Konkurranser og GDPR: samtykke, påmelding til nyhetsbrev og data

Etter GDPR er det å gjennomføre en konkurranse og å sende markedsføring etterpå to forskjellige formål, og hvert av dem trenger sitt eget behandlingsgrunnlag. Samtykke til markedsføring må være frivillig, og artikkel 7 nr. 4 sier at det ved vurderingen skal tas størst mulig hensyn til om en tjeneste er gjort avhengig av et samtykke som ikke er nødvendig for den. Derfor bruker mange merkevarer en egen avkrysningsboks for nyhetsbrevet uten forhåndsavkrysning, og lar folk delta enten de krysser av eller ikke.

Konkurranser er en av de beste måtene å samle inn påmeldinger og markedsføringssamtykke på. De betyr også at du samler inn personopplysninger, ofte fra tusenvis av mennesker på noen få dager. Denne guiden går gjennom GDPR-spørsmålene du bør gå gjennom før du lanserer: behandlingsgrunnlag, koblingsspørsmålet, hvordan du ber om samtykke, hva du skal fortelle deltakerne, hvor lenge du lagrer data, vinnernes data og databehandlere, med merknader for Danmark og Tyskland.

Denne artikkelen er generell informasjon, ikke juridisk rådgivning. Les den som en liste over temaer du bør gå gjennom med juristen din.

To formål, to spørsmål

De fleste konkurranser behandler personopplysninger for minst to ting:

1. Å gjennomføre konkurransen. Registrere deltakelsen, sjekke at folk følger reglene, trekke en vinner, kontakte vedkommende og levere premien.
2. Markedsføring. Sende nyhetsbrev, SMS eller tilbud etter konkurransen.

GDPR lister opp behandlingsgrunnlagene i artikkel 6 nr. 1, blant annet samtykke (a), behandling som er nødvendig for å oppfylle en avtale personen er part i (b), og berettiget interesse (f). Personvernrådet (EDPB) forklarer i sine retningslinjer 05/2020 om samtykke at hvis behandlingen faktisk er nødvendig for å oppfylle en avtale, er samtykke ikke riktig grunnlag, og at samtykke og avtale «ikke kan slås sammen og viskes ut».

Hvilket grunnlag som passer for deltakerdataene i konkurransen din, er et spørsmål for juristen din. Det viktige er å holde de to formålene atskilt i skjemaet, tekstene og dokumentasjonen din.

Markedsføring på e-post og SMS omfattes også av nasjonale markedsføringsregler. I Danmark og Tyskland krever disse reglene mottakerens forhåndssamtykke før du sender markedsføring på e-post (se landmerknadene nedenfor). Sjekk reglene i Norge med en advokat.

Hva «frivillig» betyr

GDPR definerer samtykke som frivillig, spesifikt, informert og utvetydig. EDPBs retningslinjer sier at «frivillig» innebærer et reelt valg og reell kontroll, og at samtykket ikke er gyldig hvis folk føler seg tvunget til å samtykke eller får negative konsekvenser hvis de sier nei.

Artikkel 7 nr. 4 er bestemmelsen som ofte kalles koblingsregelen:

«Ved vurdering av om et samtykke er gitt frivillig, skal det tas størst mulig hensyn til blant annet om utførelsen av en avtale, herunder ytingen av en tjeneste, er gjort avhengig av samtykke til behandling av personopplysninger som ikke er nødvendig for å oppfylle avtalen.»

Fortalepunkt 43 legger til at samtykke antas ikke å være frivillig hvis utførelsen av en avtale, herunder en tjeneste, er avhengig av et samtykke som ikke er nødvendig for den. EDPB sier at bevisbyrden ligger hos arrangøren, og at tilfeller der en slik betingelse ikke gjør samtykket ugyldig, vil være «svært eksepsjonelle».

Samtidig sier EDPB at GDPR «ikke utelukker alle insentiver», men arrangøren må kunne vise at samtykket likevel var frivillig. En premie er et insentiv. Om det går for langt å gjøre deltakelse avhengig av samtykke til nyhetsbrev, er spørsmålet nedenfor.

Kan du kreve påmelding til nyhetsbrevet for å delta i en konkurranse?

Dette er et av de vanligste spørsmålene, og det ærlige svaret er at det avhenger av landet og av hvordan konkurransen er satt opp, og at myndighetene ikke er helt enige.

