La réglementation d’application de CAN-SPAM (16 CFR Part 316)

Savoir si CAN-SPAM couvre un message donné, qui en est juridiquement l’« expéditeur » et si un bouton « transférer à un ami » engage une responsabilité : tout cela est tranché par des règles que la Federal Trade Commission (FTC) a rédigées en vertu de la loi. Ces règles sont codifiées au 16 CFR Part 316.

Elles définissent les termes qui déterminent si un message est couvert et qui est l’expéditeur responsable. Elles règlent aussi les cas limites : les emails qui font la publicité de plusieurs entreprises, les fonctions « transférer à un ami » et les adresses postales qui sont des boîtes postales.

Commencez par Loi CAN-SPAM (États-Unis), qui résume en termes simples les sept règles principales de la loi. Ces règles ne sont pas reprises ci-dessous.

Comment les règles ont été adoptées

Le CAN-SPAM Act a été promulgué le 16 décembre 2003 et est entré en vigueur le 1er janvier 2004. Il a donné à la FTC un pouvoir discrétionnaire pour définir ses termes et adopter des règles d’application. La FTC a publié les définitions dans plusieurs actes du Federal Register :

Ce que signifie « reporting requirements » dans le titre. Le document source s’intitule « Definitions, Implementation, and Reporting Requirements ». Les rapports mentionnés dans ce titre sont ceux que la loi imposait à la FTC elle-même de remettre au Congrès, comme l’étude sur un registre Do-Not-E-mail. Ils ne désignent pas une quelconque obligation de tenue de registres ou de déclaration pour les expéditeurs. Le NPRM indique que la règle n’impose à la profession aucune nouvelle collecte d’informations au titre du Paperwork Reduction Act.

Comment la règle est organisée

La numérotation adoptée du 16 CFR Part 316 diffère de celle que proposait le NPRM, car la section proposée sur un opt-out en 3 jours ouvrés a été abandonnée :

Les critères de l’objet principal (§316.3)

Le fait que la loi couvre un message dépend de son objet principal (résumé dans CAN-SPAM). La règle transforme cette notion de la loi en critères mécaniques. L’objet principal d’un message est réputé commercial si :

(1) Le contenu est uniquement commercial. Le message se compose uniquement de la publicité ou de la promotion commerciale d’un produit ou d’un service commercial.

(2) Le contenu est commercial et transactionnel ou relationnel (double objet). Le message est commercial si l’une des conditions suivantes est remplie :

• (i) un destinataire qui interprète raisonnablement la ligne d’objet conclurait probablement que le message contient une publicité ou une promotion commerciale ; ou
• (ii) le contenu transactionnel ou relationnel n’apparaît pas, en totalité ou pour une part substantielle, au début du corps du message.

(3) Le contenu est commercial et « autre », c’est-à-dire un contenu ni transactionnel ou relationnel, ni commercial. Le message est commercial si l’une des conditions suivantes est remplie :

• (i) le même critère de la ligne d’objet est rempli ; ou
• (ii) un destinataire qui interprète raisonnablement le corps du message conclurait probablement que son objet principal est commercial. Parmi les facteurs qui l’illustrent figurent la place du contenu commercial au début du corps du message, la part commerciale du message, et l’usage de la couleur, des graphismes, de la taille et du style des caractères pour mettre en valeur le contenu commercial.

L’objet principal d’un message n’est transactionnel ou relationnel que s’il se compose exclusivement des cinq catégories de contenu transactionnel ou relationnel du §316.3(c) :

1. Faciliter, finaliser ou confirmer une transaction commerciale que le destinataire a précédemment accepté de conclure ;
2. Fournir des informations de garantie, de rappel, de sécurité ou de sûreté sur un produit ou un service que le destinataire a utilisé ou acheté ;
3. Pour un abonnement, une adhésion, un compte, un prêt ou une relation comparable en cours : notifier au destinataire un changement des conditions ou des fonctionnalités, ou un changement de sa situation ou de son statut ; ou fournir à intervalles réguliers et périodiques des informations sur le solde du compte ou un autre type de relevé de compte ;
4. Fournir des informations directement liées à une relation de travail ou à un régime d’avantages associé dans lequel le destinataire est actuellement impliqué, participant ou inscrit ;
5. Livrer des biens ou des services, y compris des mises à jour ou des mises à niveau de produits, que le destinataire est en droit de recevoir aux termes d’une transaction précédemment convenue.

