PRÉPAREZ-VOUS POUR L ANTI-POURRIEL

Transcription

1 PRÉPAREZ-VOUS POUR L ANTI-POURRIEL 1

2 Législation canadienne anti-pourriel (LCAP) La LCAP est une nouvelle loi fédérale visant l élimination de communications électroniques non-sollicitées et malveillantes. Initialement introduites en décembre 2010, la majorité des dispositions de la LCAP seront mises en vigueur le 1er juillet Une fois en vigueur, les entreprises auront à se conformer avec les exigences de consentement spécifique, de divulgation et d exclusion lors de l envoi de communications électroniques. La LCAP est accompagnée de deux règlements du Conseil de la radiodiffusion et des télécommunications canadiennes (Règ CRTC) et d Industrie Canada (Règ IC). La CRTC a aussi émis trois bulletins d information (désignés comme les Bulletins d information de Conformité et Enquêtes CRTC , et ), mais ces bulletins n ont pas force de loi. Ce guide fournit l information de base au sujet de la LCAP pour aider à comprendre comment elle affectera les pratiques de communication électronique et se concentrera sur l interdiction de la LCAP du «pourriel». Nous incluons aussi un bref sommaire dans la section VIII ci-dessous sur les dispositions concernant l installation des programmes d ordinateur. Dans nombreux cas où un article s applique à votre entreprise, nous recommandons que vous vérifiiez attentivement la formulation spécifique de la LCAP puisque les notes ci-dessous sont paraphrasées. Les références aux articles de la LCAP et les règlements applicables ont été ajoutées pour faciliter les références. Qu est-ce que la LCAP interdit? La LCAP vise trois activités: Pourriel Hameçonnage Interdiction d envoyer, causer ou permettre d envoyer des messages électroniques commerciaux (MECs) sans le consentement exprès ou tacite du destinataire et en conformité avec les exigences de forme et de contenu (article 6); Interdiction de modifier les données de transmission d un message électronique faisant en sorte que le message soit livré à une adresse alternative sans le consentement exprès (article 7); et Logiciels espions/ Interdiction d installer un programme d ordinateur sur l ordinateur d une autre logiciels malveillants personne ou causer des messages électroniques à être envoyés de cet ordinateur sans le consentement exprès (article 8). La LCAP l emporte sur des dispositions incompatibles de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDÉ) (article 2). 1

3 La LCAP fait la distinction, dans certains articles, entre une personne physique et des «personnes», qui sont définies pour inclure une personne physique, société de personnes, personne morale, organisation, association, fiduciaire, exécuteur, liquidateur de la succession, administrateur, séquestre ou représentant légal (alinéa 1(1)). I. Pourriel Messages électroniques commerciaux Pour se préparer à s attaquer aux obligations de la LCAP, il est important de comprendre le concept global de cette loi. Premièrement, l article 6 inclut une interdiction générale d envoyer, causer ou permettre d envoyer des messages électroniques commerciaux («MEC»s) sans (i) le consentement, et (ii) la conformité avec certaines exigences de forme et de contenu. Cette interdiction englobe de nombreux messages, alors après avoir fait la revue de la définition de base des MECs, la prochaine étape est de s attarder aux exceptions où ni le consentement ni les exigences de forme sont requis, ou lorsque le consentement exprès et/ou tacite ne serait pas nécessairement requis. C est seulement une fois que nous comprenons les différentes exceptions que nous pouvons évaluer l effet global sur les entreprises. La première étape est de s attarder à la définition de «message électronique commercial». «Message électronique commercial» ou MEC est défini largement pour englober des messages électroniques qui ont parmi leurs objectifs, d «encourager la participation à une activité commerciale» et sont envoyés aux comptes courriels, comptes de messagerie instantanée et tout autre compte similaire (alinéa 1(2)). Les MECs n incluent pas les messages à une boîte vocale ou par fac-similé (alinéa 6(8)), ou des messages à des fins d observation de la loi ou la sécurité publique (alinéa 1(4)). «Activité commerciale» Inclut tout acte isolé ou activité régulière qui revêt un caractère commercial dans le but, ou non, de réaliser un profit (alinéa 1(1)). II. Exceptions où la LCAP ne s applique pas aux MECs La LCAP ne s applique pas à certains types de messages, ce qui signifie qu il n y a pas d exigences de consentement ou de forme pour: «Communications familiaux ou personnelles»: MECs envoyés à des membres de famille ou ceux ayant des liens personnels avec l expéditeur (alinéa 6(5)(a) et Règ). Un «lien personnel» existe entre des personnes physiques seulement et comprend les facteurs d une histoire de communications bilatérales, un partage d intérêts, la fréquence des communications et le fait que les personnes se sont rencontrées ou non en personne (article 2, Règ IC); «Demandes portant sur des activités commerciales» : MECs consistant uniquement en une demande portant sur les activités du destinataire (alinéa 6(5)(b)); 2

