Loi canadienne anti-pourriel (LCAP) : règles clés pour l'envoi de messages commerciaux

La Loi canadienne anti-pourriel (LCAP) — officiellement Loi visant à promouvoir l'efficacité et la capacité d'adaptation de l'économie canadienne par la réglementation de certaines pratiques qui découragent l'exercice des activités commerciales par voie électronique, L.C. 2010, ch. 23 — est largement considérée comme l'un des régimes anti-pourriel les plus stricts au monde. Elle s'applique à pratiquement toute entreprise qui envoie des courriels de marketing, des textos promotionnels ou des messages commerciaux à des destinataires au Canada, et les sanctions en cas de manquement peuvent atteindre 10 millions de dollars par violation pour les personnes morales.

Selon la LCAP, tout message électronique commercial doit satisfaire à trois exigences fondamentales : (1) le destinataire doit avoir donné son consentement exprès ou tacite avant l'envoi du message, (2) le message doit clairement identifier l'expéditeur et fournir des coordonnées valides pendant au moins 60 jours, et (3) le message doit comporter un mécanisme d'exclusion (désabonnement) gratuit, honoré dans les 10 jours ouvrables. Ensemble, ces règles constituent le socle de la conformité à la LCAP pour toute organisation qui communique par voie électronique avec un public canadien.

Cet article présente les règles clés de la loi canadienne anti-pourriel relatives à l'envoi de messages commerciaux, la distinction entre consentement exprès et consentement tacite, les exemptions limitées prévues, ainsi que la réalité de l'application de la loi.

Qu'est-ce que la LCAP et qui doit s'y conformer

La LCAP est entrée en vigueur le 1er juillet 2014. Les dispositions relatives au droit privé d'action — qui auraient permis à des particuliers de poursuivre directement les expéditeurs de pourriels — devaient initialement prendre effet le 1er juillet 2017, mais elles ont été suspendues pour une durée indéterminée par le gouvernement fédéral au moyen d'un décret en conseil adopté le 7 juin 2017. Aujourd'hui, la loi est appliquée conjointement par trois organismes fédéraux : le Conseil de la radiodiffusion et des télécommunications canadiennes (CRTC), qui pilote l'application en matière de pourriel et de menaces électroniques ; le Commissariat à la protection de la vie privée du Canada, qui traite les aspects liés aux renseignements personnels ; et le Bureau de la concurrence, qui s'occupe des indications fausses ou trompeuses dans les messages électroniques.

La LCAP a une portée très large. Elle vise les particuliers, les entreprises constituées en société ou non, les sociétés de personnes, les organismes de bienfaisance et les organisations sans but lucratif. Elle s'applique que le message provienne du Canada, qu'il sorte du Canada ou qu'il y entre depuis l'étranger — ce qui signifie qu'une entreprise américaine qui envoie des courriels à des clients canadiens est tout aussi assujettie à la LCAP qu'une entreprise ontarienne qui écrit à ses propres abonnés.

Point essentiel : la LCAP a remplacé l'ancienne approche canadienne fondée sur l'exclusion (« opt-out ») par un régime d'adhésion préalable (« opt-in »). Sous réserve d'exceptions limitées, un expéditeur doit obtenir le consentement préalable du destinataire avant d'envoyer quelque message électronique commercial que ce soit. La règle de base est donc le refus présumé — et le fardeau de la preuve du consentement repose sur l'expéditeur, non sur le destinataire.

Qu'est-ce qu'un message électronique commercial au sens de la LCAP ?

Avant d'appliquer les règles de la LCAP, il faut d'abord se demander si un message donné constitue un « message électronique commercial » (MEC).

