La Loi canadienne anti-pourriel : c est pour bientôt et il n y a pas que les pourriels qui sont visés! Alexandre Ajami, LL.B. Miller Thomson S.E.N.C.R.L., s.r.l.
Survol 1. Qu est-ce que la Loi canadienne anti-pourriel (LCAP)? 2. Qu est-ce qu un message électronique commercial (MEC)? 3. Quelles sont les dispositions de la LCAP concernant les MEC? 4. Quels sont les MEC auxquels la LCAP ne s applique pas? 5. Quelles sanctions s appliquent en cas de non-conformité? 6. Comment envoyer des messages de marketing après le 1 er juillet? 6. Comment préparer votre défense de diligence raisonnable? 2
1. Qu est-ce que la Loi canadienne anti-pourriel (LCAP)? Loi visant à promouvoir l efficacité et la capacité d adaptation de l économie canadienne par la réglementation de certaines pratiques qui découragent l exercice des activités commerciales par voie électronique et modifiant la Loi sur le Conseil de la radiodiffusion et des télécommunications canadiennes, la Loi sur la concurrence, la Loi sur la protection des renseignements personnels et les documents électroniques et la Loi sur les télécommunications (L.C. 2010, ch. 23) Titre abrégé non officiel : «Loi canadienne anti-pourriel» ou «LCAP» 3
1. Qu est-ce que la LCAP? Contexte et historique Les dispositions de la LCAP ratissent très large; elles ne touchent pas que les pourriels La LCAP réglemente un large éventail d activités, dont : I. les messages commerciaux envoyés par courriel ou par II. III. IV. d autres méthodes électroniques; le piratage informatique, les logiciels malveillants et les logiciels espions; l hameçonnage et les pratiques frauduleuses ou trompeuses; l atteinte à la vie privée au moyen d un ordinateur; V. la collecte non autorisée d adresses de courriel (moissonnage). Pour obtenir de plus amples informations, visitez www.fightspam.gc.ca/eic/site/030.nsf/fra/accueil Principe fondamental de base : le consentement 4
1. Qu est-ce que la LCAP? La LCAP a reçu la sanction royale en décembre 2010 Le CRTC et Industrie Canada sont les autorités réglementantes de la LCAP Le CRTC, le Bureau de la concurrence et le Commissariat à la protection de la vie privée du Canada disposent de certains pouvoirs concernant l application de la Loi et la tenue d enquêtes au titre de la Loi Le CRTC dirigera le Centre de notification des pourriels 5
1. Qu est-ce que la LCAP? Règlement du CRTC Le Règlement sur la protection du commerce électronique du CRTC (le «Règlement du CRTC») a été publié en mars 2012 Règles sur la forme et le contenu d un MEC Dispositions relatives au consentement exprès en vue de l envoi de MEC, de la modification des données de transmission et de l installation d un programme d ordinateur Plusieurs bulletins d information ont été publiés concernant le Règlement du CRTC 2012-548 Lignes directrices sur l interprétation du Règlement du CRTC 2012-549 Lignes directrices sur l utilisation des cases d activation comme moyen d obtenir le consentement exprès en vertu de la Loi canadienne anti-pourriel Une FAQ a été mise en ligne 6
1. Qu est-ce que la LCAP? Règlement d Industrie Canada Le Règlement sur la protection du commerce électronique d Industrie Canada a été publié le 4 décembre 2013 Il définit et clarifie diverses exemptions permises par la LCAP (dont celles qui résultent de «liens familiaux» ou «personnels» et de «relations privées en cours») Il prescrit des règles lorsque le consentement est obtenu au nom d un tiers 7
1. Qu est-ce que la LCAP? Dates d entrée en vigueur Les principales dispositions de la LCAP entrent en vigueur le 1 er juillet 2014 Les dispositions liées aux programmes d ordinateur entreront en vigueur le 15 janvier 2015 Les articles portant sur le droit privé d action entreront en vigueur le 1 er juillet 2017 8
La LCAP s applique-t-elle à mon organisation? La LCAP s intéresse au message plutôt qu à l expéditeur, visant tout MEC envoyé entre entreprises, d une entreprise à un consommateur ou entre personnes physiques La LCAP s applique à tous les messages, envoyés d un ordinateur situé au Canada ou à l étranger, auxquels le destinataire accède au moyen d un ordinateur au Canada 9
2. Qu est-ce qu un MEC? Question préliminaire : s agit-il d un message électronique commercial (MEC)? La LCAP s intéresse au message plutôt qu à l identité de l expéditeur La LCAP établit l interdiction générale de transmettre un MEC à une adresse électronique, sauf si : le destinataire visé consent à le recevoir, et le message comprend certains renseignements réglementaires Sous réserve de certaines exemptions et exclusions limitées 10
