Estamos en navidades y las tiendas del barrio organizan sorteos entre sus clientes. Todo muy sencillo: rellene Ud. esta papeleta con su nombre y apellidos, dirección y teléfono y deposítela en aquel buzón.
Resulta evidente que la tienda de barrio no va a recopilar los datos personales de los participantes en el sorteo para configurar una base de datos y venderla al mejor postor, pero si quieren organizar un sorteo o una rifa, háganlo bien, que no cuesta nada incluir en los boletos, la información pertinente en materia de protección de datos personales, a saber:
- Identidad y datos de contacto del responsable del sorteo, que normalmente coincidirá con la del responsable del tratamiento.
- Identidad y datos de contacto del delegado de protección de datos, si lo tienen.
- Legitimación del tratamiento, que será el consentimiento expreso de los participantes.
- Finalidad del tratamiento, que será la realización del sorteo y la entrega de premios. Si se van a querer usar los datos personales con otras finalidades deberán informar de ello y contar con el consentimiento expreso de los participantes para cada una de esas finalidades.
- Plazo de conservación de los datos, que será el mínimo necesario para cumplir con la finalidad del tratamiento y con las obligaciones a que puedan estar afectos.
- Cesión de los datos recabados a terceros o realización de transferencias internacionales.
- Derechos de los participantes.
Además de la información en materia de protección de datos personales deben publicar las bases legales del sorteo, que incluirán la identificación del organizador, fecha de inicio y fecha de finalización, los premios, mecánica del sorteo, reglas de determinación del ganador, limitaciones y exclusiones de participación, garantías de validez, responsabilidades, fiscalidad, legislación y jurisdicción aplicables. Si el sorteo es online se puede publicar dicha información en el sitio web corporativo.
El consentimiento expreso para el tratamiento de los datos personales del participante se puede lograr a través de una casilla habilitada al efecto, que deberá ser marcada por el propio participante, tras la lectura de la política de privacidad.
Sorteos mediante boletos
Si tiene un negocio y quiere organizar un sorteo, mediante boletos, puede seguir el siguiente ejemplo:
“Le informamos que el responsable del sorteo y del tratamiento de datos personales es …… cuyos datos de contacto son …… La legitimación para el tratamiento de datos personales se encuentra en el consentimiento del participante, expresado mediante su firma en el boleto. La negativa a proporcionar los datos obligatorios (nombre y apellidos, dni, dirección y teléfono) implicará la imposibilidad de participar en el sorteo. Dichos datos serán tratados con la finalidad de gestionar el sorteo, incluyendo la entrega de premios y publicación de los ganadores en nuestra página web corporativa y redes sociales. Celebrado el sorteo, todos los soportes serán destruidos físicamente, asegurando de este modo la salvaguarda de su privacidad. Los datos personales de los ganadores se conservarán durante el tiempo necesario para cumplir con las obligaciones a que puedan estar afectos. Tiene derecho a acceder a sus datos personales, a rectificar los datos inexactos, a solicitar su supresión cuando no sean necesarios para la finalidad para la que se recabaron, a la limitación del tratamiento, a oponerse al mismo y a su portabilidad. Puede ejercer dichos derechos enviando un mensaje a la dirección de correo electrónico (..) acompañando copia de su documento acreditativo de identidad. No se prevé la cesión de sus datos a terceros, salvo obligación legal, ni su transferencia internacional. Si considera que se han vulnerado sus derechos puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).
Sanciones posibles
El artículo 74 a) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales tipifica como infracción leve «el incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679». Las multas pueden alcanzar los 1.000 € por reclamante (PS-00381-2013).
Vale que nadie lo hace, pero hagan las cosas bien, que no cuesta nada y se pueden llevar más de un disgusto.
