Concursurile și GDPR: consimțământ, abonări la newsletter și date

Conform GDPR, organizarea unui concurs și trimiterea de marketing după aceea sunt două scopuri diferite și fiecare are nevoie de propriul temei juridic. Consimțământul pentru marketing trebuie dat în mod liber, iar articolul 7 alineatul (4) spune că, la această evaluare, se ține seama cât mai mult de faptul că un serviciu este sau nu condiționat de un consimțământ care nu este necesar pentru el. De aceea multe branduri folosesc o căsuță separată și nebifată pentru newsletter și îi lasă pe oameni să participe indiferent dacă o bifează sau nu.

Concursurile sunt unul dintre cele mai bune moduri de a colecta înscrieri și consimțământ de marketing. Ele înseamnă însă și că colectezi date cu caracter personal, adesea de la mii de oameni în câteva zile. Acest ghid trece prin întrebările GDPR pe care trebuie să le lămurești înainte de lansare: temeiul juridic, problema condiționării, cum ceri consimțământul, ce le spui participanților, cât timp păstrezi datele, datele câștigătorilor și persoanele împuternicite, cu note pentru Danemarca și Germania.

Acest articol oferă informații generale, nu consultanță juridică. Citește-l ca pe o listă de subiecte de discutat cu consilierul tău juridic.

Două scopuri, două întrebări

Majoritatea concursurilor prelucrează date cu caracter personal pentru cel puțin două lucruri:

1. Organizarea concursului. Înregistrarea înscrierii, verificarea respectării regulamentului, tragerea la sorți a unui câștigător, contactarea acestuia și livrarea premiului.
2. Marketing. Trimiterea de newslettere, SMS-uri sau oferte după concurs.

GDPR enumeră temeiurile juridice la articolul 6 alineatul (1), inclusiv consimțământul (litera a), prelucrarea necesară pentru executarea unui contract la care persoana este parte (litera b) și interesele legitime (litera f). Comitetul European pentru Protecția Datelor (CEPD) explică în ghidurile 05/2020 privind consimțământul că, dacă prelucrarea este de fapt necesară pentru executarea unui contract, consimțământul nu este temeiul potrivit și că consimțământul și contractul „nu pot fi contopite și estompate”.

Ce temei se potrivește datelor de înscriere pentru concursul tău este o întrebare pentru consilierul tău juridic. Important este să ții cele două scopuri separate în formular, în texte și în evidențe.

Marketingul prin e-mail și SMS este reglementat și de regulile naționale de marketing. În Danemarca și Germania, aceste reguli cer consimțământul prealabil al destinatarului înainte să trimiți marketing prin e-mail (vezi notele pe țări de mai jos). Pentru România, verifică regulile cu un avocat.

Ce înseamnă „dat în mod liber”

GDPR definește consimțământul ca fiind liber, specific, informat și lipsit de ambiguitate. Ghidurile CEPD spun că „liber” presupune o alegere și un control reale și că un consimțământ nu este valabil dacă oamenii se simt obligați să consimtă sau suportă consecințe negative dacă refuză.

Articolul 7 alineatul (4) este prevederea numită adesea regula condiționării:

„Atunci când se evaluează în ce măsură consimțământul este dat în mod liber, se ține seama cât mai mult de faptul că, printre altele, executarea unui contract, inclusiv prestarea unui serviciu, este sau nu condiționată de consimțământul cu privire la prelucrarea datelor cu caracter personal care nu este necesară pentru executarea acestui contract.”

Considerentul 43 adaugă că se presupune că un consimțământ nu este dat în mod liber dacă executarea unui contract, inclusiv a unui serviciu, depinde de un consimțământ care nu este necesar pentru acesta. CEPD spune că sarcina probei îi revine organizatorului și că situațiile în care o astfel de condiționare nu ar face consimțământul nevalabil vor fi „foarte excepționale”.

În același timp, CEPD spune că GDPR „nu exclude orice stimulent”, dar organizatorul trebuie să poată arăta că consimțământul a fost totuși dat în mod liber. Un premiu este un stimulent. Dacă a condiționa participarea de consimțământul pentru newsletter înseamnă a merge prea departe este întrebarea de mai jos.

Poți condiționa participarea la concurs de abonarea la newsletter?

Este una dintre cele mai frecvente întrebări, iar răspunsul sincer este că depinde de țară și de modul în care este organizat concursul și că autoritățile nu sunt toate de acord.