2. Qu est-ce qu un MEC? «Message électronique» : Message envoyé par tout moyen de télécommunication, notamment un message textuel ou visuel comme un courriel, message texte, message instantané, gazouillis, message sur des réseaux sociaux, etc. «Adresse électronique» : Toute adresse utilisée pour recevoir un message électronique, notamment par courriel, par messagerie instantanée, par téléphone ou par tout autre compte similaire 11
2. Qu est-ce qu un MEC? «Commercial» : s entend de tout ce qui «encourage la participation à une activité commerciale», dont : une offre d achat, de vente ou de location d un produit ou d un service; une offre de possibilité d affaires, d investissement lié à une vente ou à une location, ou de jeu; une annonce ou un message faisant la promotion de ces activités, ou d une personne qui accomplit ou a l intention d accomplir ces activités. 12
2. Qu est-ce qu un MEC? Pour déterminer s il s agit d un message «commercial» : il faut se demander s il est raisonnable de conclure, vu son contenu (ou le contenu de tout site Web auquel il donne accès par hyperlien), qu il a pour but, entre autres, d encourager la participation à une «activité commerciale». 13
2. Qu est-ce qu un MEC? Activité commerciale Tout acte ou activité régulière qui revêt un caractère commercial, qu il soit ou non accompli dans le but de réaliser un profit La LCAP n accorde pas d exemption générale aux organismes sans but lucratif, aux organismes de bienfaisance ou aux associations bénévoles 14
3. Quelles sont les dispositions de la LCAP concernant les MEC? Exigences en matière de consentement Renseignements réglementaires Mécanisme d exclusion 15
3. Exigences en matière de consentement Il est interdit d envoyer un MEC à moins que le destinataire ait consenti expressément ou tacitement à le recevoir Lorsque la LCAP sera en vigueur, les façons d obtenir le consentement en vue de la transmission de MEC feront l objet de restrictions : le message électronique comportant une demande de consentement sera aussi considéré comme un MEC en vertu de la LCAP La preuve du consentement incombera à l expéditeur (diligence raisonnable) 16
3. Exigences en matière de consentement La demande de consentement exprès doit énoncer (en termes «simples et clairs») : les fins auxquelles le consentement est sollicité; les renseignements réglementaires permettant d identifier la personne qui sollicite le consentement ou celle au nom de laquelle il est sollicité (conformément au Règlement du CRTC). 17
3. Exigences en matière de consentement Il faut également obtenir le consentement exprès pour : modifier les données de transmission d un message électronique (art. 7); installer, dans le cadre d activités commerciales, un programme d ordinateur dans l ordinateur d une autre personne (art. 8) [par exemple, pour mettre à jour un programme dans l ordinateur d un véhicule à moteur ou d une machine]. Le consentement exprès doit être «obtenu séparément» pour tout acte visé par la LCAP Le consentement doit être distinct : il ne peut être intégré à l acceptation des conditions d utilisation (dont celles relatives à la vie privée) ou de vente, ou à d autres types de consentement 18
3. Exigences en matière de consentement (Exemple tiré du bulletin CRTC 2012-548) 19
3. Exigences en matière de consentement (Exemple tiré du bulletin CRTC 2012-548) 20
3. Exigences en matière de consentement pour la transmission de MEC (Règlement du CRTC) Le consentement exprès peut être obtenu oralement ou par écrit, ou une combinaison de ces deux moyens La demande de consentement doit comporter les renseignements suivants : le nom de la personne qui sollicite le consentement (ou de la personne au nom de laquelle il est sollicité); les coordonnées de la personne qui sollicite le consentement; un énoncé selon lequel le destinataire peut retirer son consentement. 21
3. Exigences en matière de consentement pour la transmission de MEC (Règlement du CRTC) L option de retrait du consentement (ou consentement négatif) ne suffit pas selon la LCAP Le CRTC exige un consentement positif ou explicite (par exemple, si le destinataire fournit son adresse de courriel ou coche une case) La preuve du consentement incombe à l expéditeur Consentement oral peut être vérifié par une tierce partie indépendante ou démontré au moyen d un enregistrement sonore complet et intégral (CRTC 2012-548) Consentement par écrit comprend les copies papier et électroniques (la date, l heure et le but du consentement, ainsi que la manière dont celui-ci a été obtenu, devraient alors être enregistrés dans une base de données) (CRTC 2012-548) 22
