# La réglementation d'application de CAN-SPAM (16 CFR Part 316)

> Le détail réglementaire de la FTC derrière CAN-SPAM : les définitions codifiées de l'expéditeur, de l'objet principal et de l'adresse postale valide, le critère de désignation d'un expéditeur unique, la responsabilité des messages « transférer à un ami », l'opt-out en 10 jours ouvrés et les violations aggravées.

Source: emailmarketing.net — https://emailmarketing.net/fr/apprendre/conformite/reglementation-d-application-de-can-spam

Savoir si CAN-SPAM couvre un message donné, qui en est juridiquement l'« expéditeur » et si un bouton « transférer à un ami » engage une responsabilité : tout cela est tranché par des règles que la Federal Trade Commission (FTC) a rédigées en vertu de la loi. Ces règles sont codifiées au **16 CFR Part 316**.

Elles définissent les termes qui déterminent si un message est couvert et qui est l'expéditeur responsable. Elles règlent aussi les cas limites : les emails qui font la publicité de plusieurs entreprises, les fonctions « transférer à un ami » et les adresses postales qui sont des boîtes postales.

Commencez par [Loi CAN-SPAM (États-Unis)](https://emailmarketing.net/fr/apprendre/conformite/loi-can-spam-etats-unis), qui résume en termes simples les sept règles principales de la loi. Ces règles ne sont pas reprises ci-dessous.

## Comment les règles ont été adoptées

Le CAN-SPAM Act a été promulgué le 16 décembre 2003 et est entré en vigueur le 1er janvier 2004. Il a donné à la FTC un pouvoir discrétionnaire pour définir ses termes et adopter des règles d'application. La FTC a publié les définitions dans plusieurs actes du Federal Register :

| Acte | Date | Contenu |
|---|---|---|
| Avis préalable de procédure réglementaire (ANPR) | 11 mars 2004 | A lancé un appel à commentaires publics sur l'« objet principal » et les définitions |
| **Primary Purpose Final Rule** | 19 janvier 2005 (70 FR 3110) | A codifié les **critères de l'objet principal du §316.3** |
| **Avis de projet de règle (NPRM)**, le document source de cette référence | 12 mai 2005 (70 FR 25426) | A proposé les définitions du §316.2 : *person*, *sender* et *valid physical postal address*. A proposé de ramener le délai d'opt-out à 3 jours ouvrés. A proposé l'interdiction des frais d'opt-out. A analysé les fonctions « transférer à un ami » |
| **Final Rule** | 21 mai 2008 (73 FR 29654) | A adopté les définitions et l'interdiction des frais. **A renoncé à raccourcir** le délai d'opt-out de 10 jours ouvrés |

<!-- glossary-allow: e-mail -->
**Ce que signifie « reporting requirements » dans le titre.** Le document source s'intitule « Definitions, Implementation, and Reporting Requirements ». Les rapports mentionnés dans ce titre sont ceux que la loi imposait à la FTC elle-même de remettre au Congrès, comme l'étude sur un registre Do-Not-E-mail. Ils ne désignent **pas** une quelconque obligation de tenue de registres ou de déclaration pour les expéditeurs. Le NPRM indique que la règle n'impose à la profession aucune nouvelle collecte d'informations au titre du Paperwork Reduction Act.

## Comment la règle est organisée

La numérotation adoptée du 16 CFR Part 316 diffère de celle que proposait le NPRM, car la section proposée sur un opt-out en 3 jours ouvrés a été abandonnée :

| Section | Objet |
|---|---|
| § 316.1 | Champ d'application : met en œuvre le 15 U.S.C. 7701–7713 |
| § 316.2 | Définitions |
| § 316.3 | Objet principal |
| § 316.4 | Mentions d'avertissement pour le matériel à caractère sexuel |
| § 316.5 | Interdiction des frais d'opt-out et des exigences superflues |
| § 316.6 | Divisibilité |

## Les critères de l'objet principal (§316.3)

Le fait que la loi couvre un message dépend de son **objet principal** (résumé dans [CAN-SPAM](https://emailmarketing.net/fr/apprendre/conformite/loi-can-spam-etats-unis#messages-commerciaux-transactionnels-ou-relationnels)). La règle transforme cette notion de la loi en critères mécaniques. L'objet principal d'un message est réputé **commercial** si :

**(1) Le contenu est uniquement commercial.** Le message se compose uniquement de la publicité ou de la promotion commerciale d'un produit ou d'un service commercial.

