La réglementation d’application de CAN-SPAM (16 CFR Part 316)

Cet article décrit la mécanique réglementaire que la FTC a construite en vertu du pouvoir réglementaire que lui confère le CAN-SPAM Act, c’est-à-dire les définitions et les critères codifiés au 16 CFR Part 316, qui se situent sous les sept règles exposées en termes simples dans Loi CAN-SPAM (États-Unis). Il ne reprend pas ces règles : lisez d’abord cet article. L’objet est ici la façon dont la FTC a défini les termes qui déterminent si un message est couvert, qui est l’« expéditeur » responsable, et comment se règlent les cas limites (emails multi-annonceurs, « transférer à un ami », adresses de boîte postale).

Provenance et les trois procédures réglementaires

La loi (promulguée le 16 décembre 2003, en vigueur le 1er janvier 2004) a donné à la FTC un pouvoir discrétionnaire pour définir les termes et adopter des règles d’application. Les définitions sont arrivées au fil de plusieurs actes publiés au Federal Register :

Note sur le titre. Le document source s’intitule « Definitions, Implementation, and Reporting Requirements ». Les « rapports » (reporting) désignent les rapports que la loi imposait à la FTC de remettre au Congrès (par exemple l’étude sur un registre Do-Not-E-mail), et non une quelconque obligation de tenue de registres ou de déclaration pour les expéditeurs. Le NPRM indique que la règle n’impose aucune nouvelle collecte d’informations au titre du Paperwork Reduction Act à la profession.

La structure codifiée de la règle

La numérotation actuelle, adoptée, du 16 CFR Part 316 diffère de celle proposée dans le NPRM, car la section proposée sur l’opt-out en 3 jours ouvrés a été abandonnée :

§316.3 : les critères de l’« objet principal » (codifiés)

Le champ d’application dépend de l’objet principal (voir la synthèse en termes simples dans CAN-SPAM). La règle ramène la notion légale à des critères mécaniques. L’objet principal d’un message est réputé commercial si :

(1) Contenu exclusivement commercial : le message se compose uniquement de la publicité ou de la promotion commerciale d’un produit ou d’un service commercial.

(2) Contenu commercial et transactionnel ou relationnel (double objet) : commercial si l’une des conditions suivantes est remplie :

• (i) un destinataire qui interprète raisonnablement la ligne d’objet conclurait probablement que le message contient une publicité ou une promotion commerciale ; ou
• (ii) le contenu transactionnel ou relationnel n’apparaît pas, en totalité ou pour une part substantielle, au début du corps du message.

(3) Contenu commercial et « autre » (contenu ni transactionnel ou relationnel, ni commercial) : commercial si l’une des conditions suivantes est remplie :

• (i) le même critère de la ligne d’objet ; ou
• (ii) un destinataire qui interprète raisonnablement le corps du message conclurait probablement que son objet principal est commercial. Facteurs indicatifs : la place du contenu commercial au début du corps du message ; la part commerciale du message ; et l’usage de la couleur, des graphismes, de la taille et du style des caractères pour mettre en valeur le contenu commercial.

L’objet principal d’un message n’est transactionnel ou relationnel que s’il se compose exclusivement des cinq catégories de contenu transactionnel ou relationnel (§316.3(c)) :

1. Faciliter, finaliser ou confirmer une transaction commerciale que le destinataire a précédemment accepté de conclure ;
2. Fournir des informations de garantie, de rappel, de sécurité ou de sûreté sur un produit ou un service que le destinataire a utilisé ou acheté ;
3. Pour un abonnement, une adhésion, un compte, un prêt ou une relation comparable en cours : notifier un changement des conditions ou des fonctionnalités, un changement de la situation ou du statut du destinataire, ou fournir, à intervalles réguliers et périodiques, des informations sur le solde du compte ou un autre type de relevé de compte ;
4. Fournir des informations directement liées à une relation de travail ou à un régime d’avantages associé dans lequel le destinataire est actuellement impliqué, participant ou inscrit ;
5. Livrer des biens ou des services, y compris des mises à jour ou des mises à niveau de produits, que le destinataire est en droit de recevoir aux termes d’une transaction précédemment convenue.