3. Exigences en matière de consentement Exemples (CRTC 2012-549) (case cochée d avance) 23
3. Exigences en matière de consentement Exemples (CRTC 2012-549) (case à cocher) 24
3. Exigences en matière de consentement Exemples (CRTC 2012-549) (adresse de courriel à entrer) 25
3. Exigences en matière de consentement Consentement tacite Il peut y avoir consentement tacite dans l un ou l autre des cas suivants : il existe une relation d affaires en cours ou une relation privée en cours; le destinataire a «publié bien en vue» son adresse électronique (par exemple sur le site Web de sa société) et le message a un lien soit avec l exercice des attributions de la personne, soit avec son entreprise commerciale ou les fonctions qu elle y exerce; le destinataire a communiqué son adresse électronique à l expéditeur (par exemple, il lui a remis sa carte professionnelle), et le message a un lien soit avec l exercice des attributions de la personne, soit avec son entreprise commerciale ou les fonctions qu elle y exerce. 26
3. Consentement tacite Définition d une «relation d affaires en cours» Au cours des deux ans précédant la date d envoi du MEC, le destinataire a eu une relation d affaires avec l expéditeur découlant, selon le cas : de l achat ou de la location par le destinataire d un produit, bien, service, terrain ou intérêt ou droit foncier à l expéditeur; de l acceptation d une possibilité d affaires, d investissement ou de jeu offerte par l expéditeur; de tout contrat conclu par écrit au sujet d une chose non mentionnée ci-dessus. Au cours des six mois précédant la date d envoi du message, l expéditeur a reçu du destinataire une demande, notamment une demande de renseignements, relativement à une chose ou à une possibilité mentionnée ci-dessus. 27
3. Consentement tacite Relation privée ll y a consentement tacite à la transmission de MEC lorsqu il existe une «relation privée en cours» L expéditeur est un organisme de bienfaisance enregistré, un parti politique ou un candidat aux élections auquel le destinataire a fait un don ou pour lequel il a effectué du travail bénévole au cours des deux dernières années L expéditeur est un club, une association ou un organisme bénévole auquel le destinataire a adhéré au cours des deux dernières années 28
3. Période de transition La LCAP prévoit une période de transition de trois ans à compter de son entrée en vigueur, pendant laquelle le consentement tacite sera présumé pour les personnes qui auront des relations d affaires ou privées en cours à cette date Le consentement tacite sera donc présumé jusqu au 1 er juillet 2017 29
3. Renseignements réglementaires Le MEC doit comporter : à fournir dans les MEC les renseignements permettant d identifier l expéditeur ou celui au nom duquel le message a été envoyé (selon les dispositions réglementaires); les renseignements permettant de communiquer avec l expéditeur (valables pendant au moins soixante jours); un mécanisme d exclusion permettant au destinataire de ne plus recevoir ce type de messages. 30
Dispositions relatives au «mécanisme d exclusion» Doit permettre au destinataire d indiquer à l expéditeur de cesser de lui envoyer des messages Doit fournir l adresse électronique ou un lien vers une page de «désabonnement» Doit être valable pendant au moins 60 jours Doit prendre effet au plus tard 10 jours ouvrables après que le destinataire a exprimé sa volonté Doit être sans frais pour le destinataire Doit être exprimé en termes clairs et facilement lisibles dans le message, et pouvoir être mis en œuvre facilement 31
4. Quels sont les MEC auxquels la LCAP ne s applique pas? La LCAP ne s applique pas à certains types de MEC Les exigences en matière de consentement ne s appliquent pas à certains types de MEC, dans lesquels les renseignements réglementaires doivent par ailleurs être fournis 32
4. Quels sont les MEC auxquels la LCAP ne s applique pas? Ceux envoyés entre personnes physiques qui ont entre elles des liens «personnels» ou «familiaux» (selon la définition de ces termes) Ceux envoyés à une personne qui exerce des activités commerciales s ils constituent uniquement une demande, notamment une demande de renseignements, portant sur ces activités Ceux envoyés en réponse à une demande, notamment une demande de renseignements, ou par suite d une plainte, ou sollicités autrement par la personne à qui le message est envoyé 33
