Organizujesz konkurs? Pamiętaj o zasadach postępowania z danymi osobowymi uczestników

Konkursy to świetne działania promocyjne – mogą przyczynić się do zwiększenia sprzedaży, czy przysporzyć fanów w mediach społecznościowych. Nie da się ich jednak zorganizować bez pozyskania danych osobowych. Jak to zrobić zgodnie z prawem? Radzi adwokat Marcin Zadrożny z ODO 24.

Wymagając od uczestników podania danych osobowych należy kierować się zasadą adekwatności. Nie należy nakłaniać do podawania tych, które są zbędne do rozstrzygnięcia a przede wszystkim nie można ich wykorzystywać do innych – pozakonkursowych – celów, chyba że uczestnicy świadomie wyrażą na to zgodę.

W pierwszym etapie konkursu w zupełności wystarczy, gdy konkursowicze podadzą nam imię, nazwisko, adres e-mail i numer telefonu. Gdy udział zależy od wieku – np. startować mogą tylko osoby pełnoletnie – możemy zapytać się datę urodzenia.

Taki zbiór danych w zupełności wystarczy, abyśmy mogli skontaktować się z osobami, które zdobyły nagrody. Dopiero na tym etapie laureaci powinni podać informacje niezbędne do  przekazania nagrody.

- W przypadku nagród rzeczowych może to być adres zamieszkania, a pieniężnych numer rachunku bankowego – mówi adwokat Marcin Zadrożny z ODO 24. - W żadnym przypadku firmy nie powinny wymuszać udostępnienia innych informacji, zwłaszcza takich jak seria i numer dowodu osobistego. Czasami natomiast jest konieczne pozyskanie numeru PESEL. Związane jest to z koniecznością wystawienia nagrodzonej osobie informacji podatkowej PIT-8C. Jednakże w zdecydowanej większości akcji marketingowych, zwłaszcza tych konsumenckich, nie trzeba nikomu wystawiać PIT-ów, ani tym bardziej zbierać do tego szczegółowych danych osobowych.

Regulaminy konkursów i zgłoszenia

Są one bardzo ważne ze względu na to, że zawarte są w nich kwestie związane z ochroną danych osobowych. W regulaminach powinien być wskazany podmiot będący administratorem danych, cel, w jakim będą one wykorzystywane, informacja o prawach wglądu w dane oraz ich poprawiania oraz dobrowolności podania danych (podanie danych może być dobrowolne ale niezbędne do przystąpienia do konkursu), ewentualnie informacja o znanych odbiorcach danych. Z regulaminu powinno również wynikać, iż uczestnik zgadza się na przetwarzanie swoich danych w celach związanych z konkursem, pomimo zbierania zgody w zgłoszeniu konkursowym.

Kolejną istotną kwestią jest samo zgłoszenie konkursowe. Jego forma może być dowolna. Jednak należy pamiętać, że firma/organizacja odpowiedzialna za działania musi być w stanie przedstawić, że każdy z uczestników dokonał zgłoszenia świadomie. Dlatego powinno ono zawierać przede wszystkim:

1. Wyrażenie zgody na przetwarzanie danych osobowych. W celu udziału w konkursie oraz ewentualne inne zgody dot. pozwolenia na opublikowanie informacji o zwycięzcach oraz na wykorzystanie wizerunku zwycięzcy, czy na przetwarzanie danych w innych celach marketingowych – należy pamiętać: jeden cel, jedna zgoda. Co ciekawe, na gruncie RODO oceniając, czy zgody udzielono dobrowolnie, w jak największym stopniu uwzględnia się fakt, czy od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy, w tym świadczenie usługi, nawet jeśli nie jest ono niezbędne do wykonania tej umowy.
2. Oświadczenie o zapoznaniu się i zaakceptowaniu regulaminu.
3. Obowiązek informacyjny wobec uczestnika. Biorąc pod uwagę, że w związku z nadchodzącym RODO jest on obszerniejszy (art. 13 RODO) większość szczegółów można zawrzeć w regulaminie.

- Informacje podawane przez uczestników i gromadzone w związku z konkursem według obowiązującego do 25 maja 2018 roku prawa - art. 7 pkt 1 ustawy o ochronie danych osobowych – są zbiorem danych osobowym. W związku z tym należy zgłosić go do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych – wskazuje adw. Marcin Zadrożny z ODO 24. W przypadku kiedy w spółce został powołany i zgłoszony do rejestracji administrator bezpieczeństwa informacji, nie ma takiego obowiązku. ABI wpisuje go jedynie do jawnego rejestru zbiorów, który prowadzi. Należy, pamiętać, że na gruncie RODO, czyli od 25 maja 2018 roku, nie będzie już obowiązku rejestracji zbiorów, a Inspektor Ochrony Danych („następca ABI”) nie będzie zobligowany do prowadzenia rejestru. Niestety dla organizatorów, a z pożytkiem dla obywateli, RODO to dużo więcej zmian i nowości – dodaje.