Tävlingar och GDPR: samtycke, anmälningar till nyhetsbrev och data

Enligt GDPR är det två olika ändamål att köra en tävling och att skicka marknadsföring efteråt, och vart och ett behöver sin egen rättsliga grund. Samtycke till marknadsföring måste vara frivilligt, och artikel 7.4 säger att man vid den bedömningen ska ta största hänsyn till om en tjänst har gjorts beroende av ett samtycke som inte är nödvändigt för den. Därför använder många varumärken en separat, okryssad ruta för nyhetsbrevet och låter folk delta oavsett om de kryssar i den eller inte.

Tävlingar är ett av de bästa sätten att samla in anmälningar och samtycke till marknadsföring. De innebär också att du samlar in personuppgifter, ofta från tusentals personer på några dagar. Den här guiden går igenom GDPR-frågorna du ska arbeta dig igenom före lanseringen: rättslig grund, frågan om koppling, hur du ber om samtycke, vad deltagarna ska få veta, hur länge du sparar data, vinnarnas uppgifter och personuppgiftsbiträden, med anteckningar för Danmark och Tyskland.

Den här artikeln är allmän information, inte juridisk rådgivning. Läs den som en lista med punkter att gå igenom med din juridiska rådgivare.

Två ändamål, två frågor

De flesta tävlingar behandlar personuppgifter för minst två saker:

1. Att genomföra tävlingen. Registrera deltagandet, kontrollera att folk följer reglerna, dra en vinnare, kontakta hen och leverera priset.
2. Marknadsföring. Skicka nyhetsbrev, sms eller erbjudanden efter tävlingen.

GDPR räknar upp de rättsliga grunderna i artikel 6.1, bland annat samtycke (a), behandling som är nödvändig för ett avtal som personen är part i (b) och berättigat intresse (f). Europeiska dataskyddsstyrelsen (EDPB) förklarar i sina riktlinjer 05/2020 om samtycke att om behandlingen faktiskt är nödvändig för att fullgöra ett avtal är samtycke inte rätt grund, och att samtycke och avtal "inte kan slås samman och suddas ut".

Vilken grund som passar deltagaruppgifterna i din tävling är en fråga för din juridiska rådgivare. Det viktiga är att hålla isär de två ändamålen i ditt formulär, dina texter och din dokumentation.

Marknadsföring via e-post och sms omfattas också av nationella marknadsföringsregler. I Danmark och Tyskland kräver de reglerna mottagarens förhandssamtycke innan du skickar marknadsföring via e-post (se landsanteckningarna nedan). Kolla reglerna i Sverige med en jurist.

Vad "frivilligt" betyder

GDPR definierar samtycke som frivilligt, specifikt, informerat och otvetydigt. EDPB:s riktlinjer säger att "frivilligt" innebär verklig valfrihet och kontroll, och att samtycket inte är giltigt om folk känner sig tvingade att samtycka eller drabbas av negativa konsekvenser om de säger nej.

Artikel 7.4 är den bestämmelse som ofta kallas kopplingsförbudet:

"Vid bedömning av huruvida samtycke är frivilligt ska största hänsyn bland annat tas till huruvida genomförandet av ett avtal, inbegripet tillhandahållandet av en tjänst, har gjorts beroende av samtycke till sådan behandling av personuppgifter som inte är nödvändig för genomförandet av det avtalet."

Skäl 43 tillägger att samtycke inte anses ha lämnats frivilligt om genomförandet av ett avtal, inklusive en tjänst, är beroende av ett samtycke som inte är nödvändigt för det. EDPB säger att bevisbördan ligger på anordnaren, och att fall där ett sådant villkor inte skulle göra samtycket ogiltigt kommer att vara "mycket exceptionella".

Samtidigt säger EDPB att GDPR "inte utesluter alla incitament", men anordnaren måste kunna visa att samtycket ändå lämnades frivilligt. Ett pris är ett incitament. Om det går för långt att göra deltagandet beroende av samtycke till nyhetsbrevet är frågan nedan.

Får du kräva en anmälan till nyhetsbrevet för att delta i en tävling?

Det här är en av de vanligaste frågorna, och det ärliga svaret är att det beror på land och på hur tävlingen är upplagd, och att myndigheterna inte är helt överens.

