La llei antispam del Canadà —Canada's Anti-Spam Legislation (CASL), formalment An Act to promote the efficiency and adaptability of the Canadian economy by regulating certain activities that discourage reliance on electronic means of carrying out commercial activities, S.C. 2010, c. 23— està considerada un dels règims antispam més estrictes del món. S'aplica pràcticament a qualsevol empresa que enviï correus de màrqueting, missatges de text promocionals o missatges comercials a destinataris al Canadà, i les sancions per incompliment poden arribar a 10 milions de dòlars per infracció en el cas de les societats.

D'acord amb CASL, tot missatge comercial electrònic ha de complir tres requisits essencials: (1) el destinatari ha d'haver atorgat consentiment exprés o implícit abans que el missatge s'enviï, (2) el missatge ha d'identificar amb claredat el remitent i facilitar dades de contacte vàlides durant un mínim de 60 dies, i (3) el missatge ha d'incloure un mecanisme de baixa gratuït que es respecti en un termini de 10 dies hàbils. Aquests tres pilars formen la base del compliment de la llei antispam del Canadà per a qualsevol organització que es comuniqui electrònicament amb públics canadencs.

Aquest article explica les normes clau de CASL per enviar missatges comercials, la diferència entre consentiment exprés i implícit, les exempcions limitades disponibles i com funciona l'aplicació de la llei a la pràctica.

Què és CASL i a qui s'aplica

CASL va entrar en vigor l'1 de juliol de 2014. Les disposicions sobre el dret d'acció privada —que haurien permès als particulars demandar directament els spammers— estaven previstes inicialment per a l'1 de juliol de 2017, però el govern federal les va suspendre indefinidament mitjançant un decret (Order in Council) el 7 de juny de 2017. Avui, l'aplicació de la llei recau en tres reguladors federals que treballen conjuntament: la Canadian Radio-television and Telecommunications Commission (CRTC), que lidera l'aplicació en matèria de spam i amenaces electròniques; l'Office of the Privacy Commissioner of Canada, que tracta els aspectes relatius a la informació personal; i la Competition Bureau, que se centra en les representacions falses o enganyoses en missatges electrònics.

CASL té un abast ampli. Les normes s'apliquen a particulars, empreses incorporades i no incorporades, societats col·lectives, entitats benèfiques i organitzacions sense ànim de lucre. S'apliquen tant si el missatge s'origina al Canadà, surt del Canadà o arriba al Canadà des de l'estranger; per tant, una empresa amb seu als Estats Units que envia correus a clients canadencs queda sotmesa a CASL igual que una empresa d'Ontario que escriu als seus propis subscriptors.

CASL va substituir l'antic enfocament canadenc d'"opt-out" per un règim d'"opt-in". Amb excepcions limitades, el remitent necessita el consentiment previ del destinatari abans que es pugui transmetre qualsevol missatge comercial electrònic. La posició per defecte és no, i la càrrega d'acreditar el consentiment correspon al remitent, no al destinatari.

Què és un missatge comercial electrònic segons CASL?

Abans d'aplicar cap norma de CASL, la qüestió prèvia és si un missatge concret encaixa o no en la categoria de "missatge comercial electrònic" (CEM, per la sigla anglesa).

D'acord amb la secció 1(2) de CASL, un CEM és tot missatge electrònic respecte del qual sigui raonable concloure que un dels seus propòsits és fomentar la participació en una "activitat comercial". La definició d'activitat comercial a la secció 1(1) és intencionadament àmplia: qualsevol transacció, acte o conducta de caràcter comercial, amb ànim de lucre o sense. Això vol dir que fins i tot una entitat sense ànim de lucre que promogui un esdeveniment de pagament, o una entitat benèfica que vengui marxandatge, pot estar enviant un CEM.

La forma del missatge és indiferent. CASL cobreix tot missatge enviat a una "adreça electrònica", concepte que inclou:

Comptes de correu electrònic
Comptes telefònics (per a missatges SMS i MMS)
Comptes de missatgeria instantània
Missatges directes a xarxes socials
Qualsevol altre compte similar

El que sí que importa és la prova del propòsit. Com que la legislació mira si és raonable concloure que el missatge té una finalitat comercial, fins i tot un missatge majoritàriament informatiu pot quedar inclòs si també fomenta una transacció comercial. Un butlletí que inclou una oferta promocional, un recordatori de cita que promou una millora de servei o un anunci de webinar que promou una versió de pagament: tots són probablement CEM.