• Poziția generală a CEPD privind condiționarea este strictă, așa cum am citat mai sus.
• În Germania, autoritatea de protecție a datelor din Renania de Nord-Westfalia a scris în raportul anual pe 2021 că a condiționa un concurs de consimțământul pentru newsletter încalcă de obicei regula condiționării, dar că legătura poate fi întemeiată în schimb pe un contract, dacă schimbul este transparent și concursul nu este prezentat ca „gratuit”. O curte de apel germană (OLG Frankfurt, 6 U 6/19, 27 iunie 2019) a constatat că un consimțământ pentru publicitate dat pentru a participa la o tragere la sorți poate fi voluntar, așa cum rezumă Federația organizațiilor germane ale consumatorilor (în germană).
• În Danemarca, ghidul Ombudsmanului Consumatorilor despre concursuri și consimțământ (în daneză) spune, conform regulilor de marketing, că poți răsplăti un consumator pentru consimțământul la marketing cu participarea la un concurs, atâta timp cât este clar că se colectează consimțământ. Același ghid spune că nu acoperă regulile de protecție a datelor și trimite pentru acestea la autoritatea daneză de protecție a datelor (Datatilsynet).

Pentru că răspunsul nu este clar stabilit, multe branduri aleg varianta care ridică cele mai puține întrebări: oamenii pot participa fără să se aboneze, iar newsletterul este o alegere separată. S-ar putea să obții mai puține abonări per înscriere, dar fiecare consimțământ e mai ușor de apărat. Dacă vrei să condiționezi participarea de o abonare, cere mai întâi sfaturi juridice pentru fiecare piață.

Cum ceri consimțământul

Puncte practice, pe baza GDPR și a ghidurilor CEPD:

• Folosește o căsuță separată, care nu este bifată dinainte. CEPD spune că, potrivit GDPR, căsuțele de opt-in bifate dinainte nu sunt valabile, iar tăcerea sau lipsa de acțiune nu înseamnă consimțământ.
• Un singur scop per consimțământ. CEPD numește asta granularitate: dacă vrei consimțământ atât pentru newsletter, cât și pentru transmiterea datelor unui partener, cere-le separat.
• Spune cine, ce și cum. Arată clar cine îi va contacta pe oameni, despre ce și pe ce canale (e-mail, SMS).
• Fă retragerea ușoară. Articolul 7 alineatul (3) spune că oamenii își pot retrage consimțământul în orice moment, că trebuie informați despre asta înainte să consimtă și că retragerea trebuie să fie la fel de simplă ca acordarea consimțământului.
• Poți să-l dovedești. Conform articolului 7 alineatul (1), trebuie să poți demonstra că persoana și-a dat consimțământul. CEPD sugerează să păstrezi o evidență a modului și momentului în care a fost dat consimțământul și a informațiilor pe care le-a văzut persoana. Ombudsmanul danez al consumatorilor merge mai departe și spune că o serie de capturi de ecran sau o înregistrare a întregului flux, de la reclamă sau postare până la consimțământ, poate documenta ce a văzut participantul.

Double opt-in, în care oamenii își confirmă adresa de e-mail dând click pe un link, te ajută să arăți că persoana care s-a înscris deține adresa. Dacă ai nevoie de el depinde de piața ta; întreabă-ți consilierul.

Generatorul de text pentru consimțământ gratuit scrie textul căsuței, emailul de double opt-in și un rând pentru politica ta de confidențialitate.

Ce le spui participanților (articolul 13)

Când colectezi date direct de la oameni, articolul 13 enumeră ce trebuie să le spui în momentul colectării. Pentru un concurs, asta înseamnă de obicei:

• Cine ești și cum poți fi contactat (și responsabilul cu protecția datelor, dacă ai unul)
• Scopurile și temeiul juridic pentru fiecare: concursul și, separat, marketingul
• Interesele tale legitime, dacă te bazezi pe ele
• Cine primește datele, de exemplu instrumentul de e-mail sau firma de curierat pentru premii
• Orice transfer în afara UE
• Cât timp păstrezi datele sau criteriile după care decizi
• Drepturile oamenilor: acces, rectificare, ștergere, restricționare, opoziție, portabilitate
• Dreptul de a-și retrage consimțământul în orice moment
• Dreptul de a depune o plângere la o autoritate de supraveghere

Un text scurt lângă formular, cu un link către politica de confidențialitate și regulament, este varianta obișnuită. Lista noastră de verificare pentru regulamentul concursului acoperă partea de concurs.

Cât timp păstrezi datele

Articolul 5 alineatul (1) litera (e) spune că datele cu caracter personal nu trebuie păstrate într-o formă care permite identificarea mai mult timp decât este necesar pentru scop. În practică:

• Datele de înscriere pentru concurs: hotărăște când le ștergi după încheierea concursului și după ce trece orice perioadă de reclamații.
• Consimțământul de marketing: păstrează-l cât timp îl folosești, împreună cu dovada modului în care a fost dat. Ghidul Ombudsmanului danez al consumatorilor spune că o firmă ar trebui să păstreze documentația consimțământului cât timp vrea să contacteze persoana și până la doi ani după ultimul contact.
• Câștigătorii: păstrează ce îți trebuie ca să livrezi premiul și să răspunzi la eventuale întrebări, apoi șterge. Verifică regulile contabile și fiscale cu contabilul tău.

Stabilește datele de ștergere înainte de lansare și scrie-le în informarea privind confidențialitatea.

