Application des lois sur l’email : affaires LCAP et détail légal de CAN-SPAM

Pour évaluer votre exposition réelle au titre de la Loi canadienne anti-pourriel (LCAP) ou du CAN-SPAM Act américain, vous devez savoir comment les règles sont appliquées, et pas seulement ce qu’elles disent. LCAP et CAN-SPAM exposent les règles elles-mêmes.

Cette page décrit ce qui se passe lorsqu’elles sont appliquées : les outils du Conseil de la radiodiffusion et des télécommunications canadiennes (CRTC), les affaires tranchées avec les noms et les montants, et les lignes directrices du CRTC sur la responsabilité des intermédiaires comme les ESP. Elle couvre aussi le texte légal des interdictions de CAN-SPAM, qui va plus loin que le guide de la Federal Trade Commission (FTC) destiné aux entreprises.

Application de la LCAP : qui fait quoi

Trois organismes se partagent la responsabilité de la LCAP (selon le rapport de mesure du rendement 2024-25 d’ISDE) :

• Le CRTC fait appliquer les articles 6 à 9 (pourriel, modification des données de transmission, logiciels malveillants, aide) dans le cadre d’un régime administratif civil assorti de sanctions administratives pécuniaires (SAP), et exploite le Centre de notification des pourriels.
• Le Bureau de la concurrence poursuit les indications électroniques fausses ou trompeuses (sur l’expéditeur, l’objet, le message ou un localisateur comme une URL) au titre de la Loi sur la concurrence.
• Le Commissariat à la protection de la vie privée (CPVP) traite la collecte d’adresses et la collecte illicite au titre de la LPRPDE. Il n’a pas le pouvoir d’infliger des SAP, et s’appuie sur des engagements volontaires ou sur des ordonnances de la Cour fédérale.

L’organe national de coordination d’Innovation, Sciences et Développement économique Canada (ISDE) pilote la politique, et fightspam.gc.ca est le site de sensibilisation. Le CRTC a conclu des protocoles d’entente avec la FTC, la FCC, l’ICO, l’ACMA (Australie), le MIC japonais et le DIA néo-zélandais, et travaille avec le FBI, la GRC et l’AFP.

Les instruments d’application du CRTC

Conseils pratiques tirés des propres lignes directrices du CRTC : mettez tous vos arguments dans vos premières observations écrites, car l’examen n’admet normalement aucune observation ultérieure, et prenez les lettres d’avertissement au sérieux, car elles sont la sortie la moins coûteuse.

Bulletin 2014-326 : programmes de conformité d’entreprise (la défense de diligence raisonnable)

Le Bulletin d’information sur la conformité et l’application de la loi CRTC 2014-326 (19 juin 2014) indique aux entreprises comment bâtir un programme capable de fonder une défense de diligence raisonnable, et de convaincre le Conseil qu’une violation était isolée plutôt que systémique.

Les éléments requis sont :

• l’engagement de la haute direction (un responsable de la conformité ou une personne-ressource désignée) ;
• une évaluation des activités exposées à un risque de violation ;
• une politique écrite couvrant les procédures, la formation (avec des attestations écrites des employés et des formations de rappel), la vérification et la surveillance, la conformité des tiers, la tenue de registres et la rétroaction des employés ;
• la tenue de registres propre à la LCAP, notamment des demandes de désabonnement et des mesures prises, des preuves de consentement, des journaux de consentement des destinataires et des scripts des messages ;
• des vérifications régulières, avec un suivi documenté ;
• un système de traitement des plaintes, avec des délais de résolution définis ;
• un code disciplinaire, avec des mesures correctives documentées.

Un programme mis en place au préalable ne constitue pas une défense complète, mais il montre que des précautions raisonnables ont été prises. Un ESP bien géré devrait pouvoir produire cette liste de contrôle pour lui-même, et l’exiger de ses clients.

