Concursos y RGPD: lo que realmente te corresponde

Un concurso que pide una dirección de correo es un tratamiento de datos personales. No es una sutileza de juristas: desde la primera inscripción eres responsable del tratamiento a efectos del RGPD, con las obligaciones que ello conlleva. La buena noticia es que son pocas y caben en una página. La mala es que la mayoría de los concursos no cumple ninguna.

Esta página describe obligaciones generales y no constituye asesoramiento jurídico. Según tu país, tu sector y el volumen tratado, tu situación puede requerir la opinión de un profesional. Los textos de referencia los publica la Agencia Española de Protección de Datos.

1. Una base jurídica, y solo una que se sostenga

Debes poder decir por qué tienes derecho a tratar esas direcciones. En un concurso, la base es el consentimiento: libre, específico, informado e inequívoco.

La palabra que cuenta es «inequívoco». Una casilla premarcada no es consentimiento. Una dirección sacada de los comentarios de una publicación tampoco: la persona comentó, no consintió figurar en tu base.

Esa es la razón de ser del doble opt-in: el participante recibe un correo y debe pulsar para confirmar. Obtienes así una prueba del consentimiento, fechada, que puedes aportar. Aquí, una inscripción sin confirmar no entra en el sorteo: la regla es técnica, no declarativa.

2. Separar el concurso de la prospección

Es el fallo más frecuente y el más caro. Participar en un concurso no equivale a consentir recibir tu boletín. Son dos finalidades distintas, que exigen dos consentimientos distintos.

En concreto: dos casillas separadas, ninguna premarcada, y la participación no debe condicionarse a aceptar la segunda. Un concurso que impone suscribirse al boletín convierte el consentimiento en un peaje: deja de ser «libre» y no vale nada.

3. Recoger solo lo necesario

La minimización no es un consejo, es una obligación. Para sortear y contactar al ganador basta una dirección de correo. Fecha de nacimiento, teléfono, dirección postal: solo se justifican cuando se vuelven necesarios — la dirección postal al enviar el premio, por ejemplo, no en la inscripción de todo el mundo.

La pregunta para cada campo: «si lo quito, ¿sigue funcionando el concurso?» Si la respuesta es sí, ese campo no pinta nada en el formulario.

4. Informar, con claridad, en el momento de la recogida

Antes de validar, el participante debe saber:

• quién trata sus datos — tú, no la plataforma que utilizas;
• para qué — el sorteo, el anuncio del ganador, la entrega del premio;
• cuánto tiempo se conservan;
• a quién se comunican, si procede;
• cómo ejercer sus derechos: acceso, rectificación, supresión, oposición, retirada del consentimiento.

Esa información tiene su sitio natural en las bases del concurso. Nuestra guía de las bases detalla lo demás que deben contener.

5. Fijar un plazo, y purgar

Nada de conservar «por si acaso». Debes anunciar un plazo y respetarlo: el tiempo del concurso y de su posible impugnación, y después la supresión.

Un matiz útil: los datos necesarios para la verificabilidad del sorteo no son las direcciones en sí. Un sello basta para probar que una lista no cambió, sin conservar la lista misma. Eso es lo que permite purgar sin perder la prueba.

6. Tus encargados son responsabilidad tuya

La herramienta de sorteo, el servicio de correo, el alojamiento: son encargados del tratamiento a efectos del artículo 28. Debes saber quiénes son, dónde se alojan los datos y disponer de un contrato que enmarque su intervención.

Lo que hace DrawSeal por su parte

• Alojamiento en la Unión Europea, sin transferencia fuera del Espacio Económico Europeo.
• Compartimentación por organizador: los datos de tus participantes viven en un espacio separado del de los demás clientes, y ese aislamiento lo sostiene un test bloqueante, no una consigna interna.
• Ninguna medición de audiencia: ni Google Analytics, ni píxel publicitario, ni rastreador de terceros. Por eso tampoco hay aviso de cookies: no hay nada que hacerte aceptar.
• La dirección IP no se conserva: el país se deduce en memoria, a partir de una base embarcada, para las necesidades de las bases — la IP no se transmite a nadie y el país obtenido no se registra.
• Doble opt-in por construcción: una inscripción sin confirmar queda excluida del sorteo.

El detalle de las finalidades, los encargados y los derechos está en nuestra política de protección de datos, que es el documento que obliga.

7. Saber responder a una solicitud de derechos

Un participante puede pedir acceso a sus datos, su rectificación, su supresión, o retirar su consentimiento, en cualquier momento, incluso durante el concurso. Tienes un mes para responder.

El caso incómodo: un participante pide la supresión después del sorteo. Puedes atenderlo, porque la prueba del sorteo se apoya en un sello y no en la lista misma. Es exactamente para eso que cuenta la distinción del punto 5.

Seguir leyendo

• Bases de un concurso — lo que deben contener unas bases, cláusula por cláusula
• Organizar un concurso — el recorrido completo, de los premios a la entrega
• Prueba de un sorteo — captura, directo, notario: lo que demuestra cada uno

Preguntas frecuentes