Dlaczego CASL zasługuje na osobne omówienie

Wydawcy obsługujący kanadyjską publiczność zwykle myślą najpierw o PIPEDA i quebeckiej Law 25. Kanadyjska ustawa antyspamowa (CASL) to odrębny akt, obowiązujący od 2014 roku, który reguluje inne zachowania: wysyłanie komercyjnych wiadomości elektronicznych i instalowanie programów komputerowych na cudzych urządzeniach. Jeśli prowadzisz newslettery, wiadomości w stylu push lub aplikację, która sama się aktualizuje, ma ona dla Ciebie znaczenie.

Co obejmuje CASL

Ustawa ma trzy główne obszary:

• Komercyjne wiadomości elektroniczne (CEM). E-maile, SMS-y i podobne wiadomości zachęcające do uczestnictwa w działalności handlowej zasadniczo wymagają zgody odbiorcy, identyfikacji nadawcy i działającego mechanizmu rezygnacji z subskrypcji.
• Instalacja programów komputerowych. Instalowanie programu na cudzym systemie komputerowym w toku działalności handlowej zasadniczo wymaga wyraźnej zgody, z jasnym ujawnieniem, co program robi.
• Praktyki wprowadzające w błąd. Fałszywe lub wprowadzające w błąd oświadczenia w wiadomościach elektronicznych i treściach online są zabronione.

Zgoda wyraźna i dorozumiana

CASL rozróżnia te dwa rodzaje zgody, a różnica ma znaczenie:

• Zgoda wyraźna jest wyraźnie wyrażana na prośbę, z jasnym celem, tożsamością osoby proszącej i danymi kontaktowymi. Musi być opt-inem; domyślnie zaznaczone pola wyboru nie są prawidłowym podejściem.
• Zgoda dorozumiana istnieje tylko w określonych sytuacjach, takich jak istniejąca relacja biznesowa, i może wygasnąć po określonym czasie.

Zachowaj dowód, jak i kiedy uzyskano zgodę. Na gruncie CASL ciężar udowodnienia zgody spoczywa na nadawcy.

Pliki cookie, skrypty i aktualizacje aplikacji

Przepisy CASL o programach komputerowych dotyczą oprogramowania, a nie plików cookie w zwykłym rozumieniu, a wytyczne organu nadzorczego traktowały zwykłe pliki cookie inaczej niż programy wykonywalne. Mimo to granica nie zawsze jest w praktyce oczywista, zwłaszcza w przypadku skryptów i SDK zmieniających zachowanie urządzenia. Jeśli Twój produkt instaluje lub aktualizuje oprogramowanie, potraktuj krok ujawnienia i zgody ostrożnie i poproś prawnika o ocenę konkretnego mechanizmu. W przypadku zwykłych plików cookie i śledzenia w witrynie główną kwestią są przepisy o prywatności (PIPEDA i prawa prowincjonalne).

Egzekwowanie i kary

Głównym organem egzekwującym jest CRTC, obok Competition Bureau oraz Office of the Privacy Commissioner w odniesieniu do niektórych części. Administracyjne kary pieniężne mogą sięgać 10 mln CAD za naruszenie w przypadku organizacji. Planowano prywatne prawo do dochodzenia roszczeń, ale zostało ono zawieszone i nie weszło w życie, więc egzekwowanie ma dziś charakter regulacyjny.

Praktyczna lista kontrolna dla wydawców

1. Stosuj osobny, niezaznaczony domyślnie opt-in dla newslettera zamiast łączyć go z banerem cookie lub regulaminem.
2. Podaj, kto prosi, o co i jak się z Tobą skontaktować.
3. Umieszczaj w każdej wiadomości komercyjnej rezygnację jednym kliknięciem i szybko ją respektuj.
4. Zapisuj datę, źródło i treść wyświetlone w chwili wyrażenia zgody.
5. Przejrzyj każdą aktualizację w aplikacji lub SDK instalujące komponenty i uczyń ujawnienie wyraźnym.
6. Nie kupuj ani nie zbieraj scrapingiem list e-mail kanadyjskich odbiorców.

Jak pomaga FlexyConsent

FlexyConsent posiada certyfikat IAB Canada i obsługuje Kanadę, w tym quebecką Law 25, więc stronę cookie i śledzenia dotyczącą kanadyjskiej publiczności można obsłużyć za pomocą zachowania banera ustawionego dla tego regionu. Zapisy e-mail zgodnie z CASL to odrębny przepływ, który musisz obsłużyć we własnych formularzach i platformie e-mail.

Najważniejsze wnioski

• CASL reguluje wiadomości komercyjne i instalację oprogramowania, odrębnie od PIPEDA i Law 25.
• Zgoda wyraźna musi być jednoznacznym opt-inem; zgoda dorozumiana jest ograniczona i może wygasnąć.
• Nadawca musi móc udowodnić zgodę.
• Oddziel zgodę na newsletter od zgody na cookies i ją rejestruj.
• Zleć przegląd prawny każdego komponentu instalującego lub aktualizującego oprogramowanie na urządzeniu użytkownika.