Bulletin 2018-415 : responsabilité des intermédiaires au titre de l’article 9 (le bulletin des ESP)

Le Bulletin d’information sur la conformité et l’application de la loi CRTC 2018-415 (5 novembre 2018) interprète l’article 9, selon lequel constitue une violation le fait d’aider, d’inciter ou d’amener une personne à commettre une violation des articles 6 à 8, ou d’obtenir qu’elle la commette. Les catégories exposées que nomme le CRTC sont les courtiers en publicité, les spécialistes du marketing électronique, les développeurs et distributeurs de logiciels et d’applications, les fournisseurs de services de télécommunication et d’accès à Internet, et les processeurs de paiement. C’est toute la chaîne de livraison, et les ESP en font clairement partie.

Les facteurs d’appréciation sont : (1) le niveau de contrôle, c’est-à-dire la capacité d’empêcher ou de faire cesser l’activité ; (2) le degré de lien entre les actes qui ont aidé et la violation sous-jacente ; et (3) les mesures raisonnables, c’est-à-dire les précautions et les garanties effectivement mises en place.

Le premier exemple du bulletin concerne directement les ESP. Une entreprise de marketing qui fournit des modèles d’email dépourvus d’identification de l’expéditeur et de mécanisme de désabonnement, ainsi que des listes de contacts sans vérification du consentement, aide son client à commettre une violation de l’art. 6 en « fournissant les outils ». D’autres exemples sont un hébergeur web qui ignore une campagne de phishing signalée, et une boutique d’applications qui distribue un logiciel aux fonctions dissimulées derrière une case de consentement précochée.

La diligence raisonnable attendue comprend :

• des évaluations régulières des menaces et des risques ;
• la validation de l’identité des clients (documents constitutifs, pièce d’identité délivrée par une autorité publique, documents fiscaux) ;
• le signalement des incohérences de localisation, et des clients qui recherchent l’anonymat (pseudonymes, boîtes postales, paiement en cryptomonnaie) ;
• des recherches sur la réputation du client et sur la légalité de ses produits ;
• des contrats écrits qui obligent les clients à respecter la LCAP ;
• la vérification de l’usage que les clients existants font du service ;
• la surveillance et le signalement des violations présumées ;
• des ressources pour un retrait et une correction rapides ;
• la documentation de l’ensemble.

Le bulletin avertit que « le simple respect des normes de l’industrie peut être insuffisant » ("simply following industry standards may be insufficient"). Des politiques figées, sans surveillance active, ne satisfont pas à l’obligation de l’art. 9.

Synthèse des affaires LCAP

Les mesures formelles du CRTC ci-dessous proviennent de la liste des mesures d’application du CRTC consultée en juillet 2026, complétée par le rapport d’application de la LCAP du CRTC d’octobre 2020 à mars 2021. La liste publique est répartie sur plusieurs pages, donc les affaires plus anciennes qui lui sont antérieures, comme les engagements de 2015 à 2018, ne sont pas reprises ici.

Procès-verbaux de violation (SAP)

Engagements (règlements négociés)

Confirmation par les tribunaux. Selon le rapport d’application 2020-21 du CRTC, en mars 2021, la Cour suprême du Canada a refusé d’entendre l’appel de CompuFinder. Cela a laissé en vigueur l’arrêt de la Cour d’appel fédérale qui a confirmé la constitutionnalité de la LCAP et précisé les dispositions sur le consentement fondé sur une relation d’affaires en cours et sur la publication bien en vue. Le rapport citait aussi CompuFinder comme exemple de violation liée à un mécanisme de désabonnement qui ne fonctionnait pas. Contester la LCAP pour des motifs constitutionnels ne mène nulle part, et les catégories de consentement implicite de la LCAP s’interprètent telles qu’elles sont rédigées.