4. Quels sont les MEC auxquels la LCAP ne s applique pas? Ceux envoyés en interne par un employé, un représentant, un consultant ou un franchisé, s ils portent sur les activités de l entreprise Ceux envoyés entre entreprises, si celles-ci entretiennent des rapports et que le message porte sur les activités de l organisation à laquelle il est envoyé 34
4. Quels sont les MEC auxquels la LCAP ne s applique pas? Ceux envoyés pour satisfaire à une obligation juridique, faire valoir un droit ou obtenir l exécution d une obligation juridique ou donner avis d un droit ou d une obligation juridique existant ou à venir Ceux envoyés à un compte sécuritaire et confidentiel à accès restreint, auquel les messages ne peuvent être envoyés que par la personne qui a fourni le compte (comme les messages envoyés par les banques au moyen de leur portail) Ceux envoyés et reçus par l entremise d un service de messagerie électronique, sous réserve du respect de certaines exigences Ceux au sujet desquels l expéditeur a des motifs raisonnables de croire qu ils seront récupérés dans un État étranger (dont la liste est fournie en annexe du Règlement) et qu ils seront conformes à une loi de cet État régissant les comportements similaires 35
4. Quels sont les MEC auxquels la LCAP ne s applique pas? Ceux envoyés par un organisme de bienfaisance enregistré et dont l objet principal est de lever des fonds pour les activités de bienfaisance de l organisme en cause Ceux envoyés par ou pour le compte d un parti ou d une organisation politique, ou d un candidat, pour demander des contributions Ceux consistant en des communications vocales bilatérales Ceux envoyés par télécopieur ou les enregistrements de la parole envoyés à un compte de téléphone (sous réserve du régime national de liste de retrait de numéro de téléphone) 36
4. À quels MEC les exigences en matière de consentement ne s appliquent-elles pas? Ceux qui donnent, à la demande du destinataire, un prix ou une estimation Ceux qui donnent des renseignements en matière de garantie, de rappel ou de sécurité à l égard de biens ou services achetés par les destinataires Ceux qui donnent des informations factuelles sur un produit ou un service offert au titre d un abonnement ou d une relation semblable Ceux qui fournissent des renseignements liés au statut d employé du destinataire ou au régime de prestations auquel il participe Ceux au moyen desquels sont livrés des produits ou des mises à jour aux termes de dispositions contractuelles Ceux envoyés par un tiers par suite d une recommandation d une personne ayant avec l expéditeur du message et avec son destinataire des relations d affaires en cours, des relations privées en cours ou des liens familiaux ou personnels, mais seulement pour le premier MEC REMARQUE Les coordonnées de l expéditeur et la possibilité de se désabonner doivent tout de même être mentionnées dans ces messages 37
5. Quelles sanctions s appliquent en cas de non-conformité? Sanctions administratives pécuniaires Personnes physiques : sanction d un montant maximal de 1 000 000 $ par violation Sociétés sanction d un montant maximal de 10 000 000 $ par violation La LCAP prévoit également un droit privé d action pour toute personne touchée par un acte qui constitue une contravention de la Loi; le plaignant peut avoir droit à une indemnisation pouvant aller jusqu à 1 000 000 $ (soit 200 $ par message électronique transmis) par jour La LCAP énumère divers éléments dont il est tenu compte pour déterminer le montant de la sanction 38
5. Quelles sanctions s appliquent en cas de non-conformité? Des mesures dissuasives financières seront appliquées plutôt que des sanctions pénales, pour protéger le commerce électronique Sanctions administratives pécuniaires Droit privé d action Responsabilité étendue Les administrateurs ou dirigeants sont responsables des violations commises par leur entreprise, et les employeurs ont la responsabilité indirecte des violations commises par leurs employés Risque de recours collectif Coopération entre le gouvernement canadien et les gouvernements étrangers Poursuites en cas de violation (Centre de notification des pourriels) 39
