Waarom CASL een eigen blik verdient

Uitgevers die een Canadees publiek bedienen denken meestal eerst aan PIPEDA en Quebecs Wet 25. Canada's antispamwetgeving (CASL) is een aparte wet, sinds 2014 van kracht, die ander gedrag regelt: het versturen van commerciële elektronische berichten en het installeren van computerprogramma's op apparaten van anderen. Als je nieuwsbrieven, pushachtige berichten of een zichzelf updatende app hebt, is ze voor jou relevant.

Wat CASL omvat

De wet heeft drie hoofdgebieden:

• Commerciële elektronische berichten (CEM's). E-mails, sms'jes en vergelijkbare berichten die aanzetten tot deelname aan commerciële activiteit vereisen over het algemeen toestemming van de ontvanger, identificatie van de afzender en een werkend afmeldmechanisme.
• Installatie van computerprogramma's. Het installeren van een programma op het computersysteem van iemand anders in het kader van commerciële activiteit vereist over het algemeen uitdrukkelijke toestemming, met een duidelijke uitleg van wat het programma doet.
• Misleidende praktijken. Valse of misleidende voorstellingen in elektronische berichten en online content zijn verboden.

Uitdrukkelijke en impliciete toestemming

CASL maakt onderscheid tussen de twee soorten toestemming, en dat verschil doet ertoe:

• Uitdrukkelijke toestemming wordt expliciet gevraagd, met een duidelijk doel, de identiteit van de vrager en contactgegevens. Het moet een opt-in zijn; vooraf aangevinkte vakjes zijn geen geldige aanpak.
• Impliciete toestemming bestaat alleen in omschreven situaties, zoals een bestaande zakelijke relatie, en kan na een bepaalde periode verlopen.

Bewaar bewijs van hoe en wanneer toestemming is verkregen. Onder CASL ligt de bewijslast voor toestemming bij de afzender.

Cookies, scripts en app-updates

De regels van CASL over computerprogramma's gaan over software, niet over cookies in de gebruikelijke zin, en de richtlijnen van de toezichthouder hebben gewone cookies anders behandeld dan uitvoerbare programma's. Dat gezegd hebbende, is de grens in de praktijk niet altijd duidelijk, vooral bij scripts en SDK's die het gedrag van een apparaat veranderen. Waar je product software installeert of bijwerkt, behandel de stap van openbaarmaking en toestemming zorgvuldig en laat een jurist het specifieke mechanisme beoordelen. Voor gewone websitecookies en tracking zijn de privacywetten (PIPEDA en provinciale wetten) de belangrijkste zorg.

Handhaving en boetes

De CRTC is de belangrijkste handhaver, naast het Competition Bureau en, voor bepaalde onderdelen, het Office of the Privacy Commissioner. Administratieve geldboetes kunnen voor organisaties oplopen tot 10 miljoen Canadese dollar per overtreding. Een particulier klachtrecht was gepland maar is opgeschort en nooit in werking getreden, dus de handhaving is vandaag toezichthoudend.

Een praktische checklist voor uitgevers

1. Gebruik een aparte, niet-aangevinkte opt-in voor nieuwsbrieven in plaats van die onder te brengen in de cookiebanner of de voorwaarden.
2. Geef aan wie het vraagt, waarvoor en hoe je te bereiken bent.
3. Neem in elk commercieel bericht een afmelding met één klik op en honoreer die snel.
4. Sla de datum, de bron en de getoonde tekst op het moment van toestemming op.
5. Controleer elke in-app-update of SDK die componenten installeert en maak de openbaarmaking expliciet.
6. Koop of scrape geen e-maillijsten voor Canadese ontvangers.

Hoe FlexyConsent helpt

FlexyConsent is IAB Canada-gecertificeerd en ondersteunt Canada, inclusief Quebecs Wet 25, zodat de cookie- en trackingkant van je Canadese publiek kan worden afgehandeld met bannergedrag dat voor de regio is ingesteld. E-mail-opt-ins onder CASL zijn een aparte stroom die je in je eigen formulieren en e-mailplatform moet afhandelen.

Belangrijkste punten

• CASL regelt commerciële berichten en software-installatie, los van PIPEDA en Wet 25.
• Uitdrukkelijke toestemming moet een expliciete opt-in zijn; impliciete toestemming is beperkt en kan verlopen.
• De afzender moet toestemming kunnen aantonen.
• Houd nieuwsbriefstoestemming gescheiden van cookietoestemming en leg die vast.
• Laat juridisch toetsen voor elk component dat software op het apparaat van een gebruiker installeert of bijwerkt.