Persondata i konkurrencer: GDPR og samtykke for arrangører

To regelsæt på én gang

En konkurrence med tilmelding til nyhedsbrev skal overholde både markedsføringsloven og databeskyttelsesforordningen (GDPR) med den danske databeskyttelseslov.

Selve konkurrencevilkårene – præmie, tidsfrist, lodtrækning – gennemgås i guiden om konkurrencebetingelser.

Behandlingsgrundlag: konkurrencen og markedsføringen er to formål

Skil de to formål ad, når du planlægger:

• At afvikle konkurrencen – registrere deltagelse, trække en vinder, kontakte vinderen og sende præmien. Her har du kun brug for få oplysninger, typisk navn og en kontaktmulighed, og adresse fra vinderen. Denne del bør ikke hvile på samtykket til markedsføring – en deltager, der afmelder nyhedsbrevet, skal stadig kunne vinde.
• Markedsføring – nyhedsbreve, sms-tilbud, opkald. Det kræver samtykke efter markedsføringsloven, og efter Datatilsynets vejledning om direkte markedsføring bør behandlingen af oplysningerne så også ske på grundlag af samtykke (GDPR artikel 6, stk. 1, litra a).

GDPR’s princip om dataminimering betyder, at du ikke må spørge om mere, end formålet kræver. Fødselsdato, adresse eller spørgsmål om forbrugsvaner fra alle deltagere skal kunne begrundes. Videregiver du svar fra et spørgeskema til partnere, kræver det efter Datatilsynets afgørelse i SmartResponse-sagen (2022) et særskilt samtykke, når oplysningerne er detaljerede.

Må deltagelse kræve samtykke til nyhedsbrev?

Det korte svar efter dansk praksis er ja – på betingelser. Forbrugerombudsmandens vejledning om brug af konkurrencer til at indhente samtykke siger, at du gerne må præmiere en forbruger for at give samtykke til markedsføring med deltagelse i en konkurrence. Vejledningen tager netop udgangspunkt i konkurrencer, hvor samtykket er en betingelse for at deltage.

Datatilsynet fandt i SmartResponse-sagen, at et samtykke indhentet som betingelse for deltagelse i internetkonkurrencer var i overensstemmelse med databeskyttelsesreglerne. I sin vejledning om direkte markedsføring skriver tilsynet, at man i et vist omfang må motivere til samtykke med en fordel, men at manglende samtykke ikke må føre til negative konsekvenser som fx ekstra omkostninger.

Vær dog opmærksom på, at GDPR artikel 7, stk. 4, og Det Europæiske Databeskyttelsesråds (EDPB) retningslinjer 05/2020 lægger op til en formodning om, at et samtykke ikke er frivilligt, hvis en ydelse gøres betinget af samtykke til behandling, der ikke er nødvendig for ydelsen. Den sikreste løsning er derfor et særskilt, frivilligt afkrydsningsfelt til nyhedsbrevet, så man kan deltage uden. Vælger du at gøre samtykket til en betingelse, skal kravene herunder være opfyldt.

Det sidste punkt er værd at bemærke: Forbrugerombudsmanden mener, at det er vildledende at kalde en konkurrence gratis, hvis deltagelse forudsætter samtykke til markedsføring.

Sådan skriver du samtykketeksten

Ifølge Forbrugerombudsmanden skal samtykketeksten indeholde, hvem der sender markedsføringen, via hvilke kanaler, om hvilke varer eller tjenester, og at samtykket kan trækkes tilbage. Oplysningen om, at man giver samtykke til markedsføring, skal stå først i teksten. Datatilsynet tilføjer, at anmodningen skal være adskilt fra privatlivspolitikken og skrevet i et klart sprog.

[ ] Ja tak, [Virksomhed ApS] må sende mig markedsføring om [varegrupper, fx havemøbler, grill og udendørsbelysning] via e-mail og sms.

Jeg kan altid trække mit samtykke tilbage via linket i hver mail, ved at svare STOP på en sms eller ved at skrive til [e-mailadresse].

Læs, hvordan vi behandler dine oplysninger: [link til privatlivsoplysninger]

Skal flere virksomheder have samtykket, skal de stå med navn direkte i teksten eller som navne og logoer lige ved den, hvor antallet fremgår. Forbrugerombudsmanden mener, at der er en grænse for, hvor mange virksomheder man kan samtykke til på én gang. Sætter du samtykket som betingelse for deltagelse, så skriv det i overskriften, fx "Tilmeld dig vores nyhedsbrev og deltag i konkurrencen om …".

