Konkursy a RODO: zgody, zapisy do newslettera i dane

Zgodnie z RODO prowadzenie konkursu i późniejsze wysyłanie marketingu to dwa różne cele, a każdy z nich potrzebuje własnej podstawy prawnej. Zgoda na marketing musi być dobrowolna, a art. 7 ust. 4 mówi, że oceniając to, w jak największym stopniu uwzględnia się, czy usługa nie jest uzależniona od zgody, która nie jest do niej niezbędna. Dlatego wiele marek stosuje osobny, niezaznaczony checkbox newslettera i pozwala brać udział niezależnie od tego, czy ktoś go zaznaczy.

Konkursy to jeden z najlepszych sposobów na zbieranie zapisów i zgód marketingowych. Oznaczają też zbieranie danych osobowych, często od tysięcy osób w ciągu kilku dni. Ten poradnik przechodzi przez pytania z RODO, które warto omówić przed startem: podstawę prawną, kwestię uzależniania, sposób proszenia o zgodę, informacje dla uczestników, okres przechowywania danych, dane zwycięzców i podmioty przetwarzające, z uwagami dotyczącymi Danii i Niemiec.

Ten artykuł ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Traktuj go jako listę tematów do omówienia z doradcą prawnym.

Dwa cele, dwa pytania

Większość konkursów przetwarza dane osobowe w co najmniej dwóch celach:

1. Prowadzenie konkursu. Rejestracja zgłoszenia, sprawdzenie, czy ludzie przestrzegają zasad, losowanie zwycięzcy, kontakt z nim i dostarczenie nagrody.
2. Marketing. Wysyłanie newsletterów, SMS-ów lub ofert po konkursie.

RODO wymienia podstawy prawne w art. 6 ust. 1, w tym zgodę (lit. a), przetwarzanie niezbędne do wykonania umowy, której stroną jest dana osoba (lit. b), i prawnie uzasadnione interesy (lit. f). Europejska Rada Ochrony Danych (EROD) wyjaśnia w wytycznych 05/2020 w sprawie zgody, że jeśli przetwarzanie jest faktycznie niezbędne do wykonania umowy, zgoda nie jest właściwą podstawą, a zgody i umowy nie można łączyć ani zacierać granicy między nimi.

To, która podstawa pasuje do danych ze zgłoszeń w Twoim konkursie, jest pytaniem do Twojego doradcy prawnego. Ważne jest, by oba cele były rozdzielone w formularzu, tekstach i dokumentacji.

Marketing przez e-mail i SMS podlega też krajowym przepisom o marketingu. W Danii i Niemczech wymagają one uprzedniej zgody odbiorcy, zanim wyślesz marketing e-mailem (zobacz uwagi krajowe poniżej). Zasady obowiązujące w Polsce sprawdź z prawnikiem.

Co oznacza „dobrowolna”

RODO definiuje zgodę jako dobrowolne, konkretne, świadome i jednoznaczne okazanie woli. Wytyczne EROD mówią, że „dobrowolna” oznacza rzeczywisty wybór i kontrolę, a zgoda nie jest ważna, jeśli ludzie czują się zmuszeni do jej wyrażenia albo ponoszą negatywne konsekwencje, gdy odmówią.

Art. 7 ust. 4 to przepis często nazywany zasadą zakazu uzależniania (coupling):

„Oceniając, czy zgodę wyrażono dobrowolnie, w jak największym stopniu uwzględnia się, czy między innymi od zgody na przetwarzanie danych osobowych, które nie są niezbędne do wykonania umowy, nie jest uzależnione wykonanie umowy, w tym świadczenie usługi.”

Motyw 43 dodaje, że zgody nie uważa się za dobrowolną, jeśli wykonanie umowy, w tym świadczenie usługi, zależy od zgody, która nie jest do tego niezbędna. EROD mówi, że ciężar dowodu spoczywa na organizatorze, a przypadki, w których takie uzależnienie nie unieważni zgody, będą wysoce wyjątkowe.

