Comment effectuer votre démarche de conformité en vue de l'entrée en vigueur de la loi

C-28

Nicolas Lassonde, LL.M.Julie-Anne Archambault, M.Sc.

Application et Objet

Interdiction relative à la transmission de messages électroniques commerciaux non sollicités, sauf en présence de consentement exprès ou tacite, ou encore en cas d’exclusion Application géographique : envoyé ou récupéré au Canada (non applicable si

le message ne fait que transiter par le Canada) Exception si motif raisonnable de croire que le message sera récupéré à l’étranger et qu’il

respecte la loi du pays – qui doit être essentiellement similaire à la Loi

Autres interdictions relatives à l’installation de certains programmes informatiques (clause anti spyware/malware) Application géographique : système informatique situé au Canada ou si la

personne se trouve au Canada ou agit sous la supervision d’une personne au Canada Exception si le message est récupéré à l’étranger et qu’il respecte la loi du pays – qui doit être

essentiellement similaire à la Loi

2

Message Électronique Commercial « MEC »

«message électronique» : message envoyé par tout moyen de télécommunication, notamment un message textuel, sonore, vocal ou visuel dont au moins un des objectifs est commercial exclut conversations vocales bilatérales, fax ou message vocal envoyé à un compte téléphone

« adresse électronique » : toute adresse utilisée relativement à la transmission d’un message électronique à l’un des comptes suivants :

a) un compte courriel;b) un compte messagerie instantanée;c) un compte téléphone;d) tout autre compte similaire. 3

Interdiction d’envoyer des MEC

Sauf si: Consentement exprès – (art. 6(1)) ET Respect de certaines formalités : (1) identification de la

personne qui envoie le MEC; (2) coordonnées de la personne qui envoie le MEC; (3)prévoir un mécanisme d’exclusion conforme à la Loi (art. 6(2)) OU

Par l’entremise d’un service de messagerie comportant un mécanisme d’exclusion – doit inclure les coordonnées de la personne qui envoie le MEC – consentement exprès ou implicite du destinataire (IC Reg 3d)) OU

Par l’entremise d’un compte sécuritaire et confidentiel à accès restreint, mais seulement par la personne fournissant un tel compte (IC Reg 3e)) (ex. compte bancaire personnel)

4

Interdiction d’envoyer des MEC

Sauf si: Consentement implicite –

Relation d’affaires ou non préexistante (expiration après 2 ans) Demande de renseignements (expiration après 6 mois) La personne qui reçoit le message a publié son adresse et que le message

est en lien avec les activités de la personne La personne qui reçoit le message a donné son adresse à la personne qui

envoie sans lui préciser son refus de recevoir des MEC (ce MEC doit être en lien avec les activités de la personne)

ET Respect de certaines formalités : (1) identification de la personne qui

envoie le MEC; (2) coordonnées de la personne qui envoie le MEC; (3)prévoir un mécanisme d’exclusion conforme à la Loi (art. 6(2))

5

Messages traités comme MEC

Le consentement n’est pas requis (mais toujours conditions de forme et de désabonnement requises): Estimations à la demande du récepteur Facilitations ou confirmations de transactions Messages d’information relativement à des garanties,

rappels ou renseignements relatifs à la sécurité Informations factuelles sur utilisation d’un bien/service

acheté (incluant informations sur le compte) Messages aux employés (prestations d’assurance etc.) Délivrance d’un produit ou service : mise à jour, etc … Une seule fois, si personne physique référée par une autre

6

Messages traités comme MEC

Le consentement n’est pas requis, ni les conditions de forme et de désabonnement : Si liens familiaux ou liens personnels Messages d’information envoyés à une personne qui

exerce des activités commerciales Messages envoyés à l’intérieur d’une même organisation Messages envoyés entre deux organisations relativement

aux activités commerciales de la personne qui reçoit le message

Messages de réponse , notamment à une plainte Message découlant d’une obligation légale, ou donnant un

opinion légal …7

Messages traités comme MEC

Le consentement n’est pas requis, ni les conditions de forme et de désabonnement (suite) : Message envoyé par un organisme de bienfaisance

enregistré Message envoyé pour le compte d’une organisation ou un

candidat politiques à une charge publique élective si le principal objet du message est de demander des contributions

8

Application aux réseaux sociaux

La publicité ciblée est permise. : les adresses IP ne sont pas des « adresses électroniques » au sens de la Loi (en autant qu’elle ne permette pas d'identifier une personne) Bannières Fils de nouvelles