Statistiques du programme : ce que fait réellement l’autorité

Rapport d’application de la LCAP du CRTC, du 1er octobre 2020 au 31 mars 2021 (six mois). Le CRTC a émis 143 avis de communication, 17 demandes de préservation, 10 lettres d’avertissement et 1 procès-verbal de violation, pour 75 000 $ de sanctions. Le total cumulé depuis 2014 dépassait alors 1,4 M $ à payer (805 k $ de SAP et 668 k $ d’engagements).

Le Centre de notification des pourriels a reçu plus de 144 560 plaintes (environ 5 560 par semaine). Seulement 3 % sont arrivées par le formulaire web, et le reste a été envoyé à spam@fightspam.gc.ca. 93 % des plaintes invoquaient une absence de consentement, 34 % des problèmes d’identification, 30 % du marketing trompeur et 3 % des logiciels ou des logiciels malveillants. 76 % des emails visés par les plaintes relevaient du marketing d’affiliation ou d’emails d’entreprises légitimes, et non du spam criminel.

Les principales catégories d’affiliation étaient l’alimentation, les médicaments et la santé ; les enquêtes et les tirages au sort ; les casinos ; les achats en ligne ; et la technologie. Les principales catégories commerciales étaient les services marketing, la technologie, les achats en ligne, les mises à jour et notifications, et les newsletters. En novembre 2020, le CRTC, le CPVP et le Bureau de la concurrence ont adressé un avertissement conjoint à 36 entreprises d’applications mobiles sur la conformité de leurs applications à la LCAP (aucune fausse déclaration, aucun enregistrement des frappes sans consentement, aucune fonction dissimulée, aucun envoi de spam aux contacts des utilisateurs).

Rapport de mesure du rendement de la LCAP d’ISDE 2024-25. Le Centre de notification des pourriels a reçu 414 630 plaintes, dont seulement environ 2,1 % par le formulaire en ligne. Les totaux annuels du CRTC étaient de 260 avis de communication, 33 lettres d’avertissement, 14 demandes de préservation, 2 engagements et plus de 137 000 $ de SAP. Les SAP cumulées du CRTC depuis 2014 dépassaient 3,6 millions $.

En novembre 2024, le CRTC a analysé environ 25 entreprises présentant des volumes de plaintes nettement élevés, vérifié leurs pratiques de consentement et de désabonnement, et envoyé des lettres d’avertissement lorsque des violations potentielles apparaissaient. Autrement dit, le volume de plaintes au Centre de notification des pourriels sélectionne directement les cibles des mesures d’application. C’est le pendant réglementaire de la boucle entre taux de plaintes et réputation décrite dans Fondamentaux.

Les mesures du Bureau de la concurrence liées à la LCAP cette année-là comprenaient un règlement avec SiriusXM Canada au sujet d’offres d’abonnement à prix partiel, promues « sur son site Web, ainsi que dans des courriels promotionnels et du publipostage » ("on its website, as well as in promotional emails and direct mail") ; une procédure devant le Tribunal de la concurrence contre Rogers Communications au sujet d’allégations de données « illimitées » ; et une deuxième ordonnance judiciaire dans une enquête en cours sur le marketing trompeur d’Amazon. Le CPVP a reçu 14 plaintes liées à la LCAP (MEC non sollicités, absence d’option de désabonnement, désabonnements non respectés). Il a indiqué que plus de 90 % des attaques de phishing commencent par un email, et cité des constats de l’OCDE selon lesquels plus de la moitié des emails de spam et malveillants sont désormais générés par l’IA.

Enseignements globaux pour un ESP tirés du bilan de la LCAP : (1) la plupart des mesures d’application partent de plaintes de destinataires visant des lacunes de consentement chez des marketeurs légitimes, et non chez des criminels ; (2) les particuliers et les dirigeants sont nommés personnellement ; (3) un désabonnement qui ne fonctionne pas, ou qui n’est pas respecté, est une violation récurrente et facile à prouver ; (4) l’exposition propre d’un ESP relève de l’art. 9, et sa seule défense est une vérification documentée des clients et une surveillance active ; (5) un programme de conformité documenté est à la fois la monnaie des règlements et le fondement de la défense de diligence raisonnable.

