Passatempos e RGPD: consentimento, registos na newsletter e dados

Ao abrigo do RGPD, fazer um passatempo e enviar marketing depois são duas finalidades diferentes, e cada uma precisa do seu próprio fundamento jurídico. O consentimento para marketing tem de ser dado livremente, e o artigo 7.º, n.º 4 diz que, ao avaliar isso, há que verificar com a máxima atenção se a prestação de um serviço está subordinada a um consentimento que não é necessário para ela. É por isso que muitas marcas usam uma caixa separada e por assinalar para a newsletter e deixam as pessoas participar quer a assinalem quer não.

Os passatempos são uma das melhores formas de recolher registos e consentimento para marketing. Mas também significam recolher dados pessoais, muitas vezes de milhares de pessoas em poucos dias. Este guia percorre as questões do RGPD a trabalhar antes do lançamento: fundamento jurídico, a questão da subordinação, como pedir o consentimento, o que dizer aos participantes, quanto tempo guardar os dados, os dados dos vencedores e os subcontratantes, com notas para a Dinamarca e a Alemanha.

Este artigo é informação geral e não aconselhamento jurídico. Leia-o como uma lista de temas a rever com o seu consultor jurídico.

Duas finalidades, duas perguntas

A maioria dos passatempos trata dados pessoais para pelo menos duas coisas:

1. Gerir o passatempo. Registar a participação, verificar se as pessoas cumprem o regulamento, sortear um vencedor, contactá-lo e entregar o prémio.
2. Marketing. Enviar newsletters, SMS ou ofertas depois do passatempo.

O RGPD enumera os fundamentos de licitude no artigo 6.º, n.º 1, incluindo o consentimento (alínea a)), o tratamento necessário para a execução de um contrato em que a pessoa é parte (alínea b)) e os interesses legítimos (alínea f)). O Comité Europeu para a Proteção de Dados (CEPD) explica nas suas diretrizes 05/2020 sobre o consentimento que, se o tratamento for de facto necessário para executar um contrato, o consentimento não é o fundamento adequado, e que consentimento e contrato não podem ser fundidos nem confundidos.

Que fundamento serve os dados de participação no seu passatempo é uma pergunta para o seu consultor jurídico. O importante é manter as duas finalidades separadas no formulário, nos textos e nos registos.

O marketing por e-mail e SMS está também sujeito às regras nacionais de marketing. Na Dinamarca e na Alemanha, essas regras exigem o consentimento prévio do destinatário antes de enviar marketing por e-mail (veja as notas por país abaixo).

O que significa "dado livremente"

O RGPD define o consentimento como uma manifestação de vontade livre, específica, informada e explícita. As diretrizes do CEPD dizem que "livre" implica uma escolha e um controlo reais, e que o consentimento não é válido se as pessoas se sentirem obrigadas a consentir ou sofrerem consequências negativas se disserem que não.

O artigo 7.º, n.º 4 é a disposição muitas vezes chamada regra da subordinação ou da proibição de associação:

"Ao avaliar se o consentimento é dado livremente, há que verificar com a máxima atenção se, designadamente, a execução de um contrato, inclusive a prestação de um serviço, está subordinada ao consentimento para o tratamento de dados pessoais que não é necessário para a execução desse contrato."

O considerando 43 acrescenta que se presume que o consentimento não é dado livremente se a execução de um contrato, incluindo a prestação de um serviço, depender de um consentimento que não é necessário para essa execução. O CEPD diz que o ónus da prova cabe ao organizador e que os casos em que essa subordinação não tornaria o consentimento inválido serão altamente excecionais.

Ao mesmo tempo, o CEPD diz que o RGPD não proíbe todos os incentivos, mas o organizador tem de conseguir mostrar que o consentimento continuou a ser dado livremente. Um prémio é um incentivo. Saber se fazer depender a participação do consentimento para a newsletter vai longe demais é a pergunta seguinte.

Pode exigir o registo na newsletter para participar num passatempo?

É uma das perguntas mais comuns, e a resposta honesta é que depende do país e da forma como o passatempo está configurado, e que as autoridades não estão todas de acordo.

• A posição geral do CEPD sobre a subordinação é rigorosa, como citado acima.
• Na Alemanha, a autoridade de proteção de dados da Renânia do Norte-Vestefália escreveu no seu relatório anual de 2021 que fazer depender um passatempo do consentimento para a newsletter viola normalmente a regra da subordinação, mas que pode ser possível basear essa ligação num contrato, se a troca for transparente e o passatempo não for apresentado como "gratuito". Um tribunal de recurso alemão (OLG Frankfurt, 6 U 6/19, 27 de junho de 2019) considerou que o consentimento para publicidade dado para participar num sorteio pode ser voluntário, como resume a Federação das Organizações de Consumidores da Alemanha (em alemão).
• Na Dinamarca, as orientações do Provedor do Consumidor sobre passatempos e consentimento (em dinamarquês) dizem, ao abrigo das regras de marketing, que pode recompensar um consumidor por dar consentimento para marketing com a participação num passatempo, desde que fique claro que está a ser recolhido consentimento. As mesmas orientações dizem que não tratam das regras de proteção de dados e remetem para a autoridade dinamarquesa de proteção de dados (Datatilsynet) nessa matéria.