Jednocześnie EROD zaznacza, że RODO nie wyklucza wszelkich zachęt, ale organizator musi być w stanie wykazać, że zgoda nadal była dobrowolna. Nagroda jest zachętą. To, czy uzależnienie udziału od zgody na newsletter idzie za daleko, jest pytaniem omówionym poniżej.

Czy można wymagać zapisu do newslettera jako warunku udziału w konkursie?

To jedno z najczęstszych pytań, a uczciwa odpowiedź brzmi: zależy od kraju i od tego, jak zbudowany jest konkurs, a organy nadzorcze nie są zgodne.

• Ogólne stanowisko EROD w sprawie uzależniania jest surowe, jak zacytowano powyżej.
• W Niemczech organ ochrony danych Nadrenii Północnej-Westfalii napisał w sprawozdaniu rocznym za 2021 rok, że uzależnienie konkursu od zgody na newsletter zwykle narusza zakaz uzależniania, ale że możliwe może być oparcie tego powiązania na umowie, jeśli wymiana jest przejrzysta, a konkurs nie jest przedstawiany jako „darmowy”. Niemiecki sąd apelacyjny (OLG Frankfurt, 6 U 6/19, 27 czerwca 2019) uznał, że zgoda na reklamę wyrażona w celu udziału w losowaniu może być dobrowolna, jak podsumowuje Federacja Niemieckich Organizacji Konsumenckich (po niemiecku).
• W Danii wytyczne Rzecznika Konsumentów dotyczące konkursów i zgód (po duńsku) mówią, na gruncie przepisów marketingowych, że można nagrodzić konsumenta za wyrażenie zgody na marketing udziałem w konkursie, o ile jasne jest, że zbierana jest zgoda. Te same wytyczne zaznaczają, że nie obejmują przepisów o ochronie danych, i w tym zakresie odsyłają do duńskiego organu ochrony danych (Datatilsynet).

Ponieważ odpowiedź nie jest przesądzona, wiele marek wybiera opcję, która rodzi najmniej pytań: można wziąć udział bez zapisu, a newsletter jest osobnym wyborem. Możesz dostać mniej zapisów na zgłoszenie, ale każdej zgody łatwiej bronić. Jeśli chcesz uzależnić udział od zapisu, najpierw zasięgnij porady prawnej dla każdego rynku.

Jak prosić o zgodę

Praktyczne wskazówki oparte na RODO i wytycznych EROD:

• Użyj osobnego checkboxa, który nie jest domyślnie zaznaczony. EROD mówi, że domyślnie zaznaczone pola zgody są nieważne w świetle RODO, a milczenie czy brak działania nie są zgodą.
• Jeden cel na jedną zgodę. EROD nazywa to granulacją: jeśli chcesz zgody zarówno na newsletter, jak i na udostępnienie danych partnerowi, poproś o każdą osobno.
• Napisz kto, co i jak. Jasno pokaż, kto będzie się kontaktować, w jakiej sprawie i jakimi kanałami (e-mail, SMS).
• Ułatw wycofanie. Art. 7 ust. 3 mówi, że ludzie mogą wycofać zgodę w dowolnym momencie, muszą zostać o tym poinformowani przed jej wyrażeniem, a wycofanie musi być równie łatwe jak jej wyrażenie.
• Bądź w stanie to wykazać. Zgodnie z art. 7 ust. 1 musisz być w stanie wykazać, że dana osoba wyraziła zgodę. EROD sugeruje prowadzenie zapisu, jak i kiedy zgodę wyrażono i jakie informacje osoba widziała. Duński Rzecznik Konsumentów idzie dalej i mówi, że zrzuty ekranu albo nagranie całej ścieżki, od reklamy lub posta do zgody, mogą dokumentować, co widział uczestnik.