Dans son analyse du NPRM, la FTC interprète ces catégories de façon étroite, afin qu’elles n’érodent pas la protection de l’opt-out :

• La « transaction commerciale » de la catégorie 1 n’exige pas de contrepartie. L’inscription à un service gratuit, comme des invitations à des événements, peut être une transaction commerciale acceptée par le destinataire. Mais un message initial non sollicité qui se borne à proposer une transaction est commercial, et non transactionnel.
• Une norme de raisonnabilité détermine le nombre de messages de confirmation qu’une transaction peut justifier. Des « confirmations » envoyées toutes les heures et contenant des promotions seraient considérées comme commerciales.
• Au titre de la catégorie 3, les relevés de facturation ou de compte envoyés à intervalles réguliers restent admissibles même s’ils contiennent un peu de publicité. Si la publicité submerge le contenu transactionnel, en revanche, le critère du double objet du §316.3(a)(2) requalifie le message en message commercial.
• Un message qu’un tiers envoie aux salariés avec l’autorisation de l’employeur, pour promouvoir les biens propres de ce tiers, n’est pas transactionnel au titre de la catégorie 4. Seules les véritables informations sur la relation de travail en relèvent.
• La FTC a rejeté les demandes répétées de la profession visant à élargir les catégories, par exemple par une exemption générale pour les emails d’une association à ses membres, ou pour les emails entre entreprises (B2B). La loi ne permet de modifier les catégories que si la modification est nécessaire pour tenir compte de l’évolution des technologies ou des pratiques de l’email, et la FTC a estimé que cette condition n’était pas remplie. Les emails d’une association à ses membres et les emails B2B ne bénéficient donc d’aucune exemption particulière. Chaque message est classé d’après son contenu selon le critère de l’objet principal.

Qui est l’expéditeur quand un message fait la publicité de plusieurs entreprises (§316.2)

La loi définit l’expéditeur (sender) comme la personne qui initie un message commercial et dont le produit, le service ou le site web y fait l’objet d’une publicité ou d’une promotion. Les notions d’« initier » et d’« expéditeur » peuvent toutes deux s’appliquer à plusieurs personnes pour un même message.

La règle résout le cas des annonceurs multiples au §316.2(m). Lorsque les produits ou services de plusieurs personnes font l’objet d’une publicité ou d’une promotion dans un même message, chacune d’elles est un « expéditeur ». Il existe une exception : si une seule d’entre elles répond à la fois à la définition de l’« expéditeur » donnée par la loi et à un ou plusieurs des critères suivants, seule cette personne est l’« expéditeur » du message :

1. Elle contrôle le contenu du message ;
2. Elle détermine les adresses email auxquelles le message est envoyé ; ou
3. Elle est identifiée comme expéditeur dans le champ « From ».

Cela permet à plusieurs annonceurs de désigner un expéditeur unique chargé de la conformité : un opt-out fonctionnel, une adresse postale valide et le respect des opt-out. Sinon, chaque annonceur devrait fournir ses propres suppressions, sa propre adresse et son propre opt-out. Selon les commentateurs, cela aurait obligé les annonceurs à révéler leurs listes de clients à des concurrents, et aurait dérouté les destinataires avec plusieurs mécanismes d’opt-out et plusieurs adresses postales.

Exemple détaillé tiré du NPRM. Les vendeurs X, Y et Z font tous l’objet d’une publicité dans un même message, et ils désignent X comme expéditeur unique. Cela ne fonctionne que si, parmi les trois, seul X contrôle le contenu, contrôle la liste des destinataires ou apparaît dans le champ « From ». X peut recourir à des tiers pour les critères qu’il ne remplit pas lui-même, mais ni Y ni Z ne peuvent remplir aucun d’entre eux. Le même exemple est résumé dans CAN-SPAM.