4 «Communications internes à l organisation» : MECs envoyés à l intérieur d une organisation (entre employés, représentants, consultants ou franchisés) à condition que le MEC concerne les activités de l organisation (alinéa 3(a)(ii), Règ IC); «Communications entre organisations» : MECs envoyés entre organisations (entre employés, représentants, consultants ou franchisés) à condition que (a) les organisations entretiennent des rapports et (b) le MEC concerne les activités de l organisation à qui le message est envoyé (alinéa 3(a)(ii), Règ IC); «Communications suscitées» : MECs qui sont des réponses à une demande, notamment une demande de renseignements, une plainte ou sollicités de quelque façon que ce soit par le destinataire (alinéa 3(b), Règ IC); «Communications juridiques» : MECs envoyés pour satisfaire à une obligation juridique ou pour faire valoir un droit (alinéa 3(c), Règ IC). «Communications de réseaux sociaux» : MECs envoyés et reçus sur un «service de messagerie électronique» à condition que l information requise et le mécanisme d exclusion soient publiés de façon à être visibles sur l interface utilisateur et que le destinataire a fourni un consentement tacite ou exprès (alinéa 3(d), Règ IC). Il est attendu que ceci s applique à des services de réseaux sociaux ou des services de messagerie instantanée; «Communications à un compte sécuritaire» : MECs envoyés à un compte sécuritaire et confidentiel à accès restreint, auquel les messages ne peuvent être envoyés que par la personne qui a fourni le compte (alinéa 3(e), Règ IC); «Communications à destination étrangère» : MECs envoyés avec une attente raisonnable que les MECs seront accédés dans un État étranger et qu il sera conforme aux lois de cet État (alinéa 3(e), Règ IC). Une liste des pays reconnus est annexée aux règlements; «Communication de levée de fonds» : MECs envoyés par ou au nom d un organisme de bienfaisance enregistré ayant comme objectif principal la levée de fonds pour l organisme de bienfaisance (alinéa 3(g), Règ IC); et «Communication de sollicitations politiques» : MECs envoyés par ou au nom d un(e) parti/ organisation politique ayant comme objectif principal de solliciter des contributions (alinéa 3(h), Règ IC). 3

