Un auto, un viaje, un celular de última generación o una gift card. Cada vez es más común que las empresas recurran a sorteos y promociones para captar potenciales clientes. A cambio de la posibilidad de ganar un premio, miles de personas entregan información como su nombre, documento de identidad, correo electrónico, teléfono e incluso dirección.
Sin embargo, detrás de una práctica que parece inofensiva existe una pregunta que muchos consumidores no se hacen: ¿qué puede hacer realmente una empresa con esos datos?
La respuesta es que participar en un sorteo no significa entregar un “cheque en blanco” para que la información sea utilizada con cualquier finalidad.
- LEA TAMBIÉN: Teletrabajo: reglamento apunta 7 ajustes claves, ¿me sancionarán por actividades personales?
Participar en un sorteo no autoriza cualquier uso de los datos
Carol Quiroz, socia del área de Protección de Datos Personales y Seguridad de la Información del Estudio Olaechea, explica que desde el momento en que una empresa solicita datos personales para participar en un sorteo queda sometida a las obligaciones previstas en la Ley de Protección de Datos Personales (LPDP) y su reglamento.
En la misma línea, Bruno Mejía, líder de Competencia y Mercados de EY Law, señala que el tratamiento de los datos debe respetar principios como legalidad, finalidad y proporcionalidad. Además, las empresas deben informar si la información será compartida con terceros o transferida al extranjero, así como los mecanismos para que los titulares ejerzan sus derechos.
Quiroz explica que la información recopilada para administrar una promoción no puede utilizarse automáticamente para actividades de marketing o prospección comercial, mientras que Mejía añade que tampoco puede destinarse a publicidad, elaboración de perfiles o cesión a terceros si esas finalidades no fueron informadas previamente y aceptadas por el participante.
Incluso, recuerda que el titular conserva el derecho de revocar su consentimiento u oponerse al tratamiento para fines comerciales, por lo que las empresas deben ofrecer mecanismos sencillos y gratuitos para ello.
Las reglas detrás de los sorteos: qué pueden hacer las empresas con tus datos personales | Foto: Generada con IA - ChatGPT
Los errores que más cometen las empresas
En la práctica, muchos incumplimientos no obedecen a una intención deliberada de vulnerar la ley, sino a errores operativos en el diseño de las campañas.
Quiroz señala que uno de los problemas más comunes es que las empresas se concentran únicamente en las bases y condiciones del sorteo, pero omiten incorporar una política de privacidad. También advierte sobre el uso de casillas premarcadas para autorizar el envío de publicidad o la transferencia de datos a socios comerciales sin solicitar un consentimiento válido.
Por su parte, Mejía identifica otras deficiencias frecuentes, como solicitar datos personales excesivos para la finalidad del sorteo, utilizar cláusulas de consentimiento ambiguas, no diferenciar la finalidad principal de otras actividades comerciales, omitir información sobre transferencias a terceros, conservar las bases de datos durante más tiempo del necesario o carecer de medidas suficientes para proteger la información recopilada.
En ese sentido, ambos especialistas recuerdan que las empresas solo deben solicitar los datos estrictamente necesarios para la finalidad del sorteo.
Si bien pedir información como el DNI o la fecha de nacimiento podría resultar desproporcionado en algunos casos, Mejía aclara que esos datos sí pueden justificarse cuando sean necesarios para verificar la mayoría de edad, evitar participaciones duplicadas, validar la identidad del ganador o cumplir obligaciones tributarias vinculadas con la entrega del premio.
- LEA TAMBIÉN: El gran encubrimiento de los centros de datos de IA
¿Pueden compartirse los datos con otras empresas?
Las promociones conjuntas entre bancos, centros comerciales, marcas auspiciadoras y otras empresas son cada vez más frecuentes, lo que plantea dudas sobre el destino de la información recopilada.
Para Quiroz, estos proyectos deben estructurarse desde el inicio con una política de privacidad que informe claramente si los datos serán compartidos entre los organizadores y permita obtener un consentimiento plenamente informado.
En la misma línea, Mejía sostiene que la transferencia de información a terceros solo será válida cuando sea compatible con la finalidad comunicada al participante y se cumplan los requisitos previstos por la LPDP, incluido el consentimiento cuando la ley así lo exija.
¿Qué ocurre con los datos cuando termina el sorteo?
Una vez concluida la campaña, la empresa no puede conservar indefinidamente la información recopilada.
Quiroz explica que la legislación no establece un plazo fijo de conservación, pero sí obliga a informar previamente cuánto tiempo permanecerán almacenados los datos y para qué serán utilizados.
Mejía añade que, una vez cumplida la finalidad que justificó la recopilación, la empresa debe suprimir, bloquear o anonimizar la información, según corresponda, salvo que exista una obligación legal o una finalidad adicional que haya sido informada y aceptada por el participante.
Si la intención es utilizar esa base de datos en futuras campañas comerciales, ello debió comunicarse desde un inicio y contar con el consentimiento correspondiente.
- LEA TAMBIÉN: Perú crea banco de ADN, pero señalan 4 “riesgos” de vulneración de datos personales: ¿cuáles?
Multas y otras consecuencias
Aunque muchos incumplimientos tienen origen en errores operativos, ello no exime de responsabilidad a las empresas.
Quiroz señala que, en este tipo de casos, las multas más habituales impuestas por la Autoridad Nacional de Protección de Datos Personales oscilan entre las 5 y 50 UIT (entre S/ 27,500 y S/ 275,000), mientras que Mejía recuerda que la legislación, en general, contempla sanciones que pueden ir desde 0.5 UIT (S/ 2,750) hasta 100 UIT (S/ 550,000), según la gravedad de la infracción.
Además de las multas, la autoridad puede ordenar medidas correctivas, como el cese del tratamiento, la eliminación de datos obtenidos sin consentimiento o la cancelación de bases de datos.
Para ambos especialistas, la protección de datos personales ya no constituye un aspecto meramente formal, sino un elemento clave en el diseño de las campañas comerciales, pues un formulario o un consentimiento mal estructurados pueden convertirse en una importante contingencia legal.
Abogado especialista encargado de Enfoque Legal en Diario Gestión - Actualmente, ocupa la posición de analista legal en el área de Economía en el Diario Gestión.