Le champ « From » et les en-têtes « substantiellement » faux. Cette règle rejoint l’interdiction par CAN-SPAM des informations d’en-tête substantiellement fausses ou trompeuses (15 U.S.C. 7704(a)(1)). Un champ « From » n’a pas à indiquer la raison sociale complète de l’initiateur, mais il doit donner au destinataire assez d’informations pour savoir qui envoie. Un « From » indiquant « John Doe » sur un message de la société XYZ n’identifierait pas correctement l’initiateur. Un champ « From » est « substantiellement » faux lorsqu’il empêche un destinataire, un fournisseur d’accès à Internet (ISP) ou une autorité répressive d’identifier ou de localiser l’initiateur, ou de lui répondre.

Ce qui constitue une adresse postale valide (§316.2)

La règle définit, au §316.2(p), ce qui satisfait à l’exigence d’adresse physique de la loi (15 U.S.C. 7704(a)(5)(A)(iii)). Une adresse postale valide est l’une quelconque des adresses suivantes :

1. L’adresse postale actuelle de l’expéditeur ;
2. Une boîte postale (Post Office box) que l’expéditeur a enregistrée auprès de l’U.S. Postal Service (USPS) ; ou
3. Une boîte aux lettres privée que l’expéditeur a enregistrée auprès d’une agence commerciale de réception du courrier (CMRA) établie selon la réglementation de l’USPS.

La FTC a admis les boîtes postales et les boîtes CMRA pour deux raisons. Les deux ont une présence physique reconnue par l’USPS, et l’enregistrement auprès de l’USPS vérifie l’adresse du locataire lors de l’ouverture. Les autoriser « ne crée [donc] pas un risque plus grand qu’un expéditeur falsifie des informations pour contourner les objectifs de la loi » ("creates no greater risk that a sender will falsify information to thwart the purposes of the Act") qu’une adresse postale classique, puisqu’un expéditeur malveillant peut mentir sur une adresse postale tout aussi facilement.

L’opt-out en 10 jours ouvrés : 3 jours proposés, 10 maintenus

La loi (15 U.S.C. 7704(a)(4)) interdit d’initier un message commercial plus de 10 jours ouvrés après la réception de l’opt-out du destinataire. La loi permettait à la FTC de modifier ce délai.

Le NPRM proposait de le ramener à 3 jours ouvrés. Il faisait valoir qu’un traitement quasi instantané de l’opt-out est techniquement faisable, puisque certains expéditeurs et Go Daddy indiquaient traiter les opt-out « en quelques secondes » ("within seconds"), et qu’un délai plus court sert mieux l’objectif de protection de la vie privée de la loi. Les commentateurs se sont partagés en trois camps : maintenir 10 jours, raccourcir le délai, ou l’allonger à 15–30 jours pour les montages complexes impliquant plusieurs parties.

Dans la Final Rule de 2008, la FTC a renoncé à raccourcir le délai. L’exigence de 10 jours ouvrés est maintenue. Appliquez la règle adoptée : traitez les opt-out sous 10 jours ouvrés, et maintenez le mécanisme d’opt-out en fonctionnement pendant au moins 30 jours après l’envoi du message. Voir La mécanique de l’opt-out dans CAN-SPAM.

Ni frais ni démarches supplémentaires pour se désinscrire (§316.5)

Ni l’expéditeur ni aucune personne agissant pour son compte ne peut exiger du destinataire :

• de payer des frais ;
• de fournir des informations autres que son adresse email et ses préférences d’opt-out ; ou
• d’effectuer une démarche autre que l’envoi d’un email de réponse ou la visite d’une seule page web,

comme condition de l’acceptation ou du traitement d’une demande d’opt-out. Exiger du destinataire qu’il visite plusieurs pages web, qu’il se connecte ou qu’il divulgue des données personnelles pour se désabonner est interdit, car cela « entraverait la capacité des destinataires à exercer leur droit d’opt-out » ("frustrate recipients’ ability to exercise their opt-out rights"). Un menu de préférences n’est autorisé que s’il comporte une option globale « se désinscrire de tout ».

Les fonctions « transférer à un ami » : initier, procurer et acheminement de routine

CAN-SPAM ne contient aucune disposition spécifique sur les fonctions « transférer à un ami ». La responsabilité découle de trois définitions liées que la règle intègre :

• Initier (initiate) signifie émettre ou transmettre un message, ou procurer son émission ou sa transmission, à l’exclusion des actes qui relèvent de l’acheminement de routine.
• Procurer (procure) signifie intentionnellement payer ou fournir une autre contrepartie à une autre personne, ou l’inciter, pour qu’elle initie un message pour son compte.
• L’acheminement de routine (routine conveyance) désigne la transmission, le routage, le relais, le traitement ou le stockage d’un message par un processus technique automatique pour lequel une autre personne a identifié les destinataires ou fourni les adresses des destinataires.