Détail légal de CAN-SPAM : 15 U.S.C. § 7704 et § 7705

Le guide de conformité de la FTC paraphrase la loi. Le texte légal ajoute une structure qui compte lorsque vous répartissez les responsabilités dans une chaîne annonceur, ESP et fournisseur de listes.

§ 7704(a) : les interdictions principales

• (a)(1) Informations d’en-tête substantiellement fausses ou trompeuses. Cette interdiction s’applique aux emails commerciaux et aux emails transactionnels ou relationnels. Trois règles déterminent ce qui compte. Des en-têtes techniquement exacts sont tout de même trompeurs si l’adresse, le domaine ou l’adresse IP d’origine a été obtenu par des manœuvres fausses ou frauduleuses. Un champ « from » qui identifie correctement l’un quelconque des initiateurs réels est conforme. Les en-têtes sont substantiellement trompeurs lorsqu’ils n’identifient pas la machine qui a injecté le message parce que l’expéditeur l’a sciemment relayé par un autre ordinateur protégé pour en dissimuler l’origine. « Substantiellement » (défini au (a)(6)) désigne une modification ou une dissimulation qui empêcherait un service de réception, les autorités répressives ou le destinataire d’identifier ou de localiser l’initiateur, ou de lui répondre, ou d’enquêter.
• (a)(2) Objets trompeurs. Ils sont illicites lorsque l’expéditeur sait effectivement, ou lorsque des circonstances objectives permettent raisonnablement de déduire qu’il sait, que l’objet induirait probablement en erreur un destinataire raisonnable sur un fait substantiel relatif au contenu ou au sujet du message.
• (a)(3) Une adresse de retour ou un opt-out par Internet fonctionnel, affiché de manière claire et visible, et capable de recevoir les demandes d’opt-out pendant au moins 30 jours après la transmission. Un menu de préférences n’est autorisé que s’il comporte une option permettant de refuser tous les messages commerciaux de l’expéditeur. Une interruption temporaire indépendante de la volonté de l’expéditeur est excusée si elle est corrigée dans un délai raisonnable.
• (a)(4) Interdictions après un opt-out. Passé 10 jours ouvrés, il est illicite pour l’expéditeur d’envoyer des messages qui entrent dans le champ de la demande ; pour toute personne agissant pour le compte de l’expéditeur, de le faire en ayant une connaissance effective ou raisonnablement déductible de la demande ; pour quiconque, d’aider en fournissant ou en sélectionnant des adresses en sachant que la transmission serait illicite ; et pour toute personne ayant connaissance de la demande, de vendre, louer, échanger ou autrement transférer ou divulguer l’adresse (sauf à un prestataire chargé de la conformité). Seul un consentement exprès ultérieur du destinataire permet de reprendre les envois. La clause sur la fourniture d’adresses est celle qui atteint directement les courtiers en listes et les équipes data des ESP.
• (a)(5) Contenu obligatoire. Une identification claire et visible du message comme publicité (écartée seulement si le destinataire a donné au préalable son consentement exprès), une mention claire et visible de l’opt-out, et une adresse postale valide de l’expéditeur.

§ 7704(b) : violations aggravées

Elles s’ajoutent aux violations du (a) et entraînent des sanctions plus lourdes :

1. Collecte d’adresses : envoyer des messages illicites (ou aider à le faire en fournissant ou en sélectionnant des adresses) à des adresses obtenues par des moyens automatisés sur un site web ou un service en ligne dont l’exploitant a publié un avis indiquant qu’il ne communique, ne vend ni ne transfère d’adresses à des fins d’envoi. Également, les attaques par dictionnaire : des adresses générées en combinant automatiquement des noms, des lettres ou des chiffres. La connaissance exigée est effective ou raisonnablement déductible. (La disposition précise expressément qu’elle ne crée aucun droit de propriété sur les adresses email.)
2. Création automatisée de comptes : utiliser des scripts ou d’autres moyens automatisés pour enregistrer plusieurs comptes email ou comptes utilisateur afin d’envoyer des emails commerciaux illicites, ou permettre à d’autres de le faire.
3. Relais non autorisé : relayer ou retransmettre sciemment un message contraire au (a) à partir d’un ordinateur ou d’un réseau protégé auquel on a accédé sans autorisation.

