RGPD
Sorteos y datos personales: qué tiene derecho a pedir
Un sorteo que sus participantes recalculan ellos mismos
Semilla publicada antes del sorteo, aleatoriedad pública drand, vídeo compartible. Gratis para los participantes.
Crear una cuentaVerificar un sorteo existenteUn formulario de participación es una tentación. Puesto que la persona está ahí y quiere ganar algo, ¿por qué no aprovechar para recoger su teléfono, su fecha de nacimiento, su ciudad y sus intereses? El RGPD llama a esto recogida excesiva, y es uno de los incumplimientos más fáciles de constatar: se ve en el formulario.
El principio, en una frase
Los datos recogidos deben ser adecuados, pertinentes y limitados a lo necesario en relación con la finalidad. La finalidad aquí es organizar un sorteo: identificar a los participantes, designar un ganador, entregarle su premio.
La prueba que hay que aplicar a cada campo es simple y brutal: si este campo estuviera vacío, ¿podría celebrarse igualmente el sorteo? Si la respuesta es sí, el campo es excesivo.
Campo por campo
La dirección de correo es necesaria. Por ella se confirma la participación y se avisa al ganador. Es además, en la mayoría de sorteos, el único dato realmente imprescindible.
Nombre y apellidos son defendibles pero rara vez necesarios para participar. Lo son en la entrega del premio. La buena práctica es pedirlos solo al ganador, después del sorteo, y no a todos, antes.
La dirección postal sigue la misma lógica, de forma más nítida: solo sirve para enviar un premio físico, es decir, a una persona entre mil. Pedirla al inscribirse significa recoger novecientas noventa y nueve direcciones sin ningún uso.
La fecha de nacimiento solo se justifica si existe una condición de edad, y aun así una casilla «soy mayor de 18 años» casi siempre basta. La fecha exacta es un dato más preciso que la necesidad.
El número de teléfono es el campo más discutible. Solo sirve al sorteo si el premio lo exige, por ejemplo una entrega en mano. En los demás casos se recoge para prospección comercial, y debe presentarse como tal: facultativo, con consentimiento distinto.
Ciudad, profesión, intereses no guardan relación alguna con la celebración de un sorteo. Son datos de segmentación de marketing, que corresponden a otra finalidad, otra base jurídica y un consentimiento separado.
El formulario en dos tiempos
La conclusión práctica cabe en una reorganización: recoger lo mínimo a la entrada y el resto al ganar.
- Al inscribirse: la dirección de correo y la casilla de edad si es necesaria.
- Tras el sorteo, solo al ganador: lo que exija la entrega del premio.
Esta organización no solo es conforme, sino más eficaz. Cada campo añadido hace caer la tasa de cumplimentación, y un formulario corto aumenta las participaciones tanto como reduce el riesgo.
La IP y la huella técnica
Un caso aparte, a menudo mal tratado. Una dirección IP es un dato personal. Su recogida para prevenir el fraude es legítima con tres condiciones: que se anuncie, que sirva únicamente para eso y que no sobreviva a la necesidad que la justifica.
En DrawSeal la IP nunca se conserva en claro: se reduce a una huella que permite detectar la multiparticipación sin permitir reconstruir la dirección. La necesidad —descartar diez inscripciones del mismo equipo— queda satisfecha; el dato ya no está.
Lo que hay que recordar
La prueba es única: si este campo estuviera vacío, ¿podría celebrarse el sorteo? El correo la supera, casi nada más. Nombre, dirección postal y teléfono solo sirven para entregar el premio: pídalos al ganador, después del sorteo. Fecha de nacimiento, ciudad, profesión e intereses corresponden al marketing, es decir, a una finalidad distinta y un consentimiento separado.
FAQ
¿Se puede pedir el usuario de Instagram del participante?
Sí, si sirve al sorteo, por ejemplo para verificar una condición de seguimiento anunciada en las bases. No, si sirve para construir una lista de cuentas a las que contactar después.
¿Un campo facultativo es siempre aceptable?
Es más defendible, pero no automáticamente. Un campo facultativo sigue siendo recogida, así que necesita una finalidad anunciada. «Facultativo» no exime de explicar para qué sirve.
¿Cuánto tiempo conservar los datos de los no ganadores?
El tiempo que exijan el sorteo y la gestión de posibles reclamaciones, no más. Si el participante consintió por separado la prospección, ese consentimiento tiene su propia duración, distinta de la del sorteo.
¿Hace falta un delegado de protección de datos para un sorteo?
No necesariamente: la obligación depende de la organización, no del sorteo. En cambio, el tratamiento debe figurar en su registro de actividades, y los participantes deben ser informados de cómo trata sus datos.