Jeux concours et RGPD : consentement, inscriptions à la newsletter et données

Au sens du RGPD, organiser un jeu concours et envoyer du marketing ensuite sont deux finalités différentes, et chacune a besoin de sa propre base légale. Le consentement au marketing doit être libre, et l’article 7, paragraphe 4, précise que, pour en juger, il y a lieu de tenir le plus grand compte du fait qu’un service soit ou non subordonné à un consentement qui n’est pas nécessaire à ce service. C’est pourquoi beaucoup de marques utilisent une case newsletter séparée et non cochée, et laissent les gens participer qu’ils la cochent ou non.

Les jeux concours sont l’un des meilleurs moyens de recueillir des inscriptions et des consentements marketing. Ils impliquent aussi de collecter des données personnelles, souvent auprès de milliers de personnes en quelques jours. Ce guide passe en revue les questions RGPD à traiter avant le lancement : base légale, question du couplage, manière de demander le consentement, informations aux participants, durée de conservation, données des gagnants et sous-traitants, avec des notes pour le Danemark et l’Allemagne.

Cet article est une information générale, pas un conseil juridique. Lisez-le comme une liste de sujets à aborder avec votre conseil juridique.

Deux finalités, deux questions

La plupart des jeux concours traitent des données personnelles pour au moins deux choses :

1. L’organisation du jeu concours. Enregistrer la participation, vérifier que les règles sont respectées, tirer au sort un gagnant, le contacter et lui remettre le lot.
2. Le marketing. Envoyer des newsletters, des SMS ou des offres après le jeu concours.

Le RGPD énumère les bases légales à l’article 6, paragraphe 1, dont le consentement (a), le traitement nécessaire à l’exécution d’un contrat auquel la personne est partie (b) et les intérêts légitimes (f). Le Comité européen de la protection des données (CEPD) explique dans ses lignes directrices 05/2020 sur le consentement que si un traitement est réellement nécessaire à l’exécution d’un contrat, le consentement n’est pas la base appropriée, et que consentement et contrat ne peuvent pas être fusionnés ni confondus.

La base qui convient aux données de participation de votre jeu concours est une question pour votre conseil juridique. L’important est de bien séparer les deux finalités dans votre formulaire, vos textes et vos registres.

Le marketing par e-mail et par SMS relève aussi des règles nationales sur le marketing. Au Danemark et en Allemagne, ces règles exigent le consentement préalable du destinataire avant tout envoi de marketing par e-mail (voir les notes par pays ci-dessous). Pour la France, vérifiez les règles avec un avocat.

Ce que signifie « libre »

Le RGPD définit le consentement comme une manifestation de volonté libre, spécifique, éclairée et univoque. Les lignes directrices du CEPD précisent que « libre » implique un choix et un contrôle réels, et que le consentement n’est pas valable si les gens se sentent contraints de consentir ou subissent des conséquences négatives s’ils refusent.

L’article 7, paragraphe 4 est la disposition souvent appelée règle du couplage :

« Au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l’exécution d’un contrat, y compris la fourniture d’un service, est subordonnée au consentement au traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat. »

Le considérant 43 ajoute que le consentement est présumé ne pas avoir été donné librement si l’exécution d’un contrat, y compris la prestation d’un service, est subordonnée à un consentement qui n’est pas nécessaire à cette exécution. Le CEPD précise que la charge de la preuve incombe à l’organisateur, et que les cas où une telle condition ne rendrait pas le consentement invalide seront très exceptionnels.

En même temps, le CEPD indique que le RGPD n’exclut pas toute forme d’incitation, mais que l’organisateur doit pouvoir démontrer que le consentement a tout de même été donné librement. Un lot est une incitation. La question de savoir si subordonner la participation au consentement à la newsletter va trop loin est traitée ci-dessous.

Peut-on exiger une inscription à la newsletter pour participer à un jeu concours ?

C’est l’une des questions les plus fréquentes, et la réponse honnête est que cela dépend du pays et de la façon dont le jeu concours est organisé, et que les autorités ne sont pas toutes d’accord.

• La position générale du CEPD sur la conditionnalité est stricte, comme cité ci-dessus.
• En Allemagne, l’autorité de protection des données de Rhénanie-du-Nord-Westphalie a écrit dans son rapport annuel 2021 que subordonner un jeu concours au consentement à la newsletter enfreint généralement la règle du couplage, mais qu’il peut être possible de fonder ce lien sur un contrat, si l’échange est transparent et que le jeu concours n’est pas présenté comme « gratuit ». Une cour d’appel allemande (OLG Frankfurt, 6 U 6/19, 27 juin 2019) a jugé qu’un consentement à la publicité donné pour participer à un tirage au sort peut être volontaire, comme le résume la Fédération des associations de consommateurs allemandes (en allemand).
• Au Danemark, les lignes directrices du médiateur des consommateurs sur les jeux concours et le consentement (en danois) indiquent, au regard des règles de marketing, que l’on peut récompenser un consommateur qui donne son consentement au marketing par une participation à un jeu concours, à condition qu’il soit clair qu’un consentement est recueilli. Les mêmes lignes directrices précisent qu’elles ne couvrent pas les règles de protection des données et renvoient pour celles-ci à l’autorité danoise de protection des données (Datatilsynet).