Aux termes du paragraphe 1(2) de la LCAP, un MEC est un message électronique dont il est raisonnable de conclure qu'il a notamment pour but d'encourager la participation à une « activité commerciale ». La définition d'activité commerciale prévue au paragraphe 1(1) est volontairement large : toute transaction, tout acte ou toute conduite de nature commerciale, qu'ils soient exercés ou non dans un but lucratif. Autrement dit, même un organisme sans but lucratif qui fait la promotion d'un événement payant, ou un organisme de bienfaisance qui vend de la marchandise, peut envoyer un MEC.

La forme du message importe peu. La LCAP vise tout message envoyé à une « adresse électronique », ce qui comprend :

• Les comptes de courriel
• Les comptes téléphoniques (pour les SMS et les MMS)
• Les comptes de messagerie instantanée
• Les messages directs sur les médias sociaux
• Tout autre compte semblable

Ce qui compte, c'est le critère de la finalité. Puisque la loi examine s'il est raisonnable de conclure que le message a un objet commercial, même un message essentiellement informatif peut relever de la LCAP s'il encourage par ailleurs une transaction commerciale. Un bulletin qui contient une offre promotionnelle, un rappel de rendez-vous qui pousse une vente additionnelle, ou une annonce de webinaire qui fait la promotion d'une version payante — tous sont probablement des MEC.

Parmi les exemples clairs de MEC figurent les courriels promotionnels, les infolettres de marketing, les textos SMS de marketing, les courriels de rappel de panier abandonné et les messages directs sur les médias sociaux faisant la promotion de produits ou de services. À l'inverse, les messages purement transactionnels — comme les confirmations de commande, les avis de livraison, les renseignements sur la garantie, les relevés de compte ou les avis de renouvellement d'abonnement sans contenu promotionnel — se situent généralement hors du champ d'application de la principale exigence de consentement de la LCAP, comme l'explique la section sur les exemptions ci-dessous.

Les trois règles fondamentales de la LCAP pour l'envoi de messages commerciaux

L'article 6 de la LCAP énonce les trois règles fondamentales qui régissent chaque message électronique commercial. Pour envoyer un MEC licitement, les trois exigences doivent être satisfaites simultanément. Un manquement à l'une d'entre elles constitue une violation, même si les deux autres sont respectées.

Exigence 1 : le consentement

La première exigence est que le destinataire ait consenti à recevoir le message. La LCAP reconnaît deux formes de consentement : le consentement exprès et le consentement tacite. Le fardeau de démontrer qu'un consentement valide existait au moment de l'envoi du message incombe entièrement à l'expéditeur (LCAP, art. 13).

Le consentement exprès signifie que le destinataire a accepté activement et clairement de recevoir des messages commerciaux de l'expéditeur. Il peut être obtenu par écrit — y compris par voie électronique au moyen d'un formulaire d'adhésion — ou oralement. Aux termes du paragraphe 10(1) de la LCAP, la demande de consentement exprès doit énoncer clairement la fin pour laquelle le consentement est demandé, identifier le demandeur (et tout tiers pour le compte duquel le consentement est sollicité) et fournir les coordonnées prescrites.

Quelques points pratiques méritent d'être soulignés au sujet du consentement exprès. Les cases pré-cochées ne constituent pas un consentement exprès au sens de la LCAP — le destinataire doit poser un geste positif, par exemple cocher une case vide ou cliquer sur un bouton de confirmation. Le consentement exprès n'a pas non plus de durée déterminée : une fois obtenu, il demeure valide jusqu'à ce que le destinataire le retire en se désabonnant ou en avisant autrement l'expéditeur. Cette permanence explique pourquoi le consentement exprès est généralement préférable au consentement tacite pour toute entreprise qui souhaite entretenir des relations de marketing à long terme.