Exemples clars de CEM inclouen correus promocionals, butlletins de màrqueting, missatges SMS de màrqueting, recordatoris de carret abandonat i missatges directes a xarxes socials que anuncien productes o serveis. Per contra, els missatges purament transaccionals —com confirmacions de comanda, notificacions de lliurament, informació sobre garanties, extractes de compte o avisos de renovació de subscripció sense contingut promocional— queden fora del requisit principal de consentiment de CASL, com s'explica a l'apartat d'exempcions.

Les tres normes clau de CASL per enviar missatges comercials

La secció 6 de CASL estableix les tres normes fonamentals que regeixen tot missatge comercial electrònic. Per enviar un CEM lícitament, totes tres s'han de complir simultàniament. L'incompliment d'una d'elles ja és una infracció, encara que les altres dues s'hagin respectat.

Requisit 1: consentiment

El primer requisit és que el destinatari hagi consentit a rebre el missatge. Sota CASL, el consentiment pot ser de dues menes: exprés o implícit. La càrrega d'acreditar que existia un consentiment vàlid en el moment d'enviar el missatge recau íntegrament en el remitent (CASL, s. 13).

Consentiment exprés vol dir que el destinatari ha acceptat de manera activa i clara rebre missatges comercials del remitent. Es pot obtenir per escrit —incloent-hi mitjans electrònics a través d'un formulari d'opt-in— o oralment. D'acord amb la secció 10(1) de CASL, la sol·licitud de consentiment exprés ha d'indicar amb claredat la finalitat per a la qual se sol·licita, identificar qui el demana (i qualsevol tercer en nom del qual se sol·liciti) i incloure les dades de contacte prescrites.

Cal destacar alguns punts pràctics sobre el consentiment exprés. Les caselles premarcades no constitueixen consentiment exprés sota CASL: el destinatari ha de fer una acció positiva, com marcar una casella buida o clicar un botó de confirmació. El consentiment exprés tampoc no té data de caducitat: una vegada obtingut, és vàlid fins que el destinatari el retira mitjançant una baixa o notificant-ho al remitent. Aquesta permanència és una de les raons per les quals el consentiment exprés sol ser preferible al consentiment implícit per a qualsevol empresa que vulgui mantenir relacions de màrqueting a llarg termini.

Consentiment implícit és més limitat i es regula a la secció 10(9) de CASL. Pot sorgir en quatre supòsits principals:

Relació comercial existent (existing business relationship, EBR): una compra, lloguer o intercanvi d'un producte, servei o terreny entre el destinatari i el remitent dins dels últims dos anys; un contracte escrit vigent o que va expirar dins dels últims dos anys; o una consulta o sol·licitud feta pel destinatari al remitent dins dels últims sis mesos.
Relació no comercial existent: pertinença a un club, associació o organització voluntària de la qual el remitent és responsable; donació benèfica, regal o feina voluntària per a una entitat benèfica registrada dins dels últims dos anys; o, en alguns casos, assistència a una reunió organitzada per una entitat sense ànim de lucre.
Dades de contacte publicades de forma manifesta: el destinatari ha publicat la seva adreça electrònica de manera accessible al públic —per exemple, en una web corporativa— sense indicar que no vol rebre missatges comercials no sol·licitats, i el missatge està relacionat amb el seu càrrec, funció, negoci o tasques.
Comunicació directa: el destinatari ha facilitat la seva adreça electrònica directament al remitent sense indicar que no vol rebre missatges comercials no sol·licitats, i el missatge, de nou, està relacionat amb el seu càrrec, funció, negoci o tasques.

