Zgoda na konkurs (RODO) – wzór i zasady

„Zgoda na konkurs” to jedno z tych haseł, które brzmi prosto, ale w praktyce potrafi zrobić bałagan: uczestnik myśli, że bez zgody nie może wziąć udziału, a organizator wrzuca do jednego checkboxa wszystko naraz — udział, regulamin, publikację zwycięzców i marketing. Efekt? Zgoda przestaje być dobrowolna, cele się mieszają, a potem pojawia się pytanie: „czy mogę wysyłać oferty po konkursie?”. W tym Q&A rozkładamy temat na części: jakie dane wolno zbierać do przeprowadzenia konkursu, kiedy podstawą jest regulamin/umowa (RODO art. 6 ust. 1 lit. b), kiedy wchodzą obowiązki prawne (np. rozliczenia nagród), a kiedy faktycznie potrzebujesz zgody — np. na marketing lub na publikację danych zwycięzców w social media.

To materiał informacyjny dla MŚP organizujących konkursy (online i offline): w social media, sklepach internetowych, lokalnie, w marketingu i employer brandingu. Bazujemy na RODO (m.in. art. 5, 6, 7, 13) oraz na Wytycznych EROD 05/2020 o zgodzie. Pokazujemy też praktyczny wniosek z decyzji UODO ZSPR.421.7.2019: danych zebranych „do konkursu” nie wolno automatycznie przerzucać do marketingu bez odrębnej podstawy prawnej.

Wróć do Ochrona danych w firmie

W skrócie — najważniejsze fakty

Udział w konkursie zwykle nie wymaga „zgody RODO”. Dane do przeprowadzenia konkursu najczęściej przetwarzasz na podstawie regulaminu/umowy (art. 6 ust. 1 lit. b) oraz ewentualnych obowiązków prawnych (lit. c) — np. rozliczeń nagród.

Marketing jako taki może opierać się na uzasadnionym interesie (art. 6 ust. 1 lit. f RODO). Jednak w przypadku danych zebranych wyłącznie do udziału w konkursie, wykorzystanie ich do marketingu stanowi nowy cel przetwarzania, który — zgodnie z zasadą ograniczenia celu — wymaga odrębnej podstawy prawnej. W praktyce najczęściej jest nią zgoda.

Nie mieszaj checkboxów. Akceptacja regulaminu ≠ zgoda marketingowa. Zgoda ma być dobrowolna i oddzielna. Nie wolno robić z marketingu warunku udziału (Wytyczne EROD 05/2020).

Celowość i minimalizacja to podstawa. Zbieraj tylko to, co potrzebne do konkursu (art. 5 ust. 1 lit. b i c RODO), ustal retencję i jasno opisz, co zrobisz z danymi po zakończeniu konkursu.

Pytania i odpowiedzi: zgoda na konkurs

1. Co ludzie mają na myśli, gdy pytają o „zgodę na konkurs”?

Najczęściej chodzi o dwa różne tematy naraz: (1) „czy mogę przetwarzać dane, żeby przeprowadzić konkurs?” oraz (2) „czy mogę potem wykorzystać te dane do marketingu?”. W RODO to nie jest to samo. Dane do obsługi konkursu zwykle przetwarzasz na podstawie umowy/regulaminu (art. 6 ust. 1 lit. b) i ewentualnie obowiązków prawnych (lit. c). Zgoda (lit. a) pojawia się głównie wtedy, gdy chcesz zrobić coś „ponad konkurs”: marketing, publikacja wizerunku, szeroka publikacja danych zwycięzców.

2. Jaka jest najczęstsza poprawna podstawa prawna danych w konkursie?

W praktyce najczęściej: art. 6 ust. 1 lit. b RODO — przetwarzanie jest niezbędne do wykonania umowy lub do podjęcia działań przed zawarciem umowy. Konkurs działa jak „umowa” oparta o regulamin: uczestnik spełnia warunki, organizator wybiera zwycięzcę i wydaje nagrodę. Do tego mogą dojść obowiązki prawne (art. 6 ust. 1 lit. c) — np. dokumentowanie wydania nagrody, rozliczenia podatkowe, księgowość.

3. Czy mogę wymagać zgody marketingowej jako warunku udziału w konkursie?

To bardzo ryzykowny pomysł. Zgoda w RODO ma być dobrowolna. Jeżeli marketing nie jest konieczny do przeprowadzenia konkursu, nie powinien być „ceną za udział”. Wytyczne EROD 05/2020 podkreślają, że zgoda nie jest dobrowolna, gdy osoba nie ma realnego wyboru albo ponosi negatywną konsekwencję za brak zgody.