Le consentement tacite a une portée plus étroite et est prévu au paragraphe 10(9) de la LCAP. Il peut découler de quatre grandes situations :

• Relation d'affaires en cours : un achat, une location ou un échange d'un produit, d'un service ou d'un bien immeuble entre le destinataire et l'expéditeur au cours des deux dernières années ; un contrat écrit en vigueur ou expiré au cours des deux dernières années ; ou une demande de renseignements ou une candidature présentée par le destinataire à l'expéditeur au cours des six derniers mois.
• Relation privée en cours : une adhésion à un club, une association ou une organisation bénévole dont l'expéditeur est responsable ; un don de bienfaisance, un cadeau ou du bénévolat effectué pour un organisme de bienfaisance enregistré au cours des deux dernières années ; ou, dans certains cas, la présence à une réunion organisée par un organisme sans but lucratif.
• Adresse diffusée publiquement : le destinataire a publié son adresse électronique d'une manière accessible au public — par exemple, sur un site Web d'entreprise — sans indication qu'il ne souhaite pas recevoir de messages commerciaux non sollicités, et le message se rapporte à son rôle, à sa fonction, à son entreprise ou à ses responsabilités.
• Adresse communiquée directement : le destinataire a communiqué directement son adresse électronique à l'expéditeur sans indiquer qu'il ne souhaitait pas recevoir de messages commerciaux non sollicités, et le message se rapporte, là encore, à son rôle, à sa fonction, à son entreprise ou à ses responsabilités.

La durée du consentement tacite fondé sur une relation d'affaires en cours est un élément essentiel et souvent mal compris. Pour un achat, une location ou un échange, le consentement tacite court pendant deux ans à compter de la date de la transaction la plus récente. Pour une demande de renseignements ou une candidature, il court pendant six mois seulement à compter de la date de la demande. Chaque nouvelle transaction avec la même personne réinitialise le compteur. Une fois ces délais expirés, l'expéditeur doit obtenir un consentement exprès avant de continuer à envoyer des MEC.

Exigence 2 : les renseignements d'identification

La deuxième exigence veut que chaque MEC identifie clairement l'expéditeur. Aux termes du paragraphe 6(2) de la LCAP et du règlement pris en application de celle-ci, le message doit identifier l'expéditeur ainsi que tout tiers pour le compte duquel il est envoyé, et fournir des coordonnées permettant au destinataire de joindre aisément l'expéditeur.

Les renseignements requis sont les suivants : l'adresse postale de l'expéditeur, ainsi qu'au moins un des éléments suivants : un numéro de téléphone avec une messagerie vocale qui accepte les messages, une adresse de courriel ou une adresse Web. Tous les renseignements d'identification et les coordonnées doivent demeurer valides pendant au moins 60 jours après l'envoi du message (LCAP, par. 6(3)). Un manquement fréquent survient lorsqu'une entreprise change d'adresse, de numéro de téléphone ou de courriel sans veiller à ce que les messages déjà envoyés renvoient toujours à des canaux de communication fonctionnels.

Exigence 3 : le mécanisme de désabonnement

La troisième exigence est que chaque MEC comporte un mécanisme de désabonnement qui fonctionne. Aux termes du paragraphe 11(1) de la LCAP, ce mécanisme doit permettre au destinataire d'indiquer, sans frais, qu'il ne souhaite plus recevoir de messages commerciaux de l'expéditeur. Il doit utiliser le même moyen électronique que celui par lequel le message a été envoyé — par exemple, un lien cliquable dans un courriel ou un code de réponse pour un SMS — ou un autre moyen électronique raisonnablement utilisable dans les circonstances.

L'adresse ou le lien de désabonnement doit demeurer valide pendant au moins 60 jours après l'envoi du message (LCAP, par. 11(2)). Une fois qu'un destinataire soumet une demande de désabonnement, l'expéditeur doit y donner effet sans délai et, au plus tard, dans les 10 jours ouvrables suivant la réception de la demande (LCAP, par. 11(3)). Il n'existe aucune période de grâce au-delà de ces 10 jours ouvrables, et les mesures d'application du CRTC ont maintes fois cité des processus de désabonnement tardifs ou défectueux comme fondement de sanctions importantes.

