Zapisy regulaminów konkursów organizowanych drogą elektroniczną odnoszące się do przetwarzania danych osobowych ich uczestników

W dzisiejszej rzeczywistości, którą opanowała obecna w każdym jej aspekcie technologia, jedną z powszechnie stosowanych form promocji produktów i usług stały się konkursy organizowane drogą elektroniczną, najczęściej za pośrednictwem blogów i portali społecznościowych, ale także za pośrednictwem firmowych portali internetowych.

Poszukując w polskim ustawodawstwie norm regulujących tego rodzaju aktywność, można dojść do wniosku, iż konkurs promocyjny opiera się na cywilistycznej konstrukcji przyrzeczenia publicznego. Tę instytucję regulują przepisy Kodeksu cywilnego (art. 919–921).
 

Wskazówki praktyczne

Z praktycznego punktu widzenia należy pamiętać o tym, że ogłoszenie o konkursie dokonane w sposób publiczny, a zatem taki, który pozwala jego treści dotrzeć potencjalnie do niegraniczonej liczby odbiorców, jest jednostronną czynnością prawną przyrzekającego (organizatora konkursu), której dokonanie prowadzi do powstania stosunku cywilnoprawnego w przypadku wykonania przez uczestnika konkursu oznaczonej w treści ogłoszenia czynności (odpowiedzi na pytanie, wykonania zadania itd.). Od momentu wykonania tej czynności przyrzeczenia nie można odwołać w stosunku do osoby, która tę czynność wykonała (uczestnika konkursu), nawet jeśli organizator konkursu zastrzegł, że będzie mógł konkurs odwołać. Zatem po stronie organizatora konkursu powstaje obowiązek rozstrzygnięcia konkursu zgodnie z zasadami ustalonymi w regulaminie konkursu oraz nagrodzenia zwycięzcy, jeśli spełnił on kryteria niezbędne do uzyskania nagrody. Te jednak mają charakter najczęściej oceny i na to nic poradzić nie możemy.

Na uwadze trzeba także mieć to, że przyrzeczenie nagrody konkursowej będzie bezskuteczne, jeśli w ogłoszeniu o konkursie nie został oznaczony termin, w ciągu którego można ubiegać się o nagrodę.

I wreszcie zawsze należy uwzględniać okoliczności, w jakich ogłoszenie o konkursie (przyrzeczenie) do nas dociera. Podkreślam to z uwagi na fakt, iż wymóg publicznego ogłoszenia musi być rozumiany dosłownie, a nie intencyjnie. Nie jest bowiem takim ogłoszeniem informacja, która dociera do nas na nasz adres mailowy, jeśli treść tej informacji ogranicza się wyłącznie do określenia warunków konkursu, nagrody, choćby te zostały sporządzone profesjonalnie i zgodnie z prawem. Jeśli taka informacja nie wskazuje kanału publicznego, który służy do zgłoszenia się do konkursu (link do strony, podanie jej adresu itd.), wystrzegajmy się przyjmowania na wiarę, że intencją autora informacji jest pozyskanie danych potencjalnego uczestnika konkursu do celów związanych z przeprowadzeniem konkursu.


Analizując wskazane wyżej przepisy, należy dojść do wniosku, iż brak jest bardzo rygorystycznych norm, które reglamentują sposób kształtowania konstrukcji prawnych konkursów promocyjnych. Organizator konkursu nie ma obowiązku uzyskiwania jakichkolwiek zezwoleń na jego przeprowadzenie. Wbrew jednak twierdzeniu niektórych autorów publikacji traktujących o zasadach organizacji konkursów, jakoby nie istniał prawnie określony obowiązek sporządzania regulaminów konkursowych, osobiście jestem zdania, że w odniesieniu do organizatorów konkursów prowadzonych w drodze elektronicznej obowiązek taki został wyrażony wprost w art. 8 ust. 1 pkt 1–2 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną. Zgodnie z jego treścią usługodawca (a za takiego uznać należy organizatora konkursu, który za jego pomocą chce nas zachęcić do skorzystania z jego oferty) określa regulamin świadczenia usług drogą elektroniczną oraz nieodpłatnie udostępnia usługobiorcy regulamin przed zawarciem umowy o świadczenie takich usług. Patrząc zatem na problem z punktu widzenia organizatora konkursu organizowanego drogą elektroniczną, regulamin taki jest niezbędny, jeżeli chce on zabezpieczyć jego interes prawny.

