Application des lois sur l’email : affaires LCAP et détail légal de CAN-SPAM

Les règles de fond figurent dans LCAP et CAN-SPAM. Cet article décrit ce qui se passe réellement lorsqu’elles sont appliquées : les outils du CRTC, les affaires tranchées avec les noms et les montants, les lignes directrices du CRTC sur la responsabilité des intermédiaires (ESP), et le texte légal des interdictions de CAN-SPAM, qui va plus loin que le guide de la FTC destiné aux entreprises.

Application de la LCAP : qui fait quoi

Trois organismes se partagent la LCAP (selon le rapport de mesure du rendement 2024-25 d’ISDE) : le CRTC fait appliquer les articles 6 à 9 (pourriel, modification des données de transmission, logiciels malveillants, aide) dans le cadre d’un régime administratif civil assorti de sanctions administratives pécuniaires (SAP), et héberge le Centre de notification des pourriels ; le Bureau de la concurrence poursuit les indications électroniques fausses ou trompeuses (expéditeur, objet, message, localisateur ou URL) au titre de la Loi sur la concurrence ; le Commissariat à la protection de la vie privée (CPVP) traite la collecte d’adresses et la collecte illicite au titre de la LPRPDE (sans pouvoir d’infliger des SAP : engagements volontaires ou ordonnances de la Cour fédérale). L’organe national de coordination d’ISDE pilote la politique ; fightspam.gc.ca est le portail de sensibilisation. Le CRTC a conclu des protocoles d’entente avec la FTC, la FCC, l’ICO, l’ACMA (Australie), le MIC japonais et le DIA néo-zélandais, et travaille avec le FBI, la GRC et l’AFP.

Les instruments d’application du CRTC

Conseils pratiques tirés des propres lignes directrices du CRTC : présentez tous vos arguments dès les premières observations écrites (l’examen n’admet normalement aucune observation ultérieure), et prenez les lettres d’avertissement au sérieux : c’est la sortie la moins coûteuse.

Bulletin 2014-326 : programmes de conformité d’entreprise (la défense de diligence raisonnable)

Le Bulletin d’information sur la conformité et l’application de la loi CRTC 2014-326 (19 juin 2014) indique aux entreprises comment bâtir un programme pouvant fonder une défense de diligence raisonnable et convaincre le Conseil qu’une violation était isolée plutôt que systémique. Éléments requis : l’engagement de la haute direction (un responsable de la conformité ou une personne-ressource désignée) ; une évaluation des risques liés aux activités exposées aux violations ; une politique écrite couvrant les procédures, la formation (avec des attestations écrites des employés et des formations de rappel), la vérification et la surveillance, la conformité des tiers, la tenue de registres et la rétroaction des employés ; la tenue de registres propre à la LCAP, notamment les demandes de désabonnement et les mesures prises, les preuves de consentement, les journaux de consentement des destinataires et les scripts des messages ; des vérifications régulières avec un suivi documenté ; un système de traitement des plaintes avec des délais de résolution définis ; et un code disciplinaire avec des mesures correctives documentées. Un programme préexistant ne constitue pas une défense complète, mais démontre que des précautions raisonnables ont été prises. C’est la liste de contrôle qu’un ESP bien géré devrait pouvoir produire pour lui-même et exiger de ses clients.

Bulletin 2018-415 : responsabilité des intermédiaires au titre de l’article 9 (le bulletin des ESP)

Le Bulletin d’information sur la conformité et l’application de la loi CRTC 2018-415 (5 novembre 2018) interprète l’article 9, selon lequel constitue une violation le fait d’aider, d’inciter ou d’amener une personne à commettre une violation des articles 6 à 8, ou d’obtenir qu’elle la commette. Les catégories exposées que nomme le CRTC : les courtiers en publicité, les spécialistes du marketing électronique, les développeurs et distributeurs de logiciels et d’applications, les fournisseurs de services de télécommunication et d’accès à Internet, et les processeurs de paiement, c’est-à-dire toute la chaîne de livraison, ESP compris.

Facteurs d’appréciation : (1) le niveau de contrôle, c’est-à-dire la capacité d’empêcher ou de faire cesser l’activité ; (2) le degré de lien entre les actes de facilitation et la violation sous-jacente ; (3) les mesures raisonnables, c’est-à-dire les précautions et garanties effectivement mises en œuvre. Le premier exemple du bulletin concerne directement les ESP : une entreprise de marketing qui fournit des modèles d’email dépourvus d’identification de l’expéditeur et de mécanisme de désabonnement, ainsi que des listes de contacts sans vérification du consentement, aide son client à commettre une violation de l’article 6 en « fournissant les outils ». Autres exemples : un hébergeur web qui ignore une campagne de phishing signalée ; une boutique d’applications qui distribue un logiciel aux fonctions non divulguées derrière une case de consentement précochée.

