Australie : le Spam Act 2003 et son application par l’ACMA

L’Australie est une juridiction d’opt-in dotée de l’une des autorités les plus actives au monde en matière de sanctions. Le Spam Act 2003 (Cth) et les Spam Regulations régissent les messages électroniques commerciaux (email, SMS, MMS, messages instantanés) ; l’Australian Communications and Media Authority (ACMA) en assure le respect et inflige régulièrement des avis d’infraction à sept chiffres à des marques grand public, le plus souvent pour des défaillances du désabonnement (notamment l’obligation de se connecter pour se désabonner), ce qui impose une contrainte de conception directe aux parcours de désabonnement des ESP.

Provenance : le texte de la loi cité ci-dessous provient de la compilation consolidée C2012C00030 (récupérée via l’Internet Archive ; legislation.gov.au sert la compilation actuelle au moyen d’une application JavaScript). Les pages de l’ACMA ont également été récupérées via l’Internet Archive (captures de 2026), car acma.gov.au bloque les clients autres que les navigateurs.

Champ d’application

• Un message est commercial s’il propose des biens ou des services (ou des terrains, des occasions d’affaires ou d’investissement), en fait la publicité ou la promotion, même si seule une partie du message est commerciale (fiche d’information de l’ACMA). Les messages purement factuels sont exemptés (annexe 1, voir ci-dessous).
• La loi s’applique aux messages présentant un lien avec l’Australie (s 7) : envoyés depuis l’Australie, vers l’Australie ou consultés en Australie ; les expéditeurs étrangers qui écrivent à des destinataires australiens sont donc couverts.
• La loi a une portée extraterritoriale (actes commis hors d’Australie) et son respect est assuré par des dispositions de sanctions civiles, et non par le droit pénal (s 27).
• Moyens de défense : l’expéditeur ne savait pas et ne pouvait pas, avec une diligence raisonnable, savoir que le message présentait un lien avec l’Australie, ou le message a été envoyé par erreur ; l’expéditeur supporte la charge de la preuve de ces éléments (ss 16(3)–(5)).

Les trois obligations

1. Consentement (s 16 et annexe 2)

Un message électronique commercial présentant un lien avec l’Australie ne doit pas être envoyé sans le consentement du titulaire du compte électronique concerné. Le consentement désigne (annexe 2, cl 2) :

• Le consentement exprès : la meilleure pratique selon l’ACMA. Il peut être donné par formulaire, case à cocher sur un site web, téléphone ou en personne. Vous ne pouvez pas envoyer un message électronique pour demander le consentement : cette demande est elle-même un message marketing. Conservez la trace de qui a consenti, quand et comment : la charge de la preuve du consentement pèse sur l’expéditeur.
• Le consentement déduit (inferred consent) : raisonnablement déduit du comportement et des relations d’affaires ou autres du destinataire. L’ACMA l’interprète de façon étroite : une relation continue et prouvable, dans laquelle le marketing est directement lié à cette relation (par exemple une banque qui présente à un client titulaire d’un compte d’épargne un autre compte d’épargne, mais pas la vente croisée d’une assurance à ce même client). Un achat ponctuel ne crée pas de consentement déduit.
• La publication bien en vue (annexe 2, cl 4) : le consentement peut être déduit pour une adresse électronique professionnelle (salarié, administrateur, dirigeant, associé, titulaire d’une fonction, travailleur indépendant, ou adresse de rôle ou de poste) publiée bien en vue, lorsque la publication semble raisonnablement faite avec l’accord de la personne ou de l’organisation, sauf si la publication est accompagnée d’une mention indiquant que les messages commerciaux non sollicités ne sont pas souhaités, et uniquement pour des messages en rapport avec l’activité, les fonctions ou les attributions professionnelles du destinataire. En dehors de ce cas, la simple publication d’une adresse ne vaut pas consentement (annexe 2, cl 4(1)). C’est la seule « tolérance B2B » australienne : les adresses professionnelles sont par ailleurs soumises aux mêmes règles de consentement que les adresses de particuliers.
• Le retrait du consentement prend effet à l’expiration d’un délai de 5 jours ouvrés à compter du jour de l’envoi d’un message de désabonnement (annexe 2, cl 6), les jours ouvrés étant déterminés selon le lieu où se trouve le destinataire.
• Listes achetées ou louées : l’annonceur reste tenu de prouver le consentement pour chaque adresse utilisée.