Exemptions clés : quand la LCAP ne s'applique pas

La LCAP prévoit une liste d'exemptions précises au paragraphe 6(5) et dans ses règlements d'application. Les exemptions les plus fréquemment invoquées visent les catégories de messages suivantes :

• Relations personnelles ou familiales : les messages entre personnes qui entretiennent une relation personnelle ou familiale au sens du règlement.
• Communications internes à une entreprise : les messages entre employés, représentants, entrepreneurs ou consultants d'une organisation qui portent sur les activités de celle-ci.
• Réponses directes à une demande : les messages envoyés en réponse à une demande, à une question ou à une plainte du destinataire.
• Messages transactionnels : les confirmations de commande, les avis de livraison, les renseignements sur la garantie ou les rappels de produits, les avis d'abonnement, les messages liés à l'emploi et les relevés de compte — à condition qu'ils ne comportent aucun contenu promotionnel.
• Collecte de fonds d'organismes de bienfaisance et de partis politiques : les messages envoyés dans le but principal de recueillir des fonds pour un organisme de bienfaisance enregistré ou pour un parti politique, un candidat ou certaines organisations politiques.
• Obligations légales : les messages envoyés pour respecter une obligation légale ou faire valoir un droit légal ou une ordonnance judiciaire.
• Communications vocales bidirectionnelles : les appels vocaux en temps réel entre personnes.
• Télécopies envoyées à un compte téléphonique : les messages par télécopieur.

Un piège de conformité particulièrement courant tient à ce que les messages purement transactionnels ne sont exemptés de l'exigence de consentement que s'ils ne comportent aucun contenu promotionnel. Dès qu'une confirmation de livraison inclut une bannière du type « en attendant, découvrez notre collection du printemps », le message devient vraisemblablement un MEC et l'ensemble des règles de la LCAP — consentement, identification et désabonnement — peut s'appliquer. Beaucoup d'entreprises franchissent cette ligne sans s'en rendre compte en ajoutant des pieds de page marketing à des courriels autrement transactionnels.

Sanctions et application : des conséquences bien réelles

Les conséquences financières d'une violation de la LCAP sont considérables. Aux termes de l'article 20 de la LCAP, le CRTC peut imposer des sanctions administratives pécuniaires pouvant atteindre 1 million de dollars par violation à une personne physique, et 10 millions de dollars par violation à une société ou à une autre organisation. Bien que l'objet déclaré de ces sanctions soit de favoriser la conformité plutôt que de punir, les montants reflètent l'opinion du législateur selon laquelle le pourriel cause un préjudice sérieux à l'économie numérique canadienne.

La LCAP étend aussi expressément la responsabilité personnelle au-delà de la société. Les administrateurs, dirigeants, mandataires et agents peuvent être tenus personnellement responsables s'ils ont ordonné, autorisé, approuvé ou toléré la violation commise par l'organisation, ou s'ils y ont participé. La diligence raisonnable constitue une défense — mais elle doit être établie par la personne qui s'en prévaut.

Pour déterminer le montant d'une sanction, le CRTC tient compte de divers facteurs énoncés au paragraphe 20(3), dont l'objet de la sanction, la nature et l'étendue de la violation, les antécédents de violations, tout avantage financier tiré de la conduite, la capacité de payer de la personne visée et tout autre facteur pertinent. Plusieurs décisions d'application illustrent la manière dont ces facteurs jouent en pratique :