**(2) Le contenu est commercial et transactionnel ou relationnel** (double objet). Le message est commercial si **l'une** des conditions suivantes est remplie :
- (i) un destinataire qui interprète raisonnablement la **ligne d'objet** conclurait probablement que le message contient une publicité ou une promotion commerciale ; **ou**
- (ii) le contenu transactionnel ou relationnel **n'apparaît pas**, **en totalité ou pour une part substantielle, au début du corps** du message.

**(3) Le contenu est commercial et « autre »**, c'est-à-dire un contenu ni transactionnel ou relationnel, ni commercial. Le message est commercial si **l'une** des conditions suivantes est remplie :
- (i) le même critère de la ligne d'objet est rempli ; **ou**
- (ii) un destinataire qui interprète raisonnablement le **corps** du message conclurait probablement que son objet principal est commercial. Parmi les facteurs qui l'illustrent figurent la place du contenu commercial au début du corps du message, la part commerciale du message, et l'usage de la couleur, des graphismes, de la taille et du style des caractères pour mettre en valeur le contenu commercial.

L'objet principal d'un message n'est **transactionnel ou relationnel** que s'il se compose **exclusivement** des cinq catégories de contenu transactionnel ou relationnel du §316.3(c) :

1. Faciliter, finaliser ou confirmer une transaction commerciale que le destinataire a précédemment accepté de conclure ;
2. Fournir des informations de garantie, de rappel, de sécurité ou de sûreté sur un produit ou un service que le destinataire a utilisé ou acheté ;
3. Pour un abonnement, une adhésion, un compte, un prêt ou une relation comparable en cours : notifier au destinataire un changement des conditions ou des fonctionnalités, ou un changement de sa situation ou de son statut ; **ou** fournir à intervalles réguliers et périodiques des informations sur le solde du compte ou un autre type de relevé de compte ;
4. Fournir des informations directement liées à une relation de travail ou à un régime d'avantages associé dans lequel le destinataire est actuellement impliqué, participant ou inscrit ;
5. Livrer des biens ou des services, y compris des mises à jour ou des mises à niveau de produits, que le destinataire est en droit de recevoir aux termes d'une transaction précédemment convenue.

Dans son analyse du NPRM, la FTC interprète ces catégories **de façon étroite**, afin qu'elles n'érodent pas la protection de l'opt-out :

- La « transaction commerciale » de la catégorie 1 n'exige **pas** de contrepartie. L'inscription à un service gratuit, comme des invitations à des événements, peut être une transaction commerciale acceptée par le destinataire. Mais un **message initial non sollicité qui se borne à proposer** une transaction est commercial, et non transactionnel.
- Une **norme de raisonnabilité** détermine le nombre de messages de confirmation qu'une transaction peut justifier. Des « confirmations » envoyées toutes les heures et contenant des promotions seraient considérées comme commerciales.
- Au titre de la catégorie 3, les relevés de facturation ou de compte envoyés à intervalles réguliers restent admissibles même s'ils contiennent un peu de publicité. Si la publicité **submerge** le contenu transactionnel, en revanche, le critère du double objet du §316.3(a)(2) requalifie le message en message commercial.
- Un message qu'un tiers envoie aux salariés **avec l'autorisation de l'employeur**, pour promouvoir les biens propres de ce tiers, n'est **pas** transactionnel au titre de la catégorie 4. Seules les véritables informations sur la relation de travail en relèvent.
- La FTC **a rejeté** les demandes répétées de la profession visant à élargir les catégories, par exemple par une exemption générale pour les emails d'une association à ses membres, ou pour les emails entre entreprises (B2B). La loi ne permet de modifier les catégories que si la modification est nécessaire pour tenir compte de l'évolution des technologies ou des pratiques de l'email, et la FTC a estimé que cette condition n'était pas remplie. Les emails d'une association à ses membres et les emails B2B ne bénéficient donc **d'aucune exemption particulière**. Chaque message est classé d'après son contenu selon le critère de l'objet principal.