Comme la réponse n’est pas tranchée, beaucoup de marques choisissent l’option qui soulève le moins de questions : on peut participer sans s’inscrire, et la newsletter est un choix séparé. Vous obtiendrez peut-être moins d’inscriptions par participation, mais chaque consentement est plus facile à défendre. Si vous voulez subordonner la participation à une inscription, demandez d’abord un avis juridique pour chaque marché.

Comment demander le consentement

Des points pratiques, fondés sur le RGPD et les lignes directrices du CEPD :

• Utilisez une case séparée et non pré-cochée. Le CEPD indique que les cases d’acceptation pré-cochées ne sont pas valables au regard du RGPD, et que le silence ou l’inactivité ne valent pas consentement.
• Une finalité par consentement. Le CEPD parle de granularité : si vous voulez un consentement pour votre newsletter et pour le partage de données avec un partenaire, demandez-les séparément.
• Dites qui, quoi et comment. Indiquez clairement qui contactera les gens, à quel sujet et par quels canaux (e-mail, SMS).
• Rendez le retrait facile. L’article 7, paragraphe 3 prévoit que les personnes peuvent retirer leur consentement à tout moment, doivent en être informées avant de consentir, et qu’il doit être aussi simple de retirer que de donner son consentement.
• Soyez en mesure de le prouver. Selon l’article 7, paragraphe 1, vous devez pouvoir démontrer que la personne a consenti. Le CEPD suggère de garder une trace de la manière et du moment où le consentement a été donné et des informations que la personne a vues. Le médiateur des consommateurs danois va plus loin et indique que des captures d’écran ou un enregistrement de tout le parcours, de la publicité ou de la publication jusqu’au consentement, peuvent documenter ce que le participant a vu.

Le double opt-in, où les gens confirment leur adresse e-mail en cliquant sur un lien, vous aide à montrer que la personne qui a participé est bien titulaire de l’adresse. Savoir si vous en avez besoin dépend de votre marché ; demandez à votre conseil.

Le générateur de texte de consentement gratuit rédige le texte de la case à cocher, l’e-mail de double opt-in et une ligne pour votre politique de confidentialité.

Ce qu’il faut dire aux participants (article 13)

Quand vous collectez des données directement auprès des personnes, l’article 13 liste ce que vous devez leur indiquer au moment de la collecte. Pour un jeu concours, cela signifie généralement :

• Qui vous êtes et comment vous contacter (ainsi que votre délégué à la protection des données, si vous en avez un)
• Les finalités et la base légale de chacune : le jeu concours et, séparément, le marketing
• Vos intérêts légitimes, si vous vous fondez sur eux
• Qui reçoit les données, comme votre outil e-mail ou le transporteur des lots
• Tout transfert hors de l’UE
• La durée de conservation des données, ou les critères pour la déterminer
• Les droits des personnes : accès, rectification, effacement, limitation, opposition, portabilité
• Le droit de retirer son consentement à tout moment
• Le droit d’introduire une réclamation auprès d’une autorité de contrôle

Un court texte à côté du formulaire, avec un lien vers votre politique de confidentialité et votre règlement, est la méthode habituelle. Notre checklist du règlement de jeu concours couvre le volet jeu concours.

Combien de temps conserver les données

L’article 5, paragraphe 1, point e) prévoit que les données personnelles ne doivent pas être conservées sous une forme permettant l’identification plus longtemps que nécessaire au regard de la finalité. En pratique :

• Données de participation au jeu concours : décidez quand vous les supprimerez après la fin du jeu et l’expiration d’un éventuel délai de réclamation.
• Consentement marketing : conservez-le tant que vous l’utilisez, avec la preuve de la manière dont il a été donné. Les lignes directrices du médiateur des consommateurs danois indiquent qu’une entreprise doit conserver la documentation du consentement aussi longtemps qu’elle souhaite contacter la personne et jusqu’à deux ans après le dernier contact.
• Gagnants : conservez ce dont vous avez besoin pour remettre le lot et traiter d’éventuelles questions, puis supprimez-le. Vérifiez les règles comptables et fiscales avec votre expert-comptable.

Fixez les dates de suppression avant le lancement, et indiquez-les dans vos informations de confidentialité.

Données des gagnants

Ne demandez aux gagnants que ce qui est nécessaire pour remettre le lot, comme une adresse de livraison. Si vous voulez publier le nom du gagnant, indiquez-le dans votre règlement et limitez-vous au minimum, comme le prénom et la ville. Consultez comment désigner le gagnant d’un jeu concours pour annoncer les gagnants en respectant leur vie privée.

