Jeu-concours et RGPD : ce qui vous incombe vraiment

Un jeu-concours qui demande une adresse e-mail est un traitement de données à caractère personnel. Ce n’est pas une subtilité de juriste : dès la première inscription, vous êtes responsable de traitement au sens du RGPD, avec les obligations qui vont avec. La bonne nouvelle, c’est qu’elles sont peu nombreuses et qu’elles tiennent en une page. La mauvaise, c’est que la plupart des concours n’en respectent aucune.

Cette page décrit des obligations générales et ne constitue pas un conseil juridique. Selon votre pays, votre secteur et le volume traité, votre situation peut appeler l’avis d’un professionnel. Les textes de référence sont publiés par la CNIL et, en Belgique, par l’Autorité de protection des données.

1. Une base légale, et une seule qui tienne

Vous devez pouvoir dire pourquoi vous avez le droit de traiter ces adresses. Pour un concours, la base est le consentement : libre, spécifique, éclairé et univoque.

Le mot qui compte est « univoque ». Une case précochée n’est pas un consentement. Une adresse récupérée dans les commentaires d’une publication n’en est pas un non plus : la personne a commenté, elle n’a pas consenti à figurer dans votre base.

C’est la raison d’être du double opt-in : le participant reçoit un e-mail et doit cliquer pour confirmer. Vous obtenez alors une preuve du consentement, horodatée, que vous pouvez produire. Chez nous, une inscription non confirmée n’entre pas dans le tirage — la règle est technique, pas déclarative.

2. Séparer le concours de la prospection

C’est la faute la plus fréquente, et la plus coûteuse. Participer à un concours ne vaut pas consentement à recevoir votre lettre d’information. Ce sont deux finalités distinctes, qui appellent deux consentements distincts.

Concrètement : deux cases, séparées, aucune précochée, et la participation ne doit pas être conditionnée à l’acceptation de la seconde. Un concours qui impose l’inscription à la newsletter pour participer transforme le consentement en péage — il n’est alors plus « libre », et il ne vaut rien.

3. Ne collecter que le nécessaire

La minimisation n’est pas un conseil, c’est une obligation. Pour tirer au sort et joindre le gagnant, une adresse e-mail suffit. Date de naissance, numéro de téléphone, adresse postale : ils ne se justifient qu’au moment où ils deviennent nécessaires — l’adresse postale à l’expédition du lot, par exemple, et pas à l’inscription de tout le monde.

La question à se poser pour chaque champ : « si je le retire, le concours fonctionne-t-il encore ? » Si oui, le champ n’a rien à faire dans le formulaire.

4. Informer, en clair, au moment de la collecte

Le participant doit savoir, avant de valider :

• qui traite ses données — vous, et non la plateforme que vous utilisez ;
• pour quoi faire — le tirage, l’annonce du gagnant, la remise du lot ;
• combien de temps elles sont conservées ;
• à qui elles sont transmises, le cas échéant ;
• comment exercer ses droits : accès, rectification, effacement, opposition, retrait du consentement.

Cette information a naturellement sa place dans le règlement du concours. Notre guide du règlement détaille ce qu’il doit contenir par ailleurs.

5. Fixer une durée, et purger

Aucune conservation « au cas où ». Vous devez annoncer une durée et vous y tenir : le temps du concours et de sa contestation possible, puis suppression.

Une nuance utile : les données nécessaires à la vérifiabilité du tirage ne sont pas les adresses elles-mêmes. Un scellé suffit à prouver qu’une liste n’a pas changé, sans conserver la liste elle-même. C’est ce qui permet de purger sans perdre la preuve.

6. Vos sous-traitants sont votre responsabilité

L’outil de tirage, le service d’e-mailing, l’hébergeur : ce sont des sous-traitants au sens de l’article 28. Vous devez savoir qui ils sont, où les données sont hébergées, et disposer d’un contrat qui encadre leur intervention.

Ce que DrawSeal fait, de son côté

• Hébergement dans l’Union européenne, sans transfert hors de l’Espace économique européen.
• Cloisonnement par organisateur : les données de vos participants vivent dans un espace séparé de celles des autres clients, et cette isolation est tenue par un test bloquant — pas par une consigne interne.
• Aucune mesure d’audience : ni Google Analytics, ni pixel publicitaire, ni traceur tiers. C’est aussi pourquoi le site n’affiche pas de bandeau cookies : il n’y a rien à faire accepter.
• L’adresse IP n’est pas conservée : le pays est déduit en mémoire, à partir d’une base embarquée, pour les besoins du règlement — l’IP n’est transmise à personne et le pays obtenu n’est pas enregistré.
• Double opt-in par construction : une inscription non confirmée est écartée du tirage.

Le détail des finalités, des sous-traitants et des droits figure dans notre politique de protection des données, qui est le document qui engage.

7. Savoir répondre à une demande de droits

Un participant peut demander l’accès à ses données, leur rectification, leur effacement, ou retirer son consentement — à tout moment, y compris pendant le concours. Vous avez un mois pour répondre.

Le cas qui embarrasse : un participant demande l’effacement après le tirage. Vous pouvez y répondre, parce que la preuve du tirage repose sur un scellé et non sur la liste elle-même. C’est exactement pour ce genre de situation que la distinction du point 5 compte.

À lire ensuite

• Règlement de jeu-concours — ce qu’un règlement doit contenir, clause par clause
• Organiser un jeu-concours — le parcours complet, des lots à la remise du prix
• Preuve d’un tirage — capture, direct, huissier : ce que chacun démontre vraiment

Questions fréquentes