• EDPBs generelle syn på betingelser er strengt, som sitert ovenfor.
• I Tyskland skrev datatilsynet i Nordrhein-Westfalen i sin årsrapport for 2021 at det å gjøre en konkurranse avhengig av samtykke til nyhetsbrev som regel bryter med koblingsregelen, men at det kan være mulig å basere koblingen på en avtale i stedet, hvis byttet er åpent og konkurransen ikke presenteres som «gratis». En tysk lagmannsrett (OLG Frankfurt, 6 U 6/19, 27. juni 2019) kom til at samtykke til reklame gitt for å delta i en trekning kan være frivillig, slik det er oppsummert av den tyske forbrukerorganisasjonen vzbv (på tysk).
• I Danmark sier Forbrugerombudsmandens veiledning om konkurranser og samtykke (på dansk), etter markedsføringsreglene, at du kan belønne en forbruker for å gi samtykke til markedsføring med deltakelse i en konkurranse, så lenge det er tydelig at samtykke samles inn. Den samme veiledningen sier at den ikke dekker personvernreglene, og viser til det danske Datatilsynet for dem.

Fordi svaret ikke er avklart, velger mange merkevarer løsningen som reiser færrest spørsmål: folk kan delta uten å melde seg på, og nyhetsbrevet er et separat valg. Du får kanskje færre påmeldinger per deltakelse, men hvert samtykke er lettere å forsvare. Vil du gjøre deltakelse avhengig av en påmelding, bør du få juridisk rådgivning for hvert marked først.

Slik ber du om samtykke

Praktiske punkter, basert på GDPR og EDPBs retningslinjer:

• Bruk en egen avkrysningsboks som ikke er forhåndsavkrysset. EDPB sier at forhåndsavkryssede bokser er ugyldige etter GDPR, og taushet eller passivitet er ikke samtykke.
• Ett formål per samtykke. EDPB kaller dette granularitet: vil du ha samtykke både til nyhetsbrevet og til å dele data med en partner, må du spørre om hvert av dem separat.
• Si hvem, hva og hvordan. Gjør det klart hvem som kontakter folk, om hva og via hvilke kanaler (e-post, SMS).
• Gjør det enkelt å trekke samtykket tilbake. Artikkel 7 nr. 3 sier at folk kan trekke samtykket tilbake når som helst, at de skal få vite dette før de samtykker, og at det skal være like enkelt å trekke tilbake som å gi samtykke.
• Kunne vise det. Etter artikkel 7 nr. 1 må du kunne påvise at personen har samtykket. EDPB foreslår at du dokumenterer hvordan og når samtykket ble gitt og hvilken informasjon personen så. Den danske Forbrugerombudsmanden går lenger og sier at skjermbilder eller et opptak av hele flyten, fra annonsen eller innlegget til samtykket, kan dokumentere hva deltakeren så.

Dobbel opt-in, der folk bekrefter e-postadressen sin ved å klikke på en lenke, hjelper deg med å vise at personen som deltok, eier adressen. Om du trenger det, avhenger av markedet ditt; spør rådgiveren din.

Den gratis generatoren for samtykketekst skriver teksten til avkrysningsboksen, e-posten for dobbel opt-in og en linje til personvernerklæringen din.

Hva du skal fortelle deltakerne (artikkel 13)

Når du samler inn opplysninger direkte fra folk, lister artikkel 13 opp hva du må fortelle dem på innsamlingstidspunktet. For en konkurranse betyr det typisk:

• Hvem du er og hvordan man kontakter deg (og personvernombudet ditt, hvis du har ett)
• Formålene og behandlingsgrunnlaget for hvert av dem: konkurransen og, separat, markedsføring
• Dine berettigede interesser, hvis du bygger på dem
• Hvem som mottar dataene, for eksempel e-postverktøyet ditt eller premiebudet
• Eventuell overføring utenfor EU
• Hvor lenge du lagrer dataene, eller kriteriene for å bestemme det
• Folks rettigheter: innsyn, retting, sletting, begrensning, protest, dataportabilitet
• Retten til å trekke samtykket tilbake når som helst
• Retten til å klage til en tilsynsmyndighet

En kort tekst ved siden av skjemaet, med lenke til personvernerklæringen og vilkårene, er den vanlige måten. Sjekklisten vår for konkurransevilkår dekker konkurransesiden.

Hvor lenge du kan lagre dataene

Artikkel 5 nr. 1 bokstav e sier at personopplysninger ikke skal lagres i identifiserbar form lenger enn nødvendig for formålet. I praksis:

• Deltakerdata for konkurransen: bestem når du sletter dem etter at konkurransen er over og en eventuell klageperiode er ute.
• Markedsføringssamtykke: behold det så lenge du bruker det, sammen med dokumentasjon på hvordan det ble gitt. Den danske Forbrugerombudsmandens veiledning sier at en bedrift bør oppbevare dokumentasjon på samtykket så lenge den vil kontakte personen, og inntil to år etter siste kontakt.
• Vinnere: behold det du trenger for å levere premien og håndtere eventuelle spørsmål, og slett det deretter. Sjekk regnskaps- og skatteregler med regnskapsføreren din.

Sett slettedatoene før lansering, og skriv dem i personverninformasjonen.