Application de l’exception « service de messagerie comportant un mécanisme d’exclusion (IC Reg 3d) »

Message publicitaire sur son propre compte Application ambiguë de l’exception de relation privée dans le

cadre d’un « share » sur le mur d’un « ami » Bref, application encore incertaine

9

Consentement requis suivant l’EEV

TROIS PRINCIPES pour retenir un consentement exprès préalable: L’objet pour lequel le consentement est demandé Coordonnées complètes de la personne demandant le

consentement Mécanisme d’exclusion

La Loi exige la conservation de la preuve de l’obtention de consentement

Les consentements doivent être spécifiques et séparés : i.e. un pour MEC, un autre pour les programmes d’ordinateur ne pas mettre de cases pré-cochées (mécanisme de « opt-in ») action positive (exclut absence de réponse)

10

Pénalités

Doit-on s’inquiéter? Pénalités administratives pouvant aller jusqu’à 10M$ pour

les entreprises Droits d’actions privées Risques de recours collectifs Responsabilité des administrateurs, dirigeants, agents;

responsabilité pour ses employés ou toutes autres personnes facilitant la violation

Responsabilité pour les « shares » Peut utiliser la défense de précautions diligentes

11

Préoccupations

MEC : consentement obtenu d’un tiers: Si demande consentement pour un tiers inconnu, obligation de s’identifier seulement /

si tiers connu : identification et coordonnées des deux personnes impliquées Si le consentement est obtenu pour un tiers inconnu : mentionner lors de

l’obtention du consentement que l’adresse courriel pourra être partagée Identification des parties impliquées jouant un rôle matériel dans le contenu du MEC

(possibilité d’utiliser des hyperliens) Toujours prévoir mécanisme d’exclusion relativement à la personne qui a envoyé le

MEC ET toute autre personne autorisée par le tiers à utiliser le consentement Si demande d’exclusion : doit aviser tiers qui a obtenu consentement et toute autre

personne autorisée à l’utiliser Permettre un mécanisme d’exclusion spécifique ET général (un tiers ou tous les tiers) Assurer les suivis d’exclusion Message envoyé à un ami : s’assurer de limiter sa responsabilité

12

Préoccupations

Effets sur le commerce Bloquer les « start-ups » Favoriser la discrimination géographique envers le Canada dans

l’offre technologique Décourager les opérateurs de serveurs de s’installer au Canada Insécurité et méfiance du marché international Augmentation des coûts d’opération et de conformité Problèmes de décalage entre les versions des programmes

d’ordinateur (pas de mise à jour automatique)

Va dépendre de l’accessibilité des ressources et de la tolérance au risque des entreprises canadiennes et internationales ET des interprétations jurisprudentielles ou administratives de la Loi

13

Implémentation

Bonnes pratiques Obtenir un consentement exprès de type double « opt-in » Fonctionnalités interreliées entre les différentes plateformes

Gestion des consentements (et des préférences)Identifier type de relationConsentement exprès ou implicite : préférer les exprès

Gestion des exceptions Gestion des exclusions

Conserver les preuves de consentement (combien de temps??) Éduquer l’équipe marketing et les employés Mise à jour des listes de données Respect des conditions de la Loi dans les envois (« template », délai de retrait, etc.) Vérification de conformité périodique

14

Implémentation

Concrètement Faire l’inventaire des MEC que l’entreprise envoie ou compte envoyer

Par type d’adresse Par type de MEC

Déterminer, pour chaque adresse, la source (clients actifs, clients passés, carte d’affaires, adresses disponibles en ligne, partenaires, adresses provenant de tiers…) Valider si la Loi s’applique pour chaque adresse Déterminer l’application géographique (envoyé ou reçu au Canada) Identifier le type de consentement applicable Identifier l’application des exceptions, le cas échéant

Mise à jour des listes en conséquence Développer des modèles d’envoi respectant les conditions énoncées dans la Loi (outre

les informations requises, inclure un hyperlien vers la politique de confidentialité) Demander les consentements requis Implémenter un système de suivi et de gestion de données (sans oublier les délais à

respecter), assurer une mise à jour périodique et une communication efficace avec les tiers

15

Nicolas Lassonde, LL.M.Nicolas.Lassonde@ljt.ca

Julie-Anne Archambault, M.Sc.Julie-Anne.Archambault@ljt.ca

16