Jak bezpiecznie przekazywać dane organizatorowi?

Formularz zgłoszeniowy zwykle wymaga adresu e-mail lub numeru telefonu, a po wygranej organizator może potrzebować imienia, adresu wysyłki i danych podatkowych. To nie znaczy, że każdą prośbę trzeba wykonać bez sprawdzenia. Bezpieczne przekazanie danych zaczyna się od potwierdzenia, kto je zbiera, w jakim celu i jakim kanałem.

Inne dane są potrzebne przy zgłoszeniu, inne po wygranej

Na początku akcji organizator często potrzebuje tylko danych umożliwiających przyjęcie i identyfikację zgłoszenia, na przykład:

adresu e-mail lub numeru telefonu,
imienia albo pseudonimu,
numeru dowodu zakupu,
odpowiedzi lub pracy konkursowej,
potwierdzenia wymaganych zgód.

Adres wysyłki, dane do rozliczenia podatku czy dodatkowe oświadczenia mogą być uzasadnione dopiero po wyłonieniu laureata. Zbieranie wszystkiego od wszystkich uczestników „na zapas” byłoby trudniejsze do pogodzenia z zasadą minimalizacji danych. RODO wymaga, aby dane były adekwatne, stosowne i ograniczone do tego, co niezbędne do celu.

Minimalizacja nie oznacza jednak, że organizator nigdy nie może poprosić o dokładniejsze dane. Powinien umieć wyjaśnić ich cel i podstawę.

Sprawdź administratora i obowiązek informacyjny

Przed wysłaniem formularza znajdź regulamin, politykę prywatności lub klauzulę informacyjną. Powinno to pozwolić ustalić co najmniej:

kto jest administratorem danych i jak się z nim skontaktować,
w jakich celach i na jakiej podstawie dane są przetwarzane,
jak długo będą przechowywane albo jak ustala się ten okres,
komu mogą być ujawniane, na przykład kurierowi lub podmiotowi obsługującemu akcję,
czy trafią poza Europejski Obszar Gospodarczy,
jakie prawa przysługują uczestnikowi,
czy podanie danych jest obowiązkowe i co się stanie, jeśli ich nie podasz,
czy występuje zautomatyzowane podejmowanie decyzji lub profilowanie.

Marka, organizator i agencja obsługująca promocję mogą pełnić różne role. Nie zakładaj, że administratorem zawsze jest profil, na którym zobaczyłeś reklamę.

Potwierdź, że wiadomość o wygranej jest prawdziwa

Oszust może skopiować logo i nazwę promocji. Zanim odpowiesz:

porównaj adres nadawcy i kanał kontaktu z regulaminem,
sprawdź numer zgłoszenia, nazwę akcji i termin,
wejdź na oficjalną stronę samodzielnie zamiast klikać link,
w razie wątpliwości skontaktuj się z organizatorem danymi z regulaminu,
nie podawaj haseł, kodów BLIK, kodów SMS ani danych logowania.

Organizator może potrzebować numeru rachunku, jeśli nagrodą jest przelew. Nie potrzebuje do tego hasła do bankowości, numeru PIN ani kodu autoryzacyjnego. Prośba o instalację aplikacji do zdalnego pulpitu jest sygnałem alarmowym. Przy konkursach na Instagramie najpierw sprawdź nazwę konta i historię profilu. Więcej przykładów podszywania się pod marki znajdziesz w poradniku jak rozpoznać fałszywy konkurs na Instagramie.

Czy organizator może prosić o PESEL lub skan dokumentu

Nie ma jednej odpowiedzi dla wszystkich akcji. Zakres zależy od celu, wartości nagrody, obowiązków podatkowych, sposobu weryfikacji i treści regulaminu. Numer PESEL albo kopia dokumentu to dane o wysokim ryzyku nadużycia, więc przed ich przekazaniem zapytaj:

z jakiego konkretnego obowiązku wynika potrzeba,
czy wystarczy węższy zakres informacji,
które pola można zasłonić,
jak zabezpieczony jest kanał,
kiedy kopia zostanie usunięta.