La position interprétative de la FTC (tirée de l’analyse du NPRM) est que ces catégories s’interprètent de façon étroite, afin d’éviter l’érosion de la protection de l’opt-out :

• La « transaction commerciale » de la catégorie 1 n’exige pas de contrepartie : l’inscription à un service gratuit (par exemple des invitations à des événements) peut être une transaction commerciale acceptée par le destinataire. Mais un message initial non sollicité qui se borne à proposer une transaction est commercial, et non transactionnel.
• Une norme de raisonnabilité détermine le nombre de messages de confirmation qu’une transaction peut justifier ; des « confirmations » envoyées toutes les heures et contenant des promotions seraient considérées comme commerciales.
• Relevés de compte de la catégorie 3 : les relevés de facturation ou de compte envoyés à intervalles réguliers restent admissibles même s’ils contiennent un peu de publicité, mais si le contenu publicitaire submerge le contenu transactionnel, le critère du double objet du §316.3(a)(2) les requalifie en messages commerciaux.
• Un message envoyé par un tiers avec l’autorisation de l’employeur pour promouvoir auprès des salariés les biens propres de ce tiers n’est pas transactionnel au titre de la catégorie 4 : seules les véritables informations liées à la relation de travail en relèvent.
• La FTC a rejeté les demandes répétées de la profession visant à élargir les catégories (par exemple une exemption générale pour les emails d’une association à ses membres, ou pour les emails entre entreprises) : la condition légale pour modifier les catégories, à savoir que la modification soit nécessaire pour tenir compte de l’évolution des technologies ou des pratiques de l’email, n’était pas remplie. Les emails d’une association à ses membres et les emails B2B ne bénéficient donc d’aucune exemption particulière ; chaque message est classé d’après son contenu selon le critère de l’objet principal.

§316.2 : la définition de l’« expéditeur » et la désignation d’un expéditeur unique

La loi définit l’expéditeur (sender) comme la personne qui initie un message commercial et dont le produit, le service ou le site web y fait l’objet d’une publicité ou d’une promotion. Les notions d’« initier » et d’« expéditeur » peuvent toutes deux s’appliquer à plusieurs personnes pour un même message.

La règle (§316.2(m)) résout le problème des messages multi-annonceurs. Lorsque les produits ou services de plusieurs personnes font l’objet d’une publicité ou d’une promotion dans un même message, chacune d’elles est un « expéditeur », sauf si une seule d’entre elles répond à la fois à la définition légale de l’« expéditeur » et à une ou plusieurs des conditions suivantes, auquel cas seule cette personne est l’« expéditeur » de ce message :

1. Elle contrôle le contenu du message ;
2. Elle détermine les adresses email auxquelles le message est envoyé ; ou
3. Elle est identifiée comme expéditeur dans le champ « From ».

Cela permet à plusieurs annonceurs de désigner un expéditeur unique pour la conformité (opt-out fonctionnel, adresse postale valide, respect des opt-out) au lieu que chacun doive fournir ses propres suppressions, adresses et opt-out, ce qui, selon les commentateurs, aurait obligé à divulguer des listes de clients à des concurrents et aurait dérouté les destinataires avec plusieurs mécanismes d’opt-out et plusieurs adresses postales.

Exemple détaillé (tiré du NPRM) : les vendeurs X, Y et Z font tous l’objet d’une publicité dans un même message et désignent X comme expéditeur unique. Cela ne fonctionne que si, parmi les trois, seul X contrôle le contenu, contrôle la liste des destinataires ou apparaît dans le champ « From » ; X peut recourir à des tiers pour les critères qu’il ne remplit pas, mais ni Y ni Z ne peuvent remplir aucun d’entre eux. (À comparer avec la synthèse en termes simples dans CAN-SPAM.)