2. Identification de l’expéditeur (s 17)

Chaque message électronique commercial (y compris les messages exemptés dits « désignés ») doit :

• identifier clairement et exactement la personne ou l’organisation qui a autorisé l’envoi (utiliser la dénomination légale de l’entreprise, ou le nom accompagné de l’ABN) ;
• comporter des coordonnées exactes ; et
• ces informations doivent raisonnablement pouvoir rester valides pendant au moins 30 jours après l’envoi.

Si un tiers (agence, ESP) envoie pour le compte d’une marque, le message doit tout de même identifier l’entreprise qui l’a autorisé, et cette entreprise reste responsable (« vous ne pouvez pas externaliser votre risque », "you cannot outsource your risk", fiche d’information de l’ACMA).

3. Désabonnement fonctionnel (s 18 + fiche d’information de l’ACMA de 2024)

Chaque message commercial (sauf les messages désignés) doit comporter une mention de désabonnement claire et bien visible, ainsi qu’un dispositif qui :

La règle de l’absence de connexion est celle que les grandes marques continuent d’enfreindre (voir les sanctions ci-dessous) : le parcours de désabonnement d’un ESP pour des destinataires australiens doit aboutir sans authentification.

Autres comportements interdits

• Les logiciels de collecte d’adresses et les listes d’adresses collectées ne doivent pas être fournis, acquis ou utilisés en lien avec un envoi contraire à la s 16 (ss 20–22).
• Responsabilité accessoire : aider, faciliter ou inciter une contravention, y être sciemment impliqué ou y participer par entente constitue en soi une contravention (ss 16(9), 17(5), 18(6)), ce qui concerne les plateformes et les agences. La simple fourniture d’un service de transport de communications en est exclue.
• Les messages ne doivent pas être envoyés à des adresses dont l’expéditeur n’a aucune raison de croire qu’elles existent (s 16(6)).

Exemptions : les messages électroniques commerciaux désignés (annexe 1)

Exemptés des règles de consentement (s 16) et de désabonnement (s 18), mais toujours soumis à l’identification de l’expéditeur (s 17) :

Sanctions et application

Plafonds légaux (ss 24–25)

Les sanctions sont exprimées en unités de pénalité (penalty units), par contravention, et prononcées par la Cour fédérale ; une seule journée d’envoi peut comporter de nombreuses contraventions :

La Cour peut en outre ordonner l’indemnisation des victimes et la restitution des avantages financiers (ss 28–29) ; les actions peuvent être engagées jusqu’à 6 ans après la contravention (s 26). L’ACMA peut aussi émettre des avis d’infraction (infringement notices ; annexe 3, payables sous 28 jours et délivrés dans les 12 mois suivant les contraventions alléguées), des avertissements formels, et accepter des engagements exécutoires devant les tribunaux. (L’unité de pénalité du Commonwealth est indexée périodiquement, 330 AU$ fin 2024 : le plafond journalier de 10 000 unités pour une personne morale récidiviste dépasse donc 3 M AU$ par jour.)

Pratique de l’application : le bilan

L’ACMA publie l’issue de chaque enquête. Les défaillances du désabonnement et les envois sans consentement dominent. Sélection de mesures concernant l’email :

Rien que sur les 18 mois précédant la mi-2023, les entreprises ont payé 11 M AU$ de sanctions liées au spam et au télémarketing, avec 12 engagements exécutoires et 1 avertissement formel. Les schémas contre lesquels un ESP devrait se prémunir dès la conception : les liens de désabonnement qui exigent une connexion (CBA), les messages « transactionnels » contenant du contenu promotionnel sans désabonnement (Lululemon, Kogan), la poursuite des envois après un retrait (Woolworths, Optus, Ticketek), et le fait de considérer les segments VIP ou de fidélité comme exemptés de consentement (Betfair).

