GDPR nei concorsi a premio: come proteggere i dati dei partecipanti

A cura di PromotionPlus · Aggiornato a novembre 2026 ·

Nei concorsi e nelle operazioni a premio i dati dei partecipanti vanno trattati nel rispetto del Regolamento UE 2016/679 (GDPR) e del Codice privacy. Servono un'informativa chiara, una base giuridica corretta per ogni finalità e un consenso separato e facoltativo per marketing e profilazione.

In questa guida spieghiamo ruoli, informativa, consensi, minori, sicurezza e conservazione, con una checklist operativa. Non è una consulenza legale: confrontati con il tuo consulente privacy o DPO.

Perché i dati contano nei concorsi

Le manifestazioni a premio sono spesso usate non solo per promuovere prodotti, ma anche per raccogliere dati per CRM, profilazione e lead generation. Proprio per questo il trattamento deve essere trasparente, proporzionato e limitato a ciò che serve.

Chi è titolare, responsabile e contitolare

Soggetto	Ruolo tipico
Azienda promotrice	Titolare del trattamento: decide finalità e modalità
Agenzia che gestisce il concorso	Responsabile del trattamento (art. 28 GDPR), con contratto scritto
Partner o rete di vendita che condividono le finalità	Possibile contitolarità (art. 26): servono un accordo e un'informativa coerente
Piattaforme social	In genere titolari autonomi per i dati che trattano per conto proprio
Fornitori tecnici e hosting	Responsabili o sub-responsabili

La classificazione dipende dai fatti concreti: va valutata caso per caso.

Basi giuridiche e consensi

Per ogni finalità serve una base giuridica (art. 6 GDPR). Schema indicativo:

Finalità	Base giuridica tipica	Consenso?
Gestire la partecipazione, individuare i vincitori, consegnare i premi	Esecuzione del rapporto con il partecipante	Di norma non necessario
Obblighi di legge (adempimenti ministeriali, fiscali, verbali)	Obbligo legale	No
Marketing diretto, newsletter	Consenso (e disciplina sulle comunicazioni elettroniche)	Sì, specifico e facoltativo
Profilazione	Consenso	Sì, separato dagli altri

Le FAQ ministeriali sui concorsi che si avvalgono di piattaforme e social indicano due consensi distinti: uno relativo alla partecipazione e uno relativo a profilazione e comunicazioni di marketing. Nella pratica si raccolgono in modo separato e il rifiuto del consenso marketing non deve impedire la partecipazione. La profilazione, secondo il GDPR, è il trattamento automatizzato di dati per valutare aspetti personali, come preferenze o comportamenti.

L'informativa privacy

L'informativa (art. 13 GDPR) deve essere chiara e facilmente accessibile, prima della raccolta dei dati. Deve indicare, in particolare:

• identità e contatti del titolare e, se nominato, del DPO;
• finalità e basi giuridiche, distinguendo partecipazione, obblighi di legge e marketing/profilazione;
• destinatari dei dati, come agenzie, fornitori, notaio o funzionario camerale;
• eventuali trasferimenti verso Paesi extra UE e relative garanzie;
• tempi di conservazione o criteri per determinarli;
• diritti dell'interessato e modalità per esercitarli, compreso il reclamo al Garante.

Il regolamento del concorso deve richiamare l'informativa e le regole sui consensi.

Concorsi tramite social network

Per i concorsi che passano da social o piattaforme, le FAQ ministeriali prevedono regole su server, tracciamento e dati. Le indicazioni sono cambiate nel tempo: in passato era richiesta l'iscrizione preventiva al social e il salvataggio dei dati su server italiano; secondo la sintesi dell'aggiornamento 2024 l'obbligo di associazione è decaduto, salvo casi particolari, e il mirroring può limitarsi a un trasferimento sicuro dei dati su server italiano prima della selezione dei vincitori. Verifica sempre il testo aggiornato delle FAQ.