## Qui est l'expéditeur quand un message fait la publicité de plusieurs entreprises (§316.2)

La loi définit l'**expéditeur** (*sender*) comme la personne qui initie un message commercial et dont le produit, le service ou le site web y fait l'objet d'une publicité ou d'une promotion. Les notions d'« initier » et d'« expéditeur » peuvent toutes deux s'appliquer à **plusieurs personnes** pour un même message.

La règle résout le cas des annonceurs multiples au §316.2(m). Lorsque les produits ou services de **plusieurs personnes** font l'objet d'une publicité ou d'une promotion dans un même message, **chacune** d'elles est un « expéditeur ». Il existe une exception : si une seule d'entre elles répond à la fois à la définition de l'« expéditeur » donnée par la loi **et** à **un ou plusieurs** des critères suivants, seule cette personne est l'« expéditeur » du message :

1. Elle **contrôle le contenu** du message ;
2. Elle **détermine les adresses email** auxquelles le message est envoyé ; **ou**
3. Elle est **identifiée comme expéditeur dans le champ « From »**.

Cela permet à plusieurs annonceurs de **désigner un expéditeur unique** chargé de la conformité : un opt-out fonctionnel, une adresse postale valide et le respect des opt-out. Sinon, chaque annonceur devrait fournir ses propres suppressions, sa propre adresse et son propre opt-out. Selon les commentateurs, cela aurait obligé les annonceurs à révéler leurs listes de clients à des concurrents, et aurait dérouté les destinataires avec plusieurs mécanismes d'opt-out et plusieurs adresses postales.

**Exemple détaillé tiré du NPRM.** Les vendeurs X, Y et Z font tous l'objet d'une publicité dans un même message, et ils désignent X comme expéditeur unique. Cela ne fonctionne **que si**, parmi les trois, **seul X** contrôle le contenu, contrôle la liste des destinataires ou apparaît dans le champ « From ». X peut recourir à des tiers pour les critères qu'il ne remplit pas lui-même, mais **ni Y ni Z** ne peuvent remplir aucun d'entre eux. Le même exemple est résumé dans [CAN-SPAM](https://emailmarketing.net/fr/apprendre/conformite/loi-can-spam-etats-unis#désigner-lexpéditeur-quand-plusieurs-annonceurs-figurent-dans-un-même-message).

**Le champ « From » et les en-têtes « substantiellement » faux.** Cette règle rejoint l'interdiction par CAN-SPAM des informations d'en-tête substantiellement fausses ou trompeuses (15 U.S.C. 7704(a)(1)). Un champ « From » n'a pas à indiquer la raison sociale complète de l'initiateur, mais il doit donner au destinataire assez d'informations pour savoir qui envoie. Un « From » indiquant « John Doe » sur un message de la société XYZ n'identifierait pas correctement l'initiateur. Un champ « From » est « substantiellement » faux lorsqu'il empêche un destinataire, un fournisseur d'accès à Internet (ISP) ou une autorité répressive d'identifier ou de localiser l'initiateur, ou de lui répondre.

## Ce qui constitue une adresse postale valide (§316.2)

La règle définit, au §316.2(p), ce qui satisfait à l'exigence d'adresse physique de la loi (15 U.S.C. 7704(a)(5)(A)(iii)). Une adresse postale valide est **l'une quelconque** des adresses suivantes :

1. L'**adresse postale actuelle** de l'expéditeur ;
2. Une **boîte postale** (*Post Office box*) que l'expéditeur a enregistrée auprès de l'U.S. Postal Service (USPS) ; **ou**
3. Une **boîte aux lettres privée** que l'expéditeur a enregistrée auprès d'une **agence commerciale de réception du courrier (CMRA)** établie selon la réglementation de l'USPS.

La FTC a admis les boîtes postales et les boîtes CMRA pour deux raisons. Les deux ont une présence physique reconnue par l'USPS, et l'enregistrement auprès de l'USPS vérifie l'adresse du locataire lors de l'ouverture. Les autoriser « ne crée [donc] pas un risque plus grand qu'un expéditeur falsifie des informations pour contourner les objectifs de la loi » (*"creates no greater risk that a sender will falsify information to thwart the purposes of the Act"*) qu'une adresse postale classique, puisqu'un expéditeur malveillant peut mentir sur une adresse postale tout aussi facilement.

## L'opt-out en 10 jours ouvrés : 3 jours proposés, 10 maintenus

La loi (15 U.S.C. 7704(a)(4)) interdit d'initier un message commercial **plus de 10 jours ouvrés** après la réception de l'opt-out du destinataire. La loi permettait à la FTC de modifier ce délai.