4. Jakie dane mogę zbierać od uczestników (minimalizacja)?

Zbieraj tylko to, co jest potrzebne do konkursu: np. imię/nick, e-mail do kontaktu, adres do wysyłki nagrody (jeśli nagroda jest wysyłana), ewentualnie dowód spełnienia warunków konkursu (np. numer zamówienia). Unikaj danych „na zapas”. RODO wymaga minimalizacji i celowości (art. 5 ust. 1 lit. b i c): dane mają pasować do celu, a nie do ciekawości organizatora.

5. Czy akceptacja regulaminu wystarczy jako „zgoda”?

Akceptacja regulaminu to zwykle element zawarcia umowy/udziału w konkursie (art. 6 ust. 1 lit. b) — i to jest OK. Ale to nie jest automatycznie zgoda na marketing. Jeśli chcesz wysyłać oferty, newsletter, SMS-y, musisz mieć osobną podstawę. Najbezpieczniej: osobny checkbox zgody marketingowej (art. 6 ust. 1 lit. a) i oddzielna informacja.

6. Co dokładnie było problemem w decyzji UODO ZSPR.421.7.2019?

Sedno jest proste i bardzo praktyczne: dane zebrane „do konkursu” nie mogą być automatycznie wykorzystane do innych celów (np. marketingu) tylko dlatego, że organizator tak chce. Jeśli chcesz marketingu, potrzebujesz odrębnej podstawy prawnej i jasnej komunikacji. To jest klasyczna zasada ograniczenia celu (art. 5 ust. 1 lit. b RODO) — jeden cel ≠ wszystkie cele.

7. Jak napisać obowiązek informacyjny (art. 13 RODO) dla konkursu, żeby był zrozumiały?

Minimum: kto jest administratorem (firma/organizator), dane kontaktowe, cele (obsługa konkursu + ewentualnie osobno marketing), podstawy prawne (lit. b/c i ewentualnie lit. a), okres przechowywania (np. do rozliczenia konkursu + przedawnienie roszczeń), odbiorcy danych (np. kurier, platforma konkursowa, agencja), prawa uczestnika (dostęp, sprostowanie, usunięcie w odpowiednich sytuacjach, skarga do UODO), oraz informacja o wycofaniu zgody — jeśli zbierasz zgodę.

8. Publikacja zwycięzców: czy mogę opublikować imię i miejscowość?

Często to da się zrobić w sposób „minimalny” i przewidywalny dla uczestnika — np. imię + pierwsza litera nazwiska lub imię + miejscowość — jeśli jest to jasno opisane w regulaminie i uczestnik wie o tym od początku. Najważniejsze: nie publikuj więcej, niż potrzebne. Jeśli chcesz publikować pełne dane, tagować profil w social media albo pokazywać zdjęcia zwycięzcy — to jest zwykle poziom, gdzie warto mieć wyraźną, odrębną zgodę.

9. Czy „tagowanie” zwycięzcy na Facebooku/Instagramie wymaga zgody?

W praktyce bardzo często tak, bo tagowanie profilu i publiczne powiązanie osoby z wygraną to szersza publikacja danych niż „lista wyników”. Jeżeli chcesz publikować wyniki na profilu firmy z oznaczeniem konta uczestnika, przygotuj osobny checkbox zgody na taką publikację i opisz dokładnie zakres (kanał, forma, czas).

10. Czy mogę wysłać uczestnikom e-mail z podziękowaniem i ofertą po konkursie?

Podziękowanie i informacje konkursowe (np. wyniki, odbiór nagrody) mieszczą się zwykle w celu konkursu. Ale oferta handlowa to marketing. Jeśli wchodzisz w marketing, potrzebujesz odrębnej podstawy — najczęściej zgody (art. 6 ust. 1 lit. a) + zgodności z przepisami kanałowymi (jeśli dotyczy). Najbezpieczniej: marketing tylko do tych, którzy zaznaczyli osobny checkbox.

11. Jak długo mogę trzymać dane uczestników?

Nie ma jednej magicznej liczby. Ustal okres przechowywania zgodny z celem: czas trwania konkursu + czas na reklamacje/roszczenia + obowiązki księgowe/podatkowe przy nagrodach. RODO wymaga ograniczenia przechowywania (art. 5 ust. 1 lit. e). Dobra praktyka: osobna retencja dla danych konkursowych i osobna dla danych marketingowych (jeśli ktoś wyraził zgodę).

