Concorsi a premi e GDPR: consenso, iscrizioni alla newsletter e dati

Secondo il GDPR, gestire un concorso a premi e inviare marketing dopo sono due finalità diverse, e ognuna ha bisogno della propria base giuridica. Il consenso al marketing deve essere libero, e l'articolo 7(4) dice che, nel valutarlo, si tiene nel massimo conto se un servizio è condizionato a un consenso che non è necessario per quel servizio. Per questo molti brand usano una casella separata e non preselezionata per la newsletter e fanno partecipare le persone che la spuntino o no.

I concorsi sono uno dei modi migliori per raccogliere iscrizioni e consensi al marketing. Significano anche raccogliere dati personali, spesso da migliaia di persone in pochi giorni. Questa guida affronta le domande sul GDPR da risolvere prima del lancio: base giuridica, la questione del condizionamento, come chiedere il consenso, cosa dire ai partecipanti, quanto conservare i dati, i dati dei vincitori e i responsabili del trattamento, con note per Danimarca e Germania.

Questo articolo è un'informazione generale, non una consulenza legale. Leggilo come un elenco di temi da affrontare con il tuo consulente legale.

Due finalità, due domande

La maggior parte dei concorsi tratta dati personali per almeno due cose:

1. Gestire il concorso. Registrare la partecipazione, verificare che le persone rispettino le regole, estrarre un vincitore, contattarlo e consegnare il premio.
2. Marketing. Inviare newsletter, SMS o offerte dopo il concorso.

Il GDPR elenca le basi giuridiche all'articolo 6(1), tra cui il consenso (a), il trattamento necessario all'esecuzione di un contratto di cui l'interessato è parte (b) e il legittimo interesse (f). Il Comitato europeo per la protezione dei dati (EDPB) spiega nelle sue linee guida 05/2020 sul consenso che, se il trattamento è davvero necessario per eseguire un contratto, il consenso non è la base appropriata, e che consenso e contratto non devono essere fusi né confusi tra loro.

Quale base si adatti ai dati di partecipazione del tuo concorso è una domanda per il tuo consulente legale. Il punto importante è tenere separate le due finalità nel modulo, nei testi e nei tuoi registri.

Il marketing via email e SMS è disciplinato anche dalle norme nazionali sul marketing. In Danimarca e in Germania, queste norme richiedono il consenso preventivo del destinatario prima di inviare marketing via email (vedi le note per paese più sotto). Per l'Italia, verifica le regole con un avvocato.

Cosa significa "libero"

Il GDPR definisce il consenso come libero, specifico, informato e inequivocabile. Le linee guida dell'EDPB dicono che "libero" implica una scelta e un controllo reali, e che il consenso non è valido se le persone si sentono costrette a darlo o subiscono conseguenze negative se dicono no.

L'articolo 7(4) è la disposizione spesso chiamata divieto di condizionamento:

"Nel valutare se il consenso sia stato liberamente prestato, si tiene nel massimo conto l'eventualità, tra le altre, che l'esecuzione di un contratto, compresa la prestazione di un servizio, sia condizionata alla prestazione del consenso al trattamento di dati personali non necessario all'esecuzione di tale contratto."

Il considerando 43 aggiunge che si presume che il consenso non sia stato liberamente prestato se l'esecuzione di un contratto, compresa la prestazione di un servizio, è subordinata a un consenso non necessario per tale esecuzione. L'EDPB dice che l'onere della prova spetta all'organizzatore, e che i casi in cui un simile condizionamento non renderebbe invalido il consenso saranno estremamente eccezionali.

Allo stesso tempo, l'EDPB dice che il GDPR non esclude ogni forma di incentivo, ma l'organizzatore deve poter dimostrare che il consenso è stato comunque prestato liberamente. Un premio è un incentivo. Se rendere la partecipazione dipendente dal consenso alla newsletter sia troppo è la domanda qui sotto.

Si può chiedere l'iscrizione alla newsletter per partecipare a un concorso?

È una delle domande più frequenti, e la risposta onesta è che dipende dal paese e da come è impostato il concorso, e che le autorità non sono tutte d'accordo.