Vinnernes data

Be vinnerne bare om det du trenger for å levere premien, for eksempel en leveringsadresse. Vil du publisere vinnerens navn, si det i vilkårene og hold det til et minimum, for eksempel fornavn og by. Se hvordan du trekker en vinner i en giveaway for å kunngjøre vinnere med personvernet i tankene.

Databehandlere og databehandleravtalen

Håndterer et verktøy deltakerdata på dine vegne, for eksempel en konkurranseplattform, et e-postverktøy eller et CRM-system, opptrer det som din databehandler. Artikkel 28 nr. 3 krever en avtale eller et annet rettslig dokument som fastsetter behandlingens gjenstand, varighet, art og formål, typene opplysninger og den behandlingsansvarliges plikter og rettigheter. Sørg for at du har en databehandleravtale (DPA) med hvert verktøy i kjeden.

Landmerknader

Danmark

§ 10 i den danske markedsføringsloven sier at en bedrift ikke kan kontakte noen via elektronisk post med direkte markedsføring uten deres forhåndssamtykke, at folk skal få vite at de kan trekke det tilbake, og at det skal være enkelt og gratis å trekke det tilbake. Den er sitert i Forbrugerombudsmandens veiledning om konkurranser og samtykke, som også lister opp hva samtykketeksten bør inneholde. Datatilsynets veiledning om samtykke (på dansk) dekker personvernsiden. Les mer i konkurranser på nett i Danmark og EU.

Tyskland

Etter § 7 (2) nr. 2 i den tyske loven mot urimelig konkurranse (UWG) er reklame på e-post uten mottakerens forutgående uttrykkelige samtykke alltid en urimelig sjenanse. § 7 (3) har et snevert unntak for adresser en bedrift har fått i forbindelse med salg av varer eller tjenester; om det noen gang kan gjelde en konkurransedeltakelse, er et spørsmål for advokaten din. Om koblingsspørsmålet, se tilsynets og domstolens standpunkter ovenfor, og få tysk juridisk rådgivning.

Slik støtter Scratcher det

Intet verktøy kan gjøre en kampanje lovlig for deg: du bestemmer oppsettet, tekstene og vilkårene. Scratcher gir deg innstillingene til å gjennomføre den slik du har bestemt:

• Samtykkebokser med dine egne tekster, og du velger hvilke felt som er obligatoriske, så nyhetsbrevet kan være valgfritt
• Dobbel opt-in-e-poster (e-postmodulen: inkludert i Professional, eller som tillegg)
• Dine egne lenker til vilkår og personvern i påmeldingsskjemaet
• Sletteinnstillinger, så du bestemmer når spillerdata slettes, pluss eksport av deltakelser og vinnere
• Påmeldinger sendt til e-postverktøyet eller CRM-systemet ditt via native integrasjoner, Zapier, API-et eller webhooks

Scratcher opptrer som din databehandler under en databehandleravtale, er sertifisert etter ISO/IEC 27001:2022 og lagrer data i EU. Les mer på siden vår om sikkerhet og GDPR. For selve konkurransen, se konkurranser og giveaways på nett og guiden vår om hvordan du lager en konkurranse på nett.

Ofte stilte spørsmål

Kan du kreve påmelding til nyhetsbrevet for å delta i en konkurranse?

Det avhenger av landet og oppsettet, og myndighetene er ikke helt enige. GDPRs artikkel 7 nr. 4 og EDPBs retningslinjer er strenge når det gjelder å gjøre en tjeneste avhengig av et samtykke som ikke er nødvendig for den. Løsningen med færrest spørsmål er å la folk delta uten å melde seg på, og tilby nyhetsbrevet som en egen avkrysningsboks uten forhåndsavkrysning.

Er en forhåndsavkrysset samtykkeboks tillatt?

Nei. EDPBs retningslinjer sier at forhåndsavkryssede bokser er ugyldige etter GDPR.

Omfattes en giveaway på sosiale medier av GDPR?

Ja, hvis du samler inn eller bruker personopplysninger, som brukernavn, e-postadresser eller leveringsadresser for vinnere. Se artikkelen vår om regler for giveaways på Instagram og Facebook.

Hvor lenge kan jeg lagre konkurransedeltakelser?

Bare så lenge du trenger dem for formålet. Sett en slettedato for deltakerdata etter konkurransen, og behold dokumentasjonen på markedsføringssamtykke så lenge du bygger på det.

Bygg konkurranser med samtykke innebygd

Prøv Scratcher gratis i 14 dager, uten kredittkort, eller book et møte, så viser vi deg hvordan du setter opp samtykke, dobbel opt-in og sletting.

Denne artikkelen er generell informasjon, ikke juridisk rådgivning. Reglene varierer mellom land og endrer seg over tid, så sjekk gjeldende regler og få juridisk rådgivning før du lanserer en kampanje.