Le champ « From » et les en-têtes « substantiellement » faux. L’interdiction par CAN-SPAM des informations d’en-tête substantiellement fausses ou trompeuses (15 U.S.C. 7704(a)(1)) intervient ici : un champ « From » n’a pas à indiquer la raison sociale complète de l’initiateur, mais il doit donner au destinataire assez d’informations pour savoir qui envoie ; un « From » indiquant « John Doe » pour un message de la société XYZ n’identifierait pas correctement l’initiateur. Un champ « From » est « substantiellement » faux lorsqu’il empêche un destinataire, un fournisseur d’accès à Internet (ISP) ou une autorité répressive d’identifier ou de localiser l’initiateur, ou de lui répondre.

§316.2 : l’« adresse postale valide »

La règle (§316.2(p)) codifie ce qui satisfait à l’exigence d’adresse physique de la loi (15 U.S.C. 7704(a)(5)(A)(iii)). Une adresse postale valide est l’une quelconque des adresses suivantes :

1. L’adresse postale actuelle de l’expéditeur ;
2. Une boîte postale (Post Office box) que l’expéditeur a enregistrée auprès de l’U.S. Postal Service ; ou
3. Une boîte aux lettres privée que l’expéditeur a enregistrée auprès d’une agence commerciale de réception du courrier (CMRA) établie selon la réglementation de l’USPS.

La FTC a admis les boîtes postales et les boîtes CMRA parce que les deux ont une présence physique reconnue par l’USPS, et parce que l’enregistrement auprès de l’USPS vérifie l’adresse du locataire lors de l’ouverture ; les autoriser « ne crée pas un risque plus grand qu’un expéditeur falsifie des informations pour contourner les objectifs de la loi » ("creates no greater risk that a sender will falsify information to thwart the purposes of the Act") qu’une adresse postale classique (un expéditeur malveillant peut mentir sur une adresse postale tout aussi facilement).

L’opt-out en 10 jours ouvrés : 3 proposés, 10 maintenus

La loi (15 U.S.C. 7704(a)(4)) interdit d’initier un message commercial plus de 10 jours ouvrés après la réception de l’opt-out du destinataire. La loi permettait à la FTC de modifier ce délai.

Le NPRM proposait de le ramener à 3 jours ouvrés, au motif qu’un traitement quasi instantané de l’opt-out est techniquement faisable (certains expéditeurs et Go Daddy indiquaient traiter les demandes « en quelques secondes ») et qu’un délai plus court sert mieux l’objectif de protection de la vie privée de la loi. Les commentateurs se sont partagés en trois camps (maintenir 10 jours, raccourcir, ou allonger à 15 à 30 jours pour les montages complexes impliquant plusieurs parties).

Dans la Final Rule de 2008, la FTC a renoncé à raccourcir le délai : l’exigence de 10 jours ouvrés est maintenue. Pour les besoins opérationnels, les chiffres de cette base de connaissances reflètent la règle adoptée : traitez les opt-out sous 10 jours ouvrés et maintenez le mécanisme en fonctionnement pendant au moins 30 jours après l’envoi du message. (Voir CAN-SPAM › Mécanique de l’opt-out.)

§316.5 : pas de frais ni d’exigences superflues pour se désinscrire

Ni l’expéditeur ni aucune personne agissant pour son compte ne peut exiger du destinataire :

• de payer des frais ;
• de fournir des informations autres que son adresse email et ses préférences d’opt-out ; ou
• d’effectuer une démarche autre que l’envoi d’un email de réponse ou la visite d’une seule page web,

comme condition de l’acceptation ou du traitement d’une demande d’opt-out. Exiger du destinataire qu’il visite plusieurs pages web, qu’il se connecte ou qu’il divulgue des données personnelles pour se désabonner est interdit, car cela « entraverait la capacité des destinataires à exercer leur droit d’opt-out » ("frustrate recipients’ ability to exercise their opt-out rights"). Un menu de préférences n’est autorisé que s’il comporte une option globale « se désinscrire de tout ».

« Transférer à un ami » : la solution par « initier », « procurer » et « acheminement de routine »

CAN-SPAM ne contient aucune disposition explicite sur le « transférer à un ami » ; la responsabilité découle de trois définitions imbriquées que la règle intègre :

• initier (initiate) = émettre ou transmettre un message, ou procurer son émission ou sa transmission, à l’exclusion des actes relevant de l’acheminement de routine.
• procurer (procure) = intentionnellement payer ou fournir une autre contrepartie à une autre personne, ou l’inciter, pour qu’elle initie un message pour son compte.
• acheminement de routine (routine conveyance) = transmission, routage, relais, traitement ou stockage par un processus technique automatique pour lequel une autre personne a identifié les destinataires ou fourni les adresses des destinataires.