• La posizione generale dell'EDPB sul condizionamento è rigorosa, come citato sopra.
• In Germania, l'autorità per la protezione dei dati della Renania Settentrionale-Vestfalia ha scritto nella sua relazione annuale 2021 che rendere un concorso dipendente dal consenso alla newsletter di solito viola il divieto di condizionamento, ma che può essere possibile basare il collegamento su un contratto, se lo scambio è trasparente e il concorso non viene presentato come "gratuito". Una corte d'appello tedesca (OLG Frankfurt, 6 U 6/19, 27 giugno 2019) ha ritenuto che il consenso alla pubblicità dato per partecipare a un'estrazione a premi possa essere volontario, come riassunto dalla Federazione delle organizzazioni tedesche dei consumatori (in tedesco).
• In Danimarca, le linee guida del Difensore civico dei consumatori su concorsi e consenso (in danese) dicono, secondo le norme sul marketing, che puoi premiare un consumatore per il consenso al marketing con la partecipazione a un concorso, purché sia chiaro che si sta raccogliendo un consenso. Le stesse linee guida precisano di non coprire le norme sulla protezione dei dati e rimandano per quelle all'autorità danese per la protezione dei dati (Datatilsynet).

Poiché la risposta non è definita, molti brand scelgono l'opzione che solleva meno domande: le persone possono partecipare senza iscriversi, e la newsletter è una scelta separata. Potresti ottenere meno iscrizioni per partecipazione, ma ogni consenso è più facile da difendere. Se vuoi rendere la partecipazione dipendente da un'iscrizione, chiedi prima una consulenza legale per ogni mercato.

Come chiedere il consenso

Punti pratici, basati sul GDPR e sulle linee guida dell'EDPB:

• Usa una casella separata e non preselezionata. L'EDPB dice che le caselle di opt-in preselezionate non sono valide secondo il GDPR, e che il silenzio o l'inattività non sono consenso.
• Una finalità per ogni consenso. L'EDPB la chiama granularità: se vuoi il consenso sia per la newsletter sia per condividere i dati con un partner, chiedili separatamente.
• Di' chi, cosa e come. Chiarisci chi contatterà le persone, per cosa e attraverso quali canali (email, SMS).
• Rendi facile la revoca. L'articolo 7(3) dice che le persone possono revocare il consenso in qualsiasi momento, devono esserne informate prima di darlo, e che revocarlo deve essere facile quanto darlo.
• Sii in grado di dimostrarlo. Secondo l'articolo 7(1), devi poter dimostrare che la persona ha dato il consenso. L'EDPB suggerisce di tenere traccia di come e quando è stato dato il consenso e di quali informazioni ha visto la persona. Il Difensore civico dei consumatori danese va oltre e dice che screenshot o una registrazione dell'intero percorso, dall'annuncio o post fino al consenso, possono documentare cosa ha visto il partecipante.

Il double opt-in, in cui le persone confermano il loro indirizzo email cliccando un link, ti aiuta a dimostrare che chi ha partecipato è il titolare dell'indirizzo. Se ti serva dipende dal tuo mercato; chiedi al tuo consulente.

Il generatore di testo per il consenso gratuito scrive il testo della casella, l'email di double opt-in e una riga per la tua informativa privacy.

Cosa dire ai partecipanti (articolo 13)

Quando raccogli dati direttamente dalle persone, l'articolo 13 elenca cosa devi dire loro al momento della raccolta. Per un concorso, di solito significa:

• Chi sei e come contattarti (e il tuo responsabile della protezione dei dati, se ne hai uno)
• Le finalità e la base giuridica di ciascuna: il concorso e, separatamente, il marketing
• I tuoi legittimi interessi, se ti basi su di essi
• Chi riceve i dati, come il tuo strumento di email marketing o il corriere dei premi
• Eventuali trasferimenti fuori dall'UE
• Per quanto tempo conservi i dati, o i criteri per deciderlo
• I diritti delle persone: accesso, rettifica, cancellazione, limitazione, opposizione, portabilità
• Il diritto di revocare il consenso in qualsiasi momento
• Il diritto di proporre reclamo a un'autorità di controllo

Il modo abituale è un breve testo accanto al modulo, con un link all'informativa privacy e al regolamento. La nostra checklist per il regolamento di un concorso copre la parte del concorso.

Quanto conservare i dati

L'articolo 5(1)(e) dice che i dati personali non devono essere conservati in forma identificabile più a lungo del necessario per la finalità. In pratica:

• Dati di partecipazione al concorso: decidi quando li cancellerai dopo la fine del concorso e di un eventuale periodo per i reclami.
• Consenso al marketing: conservalo finché lo usi, insieme alla prova di come è stato dato. Le linee guida del Difensore civico dei consumatori danese dicono che un'azienda dovrebbe conservare la documentazione del consenso finché vuole contattare la persona e fino a due anni dopo l'ultimo contatto.
• Vincitori: conserva ciò che ti serve per consegnare il premio e gestire eventuali domande, poi cancellalo. Verifica le regole contabili e fiscali con il tuo commercialista.

Fissa le date di cancellazione prima del lancio, e indicale nella tua informativa privacy.