• EDPB:s allmänna syn på villkorade samtycken är strikt, som citerats ovan.
• I Tyskland skrev dataskyddsmyndigheten i Nordrhein-Westfalen i sin årsrapport för 2021 att det oftast bryter mot kopplingsförbudet att göra en tävling beroende av samtycke till nyhetsbrevet, men att det kan vara möjligt att i stället grunda kopplingen på ett avtal, om utbytet är transparent och tävlingen inte presenteras som "gratis". En tysk appellationsdomstol (OLG Frankfurt, 6 U 6/19, 27 juni 2019) kom fram till att ett samtycke till reklam som lämnas för att delta i en utlottning kan vara frivilligt, enligt en sammanfattning från den tyska konsumentorganisationernas förbund (på tyska).
• I Danmark säger Forbrugerombudsmandens vägledning om tävlingar och samtycke (på danska), enligt marknadsföringsreglerna, att du får belöna en konsument för att ge samtycke till marknadsföring med ett deltagande i en tävling, så länge det är tydligt att samtycke samlas in. Samma vägledning säger att den inte omfattar dataskyddsreglerna och hänvisar till den danska dataskyddsmyndigheten (Datatilsynet) för dem.

Eftersom svaret inte är klarlagt väljer många varumärken det alternativ som väcker minst frågor: folk kan delta utan att anmäla sig, och nyhetsbrevet är ett separat val. Du kan få färre anmälningar per deltagande, men varje samtycke är lättare att försvara. Om du vill göra deltagandet beroende av en anmälan, få juridisk rådgivning för varje marknad först.

Så ber du om samtycke

Praktiska punkter, baserade på GDPR och EDPB:s riktlinjer:

• Använd en separat kryssruta som inte är förkryssad. EDPB säger att förkryssade rutor för samtycke är ogiltiga enligt GDPR, och att tystnad eller inaktivitet inte är samtycke.
• Ett ändamål per samtycke. EDPB kallar det granularitet: om du vill ha samtycke både till ditt nyhetsbrev och till att dela data med en partner, be om vart och ett separat.
• Säg vem, vad och hur. Gör tydligt vem som kommer att kontakta folk, om vad och genom vilka kanaler (e-post, sms).
• Gör det lätt att återkalla. Artikel 7.3 säger att folk när som helst kan återkalla sitt samtycke, att de måste få veta det innan de samtycker, och att det ska vara lika lätt att återkalla som att ge samtycke.
• Kunna visa det. Enligt artikel 7.1 måste du kunna visa att personen har samtyckt. EDPB föreslår att du dokumenterar hur och när samtycket gavs och vilken information personen såg. Den danska Forbrugerombudsmanden går längre och säger att skärmbilder eller en inspelning av hela flödet, från annonsen eller inlägget till samtycket, kan dokumentera vad deltagaren såg.

Double opt-in, där folk bekräftar sin e-postadress genom att klicka på en länk, hjälper dig att visa att personen som deltog äger adressen. Om du behöver det beror på din marknad; fråga din rådgivare.

Den gratis generatorn för samtyckestext skriver texten till kryssrutan, mejlet för dubbel opt-in och en rad till din integritetspolicy.

Vad deltagarna ska få veta (artikel 13)

När du samlar in uppgifter direkt från folk räknar artikel 13 upp vad du måste berätta för dem vid insamlingen. För en tävling betyder det oftast:

• Vem du är och hur man kontaktar dig (och ditt dataskyddsombud, om du har ett)
• Ändamålen och den rättsliga grunden för vart och ett: tävlingen och, separat, marknadsföring
• Dina berättigade intressen, om du stöder dig på dem
• Vem som tar emot uppgifterna, till exempel ditt e-postverktyg eller budfirman som levererar priset
• Eventuell överföring utanför EU
• Hur länge du sparar uppgifterna, eller kriterierna för att bestämma det
• Folks rättigheter: tillgång, rättelse, radering, begränsning, invändning, dataportabilitet
• Rätten att när som helst återkalla samtycket
• Rätten att klaga till en tillsynsmyndighet

En kort text bredvid formuläret, med en länk till din integritetspolicy och dina villkor, är det vanliga sättet. Vår checklista för tävlingsvillkor tar upp tävlingsdelen.

Hur länge du sparar uppgifterna

Artikel 5.1 e säger att personuppgifter inte får sparas i identifierbar form längre än nödvändigt för ändamålet. I praktiken:

• Deltagaruppgifter för tävlingen: bestäm när du raderar dem efter att tävlingen är slut och en eventuell reklamationsperiod är över.
• Samtycke till marknadsföring: spara det så länge du använder det, tillsammans med bevis på hur det gavs. Den danska Forbrugerombudsmandens vägledning säger att ett företag bör spara dokumentation av samtycket så länge det vill kontakta personen och fram till två år efter den senaste kontakten.
• Vinnare: spara det du behöver för att leverera priset och hantera eventuella frågor, och radera sedan. Kolla regler för bokföring och skatt med din redovisningskonsult.

Bestäm raderingsdatumen före lanseringen och skriv in dem i din integritetsinformation.