La durada del consentiment implícit basat en una relació comercial existent és crítica i sovint mal entesa. Per a una compra, lloguer o intercanvi, el consentiment implícit dura dos anys des de la data de la transacció més recent. Per a una consulta o sol·licitud, dura només sis mesos des de la data de la consulta. Cada nova transacció amb la mateixa persona reinicia el comptador. Una vegada s'esgoten aquests terminis, el remitent ha d'obtenir consentiment exprés abans de continuar enviant CEM.

Requisit 2: informació d'identificació

El segon requisit és que tot CEM identifiqui clarament qui envia el missatge. D'acord amb la secció 6(2) de CASL i el seu reglament de desenvolupament, el missatge ha d'identificar el remitent i qualsevol tercer en nom del qual s'enviï, i ha d'incloure dades de contacte que permetin al destinatari adreçar-s'hi amb facilitat.

Les dades de contacte exigides són: l'adreça postal del remitent, més com a mínim un dels elements següents: número de telèfon amb bústia de veu activa, adreça de correu electrònic o adreça web. Tota la informació d'identificació i contacte ha de continuar sent vàlida durant un mínim de 60 dies des de l'enviament del missatge (CASL, s. 6(3)). Una causa habitual d'incompliment és quan les empreses canvien d'adreça, telèfon o correu i no s'asseguren que els missatges enviats prèviament continuïn enllaçant amb canals de contacte funcionals.

Requisit 3: mecanisme de baixa

El tercer requisit és que tot CEM inclogui un mecanisme de baixa funcional. Sota la secció 11(1) de CASL, aquest mecanisme ha de permetre al destinatari indicar, sense cap cost, que ja no vol rebre missatges comercials del remitent. El mecanisme ha d'utilitzar el mateix mitjà electrònic pel qual s'ha enviat el missatge —per exemple, un enllaç clicable en un correu o un codi de resposta per SMS— o un altre mitjà electrònic que sigui raonablement viable atès el context.

L'adreça o l'enllaç de baixa han de continuar sent vàlids durant un mínim de 60 dies des de l'enviament del missatge (CASL, s. 11(2)). Una vegada el destinatari sol·licita la baixa, el remitent l'ha d'aplicar sense demora i, en qualsevol cas, en un termini màxim de 10 dies hàbils des de la recepció de la sol·licitud (CASL, s. 11(3)). No hi ha cap període de gràcia més enllà d'aquests 10 dies hàbils, i diverses actuacions de la CRTC han assenyalat repetidament processos de baixa retardats o no funcionals com a base de sancions importants.

Exempcions clau: quan CASL no s'aplica

CASL recull una sèrie d'exempcions específiques a la secció 6(5) i al seu reglament. Les més utilitzades cobreixen aquestes categories:

Relacions personals o familiars: missatges entre persones que tenen una relació personal o familiar tal com es defineix al reglament.
Comunicacions internes: missatges entre empleats, representants, contractistes o consultors d'una organització relatius a les activitats de l'organització.
Respostes directes a una sol·licitud: missatges enviats en resposta a una petició, consulta o queixa feta pel destinatari.
Missatges transaccionals: confirmacions de comanda, notificacions de lliurament, informació sobre garanties o crides a revisió, avisos de subscripció, missatges relacionats amb la relació laboral i extractes de compte, sempre que no continguin contingut promocional.
Recaptació de fons d'entitats benèfiques i partits polítics: missatges enviats amb la finalitat principal de recaptar fons per part d'entitats benèfiques registrades, partits polítics, candidats i certes organitzacions polítiques.
Obligacions legals: missatges enviats per complir una obligació legal o exercir un dret o ordre judicial.
Comunicacions de veu bidireccionals: trucades de veu en temps real entre persones.
Faxos enviats a un compte telefònic: missatges per fax.

Una trampa habitual és que els missatges purament transaccionals només queden exempts del requisit de consentiment si no contenen contingut promocional. En el moment que una confirmació de lliurament inclou un bàner del tipus "mentre espera, descobreixi la nostra col·lecció de primavera", el missatge passa a poder ser un CEM i pot resultar aplicable tot el conjunt de normes de CASL —consentiment, identificació i baixa. Moltes empreses creuen aquesta línia sense voler-ho quan afegeixen peus de pàgina de màrqueting a correus que en origen eren transaccionals.