Dati dei vincitori

Chiedi ai vincitori solo ciò che ti serve per consegnare il premio, come un indirizzo di consegna. Se vuoi pubblicare il nome del vincitore, dillo nel regolamento e limitati al minimo, come nome e città. Vedi come scegliere il vincitore di un giveaway per annunciare i vincitori rispettando la privacy.

Responsabili del trattamento e DPA

Se uno strumento tratta i dati dei partecipanti per tuo conto, come una piattaforma per concorsi, uno strumento di email marketing o un CRM, agisce come tuo responsabile del trattamento. L'articolo 28(3) richiede un contratto o altro atto giuridico che stabilisca materia, durata, natura e finalità del trattamento, il tipo di dati e gli obblighi e i diritti del titolare. Assicurati di avere un accordo sul trattamento dei dati (DPA) con ogni strumento della catena.

Note per paese

Danimarca

La sezione 10 della legge danese sulle pratiche di marketing (markedsføringsloven) dice che un'azienda non può contattare nessuno tramite posta elettronica per marketing diretto senza il suo consenso preventivo, che le persone devono essere informate che possono revocarlo, e che la revoca deve essere facile e gratuita. È citata nelle linee guida del Difensore civico dei consumatori su concorsi e consenso, che elencano anche cosa deve contenere il testo del consenso. Le linee guida di Datatilsynet sul consenso (in danese) coprono la parte sulla protezione dei dati. Leggi di più in concorsi online in Danimarca e nell'UE.

Germania

Secondo la sezione 7(2) n. 2 della legge tedesca contro la concorrenza sleale (UWG), la pubblicità via email senza il consenso preventivo ed espresso del destinatario è sempre una molestia irragionevole. La sezione 7(3) prevede un'eccezione ristretta per gli indirizzi che un'azienda ha ricevuto in relazione alla vendita di beni o servizi; se possa mai applicarsi a una partecipazione a un concorso è una domanda per il tuo avvocato. Sulla questione del condizionamento, vedi le posizioni dell'autorità e della corte riportate sopra, e chiedi una consulenza legale tedesca.

Come ti supporta Scratcher

Nessuno strumento può rendere conforme una campagna al posto tuo: configurazione, testi e regolamento li decidi tu. Scratcher ti dà le impostazioni per gestirla come hai deciso:

• Caselle di consenso con i tuoi testi, e scegli tu quali campi sono obbligatori, così la newsletter può essere facoltativa
• Email di double opt-in (modulo Email: incluso nel piano Professional o come componente aggiuntivo)
• I tuoi link a regolamento e privacy nel modulo di iscrizione
• Impostazioni di cancellazione, così decidi tu quando vengono cancellati i dati dei giocatori, più l'esportazione di partecipazioni e vincitori
• Iscrizioni inviate al tuo strumento di email marketing o CRM tramite integrazioni native, Zapier, l'API o i webhook

Scratcher agisce come tuo responsabile del trattamento in base a un accordo sul trattamento dei dati, è certificata ISO/IEC 27001:2022 e ospita i dati nell'UE. Leggi di più nella nostra pagina su sicurezza e GDPR. Per il concorso vero e proprio, vedi concorsi e giveaway online e la nostra guida su come organizzare un concorso a premi online.

Domande frequenti

Si può chiedere l'iscrizione alla newsletter per partecipare a un concorso?

Dipende dal paese e dalla configurazione, e le autorità non sono tutte d'accordo. L'articolo 7(4) del GDPR e le linee guida dell'EDPB sono rigorosi sul rendere un servizio dipendente da un consenso che non è necessario per esso. L'opzione che solleva meno domande è far partecipare le persone senza iscriversi e offrire la newsletter come casella separata e non preselezionata.

Una casella di consenso preselezionata è consentita?

No. Le linee guida dell'EDPB dicono che le caselle di opt-in preselezionate non sono valide secondo il GDPR.

Un giveaway sui social rientra nel GDPR?

Sì, se raccogli o usi dati personali, come nomi utente, indirizzi email o indirizzi di consegna dei vincitori. Leggi il nostro articolo sulle regole dei giveaway su Instagram e Facebook.

Per quanto tempo posso conservare le partecipazioni a un concorso?

Solo finché ti servono per la finalità. Fissa una data di cancellazione per i dati di partecipazione dopo il concorso, e conserva la prova del consenso al marketing finché ti basi su di esso.

Crea concorsi con il consenso integrato

Prova Scratcher gratis per 14 giorni, senza carta di credito, o prenota un incontro e ti mostriamo come impostare consenso, double opt-in e cancellazione.

Questo articolo è un'informazione generale, non una consulenza legale. Le regole cambiano da paese a paese e nel tempo, quindi verifica le regole in vigore e chiedi una consulenza legale prima di lanciare una campagna.