Le NPRM **proposait de le ramener à 3 jours ouvrés**. Il faisait valoir qu'un traitement quasi instantané de l'opt-out est techniquement faisable, puisque certains expéditeurs et Go Daddy indiquaient traiter les opt-out « en quelques secondes » (*"within seconds"*), et qu'un délai plus court sert mieux l'objectif de protection de la vie privée de la loi. Les commentateurs se sont partagés en trois camps : maintenir 10 jours, raccourcir le délai, ou l'allonger à 15–30 jours pour les montages complexes impliquant plusieurs parties.

**Dans la Final Rule de 2008, la FTC a renoncé à raccourcir le délai. L'exigence de 10 jours ouvrés est maintenue.** Appliquez la règle adoptée : traitez les opt-out **sous 10 jours ouvrés**, et maintenez le mécanisme d'opt-out en fonctionnement **pendant au moins 30 jours** après l'envoi du message. Voir [La mécanique de l'opt-out dans CAN-SPAM](https://emailmarketing.net/fr/apprendre/conformite/loi-can-spam-etats-unis#mécanique-de-lopt-out).

## Ni frais ni démarches supplémentaires pour se désinscrire (§316.5)

Ni l'expéditeur ni aucune personne agissant pour son compte ne peut exiger du destinataire :

- de **payer des frais** ;
- de **fournir des informations** autres que son adresse email et ses préférences d'opt-out ; ou
- **d'effectuer une démarche autre que** l'envoi d'un email de réponse **ou** la visite d'une **seule** page web,

comme condition de l'acceptation ou du traitement d'une demande d'opt-out. Exiger du destinataire qu'il visite plusieurs pages web, qu'il se connecte ou qu'il divulgue des données personnelles pour se désabonner est interdit, car cela « entraverait la capacité des destinataires à exercer leur droit d'opt-out » (*"frustrate recipients' ability to exercise their opt-out rights"*). Un **menu de préférences** n'est autorisé que s'il comporte une option globale « se désinscrire de tout ».

## Les fonctions « transférer à un ami » : initier, procurer et acheminement de routine

CAN-SPAM ne contient aucune disposition spécifique sur les fonctions « transférer à un ami ». La responsabilité découle de trois définitions liées que la règle intègre :

- **Initier** (*initiate*) signifie émettre ou transmettre un message, **ou procurer** son émission ou sa transmission, **à l'exclusion** des actes qui relèvent de l'acheminement de routine.
- **Procurer** (*procure*) signifie intentionnellement **payer ou fournir une autre contrepartie à une autre personne, ou l'inciter**, pour qu'elle initie un message pour son compte.
- **L'acheminement de routine** (*routine conveyance*) désigne la transmission, le routage, le relais, le traitement ou le stockage d'un message par un processus technique automatique pour lequel **une autre personne a identifié les destinataires ou fourni les adresses des destinataires**.

Appliquées au transfert, ces définitions donnent les résultats suivants :

| Scénario | Résultat |
|---|---|
| Un destinataire transfère à d'autres un message commercial **non conforme** d'un annonceur | La **personne qui transfère** peut engager sa responsabilité en tant qu'initiateur de ce message |
| Le vendeur offre une **contrepartie** pour le transfert : argent, bons de réduction, remises, récompenses, participations à un tirage au sort ou paiements de parrainage | Le vendeur a **procuré** le transfert, il est donc expéditeur et initiateur. Il doit s'assurer que le message transféré comporte l'opt-out et l'adresse postale, et il doit respecter les opt-out |
| Le vendeur fournit seulement un mécanisme **« cliquez ici pour transférer »** ou **« Tell-A-Friend »** et n'offre aucune contrepartie | C'est un **acheminement de routine**, car la personne qui transfère identifie les destinataires. Le mécanisme lui-même est une incitation de minimis et **n'« incite » pas** au sens de la loi, si bien que le vendeur n'a **aucune responsabilité au titre de CAN-SPAM** |

« Inciter » (*induce*) est plus large que « payer » : cela signifie entraîner ou influencer par la persuasion. Le simple fait de proposer un bouton de transfert n'est toujours pas une incitation. Le Royaume-Uni aboutit à un résultat comparable par la notion d'« instigation » (voir le [PECR britannique](https://emailmarketing.net/fr/apprendre/conformite/royaume-uni-pecr-et-marketing-par-email)).