5 III. Exigences de forme pour les MECs En vertu de la LCAP, tous les MECs, sauf s ils sont assujettis à une exception notée ci-haut dans la section II, devront inclure les renseignements suivants en termes simples et clairs (alinéas 6(2) et (3), 10(1), 11(1)-(3) et Règ CRTC) : Identifier/nom d affaires de la personne envoyant le MEC, ou au nom duquel le MEC est envoyé (alinéa 6(2)); Si le MEC est envoyé au nom d une autre personne, une déclaration doit être inclut indiquant quelle personne envoi le message et quelle personne au nom duquel il est envoyé; Les coordonnées incluant l adresse postale et, soit le numéro de téléphone ou l adresse courriel/site Web de la personne envoyant le MEC, ou si différente, de la personne au nom duquel le MEC est envoyé. Cette information doit permettre le destinataire de communiquer facilement avec l une ou l autre de ces personnes (alinéa 6(2)). Les coordonnées doivent être valables pour 60 jours après que le message a été envoyé (alinéa 6(3)); et Mécanisme d exclusion doit être inclus avec une adresse électronique ou lien vers une page Web et doit être «facilement exécutable». Ce lien doit être valable pour 60 jours après l envoi du message. L exclusion doit être effectuée à l intérieur de 10 jours ouvrables après la demande d exclusion (alinéas 11(1)-(3)). IV. Consentement Le consentement peut être obtenue de l une de trois manières : Consentement exprès du destinataire (alinéa 10(1)); Consentement tacite d envoyer le MEC (alinéa 10(9)); ou Une exception applicable (alinéa 6(6)). Le fardeau de prouver le consentement incombe à l expéditeur du MEC (article 13). Consentement exprès Afin d obtenir un consentement exprès valable (alinéa 10(1) et Règ CRTC), la demande de consentement doit : Énoncer clairement et simplement l information exigée; Énoncer la raison pour laquelle le consentement est demandé; 4

6 Inclure le nom d affaires de la personne demandant le consentement et le nom d affaires de toute personne au nom duquel le consentement est demandé; et spécifiant quelle personne demande le consentement et quelle personne au nom duquel le consentement est demandé; Inclure les coordonnées qui consistent en l adresse postale et soit le numéro de téléphone ou l adresse courriel/site Web de la personne envoyant, ou si différent, la personne au nom duquel le MEC est envoyé; Être un mécanisme d activation (ex : cliquer une boîte ou inscrire une adresse de courriel) et non un mécanisme de retrait; Énoncer que le consentement peut être retiré; Être séparé pour chaque acte d envoyer un MEC, installer un programme d ordinateur et modification des données de transmission (Règ CRTC); et Ne pas être groupé avec d autres conditions générales, notamment des conditions d utilisation ou de vente (Règ CRTC). Note: Le consentement peut être obtenu en papier ou électroniquement. Toutefois, une demande de consentement envoyé par message électronique est un MEC et donc il doit se conformer avec les dispositions de forme et de contenu afin d être envoyé (alinéa 1(3)). Le consentement peut être obtenu au nom d un tiers inconnu (qui dépendra sur le consentement) à condition que certaines conditions des règlements IC au sujet de l utilisation continue et retrait du consentement soient satisfaites. Consentement tacite Le consentement tacite existe lorsque : L expéditeur et le destinataire ont une «relation d affaires en cours» (alinéa 10(9) et définition détaillée à l alinéa 10(10)) : Au cours des derniers deux ans : tout achat ou louage de produits ou de services, acceptation d une possibilité d affaires ou investissement, troc, ou un contrat en vigueur ou expiré au cours des derniers deux ans; ou Au cours des derniers six mois : une demande, notamment une demande de renseignements, de l expéditeur du MEC relativement à n importe laquelle de ces transactions d affaires. 5

