Por qué la CASL merece su propio análisis

Los editores que atienden a audiencias canadienses suelen pensar primero en PIPEDA y en la Ley 25 de Quebec. La legislación antispam de Canadá (CASL) es una ley independiente, en vigor desde 2014, que regula otras conductas: el envío de mensajes electrónicos comerciales y la instalación de programas informáticos en dispositivos ajenos. Si gestiona boletines, mensajería de tipo push o una app que se actualiza sola, le resulta relevante.

Qué cubre la CASL

La ley tiene tres áreas principales:

• Mensajes electrónicos comerciales (CEM). Los correos, SMS y mensajes similares que fomentan la participación en actividad comercial suelen necesitar el consentimiento del destinatario, la identificación del remitente y un mecanismo de baja que funcione.
• Instalación de programas informáticos. Instalar un programa en el sistema informático de otra persona en el curso de una actividad comercial suele requerir consentimiento expreso, con una divulgación clara de lo que hace el programa.
• Prácticas engañosas. Están prohibidas las declaraciones falsas o engañosas en mensajes electrónicos y contenido en línea.

Consentimiento expreso e implícito

La CASL distingue los dos tipos de consentimiento, y la diferencia importa:

• El consentimiento expreso se solicita de forma explícita, con una finalidad clara, la identidad de quien lo pide y datos de contacto. Debe ser un opt-in; las casillas premarcadas no son un método válido.
• El consentimiento implícito solo existe en situaciones definidas, como una relación comercial existente, y puede caducar pasado un periodo determinado.

Conserve prueba de cómo y cuándo se obtuvo el consentimiento. Según la CASL, la carga de probar el consentimiento recae en el remitente.

Cookies, scripts y actualizaciones de apps

Las normas de la CASL sobre programas informáticos se refieren al software, no a las cookies en el sentido habitual, y las orientaciones del regulador han tratado las cookies ordinarias de forma distinta a los programas ejecutables. Dicho esto, la línea no siempre es evidente en la práctica, sobre todo en scripts y SDK que cambian el comportamiento de un dispositivo. Cuando su producto instale o actualice software, trate con cuidado el paso de divulgación y consentimiento y pida a un asesor jurídico que revise el mecanismo concreto. Para las cookies ordinarias de un sitio web y el seguimiento, la preocupación principal son las leyes de privacidad (PIPEDA y las leyes provinciales).

Aplicación y sanciones

La CRTC es el principal organismo de aplicación, junto con la Oficina de Competencia y la Oficina del Comisionado de Privacidad en ciertas partes. Las sanciones administrativas pecuniarias pueden alcanzar hasta 10 millones de dólares canadienses por infracción para las organizaciones. Se había previsto un derecho de acción privado, pero se suspendió y no ha entrado en vigor, por lo que hoy la aplicación es regulatoria.

Una lista de verificación práctica para editores

1. Use un opt-in independiente y sin marcar para los boletines, en lugar de agruparlo con el banner de cookies o los términos.
2. Indique quién lo solicita, para qué y cómo contactarle.
3. Incluya una baja con un solo clic en cada mensaje comercial y respétela con prontitud.
4. Almacene la fecha, el origen y el texto mostrado en el momento del consentimiento.
5. Revise cualquier actualización dentro de la app o SDK que instale componentes, y haga explícita la divulgación.
6. No compre ni extraiga por scraping listas de correo para destinatarios canadienses.

Cómo ayuda FlexyConsent

FlexyConsent está certificado por IAB Canada y es compatible con Canadá, incluida la Ley 25 de Quebec, por lo que el lado de cookies y seguimiento de su audiencia canadiense puede gestionarse con un comportamiento del banner configurado para la región. Los opt-ins de correo electrónico bajo la CASL son un flujo aparte que deberá gestionar en sus propios formularios y en su plataforma de correo.

Conclusiones clave

• La CASL regula los mensajes comerciales y la instalación de software, por separado de PIPEDA y de la Ley 25.
• El consentimiento expreso debe ser un opt-in explícito; el implícito es limitado y puede caducar.
• El remitente debe poder probar el consentimiento.
• Mantenga el consentimiento del boletín separado del de cookies y regístrelo.
• Obtenga revisión jurídica para cualquier componente que instale o actualice software en el dispositivo de un usuario.