Nie wysyłaj skanu dokumentu przez prywatną wiadomość do niezweryfikowanego profilu. Jeżeli prośba pochodzi z oficjalnego źródła, ale nie została zapowiedziana w regulaminie lub klauzuli, poproś o wyjaśnienie. Nie oznacza to automatycznie naruszenia — daje Ci podstawę do świadomej decyzji.

Wybierz bezpieczny kanał

Najlepszy jest formularz lub system wskazany przez organizatora, korzystający z szyfrowanego połączenia HTTPS. Przy e-mailu sprawdź domenę, adres odbiorcy i załączniki. Dokument zabezpieczony hasłem przesłanym innym kanałem może ograniczyć ryzyko, ale nie naprawia błędnego adresata.

Przed wysłaniem:

usuń z pliku niepotrzebne strony i pola,
sprawdź, czy zdjęcie nie pokazuje innych dokumentów w tle,
nadaj plikowi neutralną nazwę bez numeru PESEL,
wyłącz publiczne udostępnienie linku do chmury,
zachowaj kopię wiadomości i potwierdzenie.

Nie publikuj danych w komentarzu pod postem, nawet jeśli fałszywy profil przedstawia go jako formularz odbioru nagrody.

Zgody marketingowe nie powinny być ukryte

Udział w akcji i zgoda na marketing to różne cele. Zwróć uwagę, czy pola są opisane oddzielnie i czy regulamin wyjaśnia, które są niezbędne do udziału. Dobrowolna zgoda powinna być możliwa do wycofania tak łatwo, jak została udzielona, bez wpływu na zgodność wcześniejszego przetwarzania.

Jeżeli publikacja imienia, wizerunku lub pracy zwycięzcy jest elementem akcji, sprawdź jej zakres, kanały i czas. Nie zaznaczaj automatycznie wszystkich pól tylko po to, by szybciej zakończyć formularz.

Jakie prawa ma uczestnik

W zależności od podstawy i okoliczności możesz mieć prawo do:

informacji i dostępu do danych,
sprostowania nieprawidłowych danych,
usunięcia danych,
ograniczenia przetwarzania,
przenoszenia danych,
sprzeciwu,
wycofania zgody,
złożenia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Prawa nie działają identycznie w każdej sytuacji. Przykładowo organizator może nadal przechowywać część danych, gdy jest to potrzebne do obowiązku prawnego albo obrony przed roszczeniami. Powinien jednak wyjaśnić podstawę.

Dane dziecka i dane innych osób

Jeżeli uczestnikiem jest osoba niepełnoletnia, regulamin może wymagać działania rodzica lub opiekuna. Nie podawaj danych dziecka, dopóki nie sprawdzisz ograniczeń wieku, roli opiekuna i zasad publikacji pracy lub wizerunku.

Zdjęcie konkursowe może ujawniać dane innych osób. Uzyskaj wymagane zgody i nie publikuj dokumentów, tablic rejestracyjnych, adresów ani innych szczegółów, które nie są potrzebne do zadania.

Checklista bezpiecznego przekazania danych

Znam pełną nazwę organizatora i administratora.
Korzystam z kanału wskazanego w regulaminie.
Rozumiem cel każdego żądanego pola.
Nie przekazuję haseł, kodów ani nadmiarowych danych.
Zweryfikowałem wiadomość o wygranej niezależnym kanałem.
Mam kopię formularza lub korespondencji.
Wiem, gdzie znaleźć informację o okresie przechowywania i swoich prawach.

Gdy coś się nie zgadza, zatrzymaj się przed wysłaniem. Utrata terminu bywa kłopotliwa, ale przekazanie kompletu danych oszustowi jest znacznie trudniejsze do odwrócenia.