Conseils utiles pour les entreprises œuvrant dans le domaine du cybermarketing

Avril 2015

---

L’entrée en vigueur de la Loi canadienne anti-pourriel (LCAP) a entraîné des modifications à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), la loi fédérale sur la protection de la vie privée dans le secteur privé qui couvre la collecte, l’utilisation et la communication de renseignements personnels dans le cadre d’activités commerciales. Ces modifications législatives comprennent des restrictions en matière de collecte d’adresses électroniques.

Qu’est-ce que la collecte d’adresses électroniques?

• En règle générale, il s’agit de l’utilisation de programmes informatiques pour recueillir sans discernement des adresses électroniques, notamment des adresses de courriel. 

En quoi cela touche-t-il les organisations qui ne se livrent pas à ce genre d’activités?

• Même si de nombreuses organisations ne recueillent pas d’adresses électroniques, les restrictions sont très pertinentes, quels que soient le type d’organisations, leur taille ou leur secteur d’activité. Toutes les organisations ont la responsabilité de veiller à ce que les adresses électroniques qu’elles (ou des tiers agissant en leur nom) recueillent dans le cadre d’activités commerciales soient obtenues avec un consentement valable. 

Qu’est-ce que les organisations peuvent faire pour éviter de contrevenir à la loi?

• Toutes les organisations qui œuvrent dans le domaine du cybermarketing doivent :
• faire preuve d’une diligence raisonnable pour éviter de recueillir ou d’utiliser involontairement des adresses de courriel;
• prendre les précautions nécessaires si :
• elles travaillent avec un tiers qui effectue du travail de cybermarketing pour elles;
• elles achètent des listes auprès de fournisseurs en vue de se livrer, elles-mêmes, à des activités de cybermarketing.

Quelles sont les mesures pratiques à prendre?

1. Poser des questions. Vous avez la responsabilité de vérifier si le tiers avec lequel vous transigez connaît la LPRPDE et se conforme à ses dispositions. Par conséquent, lorsque vous achetez une liste d’adresses auprès d’un fournisseur, ou que vous faites de la sous-traitance avec une entreprise qui se livre à des activités de cybermarketing en votre nom, assurez-vous de poser les questions suivantes : 
   • Comment obtiennent-elles des adresses de courriel et comment les ont-elles recueillies? Par exemple, est-ce que les gens savent à quoi va servir leur adresse au moment de la fournir et ont-ils consenti à cette utilisation? Ou, est-ce que les adresses sont générées, récoltées en ligne ou recueillies sans discernement?
   • Comment le consentement a-t-il été obtenu? Même si un tiers se charge de recueillir des listes d’adresses électroniques en votre nom à des fins commerciales, votre organisation a la responsabilité de veiller à ce qu’un consentement valable soit obtenu. En règle générale, une organisation doit bien informer les personnes concernées des fins de la collecte, de l’utilisation ou de la communication de leur adresse de courriel, considérée comme un renseignement personnel. Le consentement devrait être obtenu avant ou au moment de la collecte, et renouvelé lorsqu’un nouveau motif d’utilisation des adresses s’ajoute.
   • Comment les listes sont-elles mises à jour? Les organisations devraient permettre aux personnes concernées de retirer, en tout temps, leur consentement quant à l’utilisation de leurs renseignements personnels, sous réserve de restrictions prévues par une loi ou un contrat et d’un préavis raisonnable.
   • Comment les organisations qui achètent et utilisent des listes sont-elles informées des modifications? Lorsque des gens, dont les adresses de courriel font partie d’une liste achetée, retirent leur consentement, vous devez en être informé afin de ne plus leur envoyer de messages de nature commerciale.
2. Mettez cela par écrit. Une fois que vous avez posé ces questions, prenez les mesures nécessaires pour prouver que vous avez exercé une diligence raisonnable, en conservant un dossier écrit ou un exemplaire du contrat passé avec le fournisseur de listes ou l’entreprise de cybermarketing. Faites en sorte que vos interlocuteurs soient bien conscients qu’ils ont l’obligation de ne pas transmettre vos messages de nature commerciale aux gens qui n’ont pas consenti à :
   • fournir leurs adresses de courriel;
   • recevoir des messages de nature commerciale.

Qui est responsable de quoi en vertu de la LCAP?

Le Commissariat partage la responsabilité de l’application de la LCAP avec le Conseil de la radiodiffusion et des télécommunications canadiennes (CRTC) et le Bureau fédéral de la concurrence.

Le CRTC a la responsabilité d’enquêter dans des situations d’envoi de messages non sollicités, de modification des données de transmission et d’installation de logiciels sans consentement préalable.

Le Bureau de la concurrence traite les plaintes portant sur les représentations fausses ou trompeuses ainsi que sur les pratiques de commercialisation frauduleuses dans l’espace électronique commercial.

Nous concentrons actuellement nos efforts sur deux catégories d’infractions concernant :

• la récolte d’adresses électroniques;
• la collecte de renseignements personnels par un accès illicite au contenu d’ordinateurs appartenant à d’autres personnes, à l’aide surtout de logiciels espions, par exemple.

Où obtenir de plus amples renseignements?

Pour en savoir davantage sur les responsabilités du Commissariat à la protection de la vie privée du Canada à l’égard de la Loi canadienne anti-pourriel (LCAP), veuillez consulter :  www.priv.gc.ca/lcap

Pour obtenir des renseignements généraux sur la LCAP et les responsabilités des partenaires chargés de l’application de la loi, veuillez consulter : www.combattrelepourriel.gc.ca