5. Quelles sanctions s appliquent en cas de non-conformité? Les organisations peuvent présenter une défense de diligence raisonnable en cas de plainte pour non-conformité Elles doivent être en mesure de prouver qu elles ont pris des mesures proactives pour établir des politiques, des procédures et des processus en vue du respect de la LCAP, et qu elles ont surveillé le respect de ces politiques 40
6. Comment envoyer des messages de marketing après le 1 er juillet? La LCAP ne s applique pas aux lettres reçues par courrier, aux appels téléphoniques et aux télécopies Obtenez le consentement oral exprès du destinataire par téléphone et enregistrez la conversation Sur votre site Web, ajoutez une option permettant à ceux qui souhaitent obtenir de plus amples informations sur vos produits de donner leur consentement exprès à cet effet 41
6. Comment envoyer des messages de marketing après le 1 er juillet? Tirez profit des dispositions sur le consentement tacite lorsque votre entreprise envoie des MEC à des entreprises qui : ont publié «bien en vue» leur adresse électronique (p. ex. sur leur site Web), et que le message a un lien soit avec l exercice des attributions du destinataire, soit avec son entreprise commerciale ou les fonctions qu il y exerce; ont communiqué leur adresse électronique à l expéditeur (p. ex. en fournissant une carte professionnelle), et que le message a un lien soit avec l exercice des attributions de la personne, soit avec son entreprise commerciale ou les fonctions qu elle y exerce. 42
7. Comment préparer votre défense de diligence raisonnable? Vous aurez probablement deux choses à faire concernant la LCAP : 1. vous y conformer; 2. établir des politiques, des procédures, des systèmes et des processus qui vous permettront de présenter une défense de diligence raisonnable en cas de plainte. 43
7. Comment préparer votre défense de diligence raisonnable? La liste de vérification ci-dessous énumère diverses activités que votre organisation pourrait réaliser et documenter aux fins de sa défense de diligence raisonnable concernant les MEC : procéder à l audit des communications électroniques et à l analyse des lacunes (quels MEC envoyez-vous, à qui, comment et pourquoi); identifier tous les objectifs des communications électroniques, et ceux pour lesquels vous devez obtenir le consentement des destinataires; déterminer quelles formes de consentement vous chercherez à obtenir, et élaborer des processus pour les obtenir. 44
Diligence raisonnable Assurez-vous d être en mesure de prouver le consentement Vérifiez que vos MEC contiennent les renseignements réglementaires et les informations sur le mécanisme d exclusion exigés aux termes de la LCAP Élaborez un mécanisme d exclusion Révisez et mettez à jour vos formulaires, dont vos formulaires de demande, et vos ententes, notamment vos contrats conclus avec des tiers Rédigez une politique de conformité à la LCAP, et mettez à jour les politiques connexes Surveillez le respect de la LCAP Offrez de la formation sur la LCAP 45
Autres éléments à prendre en compte en matière de conformité Déterminez les «canaux de communication» et intégrez à vos processus l obtention du consentement à la réception de vos MEC (soit à vos formulaires de demande, à vos listes d envoi, à vos ententes, etc.) Révisez et mettez à jour la politique sur la protection des renseignements personnels et les conditions d utilisation de votre site Web pour qu elles concordent avec vos politiques sur la LCAP 46
Autres éléments à prendre en compte en matière de conformité Passez en revue vos contrats avec des tiers, notamment ceux qui envoient des messages de marketing en votre nom, et exigez qu ils se conforment à la LCAP; imposez des sanctions en cas de violation Diligence raisonnable à l interne mettez en place des procédures de surveillance de la conformité et offrez de la formation continue sur ce sujet aux employés en poste comme aux nouveaux venus (audit interne) Envisagez la création d une politique à l intention des employés en matière de courriels; révisez les politiques qui énoncent ce qui constitue une utilisation acceptable du courriel d entreprise à des fins personnelles 47
Informations supplémentaires Consultez le site Web du gouvernement : www.fightspam.gc.ca/eic/site/030.nsf/fra/accueil Abonnez-vous aux mises à jour de Miller Thomson sur la LCAP et visitez notre site Web, www.millerthomson.com; nous élaborons sans cesse de nouvelles ressources et des outils de conformité 48
Des questions? 49
Alexandre Ajami 514.871.5484 aajami@millerthomson.com 50