Diligence raisonnable attendue : des évaluations régulières des menaces et des risques ; la validation de l’identité des clients (documents constitutifs, pièce d’identité délivrée par une autorité publique, documents fiscaux) ; le signalement des incohérences de localisation et des clients qui recherchent l’anonymat (pseudonymes, boîtes postales, paiement en cryptomonnaie) ; des recherches sur la réputation du client et la légalité de ses produits ; des contrats écrits obligeant les clients à respecter la LCAP ; la vérification de l’usage que font les clients existants du service ; la surveillance et le signalement des violations présumées ; des ressources pour un retrait et une correction rapides ; et la documentation de l’ensemble. Le bulletin avertit que « le simple respect des normes de l’industrie peut être insuffisant » ("simply following industry standards may be insufficient") : des politiques figées sans surveillance active ne suffisent pas à satisfaire à l’article 9.

Synthèse des affaires LCAP

Mesures formelles du CRTC (d’après la liste des mesures d’application du CRTC consultée en juillet 2026, complétée par le rapport d’application de la LCAP du CRTC d’octobre 2020 à mars 2021 ; la liste publique étant paginée, les affaires des débuts, comme les engagements de 2015 à 2018 qui lui sont antérieurs, ne sont pas reprises ici) :

Procès-verbaux de violation (SAP)

Engagements (règlements négociés)

Confirmation judiciaire. Selon le rapport d’application 2020-21 du CRTC : en mars 2021, la Cour suprême du Canada a refusé d’entendre l’appel de CompuFinder, laissant en vigueur l’arrêt de la Cour d’appel fédérale qui a confirmé la constitutionnalité de la LCAP et précisé les dispositions sur le consentement fondé sur une relation d’affaires en cours et sur la publication bien en vue. CompuFinder était aussi l’exemple du rapport pour une violation liée au mécanisme de désabonnement. Contester la constitutionnalité de la LCAP est une impasse ; les catégories de consentement implicite décrites dans LCAP s’interprètent telles qu’elles sont rédigées.

Statistiques du programme : ce que fait réellement l’autorité

Rapport d’application de la LCAP du CRTC, du 1er octobre 2020 au 31 mars 2021 (six mois) : 143 avis de communication, 17 demandes de préservation, 10 lettres d’avertissement, 1 procès-verbal de violation, 75 000 $ de sanctions ; en cumul depuis 2014 à cette date : plus de 1,4 M $ à payer (805 k $ de SAP + 668 k $ d’engagements). Plaintes : plus de 144 560 au Centre de notification des pourriels (environ 5 560 par semaine ; seulement 3 % par le formulaire web, le reste à spam@fightspam.gc.ca). 93 % des plaintes invoquaient une absence de consentement, 34 % des problèmes d’identification, 30 % du marketing trompeur, 3 % des logiciels ou logiciels malveillants. 76 % des emails visés par des plaintes relevaient du marketing d’affiliation ou d’emails d’entreprises légitimes, et non du spam criminel. Principales catégories d’affiliation : alimentation, médicaments et santé ; enquêtes et tirages au sort ; casino ; achats en ligne ; technologie. Principales catégories commerciales : services marketing, technologie, achats en ligne, mises à jour et notifications, newsletters. En novembre 2020, le CRTC, le CPVP et le Bureau de la concurrence ont adressé un avertissement conjoint à 36 entreprises d’applications mobiles sur la conformité des applications à la LCAP (aucune fausse déclaration, aucun enregistrement des frappes sans consentement, aucune fonction dissimulée, aucun envoi de spam aux contacts des utilisateurs).

