Hvorfor CASL fortjener et eget blikk

Utgivere som betjener canadiske målgrupper tenker som regel først på PIPEDA og Quebecs Law 25. Canadas Anti-Spam Legislation (CASL) er en egen lov, i kraft siden 2014, og den regulerer en annen atferd: å sende kommersielle elektroniske meldinger og å installere dataprogrammer på andres enheter. Hvis du driver nyhetsbrev, push-lignende meldinger eller en app som oppdaterer seg selv, er den relevant for deg.

Hva CASL dekker

Loven har tre hovedområder:

• Kommersielle elektroniske meldinger (CEM-er). E-poster, tekstmeldinger og lignende meldinger som oppfordrer til deltakelse i kommersiell aktivitet krever generelt mottakerens samtykke, identifisering av avsenderen og en fungerende avmeldingsmekanisme.
• Installasjon av dataprogrammer. Å installere et program på andres datasystem som ledd i kommersiell aktivitet krever generelt uttrykkelig samtykke, med tydelig opplysning om hva programmet gjør.
• Villedende praksis. Falske eller villedende fremstillinger i elektroniske meldinger og nettinnhold er forbudt.

Uttrykkelig og stilltiende samtykke

CASL skiller mellom de to typene samtykke, og forskjellen har betydning:

• Uttrykkelig samtykke det bes eksplisitt om, med et tydelig formål, identiteten til den som spør og kontaktopplysninger. Det må være et opt-in; forhåndsmarkerte bokser er ikke en gyldig fremgangsmåte.
• Stilltiende samtykke finnes bare i definerte situasjoner, som et eksisterende forretningsforhold, og det kan utløpe etter en fastsatt periode.

Ta vare på dokumentasjon på hvordan og når samtykket ble innhentet. Under CASL ligger bevisbyrden for samtykke hos avsenderen.

Informasjonskapsler, skript og appoppdateringer

CASLs regler om dataprogrammer handler om programvare, ikke om informasjonskapsler i vanlig forstand, og myndighetenes veiledning har behandlet ordinære informasjonskapsler annerledes enn kjørbare programmer. Når det er sagt, er grensen i praksis ikke alltid åpenbar, særlig for skript og SDK-er som endrer hvordan en enhet oppfører seg. Der produktet ditt installerer eller oppdaterer programvare, bør du behandle opplysnings- og samtykketrinnet nøye og be en jurist gjennomgå den konkrete mekanismen. For vanlige informasjonskapsler og sporing på nettsteder er det personvernlovene (PIPEDA og provinslovene) som er hovedhensynet.

Håndheving og sanksjoner

CRTC er hovedhåndhever, sammen med Competition Bureau og Office of the Privacy Commissioner for visse deler. Administrative bøter kan nå opptil 10 millioner CAD per overtredelse for organisasjoner. En privat søksmålsrett var planlagt, men ble suspendert og har ikke trådt i kraft, så håndhevingen i dag er regulatorisk.

En praktisk sjekkliste for utgivere

1. Bruk et separat, ikke-avkrysset opt-in for nyhetsbrev i stedet for å samle det i informasjonskapselbanneret eller vilkårene.
2. Oppgi hvem som spør, om hva, og hvordan man kan kontakte deg.
3. Ta med en avmelding med ett klikk i hver kommersiell melding, og respekter den raskt.
4. Lagre datoen, kilden og ordlyden som ble vist da samtykket ble gitt.
5. Gjennomgå enhver oppdatering i appen eller SDK som installerer komponenter, og gjør opplysningen eksplisitt.
6. Ikke kjøp eller skrap e-postlister for canadiske mottakere.

Slik hjelper FlexyConsent

FlexyConsent er IAB Canada-sertifisert og støtter Canada inkludert Quebecs Law 25, slik at informasjonskapsel- og sporingssiden av din canadiske målgruppe kan håndteres med bannerfunksjonalitet satt opp for regionen. E-post-opt-ins under CASL er en separat flyt som du må håndtere i dine egne skjemaer og din e-postplattform.

Viktigste poenger

• CASL regulerer kommersielle meldinger og programvareinstallasjon, adskilt fra PIPEDA og Law 25.
• Uttrykkelig samtykke må være et eksplisitt opt-in; stilltiende samtykke er begrenset og kan utløpe.
• Avsenderen må kunne bevise samtykket.
• Hold nyhetsbrevsamtykke atskilt fra informasjonskapselsamtykke, og logg det.
• Få juridisk gjennomgang av enhver komponent som installerer eller oppdaterer programvare på en brukers enhet.