Wskazówki praktyczne

Niezależnie od tego, czy konkurs organizowany jest drogą elektroniczną, czy też w formie bezpośredniej (na przykład na imprezach plenerowych, gdy organizator rozdaje zgłoszenia udziału w konkursie, który jest przeprowadzany w ramach tej imprezy), należy wystrzegać się takich konkursów, którym nie towarzyszy regulamin, bowiem istnieje uzasadnione ryzyko, że możemy mieć do czynienia z wyłudzeniem danych osobowych, a nie rzeczywistą intencją deklarowaną przez autora takiego wydarzenia.


Skoro zatem doszliśmy do kwestii danych osobowych, trzeba w tym miejscu stwierdzić, że wyłącznie regulamin konkursu jest w stanie zapewnić uczestnika konkursu o praworządnej intencji organizatora (oczywiście pod warunkiem zawarcia w treści regulaminu tych kwestii, które wyznaczane są regulacjami w zakresie ochrony danych osobowych) oraz zagwarantowania mu należytego zabezpieczenia jego interesu, jakim jest ochrona jego tożsamości i wszystkich tych dóbr, które wiążą się z jej ujawnieniem.

Tworząc zasady udziału w konkursie, do organizacji i przeprowadzenia którego niezbędni są przecież uczestnicy, których należy umieć zidentyfikować, należy kierować się zasadą adekwatności w odniesieniu do oczekiwanych od nich informacji.

Gromadząc te informacje, należy zbierać wyłącznie takie, które są niezbędne do rozstrzygnięcia konkursu. Co więcej, przetwarzając je, nie wolno korzystać z nich w celach innych niż związane z konkursem. Wyjątkowo można to czynić wyłącznie wtedy, kiedy osoba, której dane dotyczą, wyrazi na to świadomą zgodę. Kierując się tą zasadą, należy przyjąć, że na etapie pozyskiwania uczestników konkursu za wystarczający zakres danych do realizacji celu, jakiemu mogą służyć, tj. identyfikacji uczestnika, uznać należy: imię, nazwisko, adres e-mail i numer telefonu. Jeśli konkurs ma ograniczenia wiekowe, można zapytać o datę urodzenia. Dane niezbędne do ewentualnego przekazania nagród należy zbierać dopiero po rozstrzygnięciu konkursu, zapytanie kierując do zwycięzców. W przypadku nagród rzeczowych może to być adres zamieszkania, a pieniężnych – numer rachunku. Stawianie warunku w postaci podania serii i numeru dowodu osobistego jest nieuzasadnione. Co do numeru PESEL, uzasadnienie jego żądania może być związane wyłącznie z koniecznością rozliczenia podatkowego w postaci wystawienia nagrodzonej osobie informacji podatkowej PIT-8C.

Zakresy danych podlegających gromadzeniu oraz szczegółowo opisane cele, do jakich zostaną one wykorzystane, powinny być opisane m.in. w regulaminie konkursu. Z punktu widzenia realizacji obowiązku ochrony danych osobowych oraz związanego z nim prawa każdej osoby do zachowania bezpieczeństwa jej danych regulamin konkursu jest w zasadzie jedynym sposobem na wykazanie realizacji tego obowiązku i ochrony prawa.
 

