Pourquoi la CASL mérite un examen à part

Les éditeurs qui servent un public canadien pensent d'abord à la LPRPDE (PIPEDA) et à la Loi 25 du Québec. La Loi canadienne anti-pourriel (CASL) est une loi distincte, en vigueur depuis 2014, qui encadre d'autres comportements : l'envoi de messages électroniques commerciaux et l'installation de programmes informatiques sur les appareils d'autrui. Si vous gérez des newsletters, des messages de type push ou une application qui se met à jour elle-même, elle vous concerne.

Ce que couvre la CASL

La loi comporte trois grands domaines :

• Messages électroniques commerciaux (MEC). Les courriels, SMS et messages similaires qui encouragent la participation à une activité commerciale nécessitent généralement le consentement du destinataire, l'identification de l'expéditeur et un mécanisme de désabonnement fonctionnel.
• Installation de programmes informatiques. Installer un programme sur le système informatique d'autrui dans le cadre d'une activité commerciale nécessite généralement un consentement exprès, avec une divulgation claire de ce que fait le programme.
• Pratiques trompeuses. Les déclarations fausses ou trompeuses dans les messages électroniques et le contenu en ligne sont interdites.

Consentement exprès et tacite

La CASL distingue les deux types de consentement, et la différence compte :

• Le consentement exprès est demandé explicitement, avec une finalité claire, l'identité de la personne qui demande et des coordonnées. Il doit s'agir d'un opt-in ; les cases précochées ne sont pas une approche valable.
• Le consentement tacite n'existe que dans des situations définies, comme une relation d'affaires existante, et peut expirer après un délai déterminé.

Conservez la preuve de la manière et du moment où le consentement a été obtenu. Sous la CASL, la charge de prouver le consentement incombe à l'expéditeur.

Cookies, scripts et mises à jour d'applications

Les règles de la CASL sur les programmes informatiques concernent les logiciels, pas les cookies au sens habituel, et les lignes directrices du régulateur ont traité les cookies ordinaires différemment des programmes exécutables. Cela dit, la frontière n'est pas toujours évidente en pratique, notamment pour les scripts et SDK qui modifient le comportement d'un appareil. Là où votre produit installe ou met à jour des logiciels, traitez avec soin l'étape de divulgation et de consentement, et demandez à un conseiller juridique d'examiner le mécanisme précis. Pour les cookies de site ordinaires et le suivi, ce sont les lois sur la protection de la vie privée (LPRPDE et lois provinciales) qui constituent la principale préoccupation.

Application et sanctions

Le CRTC est le principal organe d'application, aux côtés du Bureau de la concurrence et du Commissariat à la protection de la vie privée pour certaines parties. Les sanctions administratives pécuniaires peuvent atteindre 10 millions de dollars canadiens par violation pour les organisations. Un droit privé d'action était prévu, mais il a été suspendu et n'est pas entré en vigueur ; l'application relève donc aujourd'hui du régulateur.

Une liste de contrôle pratique pour les éditeurs

1. Utilisez un opt-in distinct et non précoché pour les newsletters, au lieu de le regrouper avec la bannière de cookies ou les conditions d'utilisation.
2. Indiquez qui demande, pour quoi, et comment vous joindre.
3. Incluez un désabonnement en un clic dans chaque message commercial et honorez-le rapidement.
4. Conservez la date, la source et le libellé affiché au moment du consentement.
5. Examinez toute mise à jour intégrée à l'application ou tout SDK qui installe des composants, et rendez la divulgation explicite.
6. N'achetez ni ne collectez par scraping de listes de courriels pour des destinataires canadiens.

Comment FlexyConsent vous aide

FlexyConsent est certifié IAB Canada et prend en charge le Canada, y compris la Loi 25 du Québec ; le volet cookies et suivi de votre public canadien peut donc être traité avec un comportement de bannière configuré pour la région. Les opt-ins par courriel au titre de la CASL constituent un flux distinct que vous devrez gérer dans vos propres formulaires et votre plateforme d'emailing.

Points clés à retenir

• La CASL régit les messages commerciaux et l'installation de logiciels, séparément de la LPRPDE et de la Loi 25.
• Le consentement exprès doit être un opt-in explicite ; le consentement tacite est limité et peut expirer.
• L'expéditeur doit pouvoir prouver le consentement.
• Séparez le consentement à la newsletter du consentement aux cookies et consignez-le.
• Faites faire un examen juridique pour tout composant qui installe ou met à jour un logiciel sur l'appareil d'un utilisateur.