7 L expéditeur et le destinataire ont une «relation privée en cours» (alinéa 10(9) et définition détaillée à l alinéa 10(13) et Règ IC), c est-à-dire au cours des derniers deux ans, lorsqu il y a un don de temps ou d argent à un organisme de bienfaisance enregistré, un parti politique, organisation ou candidat, ou, une adhésion dans un club à but non lucratif, une association ou un organisme bénévole. Le destinataire a publié son adresse électronique «bien en vue» ou a divulgué son adresse à l expéditeur, sans aucune mention précisant qu elle ne veut recevoir aucun MEC non sollicité, et le MEC a un lien soit avec l exercice des attributions de la personne, soit avec son entreprise commerciale ou les fonctions qu elle exerce au sein d une telle entreprise (sous-alinéas 10(9)(b) et (c)). Exceptions au consentement Un MEC peut être envoyé sans le consentement exprès ou tacite pour : Donner un prix ou une estimation demandé par le destinataire (sous-alinéa 6(6)(a)); Faciliter, compléter ou confirmer la réalisation d une opération commerciale entre l expéditeur et le destinataire que le destinataire a préalablement accepté de conclure avec l expéditeur (sous-alinéa 6(6)(b)); Donner des renseignements de garantie/rappel/sécurité à l égard de biens ou produits utilisés ou achetés par le destinataire (alinéa 6(6)(c)); Donner un avis d information factuelle à l égard d un abonnement, d une adhésion, d un compte, d un prêt ou de toute autre relation semblable continue (alinéa 6(6)(d)); Fournir des renseignements directement liés au statut d employé ou régime de prestation (alinéa 6(6) (e)); Livrer un produit, bien ou service, y compris des mises à jour et des améliorations au cadre d un lien existant (alinéa 6(6)(f)); et «Recommandation d un tiers» : un MEC unique peut être envoyé à un destinataire sans consentement par suite à une recommandation par une tierce partie qui a une relation (affaires, famille, personnel ou privé) avec l expéditeur et le destinataire. Le MEC doit révéler le nom au complet de la personne ayant fait la recommandation et comporter la mention qu il est envoyé par suite d une telle recommandation (article 4, Règ IC). Il faut toujours se rappeler que les exigences de forme du MEC (coordonnées, mécanisme d exclusion etc.) s appliquent encore lorsque le consentement est adressé par le consentement tacite ou une exception. 6

8 V. Période transitoire Selon la loi, pour trois ans après l entrée en vigueur de la LCAP, il y aura un consentement tacite pour l envoi de MECs à des destinataires lorsque, à partir du 1er juillet 2014, il y avait une relation d affaires ou une relation privée en cours, peu importe quand la relation aurait été dernièrement en vigueur (c est-à-dire sans référence aux périodes de deux ans ou six mois); à condition que le destinataire ne retire pas son consentement et qu il y avait un échange de MECs dans le cadre de cette relation (article 66). VI. Application de la loi Une violation de la loi peut entrainer une sanction administrative ou une action privée (aucune action privée pour les trois premières années que la LCAP est en vigueur). Les sanctions maximales peuvent être de 1 million de dollars pour les individus et 10 millions de dollars pour les corporations et autres organisations (alinéa 20(4)). Les administrateurs et dirigeants peuvent être responsables (article 31); et les employeurs peuvent être responsables des actes commises par leurs employés (article 32). Une défense de diligence raisonnable peut être disponible si l expéditeur peut démontrer des politiques et pratiques établies pour la conformité (article 33). Une période de prescription de trois ans pour les actions privées s applique (alinéa 47(2)). VII. Que pouvez-vous faire pour vous préparer? créer une équipe de mise en œuvre; vérifier et évaluer les pratiques actuelles de MECs; réviser et mettre à jour les modèles par défaut de MECs; établir de nouveaux systèmes de suivi informatique; établir une chronologie et des priorités pour le consentement exprès; développer des politiques et des lignes directrices pour l entrainement du personnel; et considérer les mérites de demander le consentement en avance de la mise en vigueur de la LCAP. 7

9 VIII. Installation de programmes d ordinateur La mise en vigueur des dispositions à l égard de l installation de programmes d ordinateur non-sollicités sera remise au 15 janvier L article 8 de la LCAP vise l interdiction de logiciels espions/logiciels malveillants, mais englobera toute circonstance impliquant : l installation d un programme d ordinateur; sur l ordinateur de toute autre personne; situé au Canada; dans le cadre d une activité commerciale; sauf si le consentement exprès de cette personne est obtenu; ou l installation est conforme à une ordonnance de la cour. La norme pour le consentement exprès qui est exigé pour l installation de programmes d ordinateur se chevauche sur ce qui est nécessaire pour envoyer des MECs. A cet égard, les principes généraux de l obtention du consentement à l égard de MECs, énoncés dans ce guide, s appliquent. Les mises à jour et améliorations n exigeront pas un consentement additionnel lorsqu un consentement exprès valable a été obtenu initialement. Aussi, certains programmes nécessaires pour le bon fonctionnement des navigateurs d Internet sont exemptés, notamment les codes HTML et script java. Obligation de décrire la fonction et l objet du programme Selon les alinéas 10(3) à 10(5) de la LCAP, en recherchant le consentement exprès, il est exigé qu une partie décrive clairement et simplement la fonction et l objet du programme d ordinateur qui sera installé. Pour s assurer que la personne donnant le consentement a des attentes raisonnables, la partie doit décrire les fonctions du programme d ordinateur qui: Recueillent des renseignements personnels sur l ordinateur; Entravent au contrôle de l ordinateur par le propriétaire ou l utilisateur autorisé de l ordinateur; Modifient des paramètres, préférences ou commandements déjà installés dans l ordinateur ou l entrave à leur utilisation, à l insu du propriétaire ou de l utilisateur autorisé de l ordinateur; Modifient des données déjà mises en mémoire dans l ordinateur ayant pour effet d empêcher, d interrompre ou d entraver l accès ou l utilisation légitimes de ces données par le propriétaire ou de l utilisateur autorisé de l ordinateur; 8