• Compu-Finder (avis de violation de 2015 ; sanction réduite en 2017) : en mars 2015, le CRTC a émis un avis de violation de 1,1 million de dollars à l'encontre de Compu-Finder, une entreprise québécoise, pour avoir envoyé 317 courriels promotionnels de services de formation sans consentement et pour avoir omis de fournir un mécanisme de désabonnement fonctionnel. Après réexamen, le CRTC a ramené la sanction administrative pécuniaire à 200 000 $ dans la Décision de conformité et d'application CRTC 2017-368, jugeant le montant initial disproportionné par rapport à ce qui était nécessaire pour favoriser la conformité.
• Brian Conley, chef de la direction de nCrowd Inc. (2019) : dans la Décision de conformité et d'application CRTC 2019-111, le CRTC a imposé une sanction administrative pécuniaire de 100 000 $ personnellement au chef de la direction de nCrowd — la première sanction de la LCAP prononcée contre un dirigeant d'entreprise à titre personnel.
• Scott William Brewer (2021) : le CRTC a imposé une sanction de 75 000 $ à un particulier pour l'envoi de plus de 670 000 messages commerciaux non sollicités entre décembre 2015 et mai 2018 — la plus lourde sanction de la LCAP imposée à un particulier à l'époque.
• Campagne d'hameçonnage au Québec (2023) : le CRTC a infligé une sanction de 40 000 $ à un résident du Québec pour avoir mené une campagne d'hameçonnage de grande ampleur en violation de la LCAP.

Au-delà des sanctions financières, les entreprises qui contreviennent à la LCAP peuvent subir une atteinte à leur réputation, perdre l'accès à des fournisseurs de services de courriel qui appliquent des politiques anti-pourriel strictes et faire l'objet d'une surveillance réglementaire accrue lors de leurs campagnes subséquentes.

Liste de vérification pratique pour la conformité à la LCAP

Pour les entreprises canadiennes qui envoient des messages électroniques commerciaux, la conformité continue à la LCAP suppose quelques pratiques disciplinées :

• Vérifiez vos listes de contacts. Pour chaque adresse de courriel ou numéro de téléphone figurant sur votre liste de marketing, déterminez le fondement du consentement (exprès, tacite ou aucun) et la date de son obtention. Lorsque vous vous appuyez sur un consentement tacite fondé sur une relation d'affaires en cours, suivez la date d'expiration — deux ans depuis le dernier achat ou six mois depuis la dernière demande de renseignements.
• Documentez tout. Puisque le fardeau de la preuve repose sur l'expéditeur, conservez des registres qui montrent à quel moment, par quel moyen et par quel canal chaque contact a donné son adhésion. Un registre de consentement qui indique la date, le formulaire utilisé et l'adresse IP (pour les adhésions en ligne) constitue une base probatoire solide.
• Revoyez vos modèles de message. Assurez-vous que chaque courriel, SMS ou message social commercial comporte le nom de l'expéditeur, son adresse postale et au moins un numéro de téléphone, courriel ou site Web valide. Vérifiez que le lien de désabonnement ou le code de réponse fonctionne et continue de fonctionner pendant au moins 60 jours.
• Mettez en place un processus de désabonnement fiable. Que vous utilisiez un CRM, un fournisseur de services de courriel ou un système sur mesure, assurez-vous que les demandes de désabonnement sont traitées dans les 10 jours ouvrables. Les processus manuels sont particulièrement vulnérables à un dépassement de ce délai.
• Vérifiez vos formulaires d'adhésion. Les cases d'adhésion ne doivent pas être pré-cochées. Le libellé doit décrire clairement le type de messages auxquels la personne consent et identifier l'organisation qui les enverra.
• Marquez votre calendrier. Suivez l'expiration du consentement tacite et prévoyez d'obtenir un consentement exprès ou de retirer le contact de la liste avant la fin du délai. Un peu de discipline en amont évite de grands risques d'application en aval.

Foire aux questions

La LCAP s'applique-t-elle aux entreprises établies hors du Canada ?

Oui. La LCAP s'applique à tout message électronique commercial envoyé depuis le Canada, à l'intérieur du Canada ou à destination du Canada. Une entreprise étrangère qui envoie des courriels à des destinataires canadiens doit se conformer à la LCAP — le lieu où se trouve l'expéditeur ne soustrait pas celui-ci à la loi canadienne anti-pourriel.

Combien de temps dure le consentement tacite sous la LCAP ?

