Lei Antispam do Canadá (CASL): o que publishers e desenvolvedores de apps precisam saber
Por que a CASL merece um olhar próprio
Publishers que atendem audiências canadenses costumam pensar primeiro na PIPEDA e na Lei 25 de Quebec. A Lei Antispam do Canadá (CASL) é uma lei separada, em vigor desde 2014, e regula outro comportamento: o envio de mensagens eletrônicas comerciais e a instalação de programas de computador nos dispositivos de outras pessoas. Se você mantém newsletters, mensagens do tipo push ou um app que se atualiza sozinho, ela é relevante para você.
O que a CASL cobre
A lei tem três áreas principais:
- Mensagens eletrônicas comerciais (CEMs). E-mails, SMS e mensagens semelhantes que incentivam a participação em atividade comercial geralmente precisam do consentimento do destinatário, da identificação do remetente e de um mecanismo de cancelamento funcional.
- Instalação de programas de computador. Instalar um programa no sistema de computador de outra pessoa no curso de uma atividade comercial geralmente exige consentimento expresso, com divulgação clara do que o programa faz.
- Práticas enganosas. São proibidas declarações falsas ou enganosas em mensagens eletrônicas e em conteúdo online.
Consentimento expresso e implícito
A CASL distingue os dois tipos de consentimento, e a diferença importa:
- O consentimento expresso é pedido de forma explícita, com uma finalidade clara, a identidade de quem pede e dados de contato. Deve ser um opt-in; caixas pré-marcadas não são uma abordagem válida.
- O consentimento implícito existe apenas em situações definidas, como uma relação comercial existente, e pode expirar após um prazo determinado.
Guarde a prova de como e quando o consentimento foi obtido. Pela CASL, o ônus de provar o consentimento é do remetente.
Cookies, scripts e atualizações de apps
As regras de programas de computador da CASL tratam de software, não de cookies no sentido habitual, e a orientação do regulador tem tratado cookies comuns de forma diferente de programas executáveis. Dito isso, a linha nem sempre é óbvia na prática, especialmente para scripts e SDKs que alteram o comportamento de um dispositivo. Quando seu produto instala ou atualiza software, trate com cuidado a etapa de divulgação e consentimento e peça a um advogado que revise o mecanismo específico. Para cookies comuns de sites e rastreamento, as leis de privacidade (PIPEDA e leis provinciais) são a principal preocupação.
Fiscalização e penalidades
A CRTC é a principal fiscalizadora, ao lado do Competition Bureau e do Office of the Privacy Commissioner em certas partes. As sanções administrativas pecuniárias podem chegar a 10 milhões de dólares canadenses por violação para organizações. Um direito de ação privada foi planejado, mas foi suspenso e não entrou em vigor, então a fiscalização hoje é regulatória.
Uma lista prática para publishers
- Use um opt-in separado e desmarcado para newsletters, em vez de embuti-lo no banner de cookies ou nos termos.
- Informe quem está pedindo, para quê e como entrar em contato com você.
- Inclua um cancelamento com um clique em toda mensagem comercial e respeite-o prontamente.
- Armazene a data, a origem e o texto exibido no momento do consentimento.
- Revise qualquer atualização dentro do app ou SDK que instale componentes e torne a divulgação explícita.
- Não compre nem faça scraping de listas de e-mail para destinatários canadenses.
Como o FlexyConsent ajuda
O FlexyConsent é certificado pela IAB Canada e oferece suporte ao Canadá, incluindo a Lei 25 de Quebec, de modo que o lado de cookies e rastreamento da sua audiência canadense pode ser tratado com um comportamento de banner configurado para a região. Os opt-ins de e-mail sob a CASL são um fluxo separado, que você precisará tratar nos seus próprios formulários e na sua plataforma de e-mail.
Principais conclusões
- A CASL regula mensagens comerciais e instalação de software, separadamente da PIPEDA e da Lei 25.
- O consentimento expresso deve ser um opt-in explícito; o implícito é limitado e pode expirar.
- O remetente deve ser capaz de provar o consentimento.
- Mantenha o consentimento de newsletter separado do de cookies e registre-o.
- Obtenha revisão jurídica para qualquer componente que instale ou atualize software no dispositivo do usuário.