Perché la CASL merita un'analisi a parte

Gli editori che servono un pubblico canadese pensano di solito prima a PIPEDA e alla Legge 25 del Québec. La legge anti-spam canadese (CASL) è una legge distinta, in vigore dal 2014, che regola comportamenti diversi: l'invio di messaggi elettronici commerciali e l'installazione di programmi informatici sui dispositivi altrui. Se gestite newsletter, messaggistica di tipo push o un'app che si aggiorna da sola, vi riguarda.

Cosa copre la CASL

La legge ha tre aree principali:

• Messaggi elettronici commerciali (CEM). Email, SMS e messaggi simili che incoraggiano la partecipazione ad attività commerciali richiedono in genere il consenso del destinatario, l'identificazione del mittente e un meccanismo di disiscrizione funzionante.
• Installazione di programmi informatici. Installare un programma sul sistema informatico di un'altra persona nel corso di un'attività commerciale richiede in genere un consenso espresso, con una chiara informazione su ciò che il programma fa.
• Pratiche ingannevoli. Sono vietate le dichiarazioni false o fuorvianti nei messaggi elettronici e nei contenuti online.

Consenso espresso e implicito

La CASL distingue i due tipi di consenso, e la differenza conta:

• Il consenso espresso viene richiesto in modo esplicito, con una finalità chiara, l'identità di chi lo chiede e i recapiti. Deve essere un opt-in; le caselle preselezionate non sono un metodo valido.
• Il consenso implicito esiste solo in situazioni definite, come un rapporto commerciale in corso, e può scadere dopo un periodo stabilito.

Conservate la prova di come e quando è stato ottenuto il consenso. Secondo la CASL, l'onere di provare il consenso grava sul mittente.

Cookie, script e aggiornamenti delle app

Le regole della CASL sui programmi informatici riguardano il software, non i cookie nel senso comune, e le indicazioni dell'autorità hanno trattato i cookie ordinari diversamente dai programmi eseguibili. Detto questo, il confine non è sempre evidente nella pratica, soprattutto per script e SDK che modificano il comportamento di un dispositivo. Dove il vostro prodotto installa o aggiorna software, trattate con attenzione il passaggio di informativa e consenso e chiedete a un consulente legale di esaminare lo specifico meccanismo. Per i cookie ordinari del sito e il tracciamento, la preoccupazione principale sono le leggi sulla privacy (PIPEDA e leggi provinciali).

Applicazione e sanzioni

La CRTC è il principale organo di applicazione, insieme al Competition Bureau e all'Office of the Privacy Commissioner per alcune parti. Le sanzioni amministrative pecuniarie possono arrivare fino a 10 milioni di dollari canadesi per violazione per le organizzazioni. Era previsto un diritto d'azione privato, ma è stato sospeso e non è entrato in vigore; l'applicazione oggi è quindi di tipo regolatorio.

Una checklist pratica per gli editori

1. Usate un opt-in separato e non preselezionato per le newsletter, invece di accorparlo al banner dei cookie o ai termini.
2. Indicate chi chiede, per cosa e come contattarvi.
3. Includete una disiscrizione con un clic in ogni messaggio commerciale e rispettatela tempestivamente.
4. Conservate data, fonte e formulazione mostrata al momento del consenso.
5. Esaminate qualsiasi aggiornamento in-app o SDK che installi componenti, e rendete esplicita l'informativa.
6. Non acquistate né raccogliete tramite scraping elenchi di email per destinatari canadesi.

Come aiuta FlexyConsent

FlexyConsent è certificato IAB Canada e supporta il Canada, inclusa la Legge 25 del Québec, quindi il lato cookie e tracciamento del vostro pubblico canadese può essere gestito con un comportamento del banner configurato per la regione. Gli opt-in via email ai sensi della CASL sono un flusso separato che dovrete gestire nei vostri moduli e nella vostra piattaforma email.

Punti chiave

• La CASL regola i messaggi commerciali e l'installazione di software, separatamente da PIPEDA e dalla Legge 25.
• Il consenso espresso deve essere un opt-in esplicito; il consenso implicito è limitato e può scadere.
• Il mittente deve essere in grado di provare il consenso.
• Tenete il consenso alla newsletter separato da quello ai cookie e registratelo.
• Ottenete una revisione legale per qualsiasi componente che installi o aggiorni software sul dispositivo di un utente.