La legislación antispam de Canadá, conocida como CASL —oficialmente An Act to promote the efficiency and adaptability of the Canadian economy by regulating certain activities that discourage reliance on electronic means of carrying out commercial activities, S.C. 2010, c. 23—, está considerada como uno de los regímenes antispam más estrictos del mundo. Se aplica a prácticamente cualquier empresa que envíe correos de marketing, SMS promocionales o mensajes comerciales a destinatarios ubicados en Canadá, y las sanciones por incumplimiento pueden alcanzar los 10 millones de dólares por infracción en el caso de las personas jurídicas.

Según CASL, todo mensaje electrónico comercial debe cumplir tres requisitos fundamentales: (1) el destinatario debe haber otorgado consentimiento expreso o implícito antes del envío, (2) el mensaje debe identificar con claridad al remitente y proporcionar información de contacto válida durante al menos 60 días, y (3) el mensaje debe incluir un mecanismo gratuito de cancelación de suscripción que se haga efectivo en un plazo máximo de 10 días hábiles. Estas tres reglas constituyen la base del cumplimiento de CASL para cualquier organización que se comunique por medios electrónicos con audiencias canadienses.

Este artículo explica las reglas clave de la ley antispam de Canadá para el envío de mensajes comerciales, la diferencia entre consentimiento expreso e implícito, las exenciones limitadas disponibles y cómo funciona la aplicación de la ley en la práctica.

Qué es CASL y a quién se aplica

CASL entró en vigor el 1 de julio de 2014. Las disposiciones sobre el derecho privado de acción —que habrían permitido a los particulares demandar directamente a los remitentes de spam— estaban previstas inicialmente para el 1 de julio de 2017, pero el gobierno federal las suspendió indefinidamente mediante un Decreto del Consejo (Order in Council) del 7 de junio de 2017. Hoy la ley es aplicada de forma conjunta por tres reguladores federales: la Canadian Radio-television and Telecommunications Commission (CRTC), que lidera la acción contra el spam y las amenazas electrónicas; la Office of the Privacy Commissioner of Canada, que atiende los aspectos relacionados con la información personal; y el Competition Bureau, que se ocupa de las representaciones falsas o engañosas en los mensajes electrónicos.

CASL tiene un alcance amplio. Sus reglas cubren a personas físicas, empresas constituidas y no constituidas, partnerships, entidades benéficas y organizaciones sin fines de lucro. Se aplican tanto si el mensaje se origina dentro de Canadá como si sale del país o llega desde el extranjero. Esto significa que una empresa estadounidense que envía correos a clientes canadienses queda sujeta a CASL en la misma medida que una empresa de Ontario que escribe a sus propios suscriptores.

Un cambio conceptual importante: CASL sustituyó el anterior enfoque canadiense de "opt-out" por un régimen de "opt-in". Salvo excepciones limitadas, el remitente necesita el consentimiento previo del destinatario antes de transmitir cualquier mensaje electrónico comercial. La posición por defecto es "no", y la carga de probar el consentimiento recae sobre el remitente, no sobre el destinatario.

Qué se considera un mensaje electrónico comercial bajo CASL

Antes de aplicar cualquiera de las reglas de CASL, la primera pregunta es si un mensaje concreto califica como "mensaje electrónico comercial" (CEM, por sus siglas en inglés).

Según la sección 1(2) de CASL, un CEM es cualquier mensaje electrónico respecto del cual resulte razonable concluir que uno de sus propósitos es fomentar la participación en una "actividad comercial". La definición de actividad comercial en la sección 1(1) es deliberadamente amplia: cualquier transacción, acto o conducta de carácter comercial, con o sin ánimo de lucro. Esto implica que incluso una organización sin fines de lucro que promueve un evento de pago, o una entidad benéfica que vende mercancía, puede estar enviando un CEM.

La forma del mensaje no es determinante. CASL abarca cualquier mensaje enviado a una "dirección electrónica", lo que incluye:

Cuentas de correo electrónico
Cuentas telefónicas (para mensajes SMS y MMS)
Cuentas de mensajería instantánea
Mensajes directos en redes sociales
Cualquier otra cuenta similar

Lo que sí importa es la prueba del propósito. Dado que la ley analiza si resulta razonable concluir que el mensaje tiene una finalidad comercial, incluso un mensaje mayoritariamente informativo puede quedar dentro del ámbito de CASL si además promueve una transacción comercial. Un boletín que incluye una oferta promocional, un recordatorio de cita que sugiere una mejora de servicio, o un anuncio de webinar que promociona una versión de pago pueden ser, todos ellos, CEM.