Articulation avec le Privacy Act : l’APP 7 de l’OAIC (prospection directe)

L’Australian Privacy Principle 7 restreint l’utilisation d’informations personnelles à des fins de prospection directe, mais l’APP 7 ne s’applique pas dans la mesure où le Spam Act (ou le Do Not Call Register Act) s’applique : pour la prospection par email, SMS ou MMS, c’est le Spam Act qui régit, et l’APP 7 couvre le reste (courrier, porte-à-porte, publicité en ligne ciblée, marketing dans les applications) et s’applique lorsqu’une organisation est exemptée de ces lois. Points toujours pertinents pour les programmes email :

• APP 7.2 : les informations collectées directement auprès de la personne peuvent être utilisées pour la prospection directe si la personne s’y attendrait raisonnablement (critère objectif), si un moyen simple de s’y opposer est fourni et si elle ne s’y est pas opposée.
• APP 7.3 : les informations provenant de tiers, ou en l’absence d’attente raisonnable, exigent un consentement (sauf s’il est impossible en pratique de l’obtenir), un opt-out simple et une mention d’opt-out bien visible dans chaque communication (langage clair, emplacement visible, police lisible).
• APP 7.4 : les informations sensibles ne peuvent être utilisées pour la prospection directe qu’avec un consentement explicite (sans exception d’impossibilité pratique).
• Sur demande, une organisation doit indiquer à la personne où elle a obtenu ses informations personnelles (sauf si c’est déraisonnable ou impossible en pratique), dans un délai d’environ 30 jours, et doit respecter les refus de « facilitation » de listes (la fourniture de données pour le marketing d’autrui).
• « Moyen simple » de s’opposer : des instructions claires, un effort minimal, un coût nul ou symbolique, et une disponibilité par le canal utilisé pour le marketing.

Les lignes directrices de l’OAIC sur les pixels de suivi

Les lignes directrices de l’OAIC sur les pixels de suivi visent les pixels de tiers (elles portent surtout sur les pixels de sites web, tout en notant que des pixels sont aussi utilisés dans les emails et les applications). Positions clés pour le suivi des ouvertures et des clics :

• Des données telles que les adresses IP, les URL ou les adresses email hachées peuvent être des informations personnelles lorsqu’elles peuvent être rapprochées des données d’une plateforme tierce : il n’est pas nécessaire que les personnes soient directement identifiées. L’OAIC conseille aux organisations de « pécher par excès de prudence » ("err on the side of caution").
• Obligations en jeu : APP 1 (la politique de confidentialité doit indiquer l’utilisation de pixels de tiers), APP 3 (la collecte doit être raisonnablement nécessaire ; configurer les pixels pour la minimisation des données ; les informations sensibles exigent un consentement exprès par opt-in et devraient en général être exclues de toute divulgation par pixel), APP 5 (informer au moment de la collecte ou avant, y compris sur les destinataires tiers et les transferts à l’étranger), APP 6 (la divulgation au fournisseur du pixel doit correspondre à la finalité de la collecte ou à une base valable d’utilisation secondaire), APP 7 (opt-out simple du marketing ciblé alimenté par les pixels), APP 8 (mesures raisonnables pour la divulgation à l’étranger).
• Avant le déploiement : vérification préalable du fonctionnement du pixel, examen des conditions du fournisseur, analyse d’impact sur la vie privée (Privacy Impact Assessment), configuration empêchant la collecte de données sensibles, et réexamen régulier. L’organisation qui déploie le pixel est responsable de sa configuration conforme.

Liste de contrôle ESP pour le trafic australien

• Un désabonnement en un clic, sans authentification (List-Unsubscribe / RFC 8058), satisfait à la règle de l’absence de connexion ; supprimez l’adresse sous 5 jours ouvrés (la suppression immédiate est la meilleure pratique).
• Maintenez le point de terminaison de désabonnement actif ≥ 30 jours après chaque campagne ; maintenez les coordonnées de l’expéditeur valides ≥ 30 jours.
• Conservez les preuves du consentement (qui, quand, comment) : l’expéditeur doit pouvoir les produire si l’ACMA le demande.
• Identifiez le client qui autorise l’envoi (dénomination légale ou ABN) dans chaque message envoyé pour son compte ; le client est responsable, mais la responsabilité accessoire peut atteindre ceux qui sont sciemment impliqués.
• Considérez que « le destinataire a acheté quelque chose un jour » est insuffisant : le consentement déduit exige une relation continue et directement liée. Voir Méthodes de consentement pour l’échelle de qualité.
• N’acceptez jamais de listes constituées au moyen de logiciels de collecte d’adresses ; les fournir ou les utiliser constitue une contravention distincte.

Ceci n’est pas un avis juridique : voir compliance/README.md.