Sous-traitants et DPA

Si un outil traite des données de participants pour votre compte, comme une plateforme de jeux concours, un outil e-mail ou un CRM, il agit en tant que sous-traitant. L’article 28, paragraphe 3 exige un contrat ou un autre acte juridique qui définit l’objet, la durée, la nature et la finalité du traitement, les types de données ainsi que les obligations et les droits du responsable du traitement. Assurez-vous d’avoir un accord de traitement des données (DPA) avec chaque outil de la chaîne.

Notes par pays

Danemark

L’article 10 de la loi danoise sur les pratiques commerciales (markedsføringsloven) prévoit qu’une entreprise ne peut pas contacter quelqu’un par courrier électronique à des fins de marketing direct sans son consentement préalable, que les personnes doivent être informées qu’elles peuvent le retirer, et que ce retrait doit être simple et gratuit. Il est cité dans les lignes directrices du médiateur des consommateurs sur les jeux concours et le consentement, qui listent aussi ce que doit contenir le texte de consentement. Les lignes directrices de Datatilsynet sur le consentement (en danois) couvrent le volet protection des données. Pour en savoir plus, lisez organiser des jeux concours en ligne au Danemark et dans l’UE.

Allemagne

Selon l’article 7, paragraphe 2, n° 2 de la loi allemande contre la concurrence déloyale (UWG), la publicité par e-mail sans le consentement préalable et exprès du destinataire constitue toujours une nuisance inacceptable. L’article 7, paragraphe 3, prévoit une exception étroite pour les adresses qu’une entreprise a reçues dans le cadre de la vente de biens ou de services ; savoir si elle pourrait s’appliquer à une participation à un jeu concours est une question pour votre avocat. Sur la question du couplage, voir les positions de l’autorité et du tribunal ci-dessus, et demandez un avis juridique allemand.

Comment Scratcher vous accompagne

Aucun outil ne peut rendre une campagne conforme à votre place : c’est vous qui décidez de la configuration, des textes et du règlement. Scratcher vous donne les réglages pour l’organiser comme vous l’avez décidé :

• Cases de consentement avec vos propres textes, et vous choisissez les champs obligatoires, pour que la newsletter puisse rester facultative
• E-mails de double opt-in (module e-mail : inclus dans l’offre Professional, ou en option)
• Vos propres liens vers le règlement et la politique de confidentialité dans le formulaire d’inscription
• Réglages de suppression, pour décider quand les données des joueurs sont supprimées, ainsi que l’export des participations et des gagnants
• Inscriptions envoyées dans votre outil e-mail ou votre CRM via les intégrations natives, Zapier, l’API ou les webhooks

Scratcher agit en tant que sous-traitant dans le cadre d’un accord de traitement des données, est certifié ISO/IEC 27001:2022 et héberge les données dans l’UE. Pour en savoir plus, consultez notre page sécurité et RGPD. Pour le jeu concours lui-même, consultez notre page jeux concours et giveaways en ligne et notre guide pour organiser un jeu concours en ligne.

FAQ

Peut-on exiger une inscription à la newsletter pour participer à un jeu concours ?

Cela dépend du pays et de la configuration, et les autorités ne sont pas toutes d’accord. L’article 7, paragraphe 4, du RGPD et les lignes directrices du CEPD sont stricts sur le fait de subordonner un service à un consentement qui n’est pas nécessaire à ce service. L’option qui soulève le moins de questions consiste à laisser les gens participer sans s’inscrire et à proposer la newsletter dans une case séparée et non cochée.

Une case de consentement pré-cochée est-elle autorisée ?

Non. Les lignes directrices du CEPD indiquent que les cases d’acceptation pré-cochées ne sont pas valables au regard du RGPD.

Un jeu concours sur les réseaux sociaux relève-t-il du RGPD ?

Oui, si vous collectez ou utilisez des données personnelles, comme des pseudos, des adresses e-mail ou des adresses de livraison pour les gagnants. Consultez notre article sur les règles des jeux concours Instagram et Facebook.

Combien de temps puis-je conserver les participations à un jeu concours ?

Uniquement le temps nécessaire à la finalité. Fixez une date de suppression des données de participation après le jeu concours, et conservez la preuve du consentement marketing aussi longtemps que vous vous fondez dessus.

Créez des jeux concours avec le consentement intégré

Essayez Scratcher gratuitement pendant 14 jours, sans carte bancaire, ou réservez un rendez-vous et nous vous montrerons comment configurer le consentement, le double opt-in et la suppression des données.

Cet article est une information générale, pas un conseil juridique. Les règles varient selon les pays et évoluent avec le temps : vérifiez les règles en vigueur et demandez un avis juridique avant de lancer une campagne.