Intégrité de l’acquisition des adresses : collecte légitime ou collecte sauvage

La façon dont une adresse est entrée dans la liste est le premier facteur qui détermine si elle s’engagera ou se plaindra (voir Méthodes de consentement et spectre de qualité des listes pour le classement des huit méthodes par qualité et leurs profils de plaintes). Cet article adopte le point de vue complémentaire de l’intégrité de l’acquisition : il traite l’acquisition comme un processus à documenter et à auditer, recense les techniques de collecte illégitimes (et pas seulement leur place sur le spectre), et explique pourquoi plusieurs d’entre elles sont illégales en elles-mêmes, à commencer par les logiciels de collecte d’adresses. Là où consent-methods.md demande « quel type de permission cette adresse porte-t-elle ? », cet article demande « l’adresse a-t-elle été obtenue par une méthode qu’un expéditeur peut assumer, et peut-il le prouver ? »

Le socle : opt-in confirmé et preuve

Le guide de Spamhaus « Address Acquisition for Mailing Lists: The Basics » fixe le seuil de légitimité à l’opt-in confirmé (COI, double opt-in) : une décision volontaire et active du contact de recevoir du courrier, confirmée par un clic sur un lien dans un email avant que l’adresse ne reçoive la moindre campagne. Exigences que Spamhaus associe à une inscription défendable :

• Choix volontaire et actif : pas de cases précochées ; c’est le contact qui accomplit l’action positive.
• Inscription transparente : le contact sait à qui il s’abonne et ce qu’il recevra.
• Protection des formulaires web : CAPTCHA/reCAPTCHA sur le formulaire pour contrer les soumissions automatisées et malveillantes (la même défense que celle décrite dans Bombardement d’inscriptions).
• Confirmation active par email : le clic COI, qui bloque aussi les fautes de frappe et les adresses pièges (une adresse piège ne peut jamais confirmer).

Métadonnées d’acquisition à enregistrer lors de l’inscription

La légitimité n’est utile que si elle peut être prouvée plus tard. Spamhaus recommande de stocker, pour chaque adresse, au minimum :

Cet enregistrement est ce que vous présentez à une liste de blocage lors d’un litige de retrait de liste et ce sur quoi vous vous appuyez pour répondre à une demande d’effacement ou d’opposition au titre du RGPD (voir Droit d’opposition et effacement). Pas d’enregistrement d’acquisition ≈ pas de consentement défendable. Les meilleures pratiques M3AAWG pour les expéditeurs formalisent la même conservation des preuves de consentement.

Le principe central : le consentement n’est pas transférable

Toutes les méthodes illégitimes ci-dessous échouent au même test : une permission obtenue par une partie ne se transfère pas à une autre. Un contact qui a accepté d’avoir des nouvelles de l’entreprise A n’a pas pour autant accepté d’en avoir de l’entreprise B, de ses « partenaires » ou de quiconque a acheté le fichier. Spamhaus le répète (« le consentement n’est pas transférable ») pour expliquer pourquoi la co-inscription, la location ou l’achat de listes et l’enrichissement de fichiers sont tous dangereux, quelle que soit la façon dont la transaction est formalisée.

Techniques d’acquisition illégitimes

Pratiquement toutes les politiques d’utilisation acceptable des ESP interdisent les listes collectées, achetées, louées, enrichies et issues de co-inscription ou de partenaires ; les utiliser justifie la résiliation du compte, en plus des dégâts de réputation et du risque juridique. C’est pourquoi les audits d’acquisition sont au cœur de la réponse aux incidents d’adresses pièges et du contrôle des clients.

Les logiciels de collecte d’adresses sont illégaux en eux-mêmes

Au-delà de l’atteinte à la réputation, utiliser un logiciel de collecte d’adresses, ou des listes produites par un tel logiciel, constitue une infraction légale distincte dans plusieurs régimes. La collecte d’adresses est ainsi la seule méthode d’acquisition qui n’est pas seulement une mauvaise pratique mais une violation juridique distincte pour l’expéditeur, pour le fournisseur du logiciel et souvent pour l’ESP.