Entre los CEM claros se incluyen los correos promocionales, los boletines de marketing, los SMS comerciales, los recordatorios de carritos abandonados y los mensajes directos en redes sociales que anuncian productos o servicios. En cambio, los mensajes puramente transaccionales —como confirmaciones de pedido, avisos de entrega, información sobre garantías, estados de cuenta o avisos de renovación de suscripción sin contenido promocional— generalmente quedan fuera del requisito principal de consentimiento de CASL, como se explica más adelante en la sección sobre exenciones.

Las tres reglas fundamentales de CASL para el envío de mensajes comerciales

La sección 6 de CASL establece las tres reglas básicas que rigen cada mensaje electrónico comercial. Para enviar un CEM de forma lícita, las tres deben cumplirse simultáneamente. Incumplir una sola constituye una infracción, aunque las otras dos estén satisfechas.

Requisito 1: consentimiento

El primer requisito es que el destinatario haya dado su consentimiento para recibir el mensaje. Bajo CASL, el consentimiento se presenta en dos formas: expreso e implícito. La carga de probar que existía un consentimiento válido al momento del envío recae enteramente sobre el remitente (CASL, s. 13).

El consentimiento expreso significa que el destinatario acordó de manera activa y clara recibir mensajes comerciales del remitente. Puede obtenerse por escrito —incluso de forma electrónica a través de un formulario de suscripción (opt-in)— o de forma oral. Según la sección 10(1) de CASL, la solicitud de consentimiento expreso debe indicar con claridad el propósito del consentimiento, identificar al solicitante (y a cualquier tercero en cuyo nombre se solicite el consentimiento) y proporcionar la información de contacto prescrita.

Conviene subrayar algunos aspectos prácticos del consentimiento expreso. Las casillas premarcadas no constituyen consentimiento expreso bajo CASL: el destinatario debe realizar una acción positiva, como marcar una casilla vacía o hacer clic en un botón de confirmación. El consentimiento expreso tampoco tiene caducidad: una vez obtenido, sigue siendo válido hasta que el destinatario lo retire mediante la cancelación de suscripción o lo notifique de otro modo al remitente. Esa permanencia es una de las razones por las que el consentimiento expreso suele ser preferible al implícito para cualquier empresa que quiera mantener relaciones de marketing a largo plazo.

El consentimiento implícito es más restringido y se regula en la sección 10(9) de CASL. Puede surgir en cuatro categorías principales:

Relación comercial existente (EBR, por sus siglas en inglés): una compra, alquiler o trueque de un producto, servicio o terreno entre el destinatario y el remitente en los últimos dos años; un contrato escrito vigente o cuya vigencia haya terminado dentro de los dos años anteriores; o una consulta o solicitud realizada por el destinatario al remitente en los últimos seis meses.
Relación no comercial existente: membresía en un club, asociación u organización voluntaria de la que el remitente sea responsable; una donación benéfica, obsequio o trabajo voluntario realizado para una entidad benéfica registrada en los últimos dos años; o, en determinados casos, asistencia a una reunión organizada por una entidad sin fines de lucro.
Información de contacto publicada de forma visible: el destinatario ha publicado su dirección electrónica de manera accesible al público —por ejemplo, en el sitio web de su empresa— sin indicar que no desea recibir mensajes comerciales no solicitados, y el mensaje está relacionado con el cargo, función, empresa o tareas del destinatario.
Divulgación directa: el destinatario ha facilitado directamente su dirección electrónica al remitente sin manifestar que no desea recibir mensajes comerciales no solicitados, y nuevamente el mensaje se relaciona con el cargo, función, empresa o tareas del destinatario.