Oplysningspligt: det skal deltagerne have at vide

Efter GDPR artikel 13 skal deltagerne, når du indsamler oplysningerne, have at vide:

• hvem du er, og hvordan man kontakter dig (og en eventuel databeskyttelsesrådgiver)
• formålene og behandlingsgrundlaget for hvert formål
• hvem oplysningerne gives videre til
• hvor længe oplysningerne gemmes, eller hvordan perioden fastsættes
• retten til indsigt, berigtigelse, sletning, indsigelse mv. og retten til at trække samtykke tilbage
• retten til at klage til Datatilsynet

Forbrugerombudsmanden kræver desuden, at selve konkurrencesiden oplyser virksomhedens navn, fysiske adresse, e-mail og CVR-nummer, samlet og højst ét klik væk.

Datatilsynet kritiserede i SmartResponse-sagen, at deltagerne ikke var blevet fuldt informeret om, at virksomheden gemte oplysninger, efter samtykket var trukket tilbage. Skriv altså også, hvad der sker med oplysningerne efter en afmelding.

Deling med partnere og sponsorer

Indsamler du samtykke på vegne af andre virksomheder, gælder ifølge Forbrugerombudsmanden:

• Du skal umiddelbart efter deltagelsen sende deltageren en kvittering på et varigt medium, fx en mail, om samtykket og om, hvordan det trækkes tilbage hos dig.
• Den virksomhed, der sender markedsføringen, har ansvaret for, at samtykket er lovligt – også når det er købt hos en anden. Den, der har lavet konkurrencen, kan blive medansvarlig.
• Trækker en deltager samtykket tilbage, skal partnerne have besked. Datatilsynet henviser til, at den dataansvarlige skal underrette dem, oplysningerne er videregivet til.

Hvor længe må du gemme oplysningerne?

GDPR fastsætter ingen bestemt frist. Oplysningerne må gemmes, så længe det er nødvendigt for formålet, og du skal selv fastsætte og dokumentere perioden.

• Deltagere uden samtykke til markedsføring: Når vinderen er fundet, har modtaget præmien, og fristen for indsigelser er udløbet, er formålet typisk opfyldt. Slet dem.
• Vinderen: Oplysninger, du skal gemme efter anden lovgivning, fx bogføringsregler, gemmer du efter dem.
• Samtykke til markedsføring: Forbrugerombudsmanden anbefaler at gemme dokumentation, så længe samtykket bruges og indtil 2 år efter sidste henvendelse. Datatilsynet nævner samme eksempel – navn og e-mail i 2 år fra sidste henvendelse.

Datatilsynet underkendte i SmartResponse-sagen en fast opbevaring i 5 år og en "nej tak-liste" over personer, der havde trukket samtykket tilbage, og påbød, at listen blev slettet. Bruger du ikke et samtykke, kan det desuden bortfalde: Forbrugerombudsmanden har lagt til grund, at det typisk sker efter cirka et år uden henvendelse.

Offentliggørelse af vinderen og dokumentation

Der er ingen særlig dansk regel om at offentliggøre vindere, men det er en behandling af personoplysninger. Skriv i vilkårene og privatlivsoplysningerne, at og hvordan vinderen offentliggøres, og begræns det til fornavn og eventuelt by. Vil du bruge fuldt navn eller billede, så spørg vinderen først. Læs mere om lodtrækning og kontakt med vinderen i guiden træk en vinder, og om Metas egne krav i guiden om konkurrencer på Facebook.

Henvender du dig med markedsføring til børn, skal du være varsom: Forbrugerombudsmanden mener, at børn under 13 år ikke selv kan give samtykke til elektronisk markedsføring – det skal forældrene gøre. Og mere generelt bør du som udgangspunkt ikke rette markedsføring mod børn under 15 år uden forældrenes samtykke. Se også konkurrencebetingelser om børn og unge.

• Gem skærmbilleder eller en video af hele flowet – fra annoncen eller opslaget til samtykket – som det så ud på deltagelsesdagen. En URL er ikke nok, og en IP-adresse alene dokumenterer ikke, hvem der gav samtykket.
• Registrér, hvornår og hvordan hvert samtykke er givet, og hvilken tekst deltageren så.
• Brug dobbelt opt-in (bekræftelse via link i en mail), som Forbrugerombudsmanden anbefaler.
• Vær klar til at svare deltagerne på, hvornår og hvordan de gav samtykke, og hvem det er givet videre til.
• Beskriv dine slettefrister skriftligt, og følg dem.
• Træk faktisk en vinder: et samtykke givet i en konkurrence, der aflyses eller ikke trækkes, er ugyldigt.

Er du i tvivl om en konkret løsning, har både Forbrugerombudsmanden og Datatilsynet vejledninger på deres hjemmesider.