Como a resposta não está fechada, muitas marcas escolhem a opção que levanta menos perguntas: as pessoas podem participar sem se registarem, e a newsletter é uma escolha separada. Pode ter menos registos por participação, mas cada consentimento é mais fácil de defender. Se quiser fazer depender a participação de um registo, peça primeiro aconselhamento jurídico para cada mercado. Em Portugal, confirme com um advogado.

Como pedir o consentimento

Pontos práticos, com base no RGPD e nas diretrizes do CEPD:

• Use uma caixa separada que não venha pré-assinalada. O CEPD diz que as caixas de opt-in pré-assinaladas não são válidas ao abrigo do RGPD, e que o silêncio ou a inatividade não são consentimento.
• Uma finalidade por consentimento. O CEPD chama a isto granularidade: se quer consentimento tanto para a newsletter como para partilhar dados com um parceiro, peça cada um em separado.
• Diga quem, o quê e como. Deixe claro quem vai contactar as pessoas, sobre o quê e por que canais (e-mail, SMS).
• Facilite a retirada. O artigo 7.º, n.º 3 diz que as pessoas podem retirar o consentimento a qualquer momento, têm de ser informadas disso antes de consentirem, e que retirar o consentimento deve ser tão fácil como dá-lo.
• Consiga demonstrá-lo. Ao abrigo do artigo 7.º, n.º 1, tem de poder demonstrar que a pessoa deu o seu consentimento. O CEPD sugere guardar um registo de como e quando o consentimento foi dado e que informação a pessoa viu. O Provedor do Consumidor dinamarquês vai mais longe e diz que capturas de ecrã ou uma gravação de todo o percurso, do anúncio ou publicação até ao consentimento, podem documentar o que o participante viu.

O double opt-in, em que as pessoas confirmam o endereço de e-mail clicando numa ligação, ajuda a mostrar que quem participou é o dono do endereço. Se precisa dele depende do seu mercado; pergunte ao seu consultor.

O gerador de texto de consentimento gratuito escreve o texto da caixa, o email de dupla confirmação e uma linha para a sua política de privacidade.

O que dizer aos participantes (artigo 13.º)

Quando recolhe dados diretamente das pessoas, o artigo 13.º enumera o que tem de lhes dizer no momento da recolha. Num passatempo, isso costuma significar:

• Quem é e como o contactar (e o encarregado da proteção de dados, se tiver um)
• As finalidades e o fundamento jurídico de cada uma: o passatempo e, em separado, o marketing
• Os seus interesses legítimos, se se basear neles
• Quem recebe os dados, como a sua ferramenta de e-mail ou a transportadora dos prémios
• Qualquer transferência para fora da UE
• Durante quanto tempo guarda os dados, ou os critérios para o decidir
• Os direitos das pessoas: acesso, retificação, apagamento, limitação, oposição, portabilidade
• O direito de retirar o consentimento a qualquer momento
• O direito de apresentar reclamação a uma autoridade de controlo

Um texto curto junto ao formulário, com uma ligação para a política de privacidade e o regulamento, é a forma habitual. A nossa checklist para o regulamento de um passatempo trata do lado do passatempo.

Quanto tempo guardar os dados

O artigo 5.º, n.º 1, alínea e) diz que os dados pessoais não devem ser conservados de forma identificável durante mais tempo do que o necessário para a finalidade. Na prática:

• Dados de participação no passatempo: decida quando os vai apagar depois de o passatempo terminar e de passar qualquer prazo de reclamação.
• Consentimento para marketing: guarde-o enquanto o usar, juntamente com a prova de como foi dado. As orientações do Provedor do Consumidor dinamarquês dizem que uma empresa deve guardar a documentação do consentimento enquanto quiser contactar a pessoa e até dois anos após o último contacto.
• Vencedores: guarde o que precisa para entregar o prémio e responder a eventuais perguntas, e depois apague. Confirme as regras contabilísticas e fiscais com o seu contabilista.

Defina as datas de eliminação antes do lançamento e escreva-as na informação de privacidade.