Rapport de mesure du rendement de la LCAP d’ISDE 2024-25 : 414 630 plaintes au Centre de notification des pourriels (seulement environ 2,1 % par le formulaire en ligne) ; totaux annuels du CRTC : 260 avis de communication, 33 lettres d’avertissement, 14 demandes de préservation, 2 engagements, plus de 137 000 $ de SAP ; SAP cumulées du CRTC depuis 2014 : plus de 3,6 millions $. En novembre 2024, le CRTC a analysé environ 25 entreprises présentant des volumes de plaintes nettement élevés, vérifié leurs pratiques de consentement et de désabonnement, et envoyé des lettres d’avertissement lorsque des violations potentielles apparaissaient : autrement dit, le volume de plaintes au Centre de notification des pourriels sélectionne directement les cibles des mesures d’application, le pendant réglementaire de la boucle entre taux de plaintes et réputation décrite dans Fondamentaux. Mesures du Bureau de la concurrence liées à la LCAP cette année-là : un règlement avec SiriusXM Canada au sujet d’offres d’abonnement à prix partiel promues « sur son site Web, ainsi que dans des courriels promotionnels et du publipostage » ("on its website, as well as in promotional emails and direct mail") ; une procédure devant le Tribunal de la concurrence contre Rogers Communications au sujet d’allégations de données « illimitées » ; une deuxième ordonnance judiciaire dans une enquête en cours sur le marketing trompeur d’Amazon. Le CPVP a reçu 14 plaintes liées à la LCAP (MEC non sollicités, absence d’option de désabonnement, désabonnements non respectés) et a indiqué que plus de 90 % des attaques de phishing commencent par un email, en citant des constats de l’OCDE selon lesquels plus de la moitié des emails de spam ou malveillants sont désormais générés par l’IA.

Enseignements globaux pour un ESP tirés du bilan de la LCAP : (1) la plupart des mesures d’application partent de plaintes de destinataires visant des lacunes de consentement chez des marketeurs légitimes, et non chez des criminels ; (2) les particuliers et les dirigeants sont nommés personnellement ; (3) un désabonnement qui ne fonctionne pas ou n’est pas respecté est une violation récurrente et facile à prouver ; (4) l’exposition propre d’un ESP relève de l’article 9, et sa seule défense est une vérification documentée des clients et une surveillance active ; (5) un programme de conformité documenté est à la fois la monnaie d’échange des règlements et la défense de diligence raisonnable.

Détail légal de CAN-SPAM : 15 U.S.C. § 7704 et § 7705

Le guide de conformité de la FTC paraphrase la loi ; le texte légal ajoute une structure qui compte lorsqu’il s’agit de répartir les responsabilités dans une chaîne annonceur, ESP et fournisseur de listes.

§ 7704(a) : les interdictions principales

• (a)(1) Informations d’en-tête substantiellement fausses ou trompeuses : s’applique aux emails commerciaux et transactionnels ou relationnels. Trois règles de présomption : des en-têtes techniquement exacts sont tout de même trompeurs si l’adresse, le domaine ou l’IP d’origine a été obtenu par des manœuvres fausses ou frauduleuses ; un champ « from » qui identifie correctement l’un quelconque des initiateurs réels est conforme ; les en-têtes sont substantiellement trompeurs lorsqu’ils n’identifient pas la machine d’injection parce que l’expéditeur a sciemment relayé le message par un autre ordinateur protégé pour en dissimuler l’origine. « Substantiellement » (défini au (a)(6)) désigne une modification ou une dissimulation qui empêcherait un service de réception, les autorités répressives ou le destinataire d’identifier ou de localiser l’initiateur, ou de lui répondre, ou d’enquêter.
• (a)(2) Objets trompeurs : illicites en cas de connaissance effective, ou de connaissance raisonnablement déductible de circonstances objectives, que l’objet induirait probablement en erreur un destinataire raisonnable sur un fait substantiel relatif au contenu ou au sujet du message.
• (a)(3) Adresse de retour ou opt-out par Internet fonctionnel, affiché de manière claire et visible, capable de recevoir les demandes d’opt-out pendant au moins 30 jours après la transmission. Un menu de préférences n’est autorisé que s’il comporte une option permettant de refuser tous les messages commerciaux de l’expéditeur. Une interruption temporaire indépendante de la volonté de l’expéditeur est excusée si elle est corrigée dans un délai raisonnable.
• (a)(4) Interdictions après l’opt-out : passé 10 jours ouvrés, il est illicite pour : l’expéditeur, d’envoyer des messages entrant dans le champ de la demande ; toute personne agissant pour le compte de l’expéditeur, de le faire en ayant une connaissance effective ou raisonnablement déductible de la demande ; quiconque, d’aider en fournissant ou en sélectionnant des adresses en sachant que la transmission serait illicite ; et toute personne ayant connaissance de la demande, de vendre, louer, échanger ou autrement transférer ou divulguer l’adresse (sauf à un prestataire chargé de la conformité). Seul un consentement exprès ultérieur du destinataire permet de reprendre les envois. La clause sur la fourniture d’adresses est celle qui atteint directement les courtiers en listes et les équipes data des ESP.
• (a)(5) Contenu obligatoire : identification claire et visible de la publicité (écartée seulement par le consentement exprès préalable du destinataire), mention claire et visible de l’opt-out, et adresse postale valide de l’expéditeur.

