RGPD et jeu concours : ce que vous devez faire

Trois configurations, trois niveaux d'obligation.

Le concours en commentaires, sans collecte. Les participants commentent, vous tirez au sort, vous contactez le gagnant en message privé. Vous n'avez constitué aucun fichier : les données sont chez la plateforme, qui en est responsable. Vos obligations propres sont minimales.

Le concours en commentaires, avec fichier. Vous exportez la liste des participants, vous la conservez, vous vous en servez ensuite. À partir de cet export, vous devenez responsable de traitement pour ce fichier, avec tout ce qui suit.

Le concours par formulaire. Nom, e-mail, parfois date de naissance ou code postal. Vous êtes pleinement dans le champ du RGPD dès la première inscription.

La confusion la plus fréquente consiste à croire que la première configuration impose une politique de confidentialité, un registre et un délégué. Non — mais dès que vous téléchargez la liste pour la garder, vous basculez dans la deuxième.

Il y a deux traitements dans un jeu concours, et il faut résister à l'envie de les traiter comme un seul.

Organiser le concours et remettre le lot. La base est l'exécution de la relation que vous avez nouée avec le participant : il joue, vous désignez, vous remettez. Vous n'avez pas besoin de son consentement pour utiliser son nom aux fins du concours lui-même — il vous l'a donné en participant, pour cet usage.

Lui envoyer ensuite vos offres commerciales. Là, c'est un autre traitement, avec une autre finalité, et il exige un consentement spécifique. Un consentement libre, ce qui veut dire qu'il ne peut pas être la condition de la participation.

C'est le point sur lequel les concours pèchent le plus, et c'est aussi celui qui rend le fichier inutilisable : une base construite sur une inscription forcée n'est pas une base de prospects, c'est un risque.

En pratique, deux cases distinctes, décochées par défaut :

• ☐ J'accepte le règlement du jeu concours (obligatoire — c'est la participation)
• ☐ Je souhaite recevoir les actualités et offres de [votre marque] (facultatif, et vraiment facultatif)

La seconde case doit pouvoir rester vide sans empêcher de jouer. Si elle ne le peut pas, le consentement n'est pas libre, donc pas valable.

C'est la question la plus posée et la plus mal traitée, parce que la réponse dépend de qui est concerné.

Les participants non gagnants. Leurs données ont servi à une chose : le tirage. Une fois le gagnant désigné et le délai de réclamation écoulé, elles n'ont plus d'utilité pour cette finalité. Il n'y a pas de raison de les conserver au-delà — sauf pour ceux qui ont coché la case prospection, qui basculent alors dans le régime ci-dessous.

Le gagnant. À conserver le temps de remettre le lot, puis le temps des obligations comptables si le lot a une valeur significative et figure dans vos comptes.

Les prospects, c'est-à-dire ceux qui ont accepté d'être recontactés. La CNIL retient, dans son référentiel relatif à la gestion des activités commerciales, une durée de trois ans à compter de la collecte ou du dernier contact émanant du prospect — un clic sur un lien, une demande de documentation. Précision utile : la simple ouverture d'un e-mail ne compte pas comme un contact. Au terme des trois ans, vous pouvez demander à la personne si elle souhaite continuer à recevoir vos messages ; sans réponse positive et explicite, les données sont supprimées ou archivées.

Les clients. Pendant la relation commerciale, puis trois ans après sa fin.

Fixez ces durées avant le concours et écrivez-les dans le règlement. C'est la partie que personne ne fait, et c'est celle qui rend tout le reste cohérent.

L'information doit être accessible au moment de la collecte, pas enfouie trois clics plus loin. Elle tient en un paragraphe dans le règlement, avec un lien depuis le formulaire :

• Qui traite les données : votre raison sociale et une adresse de contact.
• Pourquoi : organiser le concours, remettre le lot, et le cas échéant vous adresser des offres.
• Combien de temps elles sont conservées, avec les durées ci-dessus.
• À qui elles sont transmises : votre outil d'e-mailing, votre prestataire de tirage au sort, le partenaire qui fournit le lot s'il expédie lui-même.
• Quels droits : accès, rectification, effacement, opposition, retrait du consentement à tout moment, et la possibilité de saisir la CNIL.

Deux obligations souvent oubliées, qui ne se voient pas mais qui sont contrôlables :

• Le registre des activités de traitement. Une ligne pour le concours, à ajouter à votre registre existant. Ce n'est pas une déclaration à envoyer — il n'y a plus de déclaration à la CNIL depuis l'entrée en application du RGPD — c'est un document interne que vous devez pouvoir produire.
• Le sort des mineurs. Si votre concours peut attirer des moins de 15 ans, prévoyez-le explicitement : soit vous les excluez dans le règlement, soit vous prévoyez l'autorisation parentale. L'excluer est plus simple, et c'est ce que fait l'écrasante majorité des règlements.

Annoncer publiquement le nom du gagnant est indispensable à la crédibilité de l'opération — c'est même l'une des erreurs les plus coûteuses que de ne pas le faire. Mais c'est une diffusion de donnée personnelle, et elle doit avoir été annoncée.

Une ligne dans le règlement suffit : « Le pseudonyme du gagnant sera publié sur nos réseaux sociaux. » Publier le pseudonyme plutôt que le nom civil, et ne jamais publier autre chose — ni ville, ni photo sans accord distinct.

Si vous ne devez retenir que le strict nécessaire pour un concours de commerce ou de PME :

• Deux cases séparées, la prospection facultative et décochée.
• Un paragraphe « données personnelles » dans le règlement, avec les durées.
• Les participants non gagnants supprimés après l'opération.
• Le pseudonyme du gagnant annoncé comme publiable.
• Une ligne dans le registre.

Le reste du cadre — ce que la loi française exige d'un jeu concours et ce que Meta impose de son côté — se traite séparément, mais se prépare au même moment : au brouillon du règlement, avant la publication. Et si vous restez sur un tirage en commentaires sans export, Lukky désigne le gagnant sans que vous ayez à constituer de fichier du tout, ce qui reste la façon la plus simple de ne rien avoir à conserver.

Le RGPD s'applique-t-il à un concours en commentaires ? Pas tant que vous ne sortez rien de la plateforme. Dès que vous exportez la liste des participants pour la conserver, vous devenez responsable de ce fichier et le RGPD s'applique pleinement.

Peut-on obliger à s'inscrire à la newsletter pour participer ? Non. Le consentement à la prospection doit être libre, donc il ne peut pas conditionner la participation. Deux cases distinctes, la seconde facultative et décochée.

Combien de temps peut-on garder les données des participants ? Les non-gagnants n'ont pas à être conservés au-delà de l'opération. Pour ceux qui ont accepté d'être recontactés, la CNIL retient trois ans à compter du dernier contact émanant du prospect.

Faut-il déclarer le concours à la CNIL ? Non, il n'y a plus de déclaration depuis l'entrée en application du RGPD. En revanche vous devez inscrire le traitement dans votre registre interne, que vous devez pouvoir produire en cas de contrôle.