La duración del consentimiento implícito basado en una relación comercial existente es crítica y a menudo se malinterpreta. Para una compra, alquiler o trueque, el consentimiento implícito se extiende durante dos años a partir de la fecha de la transacción más reciente. Para una consulta o solicitud, solo dura seis meses desde la fecha de la consulta. Cada nueva transacción con la misma persona reinicia el plazo. Cuando esas ventanas expiran, el remitente debe obtener consentimiento expreso antes de seguir enviando CEM.

Requisito 2: información de identificación

El segundo requisito es que todo CEM identifique con claridad quién envía el mensaje. Según la sección 6(2) de CASL y su reglamento, el mensaje debe identificar al remitente y a cualquier tercero en cuyo nombre se envíe, y debe proporcionar información de contacto que permita al destinatario localizar al remitente con facilidad.

Los datos de contacto exigidos son: la dirección postal del remitente, junto con al menos uno de los siguientes: un número de teléfono con buzón de voz activo, una dirección de correo electrónico o una dirección web. Toda la información de identificación y contacto debe mantenerse válida durante al menos 60 días a partir del envío del mensaje (CASL, s. 6(3)). Un incumplimiento habitual se produce cuando las empresas cambian su dirección, teléfono o correo y no verifican que los mensajes enviados previamente sigan enlazando a canales de contacto operativos.

Requisito 3: mecanismo de cancelación de suscripción

El tercer requisito es que todo CEM incluya un mecanismo funcional de cancelación de suscripción. Según la sección 11(1) de CASL, este mecanismo debe permitir al destinatario indicar, sin coste alguno, que ya no desea recibir mensajes comerciales del remitente. El mecanismo debe utilizar el mismo medio electrónico por el que se envió el mensaje —por ejemplo, un enlace para hacer clic en un correo o un código de respuesta por SMS— u otro medio electrónico razonablemente viable en las circunstancias.

La dirección o el enlace de cancelación deben permanecer válidos durante al menos 60 días tras el envío del mensaje (CASL, s. 11(2)). Una vez que el destinatario envía una solicitud de cancelación, el remitente debe hacerla efectiva sin demora y, en todo caso, a más tardar 10 días hábiles después de haberla recibido (CASL, s. 11(3)). No existe un período de gracia más allá de esos 10 días hábiles, y las acciones de aplicación de la CRTC han citado repetidamente retrasos o fallos en los procesos de cancelación como base para sanciones considerables.

Exenciones clave: cuándo no se aplica CASL

CASL contiene una lista específica de exenciones en la sección 6(5) y en la reglamentación relacionada. Las exenciones de uso más frecuente cubren las siguientes categorías de mensajes:

Relaciones personales o familiares: mensajes entre personas que mantienen una relación personal o familiar según la definición del reglamento.
Comunicaciones internas de la empresa: mensajes entre empleados, representantes, contratistas o consultores de una organización relacionados con las actividades de esta.
Respuestas directas a una solicitud: mensajes enviados en respuesta a una petición, consulta o queja formulada por el destinatario.
Mensajes transaccionales: confirmaciones de pedido, avisos de entrega, información sobre garantías o retiradas de productos, avisos de suscripción, mensajes relacionados con el empleo y estados de cuenta, siempre que no contengan contenido promocional.
Recaudación de fondos de entidades benéficas y partidos políticos: mensajes enviados con el propósito principal de recaudar fondos por parte de entidades benéficas registradas o por partidos políticos, candidatos y ciertas organizaciones políticas.
Obligaciones legales: mensajes enviados para cumplir una obligación legal o para hacer valer un derecho legal o una orden judicial.
Comunicaciones de voz bidireccionales: llamadas de voz en tiempo real entre personas.
Faxes enviados a una cuenta telefónica: mensajes por fax.

Una trampa importante para el cumplimiento es que los mensajes puramente transaccionales están exentos del requisito de consentimiento solo si no contienen contenido promocional. En el momento en que una confirmación de entrega incluye un banner del tipo "mientras tanto, explore nuestra colección de primavera", el mensaje puede pasar a considerarse un CEM y aplicarse el conjunto completo de reglas de CASL —consentimiento, identificación y cancelación—. Muchas empresas cruzan esa línea sin darse cuenta al añadir pies de página de marketing a correos que, de otro modo, serían puramente transaccionales.

