Varför CASL förtjänar en egen genomgång

Publishers som betjänar kanadensiska målgrupper tänker oftast först på PIPEDA och Quebecs Law 25. Canadas Anti-Spam Legislation (CASL) är en separat lag, i kraft sedan 2014, och den reglerar ett annat beteende: att skicka kommersiella elektroniska meddelanden och att installera datorprogram på andras enheter. Om du driver nyhetsbrev, push-liknande meddelanden eller en app som uppdaterar sig själv är den relevant för dig.

Vad CASL omfattar

Lagen har tre huvudområden:

• Kommersiella elektroniska meddelanden (CEM). E-post, textmeddelanden och liknande meddelanden som uppmuntrar till deltagande i kommersiell verksamhet kräver i allmänhet mottagarens samtycke, identifiering av avsändaren och en fungerande avregistreringsmekanism.
• Installation av datorprogram. Att installera ett program på någon annans datorsystem i kommersiell verksamhet kräver i allmänhet uttryckligt samtycke, med tydlig information om vad programmet gör.
• Vilseledande metoder. Falska eller vilseledande framställningar i elektroniska meddelanden och onlineinnehåll är förbjudna.

Uttryckligt och underförstått samtycke

CASL skiljer mellan de två typerna av samtycke, och skillnaden spelar roll:

• Uttryckligt samtycke efterfrågas explicit, med ett tydligt syfte, identiteten på den som frågar och kontaktuppgifter. Det måste vara ett opt-in; förbockade rutor är inte ett giltigt tillvägagångssätt.
• Underförstått samtycke finns bara i definierade situationer, till exempel en befintlig affärsrelation, och det kan löpa ut efter en bestämd period.

Spara bevis på hur och när samtycket inhämtades. Enligt CASL ligger bevisbördan för samtycke på avsändaren.

Cookies, skript och appuppdateringar

CASL:s regler om datorprogram handlar om programvara, inte om cookies i vanlig mening, och myndighetens vägledning har behandlat vanliga cookies annorlunda än körbara program. Samtidigt är gränsen i praktiken inte alltid självklar, särskilt för skript och SDK:er som ändrar hur en enhet beter sig. Där din produkt installerar eller uppdaterar programvara bör du hantera information- och samtyckessteget noggrant och be en jurist granska den specifika mekanismen. För vanliga webbplatscookies och spårning är det integritetslagarna (PIPEDA och provinslagarna) som är huvudfrågan.

Tillsyn och sanktioner

CRTC är den huvudsakliga tillsynsmyndigheten, tillsammans med Competition Bureau och Office of the Privacy Commissioner för vissa delar. Administrativa sanktionsavgifter kan uppgå till 10 miljoner CAD per överträdelse för organisationer. En privat talerätt var planerad men sköts upp och har inte trätt i kraft, så tillsynen idag är regulatorisk.

En praktisk checklista för publishers

1. Använd ett separat, icke-förbockat opt-in för nyhetsbrev i stället för att bunta ihop det med cookiebannern eller villkoren.
2. Ange vem som frågar, om vad och hur man når dig.
3. Inkludera en avregistrering med ett klick i varje kommersiellt meddelande och respektera den omgående.
4. Spara datum, källa och den formulering som visades vid samtycket.
5. Granska varje appuppdatering eller SDK som installerar komponenter och gör informationen explicit.
6. Köp eller skrapa inte e-postlistor för kanadensiska mottagare.

Så hjälper FlexyConsent

FlexyConsent är IAB Canada-certifierat och stöder Kanada inklusive Quebecs Law 25, så cookie- och spårningssidan av din kanadensiska publik kan hanteras med bannerbeteende som är inställt för regionen. E-post-opt-ins enligt CASL är ett separat flöde som du måste hantera i dina egna formulär och din e-postplattform.

Viktigaste punkter

• CASL reglerar kommersiella meddelanden och programvaruinstallation, separat från PIPEDA och Law 25.
• Uttryckligt samtycke måste vara ett explicit opt-in; underförstått samtycke är begränsat och kan löpa ut.
• Avsändaren måste kunna bevisa samtycket.
• Håll nyhetsbrevssamtycke åtskilt från cookiesamtycke och logga det.
• Låt jurist granska varje komponent som installerar eller uppdaterar programvara på en användares enhet.