Wskazówki praktyczne

Skupiając się na najważniejszych elementach regulaminów konkursowych, przyjąć można, że powinny one zawierać co najmniej następujące informacje:

  • dane administratora danych osobowych (w praktyce jest nim organizator konkursu, jednak jeśli tak nie jest, dodatkowo i ten musi być w regulaminie zidentyfikowany),
  • daty rozpoczęcia i zakończenia konkursu,
  • określenie kryteriów udziału w konkursie oraz kryteriów wyłonienia zwycięzców,
  • określenie nagrody,
  • sposób ogłoszenia wyników,
  • zasady reklamacji i reguły rozwiązywania sporów,
  • zasady wyłaniania zwycięzców (w ten sposób można uniknąć posądzenia o organizowanie loterii),
  • zasady dostarczania nagród,
  • zapisy dotyczące ochrony danych osobowych (szerzej omówione w dalszej części artykułu).


Kolejnym istotnym dokumentem, który winien być przygotowany przez organizatora konkursu jest zgłoszenie konkursowe. Jest ono jednocześnie oświadczeniem organizatora i oświadczeniem podpisującego go uczestnika. Pierwotna zgoda na przetwarzanie danych osobowych winna być wyrażona w zgłoszeniu konkursowym.

Wskazówki praktyczne

Nieposiadanie przez organizatora zgłoszeń konkursowych pochodzących od uczestników czyni praktycznie niemożliwym wykazanie, że dana osoba świadomie wzięła udział w konkursie i podała swoje dane w celu jego przeprowadzenia. Uniemożliwi to także zidentyfikowanie grona uczestników, a zatem i potencjalnych zwycięzców, co może prowadzić do domniemania nadużycia polegającego na rozstrzygnięciu konkursu na rzecz konkretnej osoby (która jest kwestionowana jako uczestnik), ku niezadowoleniu innych.

Poza danymi uczestnika, zgłoszenie powinno zawierać wyrażenie zgody na przetwarzanie danych osobowych (klauzula zgody), oświadczenie o zapoznaniu się i zaakceptowaniu regulaminu, oświadczenie o zgodzie na wykorzystanie wizerunku (jeśli ten został udostępniony w celu związanym z organizacją lub rozstrzygnięciem konkursu), jak również powiadamiać o obowiązku informacyjnym wobec uczestnika. Zgłoszenia zwycięzców należy przechowywać tak długo, jak jest to konieczne ze względów podatkowych. Karty zgłoszeniowe zawierające zgody na wykorzystanie danych i wizerunku należy przechowywać do momentu usunięcia tych danych (może się okazać, że będzie to trwało wiele lat), zaś jeśli chodzi o zwycięzców – nie krócej niż dla celów podatkowych. Ponadto w formularzu, za pomocą którego będą zbierane dane osobowe, obligatoryjnie należy umieścić stosowną klauzulę informacyjną oraz treść klauzuli zgody na przetwarzanie danych osobowych. Zapoznanie z klauzulą informacyjną oraz zgodna na przetwarzanie może być wyrażone w formie pisemnej lub elektronicznej (checkbox, mail).

 

Przykładowy wzór klauzuli informacyjnej w zgłoszeniu konkursowym

  1. Administratorem Pani/Pana danych osobowych jest … (tu należy wskazać nazwę podmiotu wraz z pełnym adresem).
  2. Administrator danych osobowych powołał administratora bezpieczeństwa informacji nadzorującego prawidłowość przetwarzania danych osobowych, z którym można skontaktować się za pośrednictwem adresu e-mail: (tu podać adres @-mail) – zapis wyłącznie w przypadku, gdy ABI został powołany.
  3. Pani/Pana dane osobowe przetwarzane będą dla celu organizacji i przeprowadzenia konkursu.
  4. Podstawą do przetwarzania danych osobowych jest zgoda na przetwarzanie danych osobowych.
  5. Podanie danych jest dobrowolne, jednak konieczne do realizacji celów, do jakich zostały zebrane.
  6. Dane nie będą udostępniane podmiotom zewnętrznym, z wyjątkiem przypadków przewidzianych przepisami prawa.
  7. Dane przechowywane będą przez okres niezbędny do realizacji wyżej określonych celów.
  8. Posiada Pani/Pan prawo dostępu do treści swoich danych oraz, z zastrzeżeniem przepisów prawa: prawo ich sprostowania, usunięcia, ograniczenia przetwarzania, prawo do przenoszenia danych, prawo do wniesienia sprzeciwu, prawo do cofnięcia zgody w dowolnym momencie.
  9. Ma Pani/Pan prawo do wniesienia skargi do Generalnego Inspektora Ochrony Danych Osobowych.
  10. Pani/Pana dane nie będą przetwarzane w sposób zautomatyzowany i nie będą poddawane profilowaniu.

