Jeu concours et RGPD : que faire des emails collectés ?

Le RGPD s’applique dès le premier participant

Un nom, une adresse e-mail ou un numéro de téléphone sont des données personnelles. Dès que votre jeu les collecte, le règlement général sur la protection des données (RGPD) s’applique, quelle que soit la taille de votre commerce.

En tant qu’organisateur, vous êtes le responsable du traitement : c’est vous qui décidez pourquoi et comment les données sont utilisées. L’outil qui héberge le jeu agit en principe comme sous-traitant : il traite les données pour votre compte, selon vos instructions, dans le cadre d’un contrat prévu par l’article 28 du RGPD. Chez Engamo, ce contrat est l’accord de traitement des données (DPA).

Deux usages des données, deux règles différentes

Gérer le jeu

Enregistrer la participation, désigner les gagnants, les prévenir et leur remettre leur lot : c’est l’usage de base. Il découle de la participation au jeu, selon les conditions fixées par votre règlement. Vous n’avez pas besoin d’une case supplémentaire pour contacter un gagnant au sujet de son lot.

Envoyer vos offres commerciales

Envoyer ensuite une newsletter, une promotion ou une invitation à une vente privée, c’est de la prospection commerciale. Par e-mail ou par SMS, auprès de particuliers, la règle de principe est le consentement préalable (article L34-5 du code des postes et des communications électroniques).

Une exception existe pour vos clients qui vous ont donné leurs coordonnées lors d’un achat, quand vous leur proposez des produits ou services analogues. Elle ne couvre pas le simple fait de jouer à un jeu gratuit. Pour un participant, partez donc du principe qu’il vous faut son accord explicite.

Construire un formulaire de participation conforme

Ne demander que le nécessaire

Le RGPD impose de limiter les données à ce qui est utile (principe de minimisation). Pour un jeu en boutique, un prénom et une adresse e-mail suffisent souvent. Une adresse postale ne se justifie que si les lots sont envoyés par courrier ; une date de naissance, que si vous devez vérifier l’âge. Chaque champ en moins rend aussi la participation plus facile.

Une case séparée, non cochée

Pour la prospection, ajoutez une case distincte, décochée par défaut, avec un texte précis. Par exemple :

« J’accepte de recevoir par e-mail les offres et actualités de la Boulangerie Martin. Je peux me désinscrire à tout moment. »

Une case précochée n’est pas un consentement valable. Faire de l’inscription à la newsletter une condition pour jouer pose aussi problème : un consentement doit être libre, et les autorités de protection des données considèrent qu’un accord imposé en échange d’un service risque de ne pas l’être. Le plus sûr est de laisser jouer tout le monde, que la case soit cochée ou non.

Informer clairement

Sous le formulaire ou par un lien, indiquez au moins : qui collecte les données (votre commerce et ses coordonnées), à quoi elles servent, combien de temps elles sont gardées, qui y a accès, comment exercer ses droits, et la possibilité de saisir la CNIL. Ces informations peuvent aussi figurer dans le règlement du jeu ; notre modèle de règlement de jeu concours gratuit prévoit une rubrique pour cela.

Ce que vous pouvez faire des e-mails collectés

Avec la case cochée

• Envoyer vos offres, actualités et invitations, sur le canal auquel la personne a consenti.
• Inclure dans chaque message un moyen simple de se désinscrire, et le prendre en compte rapidement.
• Garder le contact tant qu’il reste actif. Pour les prospects, la CNIL retient une durée de trois ans à compter de la collecte ou du dernier contact venant de la personne (un clic, une réponse, une visite avec son compte, par exemple).

Sans la case cochée

• Gérer le jeu : annoncer le résultat au participant, contacter et servir les gagnants.
• Supprimer ensuite les données, une fois le jeu terminé et les lots remis, sauf si vous devez en garder une partie pour une raison précise (une réclamation en cours, par exemple). Fixez cette durée à l’avance et indiquez-la.
• Ne pas les ajouter à votre newsletter, même « une seule fois ».

Ce qui demande plus de précautions

• Partager les contacts avec un partenaire qui a offert un lot : il faut que la personne l’ait accepté en connaissance de cause, avec un consentement distinct qui nomme le partenaire. À défaut, les données restent chez vous.
• Publier le nom ou la photo d’un gagnant : demandez-lui son accord avant, et prévoyez-le dans le règlement. Un prénom et l’initiale du nom suffisent souvent.
• Utiliser les données pour un autre but que celui annoncé (revente, ciblage publicitaire sur les réseaux sociaux…) : ce n’est pas possible sans information et, le plus souvent, sans nouveau consentement.

Garder la preuve du consentement

Le RGPD demande de pouvoir démontrer que la personne a consenti. Pour chaque contact, conservez la date, l’origine (« jeu de Noël 2026 en boutique »), et le texte exact de la case affichée à ce moment-là. Si vous changez la formulation d’un jeu à l’autre, gardez une copie de chaque version. Un outil de jeu qui enregistre ces informations automatiquement vous évite de le faire à la main.

Répondre aux demandes des participants

Chaque participant peut vous demander l’accès à ses données, leur correction ou leur effacement, et s’opposer à tout moment à la prospection. Il peut aussi retirer son consentement, et cela doit être aussi simple que de l’avoir donné. Vous avez en principe un mois pour répondre, délai qui peut être prolongé dans certains cas en prévenant la personne.

Concrètement : indiquez une adresse e-mail de contact, notez la date de chaque demande et vérifiez que la suppression s’applique partout (outil de jeu, outil d’e-mailing, fichier exporté).

Sécurité et registre : le minimum pour un commerce

• Limitez les accès : seules les personnes qui en ont besoin consultent la liste des participants.
• Évitez les exports qui traînent : un fichier de contacts envoyé par e-mail ou laissé sur une clé USB est une fuite en puissance.
• Tenez un registre des traitements, même simple : la plupart des commerces y sont tenus pour leurs traitements réguliers, comme la gestion clients. La CNIL propose un modèle de registre sur son site.

Checklist avant de lancer votre jeu

1. Le formulaire ne demande que les champs utiles.
2. La case de consentement marketing est séparée et décochée.
3. On peut jouer sans cocher cette case.
4. Les informations sur les données sont accessibles depuis le jeu.
5. La durée de conservation est fixée, pour les participants et pour les prospects.
6. Le règlement est rédigé et accessible gratuitement.
7. Vous savez où retrouver la preuve de chaque consentement.
8. Une adresse de contact permet d’exercer ses droits.

Pour la méthode complète, du choix du jeu à la remise des lots, lisez notre guide pour organiser un jeu concours dans un commerce. Et si vous cherchez encore quoi proposer, voici 30 idées de jeu concours.

Les règles évoluent et chaque situation est différente : les fiches pratiques de la CNIL sur la prospection commerciale restent la référence à consulter en cas de doute.

Un jeu conforme dès le départ, gratuitement

Sur Engamo, la page de jeu intègre le formulaire avec une case de consentement marketing séparée et décochée, et vos participants se retrouvent dans votre tableau de bord. Le plan Gratuit permet 1 campagne gratuite en cours et jusqu’à 100 contacts par mois, sans carte bancaire.