12. Jak powinien wyglądać checkbox zgody marketingowej, żeby był „czysty” i obronił się w praktyce?

Powinien być oddzielny, domyślnie odznaczony, napisany prostym językiem, wskazywać kanał (e-mail/SMS/telefon), cel (marketing), administratora i informować o możliwości wycofania zgody w każdym czasie. Wytyczne EROD 05/2020 podkreślają: zgoda musi być konkretna, świadoma i jednoznaczna — i możliwa do łatwego wycofania.

13. A co z pracami konkursowymi: zdjęcia, hasła, grafiki — czy mogę je potem wykorzystać w marketingu?

Tu często wchodzi prawo autorskie. Jeżeli uczestnik tworzy utwór (np. zdjęcie, grafika, tekst), to samo zgłoszenie do konkursu nie zawsze daje Ci prawo używać tego utworu w reklamie. Zwykle potrzebujesz w regulaminie jasnej klauzuli licencji albo przeniesienia praw/udzielenia licencji (z określeniem pól eksploatacji). To jest odrębny porządek niż RODO — ale praktycznie powinien być spójny z informacją o danych.

14. Jak bezpiecznie oddzielić „konkurs” od „marketingu” jednym zdaniem?

Najprościej tak: „Dane przetwarzamy, aby przeprowadzić konkurs (regulamin). Zgoda na marketing jest opcjonalna, nie wpływa na udział, i można ją w każdej chwili wycofać.” To jedno zdanie często ratuje komunikację i zmniejsza ryzyko nieporozumień.

Prawa uczestnika konkursu: informacja, wycofanie zgody i kontrola nad danymi

Obowiązek informacyjny (art. 13 RODO)

Uczestnik ma prawo wiedzieć: kto jest administratorem, po co zbierasz dane, na jakiej podstawie (konkurs: zwykle art. 6 ust. 1 lit. b), jak długo je trzymasz, komu je udostępniasz i jakie ma prawa. Klauzula ma być dostępna w momencie zgłoszenia.

Wycofanie zgody (art. 7 ust. 3 RODO) — jeśli zbierasz zgody „dodatkowe”

Jeśli zbierasz zgodę na marketing lub na szerszą publikację danych zwycięzców, uczestnik może ją wycofać w każdej chwili. Wycofanie powinno być tak łatwe jak udzielenie i nie może psuć udziału w samym konkursie.

Ograniczenie celu i minimalizacja (art. 5 RODO)

Dane zebrane do konkursu nie powinny automatycznie „przechodzić” do marketingu. To kluczowy punkt z perspektywy praktyki i decyzji UODO: cel konkursu ≠ cel marketingowy.

Usunięcie danych (art. 17 RODO) — gdy to ma zastosowanie

W określonych sytuacjach uczestnik może żądać usunięcia danych. Uwaga: jeśli część danych musisz przechowywać z powodu rozliczeń lub obowiązków prawnych (np. nagrody), to nie zawsze da się „usunąć wszystko od razu” — dlatego ważna jest jasna retencja.

RODO dla małych firm i JDG Obowiązki administratora danych – pełna checklista Wycofanie zgód marketingowych i sprzeciw Usunięcie danych (art. 17 RODO) Klauzula informacyjna (art. 13 RODO) – obowiązek informacyjny „na wejściu” Zgoda na wykorzystanie wizerunku – publikacja, wycofanie, wzory

Wzory do skopiowania

Zgoda na publikację danych zwycięzców (+ social media)

[ ] Wyrażam zgodę na opublikowanie informacji o uzyskaniu przeze mnie nagrody w konkursie organizowanym przez [NAZWA FIRMY / ADMINISTRATOR] w następującej formie:

— wariant minimalny (rekomendowany): imię + pierwsza litera nazwiska / imię + miejscowość, — kanały publikacji: strona internetowa [adres] oraz profile organizatora w mediach społecznościowych [np. Facebook/Instagram/LinkedIn].

Jeżeli publikacja ma obejmować oznaczenie mojego profilu (tag) w mediach społecznościowych, wyrażam na to odrębną zgodę: [ ] Zgadzam się na oznaczenie (tagowanie) mojego profilu: [nazwa profilu / link] w poście konkursowym.

Wiem, że mogę wycofać tę zgodę w dowolnym momencie, bez wpływu na zgodność z prawem działań podjętych przed jej wycofaniem. Zgodę mogę wycofać poprzez kontakt: [E-MAIL / FORMULARZ].

