Concours social : exploiter les commentaires ?

Un concours organisé dans les commentaires d’un réseau social produit rapidement un fichier riche : pseudonymes, messages, comptes mentionnés, photos et informations de profil. L’organisateur doit limiter sa collecte aux données nécessaires au concours. La visibilité publique des commentaires ne permet pas de les transformer librement en fichier de prospection.

Le point décisif se situe avant l’export : quelles participations faut-il conserver, pour quelle opération, et qui recevra la copie ? Ce guide traite un concours promotionnel ordinaire destiné aux adultes. Les jeux relevant d’un régime particulier et les opérations ouvertes aux enfants demandent une analyse complémentaire.

Définir une participation vérifiable et peu intrusive

Écrivez une règle que l’équipe peut appliquer avec peu de données. Par exemple, une participation par compte, déposée avant une heure précise, avec une réponse à une question simple. Plus la mécanique impose des mentions d’amis, des récits personnels ou des preuves de vie privée, plus elle collecte des informations sans rapport direct avec la remise d’un lot.

Le guide général du jeu-concours RGPD décrit l’organisation complète. Sur une plateforme sociale, la difficulté supplémentaire vient de l’entourage visible du participant. Les abonnés, les personnes identifiées dans un commentaire et les auteurs d’une discussion adjacente ne deviennent pas tous participants.

Évitez donc une consigne telle que « racontez un problème de santé vécu par un proche ». Même si le participant publie volontairement son message, vous pouvez recevoir des données sensibles sur un tiers. Les Art. 5(1)(c) et 9(1) du RGPD imposent de regarder la nature des informations, pas seulement leur emplacement public. Une question portant sur une préférence de produit suffit souvent au mécanisme promotionnel recherché.

Séparer le concours de ses suites commerciales

Identifiez les opérations : recevoir les participations, vérifier les critères, effectuer le tirage, contacter le gagnant, livrer le lot et gérer une contestation. Déterminez un fondement pour chacune, sans utiliser « consentement au règlement » comme formule universelle.

L’Art. 6(1)(b) peut être pertinent lorsque le traitement est objectivement nécessaire à l’exécution de la relation contractuelle du concours avec la personne. Il faut vérifier cette relation et cette nécessité ; ajouter une utilisation au règlement ne suffit pas. Si vous retenez l’intérêt légitime de l’Art. 6(1)(f), documentez l’intérêt, la nécessité et la mise en balance avec les droits et attentes des participants. Le choix doit correspondre au fonctionnement réel.

La newsletter, l’enrichissement de profils et le partage de prospects avec le sponsor poursuivent d’autres finalités. Le commentaire « je participe » ne constitue pas un accord spécifique à ces usages. Pour une campagne électronique grand public, examinez notamment le consentement préalable exigé par l’article L. 34-5 du CPCE, sans considérer le participant comme un client du seul fait du concours.

Présentez, si nécessaire, une inscription commerciale distincte et facultative. L’Art. 7(4) demande de tenir particulièrement compte de la subordination d’un service à un consentement non nécessaire. Ne mêlez pas l’acceptation des modalités du tirage à un abonnement présenté comme obligatoire pour recevoir le gain. Notre guide de prospection commerciale permet de qualifier les communications envisagées.

Informer sur la publication qui reçoit les commentaires

L’information doit être accessible au moment où la personne participe. Un lien dans une page éloignée du site de l’entreprise ne suffit pas si rien ne permet de la trouver depuis la publication du concours. Préparez une courte présentation avec l’identité de l’organisateur, les usages principaux, le lien vers la notice et un contact.

La notice des Art. 13(1)-(2) précise notamment les finalités, fondements, destinataires, durées et droits. Lorsque vous obtenez indirectement des informations sur des tiers, examinez aussi l’Art. 14 ; éviter leur collecte est souvent préférable à créer un problème d’information pour des personnes qui n’ont rien demandé. Texte des obligations d’information.

Extrait original à adapter : « Atelier Saule organise ce concours. Nous utilisons votre pseudonyme, votre participation et les informations nécessaires au tirage pour gérer l’opération. Si vous gagnez, nous vous demanderons vos coordonnées de livraison par un canal privé. Ne publiez aucune coordonnée ni information concernant un tiers dans les commentaires. » Ajoutez les autres informations requises dans la notice ; cet extrait ne constitue pas un document complet.

La FAQ CNIL sur les jeux-concours rappelle notamment l’information des participants, la sécurité et la documentation du fichier au registre. Il n’existe plus de déclaration générale de ce fichier à la CNIL depuis l’application du RGPD. Une notice ne remplace toutefois ni la limitation de l’export ni les mesures effectives.

Préparer un export réduit au besoin

L’outil peut proposer de collecter bien davantage que ce dont vous avez besoin. Définissez les colonnes avant de lancer l’opération et vérifiez ce que le fichier contient réellement.

Vérifiez le comportement sur les réponses imbriquées, commentaires supprimés, participations multiples et contenus masqués. Un outil qui ne récupère qu’une partie des commentaires ne fournit pas nécessairement le périmètre annoncé au public. Cela concerne aussi la loyauté du tirage : l’équipe doit savoir quelles données manquent avant d’affirmer que toutes les participations ont été prises en compte.