Double opt-in, w którym ludzie potwierdzają adres e-mail kliknięciem w link, pomaga wykazać, że osoba, która się zgłosiła, jest właścicielem adresu. To, czy jest wymagany, zależy od rynku; zapytaj swojego doradcę.

Darmowy generator treści zgody marketingowej napisze tekst checkboxa, e-mail double opt-in i zdanie do polityki prywatności.

Co powiedzieć uczestnikom (art. 13)

Gdy zbierasz dane bezpośrednio od ludzi, art. 13 wymienia, co musisz im przekazać w momencie zbierania. W przypadku konkursu zwykle oznacza to:

• Kim jesteś i jak się z Tobą skontaktować (oraz z inspektorem ochrony danych, jeśli go masz)
• Cele i podstawę prawną każdego z nich: konkurs i, osobno, marketing
• Twoje prawnie uzasadnione interesy, jeśli się na nie powołujesz
• Kto otrzymuje dane, na przykład Twoje narzędzie e-mail albo kurier dostarczający nagrody
• Ewentualne przekazanie danych poza UE
• Jak długo przechowujesz dane albo jakie są kryteria ustalenia tego okresu
• Prawa ludzi: dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszenie
• Prawo do wycofania zgody w dowolnym momencie
• Prawo do wniesienia skargi do organu nadzorczego

Zwykle robi się to krótkim tekstem obok formularza z linkiem do polityki prywatności i regulaminu. Nasza checklista regulaminu konkursu omawia stronę konkursową.

Jak długo przechowywać dane

Art. 5 ust. 1 lit. e mówi, że dane osobowe nie mogą być przechowywane w formie umożliwiającej identyfikację dłużej, niż jest to niezbędne do celu. W praktyce:

• Dane ze zgłoszeń do konkursu: zdecyduj, kiedy je usuniesz po zakończeniu konkursu i upływie ewentualnego okresu reklamacji.
• Zgoda marketingowa: przechowuj ją, dopóki z niej korzystasz, razem z dowodem, jak została wyrażona. Wytyczne duńskiego Rzecznika Konsumentów mówią, że firma powinna przechowywać dokumentację zgody tak długo, jak chce kontaktować się z daną osobą, i do dwóch lat po ostatnim kontakcie.
• Zwycięzcy: przechowuj to, czego potrzebujesz do dostarczenia nagrody i obsługi pytań, potem usuń. Przepisy księgowe i podatkowe sprawdź z księgowym.

Ustal daty usunięcia przed startem i wpisz je do informacji o prywatności.

Dane zwycięzców

Proś zwycięzców tylko o to, czego potrzebujesz do dostarczenia nagrody, na przykład o adres dostawy. Jeśli chcesz opublikować imię i nazwisko zwycięzcy, napisz o tym w regulaminie i ogranicz się do minimum, na przykład imienia i miasta. Zobacz, jak wybrać zwycięzcę giveawayu, żeby ogłaszać zwycięzców z poszanowaniem prywatności.

Podmioty przetwarzające i umowa powierzenia

Jeśli narzędzie przetwarza dane uczestników w Twoim imieniu, na przykład platforma konkursowa, narzędzie e-mail albo CRM, działa jako Twój podmiot przetwarzający. Art. 28 ust. 3 wymaga umowy lub innego instrumentu prawnego, który określa przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych oraz obowiązki i prawa administratora. Upewnij się, że masz umowę powierzenia przetwarzania danych z każdym narzędziem w łańcuchu.

Uwagi krajowe

Dania

Paragraf 10 duńskiej ustawy o praktykach marketingowych (markedsføringsloven) mówi, że firma nie może kontaktować się z nikim pocztą elektroniczną w celu marketingu bezpośredniego bez jego uprzedniej zgody, że ludzie muszą zostać poinformowani o możliwości jej wycofania, a wycofanie musi być łatwe i bezpłatne. Jest on cytowany w wytycznych Rzecznika Konsumentów dotyczących konkursów i zgód, które wymieniają też, co powinna zawierać treść zgody. Wytyczne Datatilsynet dotyczące zgody (po duńsku) omawiają stronę ochrony danych. Więcej w artykule o konkursach online w Danii i UE.