Zgoda marketingowa po konkursie (pamiętaj, osobny checkbox — nie warunek udziału)

[ ] Wyrażam zgodę na otrzymywanie od [NAZWA FIRMY / ADMINISTRATOR] informacji marketingowych i ofert dotyczących produktów/usług drogą e-mail na adres: [____].

Zgoda jest dobrowolna i nie wpływa na możliwość udziału w konkursie. Mogę ją wycofać w dowolnym momencie poprzez [link / e-mail / ustawienia], bez wpływu na zgodność z prawem działań podjętych przed jej wycofaniem.

Wzór wycofania zgody (publikacja wyników / marketing)

Wycofuję udzieloną przeze mnie zgodę: — na publikację informacji o wygranej / oznaczenie profilu w social media i/lub — na otrzymywanie informacji marketingowych (e-mail).

Proszę o zaprzestanie dalszego wykorzystania moich danych w tym zakresie oraz o potwierdzenie przyjęcia zgłoszenia.

Dane identyfikujące (opcjonalnie): [imię i nazwisko / e-mail użyty w konkursie / link do posta].

Kontakt: [e-mail lub telefon].

Jak bezpiecznie przygotować RODO w konkursie – krok po kroku

Krok 1. Rozdziel cele: konkurs vs marketing

Najpierw zdefiniuj cel podstawowy: przeprowadzenie konkursu (wyniki, kontakt, wydanie nagrody). Marketing to osobny cel — nie mieszaj go w jednym checkboxie.

Krok 2. Ustal podstawę prawną dla konkursu

Najczęściej będzie to art. 6 ust. 1 lit. b RODO (regulamin jako umowa). Jeśli są nagrody i rozliczenia — dojdą obowiązki prawne (art. 6 ust. 1 lit. c).

Krok 3. Zbierz tylko niezbędne dane (minimalizacja)

Zbieraj dane adekwatne do mechaniki konkursu: kontakt i realizacja nagrody. Unikaj pól „na zapas”.

Krok 4. Zrób czytelną klauzulę informacyjną (art. 13 RODO)

Wskaż administratora, cele, podstawy prawne, retencję, odbiorców, prawa uczestnika i kanał kontaktu. Jeśli zbierasz zgodę — dodaj jasną informację o wycofaniu.

Krok 5. Publikacja zwycięzców: wybierz wariant minimalny lub zgodę

Jeśli publikujesz tylko minimalne dane (np. imię + inicjał), opisz to w regulaminie. Jeśli chcesz tagować profile lub podawać pełniejsze dane — zbierz osobną zgodę.

Krok 6. Marketing po konkursie: tylko opt-in

Zgoda marketingowa ma być opcjonalna, odznaczona domyślnie i niezależna od udziału. Zadbaj o dowód zgody (kiedy, na co, jak).

Krok 7. Retencja i porządek po konkursie

Ustal, co kasujesz i kiedy. Dane konkursowe trzymaj tylko tyle, ile trzeba do rozliczenia i roszczeń. Dane marketingowe — tylko dla osób, które wyraziły zgodę.

Uwaga: najczęstsze błędy w konkursach (i jak ich uniknąć)

Najczęściej „wywraca” konkursy jeden schemat: jeden checkbox na wszystko. Akceptacja regulaminu, zgoda na marketing i zgoda na publikację zwycięzców to różne rzeczy. Jeśli połączysz je w jedną „zgodę”, ryzykujesz, że zgoda nie będzie dobrowolna, a cele się zmieszają. Trzymaj proste zasady: (1) konkurs opieraj o regulamin (lit. b), (2) marketing tylko opcjonalnie (zgoda), (3) publikacja danych zwycięzców — minimalnie albo na osobnej zgodzie.

Podstawa prawna i źródła

RODO (UE) 2016/679 – art. 5 (zasady), art. 6 (podstawy przetwarzania), art. 7 (zgoda), art. 13 (obowiązek informacyjny), art. 17 (usunięcie danych) Wytyczne EROD 05/2020 dotyczące zgody na mocy rozporządzenia 2016/679 (PL) – dobrowolność, rozdzielanie celów, łatwe wycofanie Decyzja UODO: ZSPR.421.7.2019 z 16 października 2019 r. – wykorzystanie danych z konkursu do marketingu bez właściwej podstawy Ustawa o prawie autorskim i prawach pokrewnych – zasady korzystania z utworów (w kontekście prac konkursowych)