Appliquées au transfert, ces définitions donnent les résultats suivants :

« Inciter » (induce) est plus large que « payer » : cela signifie entraîner ou influencer par la persuasion. Le simple fait de proposer un bouton de transfert n’est toujours pas une incitation. Le Royaume-Uni aboutit à un résultat comparable par la notion d’« instigation » (voir le PECR britannique).

Violations aggravées et dommages-intérêts triplés

Un défendeur qui commet une violation aggravée en plus d’une violation du §7704(a) s’expose à des dommages-intérêts triplés dans une action en justice. La loi (15 U.S.C. 7704(b)) énumère quatre pratiques aggravantes :

1. La collecte automatisée d’adresses email (logiciels qui moissonnent les adresses) ;
2. Les attaques par dictionnaire : générer automatiquement des adresses en combinant des noms, des lettres ou des chiffres ;
3. La création automatisée de multiples comptes email depuis lesquels envoyer ;
4. Le relais ou la retransmission par un accès non autorisé à un ordinateur protégé (relais ou proxys ouverts, et botnets).

La FTC a refusé d’ajouter de nouvelles violations aggravées par voie réglementaire. Les commentateurs proposaient d’y ajouter le hashbusting (mots aléatoires insérés pour déjouer les filtres), la collecte manuelle d’adresses, les informations WHOIS inexactes et la vente de listes de proxys ouverts. La FTC a estimé que ces pratiques étaient soit déjà interdites par d’autres dispositions de la loi, soit dépourvues de preuves d’une contribution substantielle à l’email commercial illicite. Par exemple, le hashbusting dans une ligne d’objet enfreint déjà l’interdiction des objets trompeurs, et le relais par un virus enfreint déjà le §7704(a)(1)(C). La FTC a indiqué qu’elle continuerait de contester ces pratiques au titre de la section 5 du FTC Act le cas échéant.

Les injonctions n’exigent pas de prouver l’élément intentionnel

Lorsqu’une disposition de CAN-SPAM ou de la règle comporte un élément intentionnel, cet élément est écarté lorsqu’un État, la FTC, la Federal Communications Commission (FCC), ou un responsable ou organisme d’un État, demande une ordonnance de cessation ou une injonction pour faire respecter la loi. Les autorités n’ont pas à alléguer ni à prouver l’état d’esprit du défendeur pour obtenir une injonction. Le NPRM proposait de codifier cette règle au §316.4(b), en suivant les articles 7706(e) et (f)(2) de la loi. La règle adoptée ne contient pas cette disposition, et le § 316.4 actuel porte sur les mentions d’avertissement : cette dispense repose donc sur la loi elle-même.

Enseignements pratiques pour un fournisseur de services email (ESP)

• Les critères de l’objet principal sont des critères de contenu, appliqués à chaque message. Un ESP ne peut pas classer en bloc un compte ou un flux comme « transactionnel ». Un email à double objet dont les promotions apparaissent en haut du message est commercial et doit respecter toutes les exigences de CAN-SPAM.
• Pour les envois multi-annonceurs, d’affiliation ou co-marqués, assurez-vous qu’un seul expéditeur désigné remplit le critère (il contrôle le contenu, détermine les adresses ou est nommé dans le champ « From ») et apparaît dans le champ « From ». Sinon, chaque annonceur devient expéditeur avec toutes les obligations. Pour le volet opérationnel, voir Authentification des domaines clients et Architecture des listes de suppression.
• Les fonctions « transférer à un ami » sont sûres tant qu’elles relèvent du simple acheminement de routine. Dès que la plateforme ou le client offre une incitation au transfert, la marque à l’origine du message devient expéditeur de l’email transféré.
• La présence de l’une des quatre pratiques aggravantes dans l’historique d’acquisition d’un client est à la fois un signal d’alerte juridique et un problème grave de délivrabilité. Recherchez-les lors de la vérification des clients, dans les méthodes de consentement et dans la réponse aux incidents d’adresses pièges.