Sancions i aplicació de CASL: conseqüències reals

Les conseqüències econòmiques d'una infracció de CASL són considerables. Sota la secció 20 de CASL, la CRTC pot imposar sancions administratives de fins a 1 milió de dòlars per infracció contra una persona física i de fins a 10 milions de dòlars per infracció contra una societat o una altra organització. Tot i que la finalitat declarada d'aquestes sancions és promoure el compliment i no castigar, les xifres reflecteixen la visió del Parlament que el spam és un dany seriós per a l'economia digital del Canadà.

CASL estén expressament la responsabilitat personal més enllà de la societat. Administradors, directius, agents i mandataris poden ser considerats personalment responsables si han ordenat, autoritzat, consentit, tolerat o participat en la comissió d'una infracció per part de l'organització. La diligència deguda és una defensa, però l'ha d'acreditar la persona que la invoca.

A l'hora de fixar la quantia d'una sanció, la CRTC valora un conjunt de factors recollits a la secció 20(3): la finalitat de la sanció, la naturalesa i abast de la infracció, l'historial previ d'infraccions, qualsevol benefici econòmic obtingut, la capacitat de pagament de la persona i qualsevol altre factor rellevant. Diverses resolucions il·lustren com s'apliquen aquests factors a la pràctica:

Compu-Finder (notificació de violació de 2015; reduïda en revisió el 2017): El març de 2015, la CRTC va emetre una notificació de violació de 1,1 milions de dòlars contra l'empresa quebequesa Compu-Finder per haver enviat 317 correus promocionals dels seus serveis educatius i formatius sense consentiment i per no oferir un mecanisme de baixa funcional. En revisió, la CRTC va reduir la sanció administrativa a 200.000 dòlars en la Compliance and Enforcement Decision CRTC 2017-368, en considerar que l'import inicial era desproporcionat respecte del que calia per fomentar el compliment.
Brian Conley, conseller delegat de nCrowd Inc. (2019): En la Compliance and Enforcement Decision CRTC 2019-111, la CRTC va imposar una sanció administrativa de 100.000 dòlars al CEO de nCrowd a títol personal: la primera sanció CASL contra un alt directiu en la seva capacitat individual.
Scott William Brewer (2021): La CRTC va imposar una sanció de 75.000 dòlars a una persona física per haver enviat més de 670.000 missatges comercials no sol·licitats entre desembre de 2015 i maig de 2018, la sanció CASL més alta a un particular fins aquell moment.
Campanya de phishing al Quebec (2023): La CRTC va imposar una sanció de 40.000 dòlars a un resident del Quebec per dur a terme una campanya massiva de phishing en violació de CASL.

Més enllà de les sancions econòmiques, les empreses que infringeixen CASL poden patir un impacte reputacional, perdre l'accés a proveïdors de correu electrònic amb polítiques antispam estrictes i quedar sotmeses a un escrutini regulador més intens en les campanyes posteriors.

Llista pràctica de compliment de CASL

Per a les empreses canadenques que envien missatges comercials electrònics, el compliment continuat de CASL passa per un grapat de pràctiques disciplinades:

Auditi les seves llistes de contactes. Per a cada correu o número de telèfon de la seva llista de màrqueting, identifiqui la base del consentiment (exprés, implícit o cap) i la data en què es va obtenir. Si es basa en consentiment implícit per relació comercial existent, segueixi la data de caducitat: dos anys des de l'última compra o sis mesos des de l'última consulta.
Documenti-ho tot. Com que la càrrega de la prova recau en el remitent, conservi registres que mostrin quan, com i a través de quin canal cada contacte va donar el seu consentiment. Un registre de consentiments amb la data, el formulari utilitzat i l'adreça IP (per a opt-ins en línia) és una base probatòria sòlida.
Revisi les plantilles de missatges. Comprovi que tot correu, SMS o missatge social comercial inclou el nom del remitent, l'adreça postal i com a mínim un telèfon, correu electrònic o web vàlids. Comprovi que l'enllaç o el codi de baixa funciona i continua funcionant durant un mínim de 60 dies.
Construeixi un flux de baixa fiable. Tant si fa servir un CRM, un proveïdor de correu electrònic o un sistema propi, asseguri's que les sol·licituds de baixa es processen en 10 dies hàbils. Els processos manuals són especialment vulnerables a quedar fora d'aquest termini.
Auditi els formularis de captació. Les caselles d'opt-in no han d'estar premarcades. El text que les acompanya ha de descriure clarament el tipus de missatges que la persona accepta rebre i identificar l'organització que els enviarà.
Marqui el calendari. Faci seguiment de la caducitat del consentiment implícit i previsi obtenir consentiment exprés o eliminar el contacte de la llista abans que es tanqui la finestra. Una mica de disciplina inicial estalvia un risc sancionador important.