Sanciones y aplicación de CASL: consecuencias reales

Las consecuencias económicas de una infracción de CASL son significativas. Según la sección 20 de CASL, la CRTC puede imponer sanciones administrativas monetarias de hasta 1 millón de dólares por infracción a una persona física, y de hasta 10 millones de dólares por infracción a una corporación u otra organización. Aunque la finalidad declarada de estas sanciones es promover el cumplimiento más que castigar, las cifras reflejan la opinión del Parlamento de que el spam representa un daño serio para la economía digital canadiense.

CASL extiende expresamente la responsabilidad personal más allá de la corporación. Los directores, funcionarios, agentes y mandatarios pueden ser considerados personalmente responsables si dirigieron, autorizaron, consintieron, permitieron o participaron en la comisión de una infracción por parte de la organización. La debida diligencia es una defensa, pero debe ser demostrada por quien pretenda invocarla.

Al determinar el monto de una sanción, la CRTC considera una serie de factores recogidos en la sección 20(3), entre ellos el propósito de la sanción, la naturaleza y alcance de la infracción, los antecedentes de infracciones previas, cualquier beneficio económico obtenido de la conducta, la capacidad de pago del infractor y cualquier otro factor relevante. Varias decisiones muestran cómo operan estos factores en la práctica:

Compu-Finder (Aviso de Infracción de 2015; reducido tras revisión en 2017): en marzo de 2015, la CRTC emitió un Aviso de Infracción por 1,1 millones de dólares contra la empresa de Quebec Compu-Finder por enviar 317 correos promocionales de sus servicios educativos y de formación sin consentimiento y por no proporcionar un mecanismo de cancelación funcional. Tras la revisión, la CRTC redujo la sanción administrativa monetaria a 200.000 dólares en la Compliance and Enforcement Decision CRTC 2017-368, al considerar que el monto original era desproporcionado respecto de lo necesario para promover el cumplimiento.
Brian Conley, director ejecutivo de nCrowd Inc. (2019): en la Compliance and Enforcement Decision CRTC 2019-111, la CRTC impuso una sanción administrativa monetaria de 100.000 dólares al director ejecutivo de nCrowd a título personal, la primera sanción bajo CASL dictada contra un alto directivo corporativo en su capacidad individual.
Scott William Brewer (2021): la CRTC impuso una sanción de 75.000 dólares a un particular por enviar más de 670.000 mensajes comerciales no solicitados entre diciembre de 2015 y mayo de 2018, la mayor sanción de CASL emitida contra una persona física en ese momento.
Campaña de phishing en Quebec (2023): la CRTC impuso una sanción de 40.000 dólares a un residente de Quebec por llevar a cabo una campaña masiva de phishing en violación de CASL.

Más allá de las sanciones económicas, las empresas que vulneran CASL pueden sufrir daño reputacional, perder acceso a proveedores de servicios de correo que aplican políticas estrictas contra el spam y enfrentarse a un mayor escrutinio regulatorio en sus campañas posteriores.

Lista de verificación práctica para el cumplimiento de CASL

Para las empresas canadienses que envían mensajes electrónicos comerciales, el cumplimiento continuo de CASL suele basarse en un conjunto de prácticas disciplinadas:

Audite sus listas de contactos. Para cada correo o número telefónico de su lista de marketing, identifique la base del consentimiento (expreso, implícito o inexistente) y la fecha en que se obtuvo. Cuando se base en consentimiento implícito por una relación comercial existente, registre la fecha de expiración: dos años desde la última compra o seis meses desde la última consulta.
Documente todo. Dado que la carga de la prueba recae sobre el remitente, conserve registros que muestren cuándo, cómo y por qué canal cada contacto otorgó su consentimiento. Un registro que capture la fecha, el formulario utilizado y la dirección IP (para suscripciones en línea) constituye una base probatoria sólida.
Revise las plantillas de sus mensajes. Confirme que cada correo, SMS o mensaje social de carácter comercial incluye el nombre del remitente, su dirección postal y al menos un número de teléfono, correo o sitio web válido. Verifique que el enlace o código de cancelación funciona y continúa funcionando durante al menos 60 días.
Implemente un flujo de cancelación fiable. Ya utilice un CRM, un proveedor de servicios de correo o un sistema propio, asegúrese de que las solicitudes de cancelación se procesan en un plazo de 10 días hábiles. Los procesos manuales son especialmente vulnerables a salirse de ese margen.
Audite sus formularios de captación. Las casillas de suscripción no deben estar premarcadas. El texto adjunto debe describir con claridad el tipo de mensajes que la persona acepta recibir e identificar a la organización que los enviará.
Marque el calendario. Controle el vencimiento del consentimiento implícito y planifique la obtención de consentimiento expreso o la eliminación del contacto antes de que se cierre la ventana. Un poco de disciplina anticipada evita un riesgo considerable en materia de aplicación.