Pour une relation d'affaires en cours fondée sur un achat, une location ou un échange, le consentement tacite sous la LCAP dure deux ans à compter de la date de la transaction la plus récente. Pour une demande de renseignements ou une candidature du destinataire, il dure six mois à compter de la date de la demande. Chaque nouvelle transaction réinitialise la période de deux ans.

Puis-je être sanctionné personnellement pour une violation de la LCAP en tant que propriétaire ou dirigeant d'entreprise ?

Oui. La LCAP étend expressément la responsabilité aux administrateurs, dirigeants, mandataires et agents qui ont ordonné, autorisé, approuvé ou toléré une violation, ou qui y ont participé. La diligence raisonnable constitue une défense sous la loi canadienne anti-pourriel, mais elle doit être prouvée par la personne qui s'en prévaut.

Que se passe-t-il si quelqu'un fait une demande de renseignements sans rien acheter — ai-je un consentement tacite ?

Oui, mais pour six mois seulement à compter de la date de la demande. Une fois ce délai expiré, vous devez obtenir un consentement exprès avant de continuer à envoyer des messages commerciaux sous la LCAP.

Les textos SMS de marketing sont-ils visés par la LCAP ?

Oui. La LCAP s'applique à tout message électronique envoyé à une adresse électronique, ce qui comprend expressément les comptes téléphoniques utilisés pour les messages SMS et MMS. Un texto promotionnel est tout aussi assujetti aux trois exigences de la LCAP qu'un courriel promotionnel.

Comment prouver mon consentement en cas d'enquête du CRTC ?

Vous devez produire des registres établissant à quel moment le consentement a été obtenu, par quelle méthode (adhésion expresse, consentement tacite découlant d'une transaction, adresse diffusée publiquement, etc.) et la portée de ce à quoi le destinataire a consenti. Les organisations qui recourent à un fournisseur de services de courriel doivent s'assurer qu'elles peuvent récupérer les registres historiques d'adhésion. Sans documentation, la réalité pratique est que vous n'avez pas de consentement.

Sources et ressources officielles

Lois fédérales citées

1. Loi canadienne anti-pourriel (Loi sur la protection du commerce électronique), L.C. 2010, ch. 23 — Texte intégral

Ressources du gouvernement du Canada

2. Loi canadienne anti-pourriel — Gouvernement du Canada (ISDE)
3. Obtention du consentement pour l'envoi de courriels — Orientation d'ISDE

Ressources et orientations du CRTC

4. Foire aux questions sur la Loi canadienne anti-pourriel — CRTC
5. Orientation sur le consentement tacite — CRTC
6. Index des mesures d'application du CRTC

Décisions d'application du CRTC citées

7. Décision de conformité et d'application CRTC 2017-368 — Réduction à 200 000 $ de la sanction imposée à Compu-Finder
8. Décision de conformité et d'application CRTC 2019-111 — Sanction de 100 000 $ contre Brian Conley, chef de la direction de nCrowd

Contactez Hadri Law

Si vous vous demandez si les pratiques de marketing par courriel ou par SMS de votre entreprise respectent la LCAP, ou si vous avez reçu un avis de violation du CRTC, obtenir rapidement des conseils juridiques clairs peut vous protéger de sanctions importantes et d'une responsabilité personnelle. La LCAP touche aux contrats commerciaux, aux obligations en matière de protection de la vie privée et à la gouvernance d'entreprise — des domaines dans lesquels Hadri Law conseille régulièrement les entreprises de Toronto et de la RGT.

Appelez au (437) 974-2374 pour une consultation gratuite. Nous servons notre clientèle en anglais, en français, en espagnol et en catalan.

Cet article fournit des renseignements généraux sur la Loi canadienne anti-pourriel et ne constitue pas un avis juridique. Chaque entreprise est différente. Pour obtenir des conseils adaptés à votre situation, consultez un avocat.