§ 7704(b) : violations aggravées

Elles s’ajoutent aux violations du (a) et entraînent des sanctions renforcées :

1. Collecte d’adresses : initier (ou aider à initier en fournissant ou en sélectionnant des adresses) des envois illicites vers des adresses obtenues par des moyens automatisés sur un site web ou un service en ligne dont l’exploitant a publié un avis indiquant qu’il ne communique, ne vend ni ne transfère d’adresses à des fins d’envoi ; et attaques par dictionnaire : adresses générées par permutation automatisée de noms, de lettres ou de chiffres. Norme de connaissance : effective ou raisonnablement déductible. (La disposition précise expressément qu’elle ne crée aucun droit de propriété sur les adresses email.)
2. Création automatisée de comptes : utiliser des scripts ou des moyens automatisés pour enregistrer plusieurs comptes email ou comptes utilisateur afin d’envoyer des emails commerciaux illicites, ou permettre à d’autres de le faire.
3. Relais non autorisé : relayer ou retransmettre sciemment un message contraire au (a) à partir d’un ordinateur ou d’un réseau protégé auquel on a accédé sans autorisation.

La FTC dispose, au titre du (c), d’un pouvoir réglementaire pour raccourcir ou allonger le délai de 10 jours ouvrés et pour désigner d’autres pratiques aggravantes. Le paragraphe (d) est le régime des avertissements pour le matériel à caractère sexuel (mentions dans la ligne d’objet ou un « emballage » ne montrant que les mentions, les informations obligatoires du (a)(5) et des instructions d’accès ; écarté par le consentement exprès préalable ; les violations délibérées sont passibles d’amendes et d’une peine allant jusqu’à 5 ans d’emprisonnement).

§ 7705 : responsabilité de l’entreprise promue

La section contre l’argument « nous les avons simplement engagés ». Au titre du (a), il est illicite pour une personne de promouvoir (ou de laisser promouvoir) son commerce ou son entreprise dans un message commercial dont la transmission enfreint le § 7704(a)(1) (en-têtes faux ou trompeurs) si cette personne : (1) savait, ou aurait dû savoir dans le cours normal de ses affaires, que ses biens ou services étaient promus dans un tel message ; (2) a reçu ou s’attendait à recevoir un avantage économique de cette promotion ; et (3) n’a pris aucune mesure raisonnable (A) pour empêcher la transmission, ou (B) pour la détecter et la signaler à la Commission. Au titre du (b), un tiers dont les biens apparaissent dans la promotion d’autrui n’est en général pas responsable, sauf s’il possède ou détient plus de 50 % du commerce ou de l’entreprise en infraction, ou s’il a une connaissance effective de la promotion illicite et en reçoit ou en attend un avantage économique. Au titre du (c), les §§ 7706(f) et (g) ne s’appliquent pas à cette section : pas d’action des procureurs généraux des États ni d’action privée des fournisseurs d’accès à Internet au titre du § 7705 ; seule la FTC (ainsi que les autorités de régulation fédérales) le fait appliquer.

Enseignements pour un ESP tirés de la loi : (1) les obligations de véracité des en-têtes s’appliquent même aux emails transactionnels : des chaînes HELO, From et Return-Path exactes sont une exigence légale, et pas seulement une subtilité d’authentification (voir SPF et DKIM) ; (2) la disponibilité de l’opt-out pendant 30 jours et le délai de traitement de 10 jours ouvrés sont des minimums légaux que l’infrastructure de suppression d’un ESP doit dépasser (à comparer avec le couple 60 jours / 10 jours ouvrés de la LCAP) ; (3) accepter ou fournir une liste collectée ou générée par permutation transforme des violations ordinaires en violations aggravées, et « aider en fournissant ou en sélectionnant des adresses » constitue un fondement autonome de responsabilité pour l’ESP lui-même : c’est le fondement légal du refus des listes achetées (voir Méthodes de consentement et Adresses pièges) ; (4) les annonceurs ne peuvent pas externaliser leur responsabilité, si bien que la posture de conformité d’un ESP fait partie de ce sur quoi ses clients s’appuient juridiquement, ce qui fait écho, dans l’autre sens, à l’article 9 de la LCAP.

Ces synthèses sont tirées des publications des autorités et des textes légaux cités et ne constituent pas un avis juridique ; les montants des sanctions et les listes d’affaires évoluent : consultez la page des mesures d’application du CRTC et l’U.S. Code pour connaître la situation actuelle.