Почему CASL заслуживает отдельного внимания

Издатели, работающие с канадской аудиторией, обычно в первую очередь думают о PIPEDA и законе 25 Квебека. Антиспам-закон Канады (CASL) — отдельный закон, действующий с 2014 года, и он регулирует другое поведение: отправку коммерческих электронных сообщений и установку компьютерных программ на чужие устройства. Если вы ведёте рассылки, используете push-подобные сообщения или у вас есть приложение, которое обновляется само, он имеет к вам отношение.

Что охватывает CASL

У закона три основные области:

• Коммерческие электронные сообщения (CEM). Электронные письма, SMS и подобные сообщения, побуждающие к участию в коммерческой деятельности, как правило, требуют согласия получателя, указания отправителя и работающего механизма отписки.
• Установка компьютерных программ. Установка программы на чужую компьютерную систему в ходе коммерческой деятельности, как правило, требует прямого согласия с чётким раскрытием того, что делает программа.
• Вводящие в заблуждение практики. Ложные или вводящие в заблуждение утверждения в электронных сообщениях и онлайн-контенте запрещены.

Прямое и подразумеваемое согласие

CASL различает два вида согласия, и разница существенна:

• Прямое согласие запрашивается явно, с чёткой целью, указанием того, кто просит, и контактными данными. Это должен быть opt-in; предварительно отмеченные флажки недопустимы.
• Подразумеваемое согласие существует только в определённых ситуациях, например при действующих деловых отношениях, и может истечь по прошествии установленного срока.

Сохраняйте подтверждение того, как и когда было получено согласие. По CASL бремя доказывания согласия лежит на отправителе.

Cookie, скрипты и обновления приложений

Нормы CASL о компьютерных программах касаются ПО, а не cookie в обычном смысле, и в разъяснениях регулятора обычные cookie рассматривались иначе, чем исполняемые программы. Тем не менее на практике граница не всегда очевидна, особенно для скриптов и SDK, которые меняют поведение устройства. Если ваш продукт устанавливает или обновляет ПО, внимательно отнеситесь к этапу раскрытия информации и получения согласия и попросите юриста проверить конкретный механизм. Для обычных cookie на сайтах и отслеживания главную роль играют законы о конфиденциальности (PIPEDA и законы провинций).

Контроль и санкции

Основной контролирующий орган — CRTC, наряду с Бюро по конкуренции и Управлением уполномоченного по защите частной жизни в отдельных частях. Административные денежные штрафы для организаций могут достигать 10 млн канадских долларов за нарушение. Частное право на иск планировалось, но было приостановлено и в силу не вступило, поэтому сегодня применение закона носит регуляторный характер.

Практический чек-лист для издателей

1. Используйте отдельный opt-in без предустановленной отметки для рассылок, а не включайте его в cookie-баннер или условия.
2. Укажите, кто просит, о чём и как с вами связаться.
3. Добавляйте отписку в один клик в каждое коммерческое сообщение и оперативно её исполняйте.
4. Храните дату, источник и формулировку, показанную в момент согласия.
5. Проверьте любое обновление в приложении или SDK, устанавливающие компоненты, и сделайте раскрытие информации явным.
6. Не покупайте и не собирайте скрейпингом списки адресов для канадских получателей.

Чем помогает FlexyConsent

FlexyConsent сертифицирован IAB Canada и поддерживает Канаду, включая закон 25 Квебека, поэтому часть, связанную с cookie и отслеживанием вашей канадской аудитории, можно закрыть поведением баннера, настроенным для региона. Email-opt-in по CASL — отдельный процесс, который вам нужно реализовать в собственных формах и почтовой платформе.

Главное

• CASL регулирует коммерческие сообщения и установку ПО отдельно от PIPEDA и закона 25.
• Прямое согласие должно быть явным opt-in; подразумеваемое согласие ограничено и может истечь.
• Отправитель должен уметь доказать согласие.
• Храните согласие на рассылку отдельно от согласия на cookie и ведите его журнал.
• Получите юридическую проверку для любого компонента, который устанавливает или обновляет ПО на устройстве пользователя.