Au titre du (c), la FTC dispose d’un pouvoir réglementaire pour raccourcir ou allonger le délai de 10 jours ouvrés, et pour désigner d’autres pratiques aggravantes. Le paragraphe (d) est le régime des avertissements pour le matériel à caractère sexuel : des mentions dans la ligne d’objet, ou un « emballage » qui ne montre que les mentions, les informations obligatoires du (a)(5) et des instructions d’accès. Il est écarté par un consentement exprès préalable, et les violations commises sciemment sont passibles d’amendes et d’une peine allant jusqu’à 5 ans d’emprisonnement.

§ 7705 : responsabilité de l’entreprise promue

Cette section écarte l’argument « nous les avons simplement engagés ». Au titre du (a), il est illicite pour une personne de promouvoir son commerce ou son entreprise, ou de laisser le promouvoir, dans un message commercial dont la transmission enfreint le § 7704(a)(1) (en-têtes faux ou trompeurs) si cette personne : (1) savait, ou aurait dû savoir dans le cours normal de ses affaires, que ses biens ou services étaient promus dans un tel message ; (2) a reçu ou s’attendait à recevoir un avantage économique de cette promotion ; et (3) n’a pris aucune mesure raisonnable (A) pour empêcher la transmission, ou (B) pour la détecter et la signaler à la Commission.

Au titre du (b), un tiers dont les biens apparaissent dans la promotion d’autrui n’est en général pas responsable, sauf s’il possède ou détient plus de 50 % du commerce ou de l’entreprise en infraction, ou s’il a une connaissance effective de la promotion illicite et en reçoit ou en attend un avantage économique. Au titre du (c), les §§ 7706(f) et (g) ne s’appliquent pas à cette section. Les procureurs généraux des États ne peuvent pas agir, et les fournisseurs d’accès à Internet ne peuvent pas intenter d’action privée, au titre du § 7705. Seule la FTC (avec les autorités de régulation fédérales) le fait appliquer.

Enseignements pour un ESP tirés de la loi : (1) l’obligation de véracité des en-têtes s’applique même aux emails transactionnels, donc des chaînes HELO, From et Return-Path exactes sont une exigence légale, et pas seulement une bonne pratique d’authentification (voir SPF et DKIM) ; (2) le délai de 30 jours pendant lequel l’opt-out doit fonctionner, et le délai de 10 jours ouvrés pour le respecter, sont des minimums légaux que l’infrastructure de suppression d’un ESP doit battre (comparez avec le couple de délais de 60 jours et de 10 jours ouvrés de la LCAP) ; (3) accepter ou fournir une liste collectée, ou générée en combinant des noms, transforme des violations ordinaires en violations aggravées, et « aider en fournissant ou en sélectionnant des adresses » est un fondement de responsabilité distinct pour l’ESP lui-même, ce qui donne une base légale au refus des listes achetées (voir Méthodes de consentement et Adresses pièges) ; (4) les annonceurs ne peuvent pas externaliser leur responsabilité, donc la pratique de conformité d’un ESP fait partie de ce sur quoi ses clients s’appuient juridiquement, ce qui fait écho, dans l’autre sens, à l’art. 9 de la LCAP.

Ces synthèses sont tirées des publications des autorités et du texte légal cités, et ne constituent pas un avis juridique. Les montants des sanctions et les listes d’affaires évoluent, donc consultez la page des mesures d’application du CRTC et l’U.S. Code pour connaître la situation actuelle.