 

Przykładowy wzór klauzuli zgody

Wyrażam zgodę na przetwarzanie moich danych osobowych w celach organizacji i przeprowadzenia konkursu oraz udostępnienia informacji o wynikach konkursu. Przyjmuję do wiadomości, iż administratorem danych osobowych jest (podać dane administratora danych). Zostałem/zostałam poinformowany/poinformowana, że podanie danych jest dobrowolne, jednak konieczne do realizacji celów, w jakich zostały zebrane.


 

Przykładowy wzór oświadczenia o zapoznaniu się z regulaminem

Oświadczenie

Oświadczam, iż zapoznałam(-em) się i akceptuję wszystkie warunki przewidziane w regulaminie konkursu.

 

Przykładowy wzór oświadczenia o zgodzie na wykorzystanie wizerunku

  1. Wyrażam zgodę na nieodpłatne używanie, wykorzystanie i rozpowszechnianie mojego wizerunku, utrwalonego jakąkolwiek techniką na wszelkich nośnikach (w tym w postaci fotografii i dokumentacji filmowej) przez ……. (tu nazwa i dane administratora danych) na potrzeby konkursu ...... (tu nazwa i organizator konkursu).
  2. Niniejsza zgoda jest nieodpłatna, nie jest ograniczona ilościowo, czasowo ani terytorialnie.
  3. Dla potrzeb konkursu mój wizerunek może być użyty do różnego rodzaju form elektronicznego przetwarzania, kadrowania i kompozycji, a także zestawiony z wizerunkami innych osób, może być uzupełniony towarzyszącym komentarzem, natomiast nagrania filmowe z moim udziałem mogą być cięte, montowane, modyfikowane, dodawane do innych materiałów powstających na potrzeby konkursu oraz w celach informacyjnych.
  4. Niniejsza zgoda obejmuje wszelkie formy publikacji, w szczególności rozpowszechnianie w Internecie, w tym na stronach organizatora konkursu oraz portalach społecznościowych Facebook, Twitter, YouTube itp., jak również zamieszczenie w materiałach promocyjnych i informacyjnych.
  5. Mój wizerunek nie może być użyty w formie lub publikacji dla mnie obraźliwej lub naruszać w inny sposób moich dóbr osobistych.

Omawiając cześć regulaminu konkursowego, która dotyczy realizacji obowiązku ochrony danych osobowych uczestnika, należy na początku podkreślić, że przetwarzając dane osobowe, organizator konkursu realizuje obowiązki określone w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, potocznie zwanym ogólnym rozporządzeniem o ochronie danych albo RODO.

Zatem, niezależnie od zapisów w dokumentach, o których mowa była wyżej, sam regulamin winien także wskazać podstawę prawną gromadzenia i wykorzystywania danych osobowych oraz spełnić obowiązek informacyjny polegający na rzetelnym poinformowaniu o warunkach uczestnictwa w konkursie i wykonać obowiązek wynikający z art. 12 RODO. W tym zakresie powinien zatem wskazywać nazwę i adres administratora danych, informować o celu i zakresie zbierania danych, a w szczególności o odbiorcach lub kategoriach odbiorców danych, prawie dostępu do treści swoich danych oraz ich poprawiania, uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8 (żądanie zaprzestania przetwarzania danych oraz sprzeciw wobec przetwarzania w celach marketingowych). Ponadto winien zawierać zapisy o celu przetwarzania danych osobowych oraz jego podstawie prawnej, informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją, a gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej. Należy także zawrzeć informacje o okresie, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe – kryteria ustalania tego okresu oraz informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych. Z regulaminu winno także wynikać prawo do cofnięcia zgody w dowolnym momencie oraz prawo wniesienia skargi do organu nadzorczego.