Datele câștigătorilor

Cere-le câștigătorilor doar ce îți trebuie ca să livrezi premiul, de exemplu o adresă de livrare. Dacă vrei să publici numele câștigătorului, spune asta în regulament și limitează-te la minimum, de exemplu prenumele și orașul. Vezi cum alegi câștigătorul unui giveaway pentru anunțarea câștigătorilor ținând cont de confidențialitate.

Persoane împuternicite și DPA

Dacă un instrument gestionează datele participanților în numele tău, de exemplu o platformă de concursuri, un instrument de e-mail sau un CRM, acesta acționează ca persoană împuternicită de tine. Articolul 28 alineatul (3) cere un contract sau un alt act juridic care stabilește obiectul, durata, natura și scopul prelucrării, tipurile de date și obligațiile și drepturile operatorului. Asigură-te că ai un acord de prelucrare a datelor (DPA) cu fiecare instrument din lanț.

Note pe țări

Danemarca

Secțiunea 10 din legea daneză privind practicile de marketing (markedsføringsloven) spune că o firmă nu poate contacta pe nimeni prin poștă electronică în scop de marketing direct fără consimțământul său prealabil, că oamenii trebuie informați că și-l pot retrage și că retragerea trebuie să fie simplă și gratuită. Este citată în ghidul Ombudsmanului Consumatorilor despre concursuri și consimțământ, care enumeră și ce ar trebui să cuprindă textul de consimțământ. Ghidul Datatilsynet privind consimțământul (în daneză) acoperă partea de protecție a datelor. Citește mai multe în concursuri online în Danemarca și UE.

Germania

Conform secțiunii 7 alineatul (2) punctul 2 din legea germană împotriva concurenței neloiale (UWG), publicitatea prin e-mail fără consimțământul prealabil expres al destinatarului este întotdeauna o hărțuire inacceptabilă. Secțiunea 7 alineatul (3) are o excepție îngustă pentru adresele primite de o firmă în legătură cu vânzarea de bunuri sau servicii; dacă s-ar putea aplica vreodată unei înscrieri la concurs este o întrebare pentru avocatul tău. Pentru problema condiționării, vezi pozițiile autorității și ale instanței de mai sus și cere sfaturi juridice în Germania.

Cum te ajută Scratcher

Niciun instrument nu poate face în locul tău o campanie conformă: tu decizi configurarea, textele și regulamentul. Scratcher îți oferă setările ca s-o organizezi așa cum ai decis:

• Căsuțe de consimțământ cu propriile texte, iar tu alegi ce câmpuri sunt obligatorii, așa că newsletterul poate fi opțional
• E-mailuri de double opt-in (modulul de e-mail: inclus în Professional sau ca add-on)
• Propriile linkuri către regulament și confidențialitate în formularul de înscriere
• Setări de ștergere, ca tu să decizi când sunt șterse datele jucătorilor, plus export al înscrierilor și câștigătorilor
• Înscrieri trimise în instrumentul de e-mail sau în CRM prin integrări native, Zapier, API sau webhook-uri

Scratcher acționează ca persoană împuternicită de tine pe baza unui acord de prelucrare a datelor, este certificat ISO/IEC 27001:2022 și găzduiește datele în UE. Citește mai multe pe pagina noastră despre securitate și GDPR. Pentru concursul propriu-zis, vezi concursuri online și giveaway-uri și ghidul nostru despre cum organizezi un concurs online.

Întrebări frecvente

Poți condiționa participarea la un concurs de abonarea la newsletter?

Depinde de țară și de configurare, iar autoritățile nu sunt toate de acord. Articolul 7 alineatul (4) din GDPR și ghidurile CEPD sunt stricte când un serviciu depinde de un consimțământ care nu este necesar pentru el. Varianta cu cele mai puține întrebări este să-i lași pe oameni să participe fără să se aboneze și să oferi newsletterul printr-o căsuță separată și nebifată.

Este permisă o căsuță de consimțământ bifată dinainte?

Nu. Ghidurile CEPD spun că, potrivit GDPR, căsuțele de opt-in bifate dinainte nu sunt valabile.

Intră sub incidența GDPR un giveaway pe social media?

Da, dacă colectezi sau folosești date cu caracter personal, de exemplu nume de utilizator, adrese de e-mail sau adrese de livrare pentru câștigători. Vezi articolul nostru despre regulile pentru giveaway-uri pe Instagram și Facebook.

Cât timp pot păstra înscrierile la concurs?

Doar cât timp ai nevoie de ele pentru scopul respectiv. Stabilește o dată de ștergere pentru datele de înscriere după concurs și păstrează dovada consimțământului de marketing cât timp te bazezi pe el.

Construiește concursuri cu consimțământul integrat

Încearcă Scratcher gratuit timp de 14 zile, fără card de credit, sau programează o întâlnire și îți arătăm cum configurezi consimțământul, double opt-in și ștergerea datelor.

Acest articol oferă informații generale, nu consultanță juridică. Regulile diferă de la o țară la alta și se schimbă în timp, așa că verifică regulile actuale și cere sfaturi juridice înainte să lansezi o campanie.