Niemcy

Zgodnie z § 7 ust. 2 pkt 2 niemieckiej ustawy o zwalczaniu nieuczciwej konkurencji (UWG) reklama e-mailowa bez uprzedniej wyraźnej zgody odbiorcy jest zawsze niedopuszczalnym nękaniem. § 7 ust. 3 zawiera wąski wyjątek dla adresów, które firma otrzymała w związku ze sprzedażą towarów lub usług; to, czy mógłby on kiedykolwiek dotyczyć zgłoszenia do konkursu, jest pytaniem do prawnika. W kwestii uzależniania zobacz stanowiska organu i sądu powyżej i zasięgnij porady niemieckiego prawnika.

Jak pomaga Scratcher

Żadne narzędzie nie zapewni zgodności kampanii za Ciebie: to Ty decydujesz o ustawieniach, tekstach i regulaminie. Scratcher daje Ci ustawienia, żeby prowadzić kampanię tak, jak zdecydowałeś:

• Checkboxy zgód z Twoimi własnymi tekstami, a Ty wybierasz, które pola są wymagane, więc newsletter może być opcjonalny
• E-maile double opt-in (moduł e-mail: w planie Professional albo jako dodatek)
• Twoje własne linki do regulaminu i polityki prywatności w formularzu zapisu
• Ustawienia usuwania, dzięki którym decydujesz, kiedy dane graczy są usuwane, oraz eksport zgłoszeń i zwycięzców
• Zapisy wysyłane do Twojego narzędzia e-mail lub CRM przez natywne integracje, Zapier, API albo webhooki

Scratcher działa jako Twój podmiot przetwarzający na podstawie umowy powierzenia przetwarzania danych, ma certyfikat ISO/IEC 27001:2022 i przechowuje dane w UE. Więcej na naszej stronie o bezpieczeństwie i RODO. O samym konkursie przeczytasz na stronie konkursy online i giveawaye i w naszym poradniku o tym, jak zorganizować konkurs online.

FAQ

Czy można wymagać zapisu do newslettera jako warunku udziału w konkursie?

To zależy od kraju i ustawień, a organy nadzorcze nie są zgodne. Art. 7 ust. 4 RODO i wytyczne EROD są surowe wobec uzależniania usługi od zgody, która nie jest do niej potrzebna. Opcja rodząca najmniej pytań to pozwolić brać udział bez zapisu i zaoferować newsletter jako osobny, niezaznaczony checkbox.

Czy domyślnie zaznaczony checkbox zgody jest dozwolony?

Nie. Wytyczne EROD mówią, że domyślnie zaznaczone pola zgody są nieważne w świetle RODO.

Czy giveaway w social mediach podlega RODO?

Tak, jeśli zbierasz lub wykorzystujesz dane osobowe, takie jak nazwy użytkowników, adresy e-mail albo adresy dostawy zwycięzców. Zobacz nasz artykuł o zasadach giveawayów na Instagramie i Facebooku.

Jak długo mogę przechowywać zgłoszenia do konkursu?

Tylko tak długo, jak potrzebujesz ich do danego celu. Ustal datę usunięcia danych ze zgłoszeń po konkursie, a dowód zgody marketingowej przechowuj tak długo, jak się na nią powołujesz.

Buduj konkursy z wbudowanymi zgodami

Wypróbuj Scratchera za darmo przez 14 dni, bez karty kredytowej, albo umów spotkanie, a pokażemy Ci, jak ustawić zgody, double opt-in i usuwanie danych.

Ten artykuł ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Przepisy różnią się między krajami i zmieniają się z czasem, więc przed uruchomieniem kampanii sprawdź aktualne zasady i skonsultuj się z prawnikiem.