Przykładowa treść zapisów regulaminu konkursowego w zakresie dotyczącym ochrony danych osobowych

§ ...

Ochrona danych osobowych

  1. Administratorem danych osobowych zbieranych od uczestników i zwycięzcy jest …… (nazwa i adres administratora danych).
  2. Przetwarzanie danych osobowych odbywać się będzie na zasadach przewidzianych w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).
  3. Dane osobowe uczestników i zwycięzcy będą przetwarzane w celu organizacji i przeprowadzenia konkursu, w celach podatkowych (dotyczy zwycięzców) – jeżeli występują obowiązki podatkowe, a także w celach marketingowych.
  4. Podanie danych osobowych ma charakter dobrowolny, ale jest niezbędne do udziału w konkursie.
  5. Uczestnikom konkursu, którzy podają dane osobowe, przysługuje prawo dostępu do treści swoich danych oraz z zastrzeżeniem przepisów prawa przysługuje prawo do:
    a. sprostowania danych,
    b. usunięcia danych,
    c. ograniczenia przetwarzania danych,
    d. przenoszenia danych,
    e. wniesienia sprzeciwu,
    f. cofnięcia zgody w dowolnym momencie.
  6. Organizator będzie zbierał od uczestników następujące dane:
    a. imię i nazwisko,
    b. adres e-mail,
    c. numer telefonu.
  7. Organizator będzie zbierał ponadto od zwycięzcy następujące dane:
    a. adres do korespondencji (wysyłki nagrody),
    b. prawidłowy identyfikator podatkowy (NIP lub PESEL),
    c. data urodzenia,
    d. nazwa i adres właściwego urzędu skarbowego,
    e. numer konta (do przekazania nagrody pieniężnej).
  8. Uczestnikom konkursu przysługuje prawo wniesienia skargi do Generalnego Inspektora Ochrony Danych Osobowych.
  9. Uczestnik konkursu zezwala na wykorzystanie jego imienia i nazwiska w celu informowania (także w mediach) o wynikach konkursu.
  10. Organizator oświadcza, iż dane uczestników konkursu nie będą przetwarzane w sposób zautomatyzowany i nie będą poddawane profilowaniu.
  11. Dane uczestników konkursu nie będą udostępniane podmiotom zewnętrznym, z wyjątkiem przepisów przewidzianych przepisami prawa.
  12. Dane uczestników konkursu będą przechowywane przez okres niezbędny do realizacji wyżej określonych celów.
  13. Organizator stosuje środki techniczne i organizacyjne mające na celu należyte, odpowiednie do zagrożeń oraz kategorii danych objętych ochroną zabezpieczenia powierzonych danych osobowych. Organizator wdrożył odpowiednie środki, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku, z uwzględnieniem stanu wiedzy technicznej, kosztu wdrożenia oraz charakteru, zakresu, celu i kontekstu przetwarzania oraz ryzyku naruszenia praw i wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia. Organizator w szczególności uwzględnia ryzyko wiążące się z przetwarzaniem danych wynikające z:
    a. przypadkowego lub niezgodnego z prawem zniszczenia,
    b. utraty, modyfikacji, nieuprawnionego ujawnienia danych,
    c. nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarza

Na koniec kilka uwag praktycznych.

Przygotowując akcję promocyjną na Facebooku, należy pamiętać także o regulaminie samego portalu społecznościowego. Zgodnie z jego postanowieniami w regulaminie konkursu organizowanego przy wykorzystaniu Facebooka musi zostać zawarte postanowienie odnośnie pełnego zwolnienia serwisu Facebook z odpowiedzialności przez każdego uczestnika. Należy także pamiętać o poinformowaniu, że promocja nie jest w żaden sposób sponsorowana, popierana ani przeprowadzana przez portal.

Do przeprowadzania akcji/promocji nie można wykorzystywać prywatnych osi czasu. Ponadto niedozwolone jest stosowanie rozwiązań typu „udostępnij na swojej osi czasu, aby wziąć udział w promocji” czy „oznacz znajomych w tym poście, aby wziąć udział w konkursie”.