Lois sur le marketing par email en Asie-Pacifique : Japon, Nouvelle-Zélande, Singapour, Corée du Sud

Quatre juridictions de la région Asie-Pacifique réunies dans une seule référence. Toutes les quatre imposent de fait l’opt-in pour le marketing par email (le Spam Control Act de Singapour prévoit un opt-out message par message, mais la PDPA y ajoute une exigence de consentement par opt-in pour l’utilisation de données personnelles à des fins de prospection directe). Tableau récapitulatif, puis détail par pays.

---

Japon : Act on Regulation of Transmission of Specified Electronic Mail

特定電子メール法 (loi n° 26 de 2002), dite « loi anti-spam ». Adoptée en 2002 sous la forme d’un régime d’opt-out fondé sur l’étiquetage ; modifiée en 2005 (sanctions renforcées) et en 2008 (loi n° 54) : passage à l’opt-in et extension au spam d’origine étrangère.

Provenance : le portail officiel Japanese Law Translation héberge une traduction anglaise à jour seulement pour la version de 2005 (antérieure à l’opt-in, ancienne numérotation des articles) ; elle présente encore le régime d’opt-out d’« étiquetage » de l’article 3. Les énoncés sur le droit en vigueur ci-dessous suivent l’« Overview of Japanese Anti-Spam Law » en anglais du MIC (publié par Dekyo, l’Anti-Spam Consultation Center). N’utilisez le texte du JLT que pour les définitions.

• Champ d’application : « email électronique spécifié » (specified electronic mail) = email envoyé comme moyen de publicité pour les activités commerciales de l’expéditeur ou d’autrui, par une organisation à but lucratif ou une personne physique exerçant une activité commerciale.
• Opt-in (article 3 actuel) : les emails publicitaires ne peuvent pas être envoyés sans le consentement préalable du destinataire, sauf aux personnes qui : ont notifié leur demande ou leur consentement ; ont communiqué leur propre adresse email à l’expéditeur (par exemple par écrit ou par carte professionnelle) ; ont une relation d’affaires avec l’annonceur ; ou (pour les expéditeurs professionnels) ont publié leur adresse dans le cadre de leur activité. Les expéditeurs doivent conserver une trace des consentements (article 3(2)) ; la violation d’une injonction administrative relative à cette tenue de registres est sanctionnée par une amende distincte.
• Interdiction après l’opt-out (article 3(3) actuel) : dès que le destinataire notifie son refus, tout nouvel email publicitaire est interdit.
• Obligation de mentions (article 4 actuel) : selon l’ordonnance du MIC, le message doit indiquer le nom et l’adresse de l’expéditeur, l’adresse email destinée aux notifications d’opt-out et les mentions prescrites (l’obligation antérieure à 2008 d’apposer la mention « 未承諾広告※ / publicité non sollicitée » a été remplacée par les exigences d’information du régime d’opt-in).
• Falsification des informations sur l’expéditeur interdite (article 5) : c’est une infraction pénale directe ; l’envoi à des adresses fictives (générées par programme) est interdit (article 6). Les fournisseurs d’accès à Internet peuvent refuser leurs services à ces expéditeurs (article 11).
• Chaîne d’application : le MIC et la Consumer Affairs Agency prononcent des injonctions administratives (article 7) ; inspections sur place et demandes de rapports (article 28) ; demandes d’informations sur les cocontractants auprès des fournisseurs d’accès à Internet (article 29) ; échange d’informations avec les autorités répressives étrangères (article 30). Les destinataires et les fournisseurs d’accès à Internet signalent le spam à l’organisme agréé (l’Anti-Spam Consultation Center de Dekyo).
• Sanctions : la violation de l’article 5 (fausses informations sur l’expéditeur) ou d’une injonction administrative est punie d’un emprisonnement de 1 an au plus ou d’une amende de 1 000 000 ¥ au plus ; la personne morale employeuse encourt une amende de 30 000 000 ¥ au plus (articles 34 et 35).
• Un régime d’opt-in parallèle pour les emails publicitaires du commerce électronique existe dans le Specified Commercial Transactions Act (METI) : les annonceurs sont soumis aux deux.