• Nouvelle-Zélande : Unsolicited Electronic Messages Act 2007 (appliquée par le Department of Internal Affairs, DIA) : les entreprises ne doivent pas utiliser « de logiciel de collecte d’adresses électroniques, ni de listes produites à l’aide d’un tel logiciel, dans le but d’envoyer des messages électroniques commerciaux non sollicités » (electronic address harvesting software, or lists that have been generated using such software, for the purpose of sending unsolicited commercial electronic messages). Le DIA souligne qu’acheter une base de données ne rend pas conforme : même lorsqu’un vendeur affirme qu’un « consentement présumé » existe, c’est à l’expéditeur qu’il revient de prouver le consentement au moment de chaque envoi, et une infraction est constituée « qu’il ait cru ou non que le consentement existait du fait de l’achat d’une base de données » (regardless of whether they believe consent existed due to the purchase of a database). Le consentement présumé est étroit : l’adresse doit avoir été publiée de façon visible à titre professionnel ou officiel, sans mention refusant les messages non sollicités, et le message doit concerner le rôle ou les fonctions du destinataire. Les sanctions vont de l’avertissement formel à une action devant la High Court pour des sanctions pécuniaires, une indemnisation et des dommages-intérêts. (Voir Lois APAC sur l’email pour les niveaux de consentement et les sanctions maximales de la loi néo-zélandaise.)
• Australie : Spam Act 2003, articles 20 à 22 : les logiciels de collecte d’adresses et les listes d’adresses collectées ne doivent être ni fournis, ni acquis, ni utilisés en lien avec des envois qui enfreignent la règle du consentement ; ce sont trois infractions distinctes. (Voir Spam Act australien.)
• Canada : LCAP / LPRPDE et États-Unis : CAN-SPAM : la collecte d’adresses et la génération d’adresses par attaque par dictionnaire sont explicitement visées ; c’est une « violation aggravée » (aggravated violation) au titre de CAN-SPAM (15 U.S.C. 7704), et elle relève du Commissariat à la protection de la vie privée (CPVP) au titre de la LPRPDE au Canada. Fournir ou sélectionner des adresses collectées est un fondement distinct qui peut atteindre l’ESP lui-même. (Voir Affaires de sanctions.)

Ce qu’il faut retenir en pratique : un fichier acheté ou « à consentement présumé » proposé par un courtier est présumé dangereux et potentiellement issu d’une collecte d’adresses ; la charge de prouver le contraire pèse sur l’expéditeur, et il ne peut généralement pas s’en acquitter.

Pourquoi la méthode d’acquisition est la cause première

Les symptômes de mauvaise qualité de liste constatés en aval (adresses pièges touchées, taux de plaintes élevés, pics de rebonds définitifs, inscriptions sur des listes de blocage) sont presque toujours des défaillances d’acquisition qui apparaissent tardivement. Un piège vierge n’apparaît que dans un fichier collecté, généré ou acheté ; un piège recyclé n’apparaît que dans un fichier qui a réactivé des adresses périmées ; un pic de plaintes après un échange de listes remonte presque toujours à des adresses enrichies ou transférées dont les titulaires n’ont jamais consenti à recevoir le courrier de cet expéditeur. Corriger l’acquisition se situe donc en amont de toutes les procédures de remédiation, et coûte moins cher :

• Le corollaire des adresses pièges touchées, tiré d’Adresses pièges : « si vos processus de gestion de liste laissent entrer des adresses pièges, il est probable que vous envoyez aussi du courrier à de vraies personnes qui n’en veulent pas ». Les adresses pièges sont un signal du défaut d’acquisition, pas le défaut lui-même.
• Le rétablissement après incident (Rétablissement après un incident de réputation) comprend toujours un audit et une purge de l’acquisition, car refaire la chauffe d’une IP sur la même liste contaminée ne fait que mériter à nouveau le blocage.

Voir aussi

• Méthodes de consentement et spectre de qualité des listes : le classement des huit méthodes par qualité et leurs profils de risque de plaintes (le point de vue de la qualité de la permission)
• Adresses pièges : pièges vierges, recyclés et pièges à fautes de frappe, signaux tardifs d’un défaut d’acquisition
• Hygiène de base de données et politiques de mise en sommeil : la validation à l’inscription et le cycle de vie après l’acquisition
• Réponse aux incidents d’adresses pièges : traiter une adresse piège touchée, y compris l’audit d’acquisition
• Contrôle des clients : comment les ESP examinent les pratiques d’acquisition d’un prospect avant de l’accueillir
• Affaires de sanctions · Spam Act australien · Lois APAC sur l’email : les interdictions légales de la collecte d’adresses
• Évolution des lignes directrices sur le consentement : les positions récentes des autorités de contrôle sur ce qu’exige désormais le consentement