Dados dos vencedores

Peça aos vencedores apenas o que precisa para entregar o prémio, como uma morada de entrega. Se quiser publicar o nome do vencedor, diga-o no regulamento e reduza-o ao mínimo, como o primeiro nome e a cidade. Veja como escolher o vencedor de um sorteio para anunciar vencedores respeitando a privacidade.

Subcontratantes e o acordo de tratamento de dados

Se uma ferramenta trata dados dos participantes por sua conta, como uma plataforma de passatempos, uma ferramenta de e-mail ou um CRM, atua como seu subcontratante. O artigo 28.º, n.º 3 exige um contrato ou outro ato jurídico que estabeleça o objeto, a duração, a natureza e a finalidade do tratamento, o tipo de dados e as obrigações e direitos do responsável pelo tratamento. Garanta que tem um acordo de tratamento de dados (DPA) com todas as ferramentas da cadeia.

Notas por país

Dinamarca

O artigo 10.º da lei dinamarquesa das práticas de marketing (markedsføringsloven) diz que uma empresa não pode contactar ninguém por correio eletrónico para marketing direto sem consentimento prévio, que as pessoas têm de ser informadas de que o podem retirar e que a retirada tem de ser fácil e gratuita. É citado nas orientações do Provedor do Consumidor sobre passatempos e consentimento, que listam também o que o texto de consentimento deve incluir. As orientações do Datatilsynet sobre o consentimento (em dinamarquês) tratam do lado da proteção de dados. Saiba mais em passatempos online na Dinamarca e na UE.

Alemanha

Ao abrigo do § 7, n.º 2, ponto 2, da lei alemã contra a concorrência desleal (UWG), a publicidade por e-mail sem o consentimento prévio e expresso do destinatário é sempre um incómodo inaceitável. O § 7, n.º 3 tem uma exceção estreita para endereços que uma empresa recebeu no âmbito da venda de bens ou serviços; se alguma vez se poderia aplicar a uma participação num passatempo é uma pergunta para o seu advogado. Sobre a subordinação, veja as posições do regulador e do tribunal acima, e peça aconselhamento jurídico alemão.

Como o Scratcher ajuda

Nenhuma ferramenta pode tornar uma campanha conforme por si: é a sua marca que decide a configuração, os textos e o regulamento. O Scratcher dá-lhe as definições para a gerir da forma que decidiu:

• Caixas de consentimento com os seus próprios textos, e escolhe que campos são obrigatórios, para que a newsletter possa ser opcional
• E-mails de double opt-in (módulo de e-mail: incluído no Professional ou como extra)
• As suas próprias ligações para o regulamento e a política de privacidade no formulário de registo
• Definições de eliminação, para decidir quando os dados dos jogadores são apagados, mais exportação de participações e vencedores
• Registos enviados para a sua ferramenta de e-mail ou CRM através de integrações nativas, Zapier, API ou webhooks

O Scratcher atua como seu subcontratante ao abrigo de um acordo de tratamento de dados, tem certificação ISO/IEC 27001:2022 e aloja os dados na UE. Saiba mais na nossa página de segurança e RGPD. Para o passatempo em si, veja passatempos e sorteios online e o nosso guia sobre como fazer um passatempo online.

Perguntas frequentes

Pode exigir o registo na newsletter para participar num passatempo?

Depende do país e da configuração, e as autoridades não estão todas de acordo. O artigo 7.º, n.º 4 do RGPD e as diretrizes do CEPD são rigorosos quanto a fazer depender um serviço de um consentimento que não é necessário para ele. A opção que levanta menos perguntas é deixar as pessoas participar sem se registarem e oferecer a newsletter numa caixa separada e por assinalar.

Uma caixa de consentimento pré-assinalada é permitida?

Não. As diretrizes do CEPD dizem que as caixas de opt-in pré-assinaladas não são válidas ao abrigo do RGPD.

Um passatempo nas redes sociais está sujeito ao RGPD?

Sim, se recolher ou usar dados pessoais, como nomes de utilizador, endereços de e-mail ou moradas de entrega dos vencedores. Veja o nosso artigo sobre as regras para passatempos no Instagram e no Facebook.

Durante quanto tempo posso guardar as participações?

Só enquanto precisar delas para a finalidade. Defina uma data de eliminação para os dados de participação depois do passatempo e guarde a prova do consentimento para marketing enquanto se basear nele.

Crie passatempos com o consentimento integrado

Experimente o Scratcher grátis durante 14 dias, sem cartão de crédito, ou marque uma reunião e mostramos-lhe como configurar o consentimento, o double opt-in e a eliminação de dados.

Este artigo é informação geral e não aconselhamento jurídico. As regras variam entre países e mudam com o tempo, por isso confirme as regras em vigor e peça aconselhamento jurídico antes de lançar uma campanha.