Les points de contact de l’APPI pour les marketeurs

L’Act on the Protection of Personal Information (APPI), dont le respect est assuré par la PPC (Personal Information Protection Commission), régit les données d’adresse elles-mêmes. La PPC publie des traductions anglaises (le PDF consolidé consulté ici est le texte modifié de juin 2020 ; une version consolidée au 1er avril 2023, avec des articles renumérotés, figure sur la page juridique de la PPC ; seul le texte japonais a force juridique). Obligations pertinentes pour le marketing : préciser et publier la finalité d’utilisation et s’y tenir ; la communication de données personnelles à des tiers exige un consentement préalable ou le recours au mécanisme d’opt-out notifié (déclaré auprès de la PPC ; la communication par opt-out ne peut pas être utilisée pour les données sensibles), ce qui encadre la vente et le partage de listes ; tenir un registre des communications ; obtenir le consentement pour les transferts à des tiers hors du Japon (avec des informations sur le pays de destination), sauf si le pays figure sur la liste blanche (l’adéquation avec l’UE et le Royaume-Uni est mutuelle) ; cesser l’utilisation sur demande lorsque le traitement est illicite. La modification de 2020 (en vigueur en avril 2022) a porté les amendes des personnes morales jusqu’à 100 M ¥ pour certaines violations (par exemple le non-respect des injonctions de la PPC, la communication illicite de bases de données).

---

Nouvelle-Zélande : Unsolicited Electronic Messages Act 2007

Administré et appliqué par l’Electronic Messaging Compliance Unit du Department of Internal Affairs (DIA). Couvre les messages électroniques commerciaux (email, SMS, télécopie, messages instantanés, messages image) présentant un lien avec la Nouvelle-Zélande (envoyés vers, depuis ou à l’intérieur de la Nouvelle-Zélande ; pas seulement aux adresses en .nz). Les fenêtres pop-up et les appels vocaux sont exclus. Le régime reproduit délibérément celui de l’Australie (Spam Act) ; le DIA le présente en trois étapes :

1. Consentement
   • Exprès : une manifestation directe (formulaire, case à cocher, oral). Conservez-en la trace ; l’expéditeur doit prouver le consentement.
   • Déduit : à partir du comportement et d’une relation d’affaires continue créant une attente raisonnable de messages. Le DIA en qualifie l’application de « limitée » : un achat unique ne crée pas de consentement déduit continu ; une carte professionnelle ne permet que des messages en rapport avec la relation dans laquelle elle a été échangée ; un établissement d’enseignement supérieur qui écrit à ses étudiants inscrits au sujet des services du campus est admis.
   • Réputé (publication bien en vue) : une adresse publiée bien en vue à titre professionnel ou officiel (site web, brochure, annuaire) vaut consentement, sauf si elle est accompagnée d’une mention refusant les messages non sollicités, et uniquement pour des messages en rapport avec l’activité, le rôle, les fonctions ou les attributions de la personne.
2. Identification : identifier clairement l’entreprise qui a autorisé le message et la manière de la contacter ; les coordonnées doivent rester exactes pendant 30 jours après l’envoi.
3. Désabonnement : chaque message doit comporter un dispositif de désabonnement fonctionnel, clair et bien visible, gratuit, utilisant le même support que le message (une campagne SMS doit accepter une réponse STOP ; un désabonnement par email uniquement pour des SMS enfreint la loi), fonctionnel ≥ 30 jours, et traité sous 5 jours ouvrés (le délai court à partir du lendemain de la demande).

Sont également interdits : les logiciels de collecte d’adresses et les listes d’adresses collectées utilisés pour envoyer des messages commerciaux non sollicités.

Sanctions : le DIA procède par étapes, des avertissements formels et avis d’infraction civils jusqu’aux poursuites judiciaires ; le non-respect expose à des amendes pouvant atteindre 500 000 NZ$ pour les organisations (le DIA indique le montant de 500 k $ ; la loi, s 45, fixe 200 000 NZ$ pour les personnes physiques). Les destinataires transfèrent leurs plaintes pour spam au DIA (7726 pour les SMS).

---

Singapour : Spam Control Act 2007 + PDPA

Deux couches : le Spam Control Act 2007 (SCA) régit l’envoi de messages électroniques commerciaux non sollicités en masse (emails et messages mobiles, y compris vers des comptes de messagerie instantanée, présentant un lien avec Singapour), et la Personal Data Protection Act 2012 (PDPA) régit l’utilisation de l’adresse ; la PDPC exige un consentement par opt-in pour la prospection directe.

Provenance : texte du SCA d’après la transcription de Wikisource et des captures Wayback de Singapore Statutes Online (sso.agc.gov.sg charge son contenu à la demande et bloque les outils de récupération) ; PDF des Advisory Guidelines on Key Concepts de la PDPC (révisé le 29 avril 2026) récupéré via Wayback à partir de l’URL pdpc.gov.sg de référence.