Application :

« Inciter » (induce) est plus large que « payer » (entraîner, influencer par la persuasion), mais le simple fait de proposer un bouton de transfert n’est pas une incitation. (Le Royaume-Uni aboutit à un résultat comparable par la notion d’« instigation » : voir le PECR britannique.)

Violations aggravées (exposition triplée)

Commettre une violation aggravée en même temps qu’une violation du §7704(a) peut exposer le défendeur à des dommages-intérêts triplés dans une action en justice. La loi (15 U.S.C. 7704(b)) énumère quatre pratiques aggravantes :

1. La collecte automatisée d’adresses email (logiciels de scraping d’adresses) ;
2. Les attaques par dictionnaire : génération automatisée d’adresses en combinant des noms, des lettres ou des chiffres ;
3. La création automatisée de multiples comptes email pour envoyer ;
4. Le relais ou la retransmission par un accès non autorisé à un ordinateur protégé (relais et proxys ouverts, botnets).

La FTC a refusé d’ajouter de nouvelles violations aggravées par voie réglementaire. Les commentateurs proposaient d’y ajouter le hashbusting (mots aléatoires insérés pour déjouer les filtres), la collecte manuelle d’adresses, les informations WHOIS inexactes et la vente de listes de proxys ouverts ; la FTC a estimé que ces pratiques étaient soit déjà interdites par d’autres dispositions de la loi (par exemple, le hashbusting dans une ligne d’objet enfreint déjà l’interdiction des objets trompeurs ; le relais par un virus enfreint déjà le §7704(a)(1)(C)), soit dépourvues de preuves d’une contribution substantielle à l’email commercial illicite. Elle a indiqué qu’elle continuerait de contester ces pratiques au titre de la section 5 du FTC Act le cas échéant.

Mesures d’application : pas de preuve de l’élément intentionnel

Lorsqu’une disposition de CAN-SPAM (ou de la règle) comporte un élément intentionnel, cet élément est écarté lorsqu’un État, la FTC, la FCC ou un responsable ou organisme d’un État demande une ordonnance de cessation ou une injonction pour faire respecter la loi. Les autorités n’ont pas à alléguer ni à prouver l’état d’esprit du défendeur pour obtenir une injonction. (Le NPRM proposait de codifier cette règle au §316.4(b), qui reprenait les articles 7706(e) et (f)(2) de la loi ; la règle adoptée ne contient pas cette disposition (le § 316.4 actuel porte sur les mentions d’avertissement), si bien que cette dispense repose sur la loi elle-même.)

Enseignements pratiques pour un ESP

• Les critères de l’objet principal sont des critères de contenu, appliqués message par message : un ESP ne peut pas classer en bloc un compte ou un flux comme « transactionnel » ; un email à double objet dont les promotions apparaissent en haut du message est commercial et doit recevoir le traitement CAN-SPAM complet.
• Pour les envois multi-annonceurs, d’affiliation ou co-marqués, assurez-vous qu’un seul expéditeur désigné remplit le critère du contrôle, des adresses ou du champ « From » et apparaît dans le champ « From » ; sinon, chaque annonceur devient expéditeur avec toutes les obligations. Voir Authentification des domaines clients et Architecture des listes de suppression pour le volet opérationnel.
• Les fonctions « transférer à un ami » sont sûres tant qu’il s’agit de simples mécanismes d’acheminement de routine ; dès que la plateforme ou le client offre une incitation au transfert, la marque d’origine devient expéditeur de l’email transféré.
• La présence de l’une des quatre pratiques aggravantes dans l’historique d’acquisition d’un client est à la fois un signal d’alerte juridique et une catastrophe pour la délivrabilité : reliez ce point à la vérification des clients, aux méthodes de consentement et à la réponse aux incidents d’adresses pièges.