## Violations aggravées et dommages-intérêts triplés

Un défendeur qui commet une **violation aggravée** en plus d'une violation du §7704(a) s'expose à des **dommages-intérêts triplés** dans une action en justice. La loi (15 U.S.C. 7704(b)) énumère **quatre** pratiques aggravantes :

1. **La collecte automatisée** d'adresses email (logiciels qui moissonnent les adresses) ;
2. **Les attaques par dictionnaire** : générer automatiquement des adresses en combinant des noms, des lettres ou des chiffres ;
3. **La création automatisée de multiples** comptes email depuis lesquels envoyer ;
4. **Le relais ou la retransmission** par un accès non autorisé à un ordinateur protégé (relais ou proxys ouverts, et botnets).

La FTC **a refusé d'ajouter** de nouvelles violations aggravées par voie réglementaire. Les commentateurs proposaient d'y ajouter le hashbusting (mots aléatoires insérés pour déjouer les filtres), la collecte manuelle d'adresses, les informations WHOIS inexactes et la vente de listes de proxys ouverts. La FTC a estimé que ces pratiques étaient **soit déjà interdites** par d'autres dispositions de la loi, **soit dépourvues de preuves** d'une contribution substantielle à l'email commercial illicite. Par exemple, le hashbusting dans une ligne d'objet enfreint déjà l'interdiction des objets trompeurs, et le relais par un virus enfreint déjà le §7704(a)(1)(C). La FTC a indiqué qu'elle continuerait de contester ces pratiques au titre de la section 5 du FTC Act le cas échéant.

## Les injonctions n'exigent pas de prouver l'élément intentionnel

Lorsqu'une disposition de CAN-SPAM ou de la règle comporte un **élément intentionnel**, cet élément est **écarté** lorsqu'un État, la FTC, la Federal Communications Commission (FCC), ou un responsable ou organisme d'un État, demande une **ordonnance de cessation ou une injonction** pour faire respecter la loi. Les autorités n'ont pas à alléguer ni à prouver l'état d'esprit du défendeur pour obtenir une injonction. Le NPRM proposait de codifier cette règle au §316.4(b), en suivant les articles 7706(e) et (f)(2) de la loi. La règle adoptée ne contient pas cette disposition, et le § 316.4 actuel porte sur les mentions d'avertissement : cette dispense repose donc sur la loi elle-même.

## Enseignements pratiques pour un fournisseur de services email (ESP)

- Les **critères de l'objet principal sont des critères de contenu, appliqués à chaque message**. Un ESP ne peut pas classer en bloc un compte ou un flux comme « transactionnel ». Un email à double objet dont les promotions apparaissent en haut du message est commercial et doit respecter toutes les exigences de CAN-SPAM.
- Pour les envois **multi-annonceurs, d'affiliation ou co-marqués**, assurez-vous qu'**un seul** expéditeur désigné remplit le critère (il contrôle le contenu, détermine les adresses ou est nommé dans le champ « From ») et apparaît dans le champ « From ». Sinon, chaque annonceur devient expéditeur avec toutes les obligations. Pour le volet opérationnel, voir [Authentification des domaines clients](https://emailmarketing.net/learn/esp-operations/customer-domain-authentication) et [Architecture des listes de suppression](https://emailmarketing.net/learn/esp-operations/suppression-list-architecture).
- Les fonctions **« transférer à un ami »** sont sûres tant qu'elles relèvent du simple acheminement de routine. Dès que la plateforme ou le client offre une incitation au transfert, la marque à l'origine du message devient expéditeur de l'email transféré.
- La présence de l'une des quatre **pratiques aggravantes** dans l'historique d'acquisition d'un client est à la fois un signal d'alerte juridique et un problème grave de délivrabilité. Recherchez-les lors de la [vérification des clients](https://emailmarketing.net/learn/esp-operations/customer-vetting), dans les [méthodes de consentement](https://emailmarketing.net/fr/apprendre/gestion-des-listes/methodes-de-consentement) et dans la [réponse aux incidents d'adresses pièges](https://emailmarketing.net/learn/esp-operations/spam-trap-incident-response).