10 Causent la communication de l ordinateur, sans l autorisation de son propriétaire ou utilisateur autorisé, avec un autre ordinateur ou dispositif; et Installent un programme d ordinateur qui peut être activé par un tiers à l insu du propriétaire ou de l utilisateur autorisé de l ordinateur. Demande pour l enlèvement d un programme Pendant l année qui suit l installation du programme, la personne qui a donnée son consentement doit être fournie d une adresse électronique où elle peut envoyer sa demande d enlèvement ou de désactivation du programme qui effectue une des fonctions énumérées ci-dessus. La demande peut être faite lorsque la personne qui a donné son consentement estime que la fonction du programme n a pas été énoncée correctement lorsque le consentement a été demandé. L enlèvement ou la désactivation du programme doit être fait sans frais à la partie faisant la demande (alinéa 11(5)). Exemptions pour les télécommunicateurs Deux exemptions sont fournies pour des télécommunicateurs à l égard d installation de programmes d ordinateur. Premièrement, des télécommunicateurs n auront pas à obtenir un consentement préalable d un programme d ordinateur avec l objectif unique de prévenir des menaces actuelles. Deuxièmement, les télécommunicateurs ne seront pas exigés d obtenir un consentement préalable pour installer des mises à jour ou à niveau du réseau (article 6, Règ IC). Ce guide est offert dans l objectif d information générale et ne prévoit pas de fournir un avis juridique. Dernière révision juin Pour des questions en anglais, SVP communiquer avec les avocats suivants : Rob Aske - Directeur de groupe de pratique, PI/TI/Divertissement raske@stewartmckelvey.com Burtley Francis bfrancis@stewartmckelvey.com Pour des questions en français, SVP communiquer avec l avocate suivante : Karine LeBlanc kleblanc@stewartmckelvey.com 9

11 Charlottetown - Île-du-Prince-Édouard 65, rue Grafton Charlottetown, Î.-P.-É. C1A 8B9 P F charlottetown@stewartmckelvey.com Fredericton, Nouveau-Brunswick Frederick Square 77 rue Westmorland, bureau 600 Fredericton, N.-B. E3B 5B4 P F fredericton@stewartmckelvey.com Halifax, Nouvelle-Écosse Purdy s Wharf Tower , rue Upper Water, bureau 900 Halifax, N.-É. B3J 3N2 P F halifax@stewartmckelvey.com Moncton, Nouveau-Brunswick Centre de la Croix Bleue 644, rue Main, bureau 601 Moncton, N.-B. E1C 1E2 P F moncton@stewartmckelvey.com Saint John, Nouveau-Brunswick Brunswick House 44, Chipman Hill, 1000, Station postale A Saint John, N.-B. E2L 2A9 P F saint-john@stewartmckelvey.com St. John s, Terre-Neuve Place Cabot 100, rue New Gower, C.P St-John s, T.-N. A1C 6K3 P F st-johns@stewartmckelvey.com CHARLOTTETOWN FREDERICTON HALIFAX MONCTON SAINT JOHN ST. JOHN S STEWARTMCKELVEY.COM 10