Se la partecipazione avviene con l'accesso tramite un account social, specifica nel regolamento e nell'informativa quali dati vengono acquisiti e come, e mantieni distinti i consensi.

Minori

In Italia il consenso al trattamento dei dati in relazione ai servizi della società dell'informazione è valido da 14 anni; per i minori di età inferiore serve il consenso di chi esercita la responsabilità genitoriale. Valuta se il concorso sia riservato ai maggiorenni e prevedi verifiche adeguate.

Sicurezza, conservazione e diritti

• Sicurezza: misure tecniche e organizzative adeguate (accessi, cifratura, backup, log), anche per i fornitori.
• Violazioni dei dati: procedura per rilevarle e, quando necessario, notificarle al Garante entro 72 ore e comunicarle agli interessati.
• Minimizzazione: raccogli solo i dati necessari.
• Conservazione: definisci per ogni finalità un termine, tenendo conto degli obblighi di conservazione di regolamento, verbali, documenti di consegna e documentazione fiscale.
• Diritti degli interessati: accesso, rettifica, cancellazione, limitazione, opposizione e portabilità; la risposta va data di norma entro un mese.
• Registro dei trattamenti (art. 30) e, per profilazioni su larga scala, valutazione d'impatto (DPIA), se richiesta.
• Trasferimenti extra UE: verifica dove si trovano server e fornitori e quali garanzie si applicano.

Vincitori e pubblicazione dei nominativi

I dati dei vincitori servono per la consegna dei premi e gli adempimenti di legge. Se pubblichi i nominativi, prevedilo nel regolamento e nell'informativa, limita le informazioni al necessario e rispetta le scelte dell'interessato.

Un esempio pratico

Un concorso online chiede nome, email e codice dello scontrino. Prevede due caselle separate: marketing e profilazione, entrambe facoltative.

• Dati per partecipare e consegnare il premio: trattati sulla base dell'esecuzione del rapporto e degli obblighi di legge.
• Newsletter e profilazione: solo con consenso specifico.
• Agenzia: nominata responsabile del trattamento con contratto scritto.
• Informativa: mostrata prima dell'invio dei dati e richiamata dal regolamento.
• Conservazione: termini diversi per i dati dei partecipanti, dei vincitori e per i documenti di legge.

Checklist

• Individua ruoli: titolare, responsabili, eventuali contitolari.
• Redigi l'informativa e richiamala nel regolamento.
• Distingui basi giuridiche e consensi per ogni finalità.
• Rendi facoltativi marketing e profilazione.
• Verifica server, fornitori e trasferimenti extra UE.
• Imposta misure di sicurezza e procedura per le violazioni.
• Definisci i tempi di conservazione.
• Gestisci le richieste di esercizio dei diritti.
• Tieni aggiornato il registro dei trattamenti.
• Per i concorsi social, controlla le FAQ ministeriali aggiornate.

Domande frequenti

Serve il consenso per far partecipare un utente? Di norma no: la base giuridica per la partecipazione è l'esecuzione del rapporto. Le FAQ ministeriali, per i concorsi su piattaforme, chiedono però di distinguere i consensi: segui sempre le indicazioni aggiornate.

Posso usare i dati dei partecipanti per il marketing? Solo con un consenso specifico, libero e facoltativo, raccolto in modo separato.

L'agenzia è titolare o responsabile? In genere responsabile, con contratto scritto; la qualifica dipende dai fatti.

Per quanto tempo posso conservare i dati? Per il tempo necessario a ciascuna finalità e per gli obblighi di legge, definendo termini chiari nell'informativa.

Cosa succede se violo il GDPR? Il Garante può applicare sanzioni, anche a seguito di segnalazioni degli interessati.

Vuoi raccogliere dati in modo corretto?

PromotionPlus ti aiuta a impostare la raccolta dati del tuo concorso o della tua operazione a premio, insieme a consulenti privacy, dall'informativa ai consensi, fino alla gestione dei fornitori. Contattaci per un preventivo.