GDPR și promoții online în 2026: ce trebuie să știe orice marketer înainte să lanseze o campanie

GDPR a intrat în vigoare în mai 2018. Sunt opt ani de când companiile din România ar trebui să știe exact ce pot și ce nu pot face cu datele personale colectate în promoții. Și totuși, în fiecare sezon promoțional, vedem aceleași greșeli repetate: consimțăminte combinate, formulare fără informații complete, date păstrate pe termen nedefinit și emailuri de marketing trimise fără o bază legală clară.

Consecințele nu sunt doar teoretice. ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal) a aplicat sancțiuni concrete companiilor care au încălcat prevederile GDPR, iar promoțiile online sunt un domeniu cu risc ridicat, pentru că implică colectarea de date la scară largă, într-un timp scurt, de la un număr mare de persoane.

Acest articol răspunde la întrebările frecvente pe care le primim la Interactions despre GDPR aplicat promoțiilor online și oferă ghidaj practic, nu teorie juridică.

Întrebarea 1: Ce date pot colecta într-o promoție online?

Poți colecta orice date personale pentru care ai un temei legal și pe care le folosești efectiv în scopul declarat. Principiul minimizării datelor din GDPR spune că nu trebuie să colectezi mai multe date decât sunt necesare pentru scopul promoției.

Pentru administrarea promoției (contactarea câștigătorilor, livrarea premiilor), datele strict necesare sunt: prenume, nume, adresă de email sau telefon și, dacă premiile necesită livrare fizică, adresa poștală.

Date suplimentare (județ, vârstă, gen, obiceiuri de consum) pot fi colectate doar dacă sunt justificate de un scop clar și dacă participantul este informat despre acest scop. Colectarea de date „pentru că ar putea fi utile" fără un scop definit nu este conformă.

Întrebarea 2: Pot trimite emailuri de marketing participanților la promoție?

Da, dar numai dacă participantul și-a exprimat consimțământul explicit și separat pentru comunicări de marketing.

Temeiul legal pentru administrarea promoției (contactarea câștigătorilor, confirmarea participării) este executarea unui contract — participantul a acceptat regulamentul, iar tu îți îndeplinești obligațiile din acel regulament. Acest temei nu acoperă comunicările de marketing ulterioare.

Pentru a putea trimite emailuri de marketing, ai nevoie de consimțământul separat al participantului, exprimat printr-o bifă distinctă în formularul de înscriere, cu un text clar: „Sunt de acord să primesc comunicări comerciale de la [Brand] pe adresa de email furnizată. Știu că pot retrage oricând acest consimțământ."

Această bifă trebuie să fie nebifată implicit (opt-in, nu opt-out) și refuzul ei nu trebuie să afecteze valabilitatea participării la promoție.

Întrebarea 3: Pot să bifez automat acordul pentru newsletter?

Nu. Aceasta este una dintre cele mai clare interdicții din GDPR: consimțământul trebuie să fie liber exprimat, ceea ce înseamnă că un câmp prebifat nu constituie consimțământ valabil.

Dacă formularul tău are bifa pentru newsletter prebifată implicit, toate adresele colectate în acea campanie sunt tehnic neeligibile pentru comunicări de marketing, chiar dacă participanții nu au debifat-o activ.

Întrebarea 4: Ce informații trebuie să furnizez participanților în momentul colectării datelor?

GDPR impune furnizarea unui set de informații la momentul colectării — nu ascunse în footer sau în pagina de regulament, ci accesibile clar în sau lângă formularul de înscriere.

Informațiile obligatorii sunt: identitatea operatorului de date (cine colectează datele), scopurile și temeiul legal al prelucrării, destinatarii datelor (sunt trimise datele către alte companii?), durata de stocare, și drepturile persoanei vizate (acces, rectificare, ștergere, portabilitate, opoziție).

În practică, aceste informații sunt incluse în politica de confidențialitate a brandului, la care formularul face referire printr-un link clar: „Prin trimiterea acestui formular, confirm că am citit [Politica de confidențialitate] și că sunt de acord cu prelucrarea datelor mele conform acesteia."

Întrebarea 5: Cât timp pot păstra datele participanților?

Datele colectate pentru administrarea promoției se păstrează pentru perioada necesară îndeplinirii acestui scop, plus perioada de soluționare a eventualelor contestații. Practica standard este de 12 luni de la încheierea promoției.

Datele participanților care și-au exprimat acordul pentru comunicări de marketing se păstrează până la retragerea consimțământului (dezabonare din newsletter).

Important: după expirarea perioadei de stocare, datele trebuie efectiv șterse din toate sistemele — baza de date a platformei de promoție, platforma de email marketing, backup-urile. Păstrarea datelor după termenul declarat este o încălcare a GDPR chiar dacă datele nu sunt folosite activ.

Întrebarea 6: Dacă un participant cere ștergerea datelor în timpul promoției, ce fac?

Dreptul la ștergere (dreptul de a fi uitat) există, dar nu este absolut. În contextul unei promoții active, ai dreptul să refuzi cererea de ștergere dacă prelucrarea datelor este necesară pentru executarea contractului (regulamentul promoției acceptat de participant) sau pentru respectarea unei obligații legale.

Practic: dacă participantul cere ștergerea datelor înainte de finalizarea promoției, poți păstra datele necesare pentru a-i onora participarea (verificarea eligibilității, contactarea dacă este câștigător) și pentru a respecta obligațiile legale (documentație fiscală). Datele suplimentare și cele folosite pentru marketing trebuie șterse imediat.

După finalizarea promoției și expirarea perioadei de contestații, cererea de ștergere trebuie onorată integral.

Întrebarea 7: Regulamentul promoției trebuie să includă informații GDPR?

Da. Regulamentul trebuie să includă o secțiune dedicată prelucrării datelor cu caracter personal, care să acopere: cine este operatorul de date, ce date se colectează, în ce scopuri, pe ce temei legal, cât timp se păstrează și care sunt drepturile participanților.

Această secțiune poate face referire la politica de confidențialitate completă a brandului pentru detalii suplimentare, dar informațiile esențiale trebuie să fie în regulament, nu doar într-un document extern.

La Interactions, fiecare regulament redactat pentru campaniile gestionate prin Promotiful include secțiunea GDPR completă, actualizată la legislația în vigoare. Nu este un element opțional, este parte standard a oricărui regulament livrat.