonta kilpailua koskevan lain (UWG) 7 §:n 2 momentin 2 kohdan mukaan mainonta sähköpostilla ilman vastaanottajan nimenomaista ennakkosuostumusta on aina kohtuutonta häirintää. 7 §:n 3 momentissa on suppea poikkeus osoitteille, jotka yritys on saanut tavaroiden tai palveluiden myynnin yhteydessä; voisiko se koskaan soveltua kilpailuun osallistumiseen, on kysymys juristillesi. Kytkentäkysymyksestä katso yllä olevat viranomaisen ja tuomioistuimen kannat ja hanki saksalaista oikeudellista neuvontaa.
Näin Scratcher tukee tätä
Mikään työkalu ei voi tehdä kampanjasta vaatimustenmukaista puolestasi: sinä päätät toteutuksen, tekstit ja säännöt. Scratcher antaa asetukset sen toteuttamiseen niin kuin olet päättänyt:
- Suostumusruudut omilla teksteilläsi, ja valitset pakolliset kentät, joten uutiskirje voi olla valinnainen
- Kaksivaiheisen vahvistuksen sähköpostit (sähköpostimoduuli: sisältyy Professional-pakettiin tai saatavilla lisäosana)
- Omat sääntö- ja tietosuojalinkkisi rekisteröitymislomakkeessa
- Poistoasetukset, joten päätät, milloin pelaajien tiedot poistetaan, sekä osallistujien ja voittajien vienti
- Rekisteröitymiset sähköpostityökaluusi tai CRM:ään natiivien integraatioiden, Zapierin, API:n tai webhookien kautta
Scratcher toimii käsittelijänäsi tietojenkäsittelysopimuksen nojalla, sillä on ISO/IEC 27001:2022 -sertifiointi, ja data säilytetään EU:ssa. Lue lisää tietoturva- ja GDPR-sivultamme. Itse kilpailusta katso verkkokilpailut ja arvonnat ja oppaamme näin järjestät kilpailun verkossa.
Usein kysyttyä
Voiko uutiskirjeen tilaamisen vaatia kilpailuun osallistumisen ehtona?
Se riippuu maasta ja toteutuksesta, eivätkä viranomaiset ole kaikki samaa mieltä. GDPR:n 7 artiklan 4 kohta ja EDPB:n ohjeet suhtautuvat tiukasti siihen, että palvelu sidotaan suostumukseen, jota ei tarvita sen tarjoamiseen. Vähiten kysymyksiä herättävä vaihtoehto on antaa ihmisten osallistua tilaamatta ja tarjota uutiskirjettä erillisenä, rastittamattomana valintaruutuna.
Onko valmiiksi rastitettu suostumusruutu sallittu?
Ei. EDPB:n ohjeiden mukaan valmiiksi rastitetut suostumusruudut ovat GDPR:n nojalla pätemättömiä.
Koskeeko GDPR somessa järjestettävää arvontaa?
Kyllä, jos keräät tai käytät henkilötietoja, kuten käyttäjänimiä, sähköpostiosoitteita tai voittajien toimitusosoitteita. Katso artikkelimme Instagram- ja Facebook-arvonnan säännöistä.
Kuinka kauan voin säilyttää kilpailun osallistumiset?
Vain niin kauan kuin tarvitset niitä käyttötarkoitukseen. Aseta osallistumistiedoille poistopäivä kilpailun jälkeen ja säilytä todiste markkinointisuostumuksesta niin kauan kuin nojaat siihen.
Rakenna kilpailuja, joissa suostumus on sisäänrakennettu
Kokeile Scratcheria ilmaiseksi 14 päivää ilman luottokorttia tai varaa tapaaminen, niin näytämme, miten suostumus, kaksivaiheinen vahvistus ja poistaminen määritetään.
Tämä artikkeli on yleistä tietoa, ei oikeudellista neuvontaa. Säännöt vaihtelevat maittain ja muuttuvat ajan myötä, joten tarkista voimassa olevat säännöt ja hanki oikeudellista neuvontaa ennen kampanjan julkaisua.