La mécanique du Spam Control Act

• « Envoi en masse » (s 6) : plus de 100 messages portant sur un même sujet ou un sujet similaire en 24 heures, 1 000 en 30 jours ou 10 000 en 1 an.
• Attaques par dictionnaire et logiciels de collecte d’adresses (s 9) : aucun message ne peut être envoyé à des adresses générées ou obtenues par l’un ou l’autre de ces moyens, indépendamment du consentement ou du contenu.
• Exigences de la deuxième annexe pour les messages commerciaux non sollicités envoyés en masse (s 11) :
  • Dispositif de désabonnement : une adresse email (et, pour les messages mobiles, un numéro capable de recevoir des SMS), valide et capable de recevoir des demandes pendant au moins 30 jours après l’envoi, sans coût supérieur au coût habituel ; après une demande de désabonnement, plus aucun message une fois écoulés 10 jours ouvrés.
  • Mention : la marque <ADV>, afin que le message soit clairement identifié comme une publicité (selon la loi et ses règlements, dans la ligne d’objet ou, à défaut d’objet, de manière bien visible dans le message).
  • En-tête et informations sur l’expéditeur exacts : aucune ligne d’objet ni aucun en-tête faux ou trompeur ; une adresse email ou un numéro de téléphone de l’expéditeur exact et fonctionnel.
• L’application est civile, et non réglementaire : toute personne qui subit un préjudice peut agir en justice (ss 13–14) ; dommages-intérêts légaux jusqu’à 25 $ par message, plafonnés à 1 million $ au total, sauf si le préjudice réel dépasse ce montant. L’aide et la complicité ouvrent droit à action (s 12). La première annexe exclut notamment les messages des pouvoirs publics ou d’urgence d’intérêt public.

La couche PDPA (Advisory Guidelines on Key Concepts de la PDPC)

• Les coordonnées professionnelles sont exclues des dispositions sur la protection des données (nom, fonction, téléphone, adresse et email professionnels non fournis à des fins uniquement personnelles) : la prospection B2B vers des adresses d’entreprise n’exige pas de consentement au titre de la PDPA (le SCA s’applique toujours aux envois en masse).
• La prospection directe exige un consentement exprès par opt-in : les Personal Data Protection Regulations 2021 prévoient que le consentement réputé par notification ne s’applique pas à l’envoi de messages de prospection directe (¶12.27), et la PDPC « ne considère pas la méthode de l’opt-out (par exemple une case précochée) comme appropriée » ("does not consider the opt-out method (e.g., a pre-checked box) appropriate") pour le consentement au marketing (¶12.28).
• Le consentement réputé par le comportement ne couvre que les finalités objectivement évidentes au regard de la transaction (réserver un taxi ≠ consentir à la promotion d’un service de limousine).
• Listes de tiers : une organisation qui achète des données doit s’assurer, avec diligence, que le vendeur a valablement obtenu le consentement à la communication (engagements contractuels, confirmation écrite ou copies des preuves de consentement, ¶¶12.33–12.34).
• Retrait du consentement (s 16 PDPA) : il doit être permis et facilité ; un retrait prenant effet sous 10 jours ouvrés est la règle empirique de la PDPC pour un « préavis raisonnable » (¶12.41) ; en cas de retrait, l’organisation doit faire cesser le traitement par ses intermédiaires de données et ses mandataires également (¶12.52). Un clic générique sur « se désabonner » est interprété comme un retrait portant uniquement sur le canal par lequel le message a été envoyé (¶¶12.47–12.48).
• Les ESP sont des « intermédiaires de données » (data intermediaries) : traiter des données pour le compte et aux fins d’une autre organisation dans le cadre d’un contrat écrit soumet l’intermédiaire uniquement aux obligations de protection, de limitation de la conservation et de notification des violations de données (au client), mais l’organisation cliente reste pleinement responsable comme si elle traitait elle-même les données (s 4(3), ¶¶6.15–6.27), et un traitement à l’étranger déclenche l’obligation de limitation des transferts du client.
• À noter : le Do Not Call Registry de Singapour couvre les numéros de téléphone (voix, SMS, télécopie), pas l’email.

---

Corée du Sud : article 50 du Network Act (+ PIPA)

L’article 50 de l’Act on Promotion of Information and Communications Network Utilization and Information Protection (« Network Act ») régit la « transmission d’informations publicitaires à des fins lucratives » par tout moyen de transmission électronique ; la Personal Information Protection Act (PIPA) (PIPC) régit les données sous-jacentes. L’application en matière de spam relève de la Korea Communications Commission (KCC), avec l’appui opérationnel de l’Illegal Spam Response Center de la KISA.

Provenance : texte des articles d’après la traduction anglaise officielle du Network Act par le Korea Legislation Research Institute (consolidée jusqu’aux modifications du 23 janvier 2024). La page law.go.kr de référence (modification partielle de 2026, lsiSeq=282481) ne fonctionne qu’en JavaScript et n’a pas pu être lue directement ; la traduction du KLRI a été utilisée à la place.