Preguntes freqüents

CASL s'aplica a empreses fora del Canadà?

Sí. CASL s'aplica a tot missatge comercial electrònic enviat des del Canadà, dins del Canadà o cap al Canadà. Una empresa estrangera que escriu a destinataris canadencs ha de complir CASL: la ubicació del remitent no eximeix de la llei antispam del Canadà.

Quant dura el consentiment implícit sota CASL?

Per a una relació comercial existent basada en una compra, lloguer o intercanvi, el consentiment implícit sota CASL dura dos anys des de la data de la transacció més recent. Per a una consulta o sol·licitud feta pel destinatari, dura sis mesos des de la data de la consulta. Cada nova transacció reinicia el termini de dos anys.

Em poden sancionar personalment com a empresari o directiu per infraccions de CASL?

Sí. CASL estén expressament la responsabilitat als administradors, directius, agents i mandataris que hagin ordenat, autoritzat, consentit, tolerat o participat en una infracció. La diligència deguda és una defensa sota la llei antispam del Canadà, però l'ha d'acreditar la persona que la invoca.

Què passa si algú fa una consulta però no compra res: tinc consentiment implícit?

Sí, però només durant sis mesos des de la data de la consulta. Una vegada tancada aquesta finestra, ha d'obtenir consentiment exprés abans de continuar enviant missatges comercials sota CASL.

Els SMS de màrqueting estan subjectes a CASL?

Sí. CASL s'aplica a tot missatge electrònic enviat a una adreça electrònica, concepte que inclou expressament els comptes telefònics utilitzats per a missatges SMS i MMS. Un missatge promocional per text està igualment subjecte als tres requisits de CASL que un correu promocional.

Com puc demostrar que tenia consentiment si la CRTC investiga?

Ha d'aportar registres que mostrin quan es va obtenir el consentiment, per quin mètode (opt-in exprés, implícit a través d'una transacció, adreça publicada de forma manifesta, etc.) i l'abast del que el destinatari va acceptar. Les organitzacions que confien en proveïdors de correu electrònic haurien d'assegurar-se que poden recuperar registres històrics d'opt-in. Sense documentació, la realitat pràctica és que no té consentiment.

Fonts i recursos oficials

Lleis federals citades

Canada's Anti-Spam Legislation (Electronic Commerce Protection Act), S.C. 2010, c. 23 — text complet

Recursos del Govern del Canadà

Recursos i guies de la CRTC

Resolucions de la CRTC citades

Contacte amb Hadri Law

Si no està segur que les pràctiques de màrqueting per correu o SMS de la seva empresa compleixin CASL, o si ha rebut una notificació de violació de la CRTC, obtenir orientació jurídica clara aviat el pot protegir de sancions importants i de responsabilitat personal. CASL toca acords comercials, obligacions de privacitat i govern corporatiu, àmbits en què Hadri Law assessora regularment empreses de Toronto i la Greater Toronto Area.

Truqui al (437) 974-2374 per a una consulta gratuïta. Atenem clients en anglès, francès, espanyol i català.

Aquest article ofereix informació general sobre la llei antispam del Canadà i no constitueix assessorament legal. Cada empresa és diferent. Per obtenir assessorament adaptat a la seva situació concreta, posi's en contacte amb un advocat.

Llei antispam del Canadà (CASL): normes clau per enviar missatges comercials

Parli amb un advocat

Com funciona

Trucada inicial

Consulta

Signatura del contracte