Preguntas frecuentes

¿Se aplica CASL a empresas fuera de Canadá?

Sí. CASL se aplica a cualquier mensaje electrónico comercial que se envíe desde, dentro de o hacia Canadá. Una empresa extranjera que envía correos a destinatarios canadienses debe cumplir con CASL: la ubicación del remitente no exime del cumplimiento de la ley antispam de Canadá.

¿Cuánto dura el consentimiento implícito bajo CASL?

Para una relación comercial existente basada en una compra, alquiler o trueque, el consentimiento implícito bajo CASL dura dos años a partir de la fecha de la transacción más reciente. Para una consulta o solicitud del destinatario, dura seis meses a partir de la fecha de la consulta. Cada nueva transacción reinicia el plazo de dos años.

¿Pueden sancionarme personalmente por infracciones de CASL como propietario o directivo de una empresa?

Sí. CASL extiende expresamente la responsabilidad a directores, funcionarios, agentes y mandatarios que dirigieron, autorizaron, consintieron, permitieron o participaron en una infracción. La debida diligencia es una defensa bajo la ley antispam de Canadá, pero debe ser probada por la persona que pretenda invocarla.

¿Qué ocurre si alguien hace una consulta pero no compra nada? ¿Tengo consentimiento implícito?

Sí, pero solo durante seis meses a partir de la fecha de la consulta. Cuando se cierra esa ventana, debe obtener consentimiento expreso antes de continuar enviando mensajes comerciales bajo CASL.

¿Los SMS de marketing están sujetos a CASL?

Sí. CASL se aplica a cualquier mensaje electrónico enviado a una dirección electrónica, y la ley incluye expresamente las cuentas telefónicas utilizadas para mensajes SMS y MMS. Un texto promocional está sujeto a los tres requisitos de CASL en la misma medida que un correo promocional.

¿Cómo demuestro el consentimiento si la CRTC investiga?

Debe presentar registros que muestren cuándo se obtuvo el consentimiento, por qué método (opt-in expreso, consentimiento implícito por una transacción, dirección publicada de forma visible, etc.) y el alcance de lo que el destinatario aceptó. Las organizaciones que dependen de proveedores de servicios de correo deben asegurarse de poder recuperar los registros históricos de suscripción. Sin documentación, la realidad práctica es que no se tiene consentimiento.

Fuentes y recursos oficiales

Leyes federales citadas

Canada's Anti-Spam Legislation (Electronic Commerce Protection Act), S.C. 2010, c. 23 — Texto completo

Recursos del Gobierno de Canadá

Recursos y guías de la CRTC

Decisiones de aplicación de la CRTC citadas

Contacte con Hadri Law

Si no tiene certeza de que las prácticas de marketing por correo o SMS de su empresa cumplan con CASL, o si ha recibido un aviso de infracción de la CRTC, obtener orientación legal clara de forma temprana puede protegerle de sanciones significativas y de responsabilidad personal. CASL se cruza con los contratos comerciales, las obligaciones de privacidad y el gobierno corporativo, áreas en las que Hadri Law asesora con regularidad a empresas de Toronto y el GTA.

Llame al (437) 974-2374 para una consulta gratuita. Atendemos a clientes en inglés, francés, español y catalán.

Este artículo ofrece información general sobre la legislación antispam de Canadá y no constituye asesoramiento legal. Cada empresa es distinta. Para recibir asesoramiento sobre su situación específica, consulte con un abogado.

Ley antispam de Canadá (CASL): reglas clave para el envío de mensajes comerciales

Hable con un abogado

Cómo funciona

Llamada inicial

Consulta

Firma del contrato