• Opt-in (article 50(1)) : le consentement exprès préalable du destinataire est requis. Exception 1 : un expéditeur qui a collecté directement les coordonnées lors d’une transaction peut faire la publicité du même type de biens ou services qu’il commercialise auprès de ce client, dans un délai fixé par décret présidentiel (le décret d’application fixe 6 mois à compter de la fin de la transaction ; chiffre du décret, la loi renvoyant au décret). L’exception 2 concerne les télévendeurs relevant du Door-to-Door Sales Act (appels vocaux).
• Refus ou retrait (article 50(2)) : dès que le destinataire refuse ou révoque son consentement, la transmission est interdite, même lorsque l’exception de transaction s’appliquait.
• Règle des envois nocturnes (article 50(3)) : les transmissions entre 21 h 00 et 08 h 00 le lendemain exigent un consentement exprès distinct, sauf pour les supports prévus par décret présidentiel ; le décret exempte le courrier électronique (la règle vise les SMS et les notifications push, pas l’email ; détail du décret).
• Mentions obligatoires (article 50(4)) : la publicité doit indiquer le nom et les coordonnées de l’expéditeur ainsi que les mesures et moyens permettant au destinataire de refuser ou de révoquer facilement son consentement. Le décret d’application impose la mention « (광고) » (« publicité ») au début de la ligne d’objet pour l’email (détail du décret).
• Tactiques de contournement interdites (article 50(5), modifié en janvier 2024) : bloquer ou contourner l’opt-out ; générer automatiquement des adresses en combinant des caractères (attaques par dictionnaire) ; enregistrer automatiquement des numéros de téléphone ou des emails pour l’envoi ; dissimuler l’identité de l’expéditeur ou la source de la transmission ; recourir à des procédés trompeurs pour susciter des réponses.
• Opt-out gratuit (article 50(6)) : le destinataire ne doit supporter aucun coût (par exemple des frais d’appel) pour refuser ou révoquer.
• Notification du résultat (article 50(7)) : l’expéditeur doit informer le destinataire du résultat du traitement de son consentement, de son refus ou de sa révocation (selon le décret : sous 14 jours, comme couramment appliqué ; détail du décret).
• Reconfirmation périodique (article 50(8)) : les expéditeurs doivent vérifier régulièrement que le destinataire consent toujours ; le décret d’application fixe un cycle de 2 ans (chiffre du décret).
• Envoi externalisé (article 50-3) : une entreprise qui confie la transmission de publicités à un tiers doit le contrôler et le superviser ; aux fins de la responsabilité pour dommages, l’expéditeur mandaté est réputé être un employé du mandant : l’équivalent coréen du « vous ne pouvez pas externaliser votre risque », directement pertinent pour les ESP.
• Les fournisseurs d’accès à Internet peuvent refuser les services utilisés pour des transmissions illicites (article 50-4) ; les programmes affichant des publicités ou collectant des données exigent le consentement de l’utilisateur (article 50-5) ; la publication de publicités sur des sites web exige le consentement de l’exploitant (article 50-7).
• Sanctions : les violations de l’article 50(1)–(3) (envoi sans consentement, après un refus ou la nuit), (4) (mentions absentes ou fausses), (6) (report du coût sur le destinataire) et (8) (absence de reconfirmation) sont passibles d’une amende administrative de 30 000 000 ₩ au plus (article 76(1)7–9-2). Les tactiques de contournement de l’article 50(5) relèvent du pénal : emprisonnement d’1 an au plus ou amende de 10 000 000 ₩ au plus (article 74(1)4), avec responsabilité conjointe de la personne morale (article 75). La PIPA ajoute des sanctions distinctes (plus lourdes) pour la collecte ou l’utilisation illicite des données personnelles elles-mêmes.

---

Vue de tri pour un ESP

• Les quatre juridictions sanctionnent la défaillance du désabonnement indépendamment du consentement : le même parcours en un clic, gratuit et sans connexion, conçu pour l’Australie et la LCAP, satisfait la Nouvelle-Zélande (5 jours ouvrés), Singapour (10 jours ouvrés), le Japon (arrêt dès le refus) et la Corée (immédiat + notification du résultat).
• Les mentions sont le piège propre à l’Asie-Pacifique : <ADV> (Singapour, envois en masse non sollicités) et (광고) (Corée) se placent dans la ligne d’objet ; la Corée restreint en outre les canaux autres que l’email la nuit.
• La Corée et le Japon criminalisent tous deux la falsification de l’expéditeur et les listes d’adresses générées automatiquement : refusez ces listes dès l’intégration d’un client (voir Adresses pièges et Méthodes de consentement).
• Le Japon (APPI), Singapour (PDPA) et la Corée (PIPA) ajoutent chacun une couche de protection des données avec ses propres règles de consentement et de transfert pour les données d’adresse ; pour l’angle de l’ESP sous-traitant, le modèle de l’« intermédiaire de données » de la PDPA est l’énoncé le plus clair de la répartition des rôles.

Ceci n’est pas un avis juridique : voir compliance/README.md.