Vinnarnas uppgifter

Be vinnarna bara om det du behöver för att leverera priset, till exempel en leveransadress. Om du vill publicera vinnarens namn, säg det i dina villkor och håll det till ett minimum, till exempel förnamn och ort. Se hur du utser en vinnare i en giveaway för att presentera vinnare med integriteten i åtanke.

Personuppgiftsbiträden och biträdesavtalet

Om ett verktyg hanterar deltagaruppgifter för din räkning, till exempel en tävlingsplattform, ett e-postverktyg eller ett CRM, är det ditt personuppgiftsbiträde. Artikel 28.3 kräver ett avtal eller en annan rättsakt som anger föremålet för behandlingen, dess varaktighet, art och ändamål, typen av personuppgifter och den personuppgiftsansvariges skyldigheter och rättigheter. Se till att du har ett personuppgiftsbiträdesavtal med varje verktyg i kedjan.

Landsanteckningar

Danmark

Paragraf 10 i den danska marknadsföringslagen (markedsføringsloven) säger att ett företag inte får kontakta någon via elektronisk post för direktmarknadsföring utan personens förhandssamtycke, att folk måste få veta att de kan återkalla det, och att återkallelsen ska vara enkel och kostnadsfri. Den citeras i Forbrugerombudsmandens vägledning om tävlingar och samtycke, som också räknar upp vad samtyckestexten bör innehålla. Datatilsynets vägledning om samtycke (på danska) tar upp dataskyddssidan. Läs mer i tävlingar online i Danmark och EU.

Tyskland

Enligt 7 § andra stycket punkt 2 i den tyska lagen mot otillbörlig konkurrens (UWG) är reklam via e-post utan mottagarens uttryckliga förhandssamtycke alltid ett oskäligt störande. 7 § tredje stycket har ett snävt undantag för adresser som ett företag har fått i samband med försäljning av varor eller tjänster; om det någonsin skulle kunna gälla ett tävlingsdeltagande är en fråga för din jurist. När det gäller kopplingsfrågan, se myndighetens och domstolens ståndpunkter ovan, och få tysk juridisk rådgivning.

Så stöder Scratcher dig

Inget verktyg kan göra en kampanj regelrätt åt dig: du bestämmer upplägg, texter och villkor. Scratcher ger dig inställningarna för att köra den så som du har bestämt:

• Kryssrutor för samtycke med dina egna texter, och du väljer vilka fält som är obligatoriska, så att nyhetsbrevet kan vara frivilligt
• Double opt-in-mejl (e-postmodulen: ingår i Professional, eller som tillägg)
• Dina egna länkar till villkor och integritetspolicy i anmälningsformuläret
• Inställningar för radering, så att du bestämmer när spelardata raderas, plus export av deltaganden och vinnare
• Anmälningar skickas till ditt e-postverktyg eller CRM via inbyggda integrationer, Zapier, API:et eller webhooks

Scratcher är ditt personuppgiftsbiträde enligt ett personuppgiftsbiträdesavtal, är certifierat enligt ISO/IEC 27001:2022 och lagrar data inom EU. Läs mer på vår sida om säkerhet och GDPR. För själva tävlingen, se tävlingar och giveaways online och vår guide om så gör du en tävling online.

Vanliga frågor

Får man kräva en anmälan till nyhetsbrevet för att delta i en tävling?

Det beror på land och upplägg, och myndigheterna är inte helt överens. GDPR:s artikel 7.4 och EDPB:s riktlinjer är strikta när det gäller att göra en tjänst beroende av ett samtycke som inte behövs för den. Alternativet med minst frågor är att låta folk delta utan att anmäla sig och erbjuda nyhetsbrevet som en separat, okryssad ruta.

Är en förkryssad samtyckesruta tillåten?

Nej. EDPB:s riktlinjer säger att förkryssade rutor för samtycke är ogiltiga enligt GDPR.

Omfattas en giveaway i sociala medier av GDPR?

Ja, om du samlar in eller använder personuppgifter, som användarnamn, e-postadresser eller leveransadresser till vinnare. Se vår artikel om regler för giveaways på Instagram och Facebook.

Hur länge får jag spara tävlingsdeltaganden?

Bara så länge du behöver dem för ändamålet. Sätt ett raderingsdatum för deltagaruppgifterna efter tävlingen, och spara bevis på samtycke till marknadsföring så länge du stöder dig på det.

Bygg tävlingar med samtycke inbyggt

Testa Scratcher gratis i 14 dagar, inget kreditkort behövs, eller boka ett möte så visar vi hur du ställer in samtycke, double opt-in och radering.

Den här artikeln är allmän information, inte juridisk rådgivning. Reglerna skiljer sig mellan länder och ändras över tid, så kontrollera de aktuella reglerna och få juridisk rådgivning innan du lanserar en kampanj.