LCAP (CASL) : la Loi canadienne anti-pourriel

La LCAP (en anglais CASL, Canada’s Anti-Spam Legislation) est la loi canadienne qui encadre les messages électroniques commerciaux (MEC). Contrairement au CAN-SPAM Act américain (opt-out), la LCAP est un régime d’opt-in : un consentement, exprès ou implicite, est requis avant l’envoi, et c’est à l’expéditeur d’en apporter la preuve.

Ceci n’est pas un avis juridique : vérifiez les sanctions et les seuils auprès de la source primaire (ci-dessous) et d’un conseil avant de vous y fier. Voir compliance/README.md.

Ce que régit la LCAP

La LCAP établit quatre interdictions ou obligations principales :

1. Messages électroniques commerciaux : l’expéditeur doit obtenir le consentement préalable du destinataire (exprès ou implicite), fournir des renseignements d’identification et des coordonnées, et inclure un mécanisme de désabonnement fonctionnel.
2. Installation de programmes informatiques : installer un logiciel sur le système d’autrui exige le consentement exprès du propriétaire ou de l’utilisateur autorisé, ainsi qu’une description claire et simple de la fonction et de l’objet du programme.
3. Données de transmission des messages : les informations de routage ne doivent pas être modifiées de sorte qu’un message soit livré à une destination autre que celle indiquée (ou en plus de celle-ci) sans le consentement approprié.
4. Aide aux violations : les organisations ne doivent pas aider d’autres personnes à enfreindre ces exigences (responsabilité pour « aide » au titre de l’article 9).

Qu’est-ce qu’un MEC ?

Un message électronique commercial est un message dont l’un quelconque des objectifs est d’encourager le destinataire à participer à une activité commerciale : par exemple une offre d’achat, de vente ou de location de produits ou de services, une occasion d’affaires ou d’investissement, ou la promotion des activités commerciales d’une personne. Ce critère est plus large que celui de l’« objet principal » de CAN-SPAM : un seul objectif commercial parmi plusieurs suffit.

Messages couverts et exclus

Consentement

Consentement exprès

• La personne a clairement accepté de recevoir des MEC, par écrit ou oralement, par une action d’opt-in volontaire.
• Les cases précochées, le silence ou l’inaction ne sont pas valables : une action positive est requise.
• Le consentement exprès n’expire pas ; il reste valable jusqu’à ce que le destinataire le retire.
• Il incombe à l’expéditeur de prouver que le consentement a été obtenu.

Catégories de consentement implicite et délais

Registres et charge de la preuve

L’expéditeur doit pouvoir démontrer le consentement. Conservez : l’adresse électronique ; la date d’obtention du consentement ; la méthode (formulaire, oral, achat, etc.) ; et le contexte (historique d’achat, bénévolat, échange de cartes professionnelles). Le CRTC a publié un avis d’application de la loi portant spécifiquement sur la tenue de registres du consentement.

Exigences de contenu des MEC

Chaque MEC doit :

1. Identifier l’expéditeur, ainsi que toute personne pour le compte de laquelle le message est envoyé. S’il n’est pas pratique de l’inclure dans le corps du message, l’information peut être fournie par un hyperlien vers une page web clairement et bien en évidence présenté et accessible gratuitement.
2. Fournir des coordonnées, dont une adresse postale valide (une boîte postale est acceptable). Les coordonnées doivent rester valides pendant au moins 60 jours après l’envoi du message.
3. Inclure un mécanisme de désabonnement pouvant être « exécuté facilement » ("readily performed") : simple, rapide et aisé (par exemple un lien de désabonnement, ou une réponse « STOP » ou « Unsubscribe » par SMS). Le mécanisme doit :
   • rester fonctionnel pendant au moins 60 jours après l’envoi du message ;
   • être traité sans délai, et au plus tard 10 jours ouvrés après la demande.

Sanctions et responsabilité

Un programme de conformité documenté au sein de l’entreprise (diligence raisonnable) atténue le risque. L’application de la loi relève du CRTC (les processus de conformité et d’application, ainsi que les mesures d’application publiées, figurent sur son site) ; le spam peut être signalé au Centre de notification des pourriels (fightspam.gc.ca).

Enjeux pour la délivrabilité

Le modèle d’opt-in avec expiration de la LCAP impose de fait les pratiques d’hygiène de base de données qui protègent aussi la réputation d’expéditeur : n’écrire qu’aux adresses liées à une relation récente et prouvable, et faire sortir les adresses des listes avec le temps (fenêtres de 6 mois pour une demande de renseignements et de 2 ans pour un achat). Les expéditeurs qui respectent ces fenêtres évitent naturellement les adresses anciennes et inactives qui génèrent des plaintes et des adresses pièges touchées : voir Fondamentaux de la délivrabilité email.