Les conditions de la plateforme et celles de l’outil d’extraction doivent être examinées séparément. Une possibilité technique ne démontre pas l’autorisation contractuelle d’extraire ni la licéité du traitement. Le dossier scraping et RGPD explique pourquoi la disponibilité publique n’efface pas les droits des personnes.

Un dossier de tirage qui permet de comprendre les exclusions

Voici un exemple fictif de contrôle. À la clôture, l’organisateur constate 460 commentaires dans le périmètre de la publication. Une lecture documentée distingue 400 premières participations, 40 répétitions de comptes déjà retenus et 20 réponses sans volonté de participer. Ces catégories sont disjointes et totalisent 460.

Le règlement prévoit une seule participation par compte. L’organisateur vérifie les 400 premières participations et en écarte 12 déposées hors délai. La population retenue pour le tirage comprend donc 388 comptes. Les comptes mentionnés par leurs amis ne sont pas ajoutés à cette population. Ces chiffres servent à démontrer le rapprochement ; ils ne supposent aucune fonctionnalité garantie d’un logiciel particulier.

Le compte rendu indique la version des règles, l’heure de clôture, le périmètre extrait, la méthode de dédoublonnage et les motifs d’exclusion. Il permet aussi d’expliquer une difficulté : si l’outil annonce 460 commentaires mais n’en restitue que 430, l’écart de 30 doit être résolu ou décrit avant validation. Il ne faut pas inventer une absence de participation pour faire coïncider deux compteurs.

Pour conserver une preuve du résultat, un rapport ciblé peut être préférable à une vidéo qui affiche l’écran entier et les messages privés de l’équipe. La preuve interne doit rester accessible aux seules personnes qui en ont besoin. La transparence envers les participants ne signifie pas publication de tout le fichier.

Contacter le gagnant sans lui demander de s’exposer

Prévoyez un canal permettant de vérifier que vous échangez avec le compte sélectionné. Demandez ensuite uniquement les données nécessaires à la remise du lot. Pour un objet expédié, l’adresse postale peut être utile ; pour un code numérique, elle ne l’est pas nécessairement. Une copie de pièce d’identité ne doit pas devenir une formalité systématique si une vérification moins intrusive suffit.

Ne demandez jamais l’adresse du gagnant dans un commentaire public. Le message de prise de contact doit identifier clairement l’organisateur et la référence du concours. Il faut également prévoir le traitement des usurpations : une personne qui répond depuis un autre compte ne devient pas automatiquement le titulaire du gain.

La publication des gagnants constitue une décision distincte. Le pseudonyme retenu peut identifier une personne ou permettre de consulter son profil. Une publication limitée n’est donc pas nécessairement anonyme, et le fichier utilisé pour livrer les lots ne doit pas devenir la source d’un visuel public.

Fermer les accès, les exports et les réutilisations

L’outil de tirage peut être un sous-traitant s’il agit pour votre compte sur instruction. Vérifiez alors le contrat prévu par l’Art. 28(3), les accès, l’assistance aux droits et la suppression des copies en fin de prestation. S’il décide de ses propres réutilisations, sa qualification et les conditions de transmission doivent être examinées en conséquence. Règles relatives aux responsabilités et à la sécurité.

Définissez des durées selon les besoins réels : exploitation pour le concours, vérification de la remise et éventuelles preuves de contestation. L’Art. 5(1)(e) ne fixe pas une durée unique pour tous les jeux. Les pièces encore nécessaires peuvent être isolées avec accès limité ; le fichier de campagne ne doit pas rester actif parce qu’une preuve du tirage est conservée.

Inventoriez la copie téléchargée, les pièces envoyées à l’agence, les répertoires partagés et les éventuels traitements du prestataire. Retirer la publication d’origine ne supprime pas ces copies. Inversement, supprimer votre export ne garantit pas le retrait de tous les commentaires de la plateforme ; expliquez le périmètre de votre action lors d’une demande.

Ce qu’il faut retenir

• Fixez une participation qui exige peu de données et n’enrôle pas les tiers mentionnés.
• Séparez gestion du concours, publicité et publication du résultat.
• Vérifiez le périmètre réellement extrait avant de valider le tirage.
• Conservez les seules preuves nécessaires et fermez les copies actives.

FAQ

Peut-on ajouter tous les participants à une audience publicitaire ?

Le concours ne l’autorise pas automatiquement. Il faut examiner cette nouvelle finalité, son fondement, l’information et les conditions du service publicitaire. Un identifiant haché demeure susceptible de permettre une correspondance avec une personne.

Le règlement peut-il autoriser toutes les utilisations futures ?

Une clause générale ne rend pas tous les traitements nécessaires au concours et ne garantit pas un consentement spécifique. Décrivez les usages distincts et organisez les choix appropriés avant la collecte.

Faut-il effacer toute preuve dès le tirage ?

Pas nécessairement. La remise du lot et une contestation peuvent justifier certaines pièces pendant une durée définie. Conservez ce qui permet de traiter ces sujets, sans maintenir tous les profils dans une base marketing ni retenir indéfiniment les commentaires complets.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.