LCAP : exigences de consentement pour les petites entreprises

Résumé

La Loi canadienne anti-pourriel, couramment appelée LCAP (CASL en anglais), gagne à être abordée comme un système de décision avant l’envoi, plutôt que comme une interdiction générale du marketing. Un message est un message électronique commercial, ou MEC (CEM en anglais), lorsqu’un de ses objectifs est d’encourager la participation à une activité commerciale ^[1]. S’il est envoyé à une adresse électronique, un travailleur autonome, une jeune entreprise ou une petite équipe de Montréal devrait normalement pouvoir documenter le consentement ou une exemption précise, identifier l’expéditeur et fournir un mécanisme de désabonnement. Le CRTC décrit ces mêmes trois exigences fondamentales ^[2]. Les courriels, les SMS commerciaux, les messages privés sur les médias sociaux et certaines notifications poussées peuvent être visés. Un message privé envoyé directement sur LinkedIn n’échappe pas automatiquement à la LCAP simplement parce qu’il est envoyé sur une plateforme de réseautage ^[3]. Les appels vocaux, les télécopies et les appels vocaux préenregistrés ne sont pas visés par les dispositions sur les MEC décrites dans les lignes directrices du secteur ^[4].

Le fondement durable le plus sûr est le consentement exprès obtenu par adhésion volontaire. Il n’expire pas simplement avec le temps, mais il peut être retiré ^[5]. Le consentement tacite a une portée plus limitée. Un achat admissible peut établir une relation d’affaires en cours pendant deux ans, tandis qu’une demande de renseignements ou une demande peut l’établir pendant six mois ^[6]. Une adresse courriel professionnelle publiée ouvertement n’est pas une invitation générale : elle ne doit être accompagnée d’aucune mention interdisant la sollicitation et le message doit être pertinent au regard du rôle professionnel de la personne ^[7]. Une recommandation admissible permet uniquement l’envoi du premier MEC sans le consentement du destinataire et exige d’identifier la personne ayant fait la recommandation ^[8].

Chaque envoi devrait indiquer l’identité de l’expéditeur, une adresse postale et un autre moyen de communication prescrit. Les coordonnées doivent demeurer valides pendant au moins 60 jours ^[9]. Les demandes de désabonnement doivent être gratuites et prendre effet sans délai, au plus tard dans les 10 jours ouvrables ^[10]. Il incombe à l’expéditeur de prouver le consentement ^[11], de sorte que le contrôle pratique consiste à tenir un registre des consentements indiquant la source, la portée, la preuve, la date d’expiration ou de révision et le statut d’exclusion des envois.

La LCAP et le régime québécois de protection des renseignements personnels exigent deux vérifications distinctes. La LCAP régit l’envoi des MEC. La législation québécoise sur la protection des renseignements personnels régit la collecte, l’utilisation, la communication, la conservation et la protection des renseignements personnels. La loi québécoise prévoit que le consentement en matière de renseignements personnels doit être manifeste, libre et éclairé ^[12]. Réussir une vérification ne règle pas l’autre. Ce rapport est un guide de vérification préalable et de fonctionnement, et non une protection juridique garantie ni un avis juridique personnalisé.

Introduction et contexte

Pour une petite entreprise, la question difficile concernant la LCAP est rarement de savoir si le pourriel est indésirable. Il s’agit plutôt de déterminer si une infolettre, un courriel de vente, un message texte, un message privé sur LinkedIn ou une mise en relation par recommandation constitue un MEC envoyé à une adresse électronique, et si l’expéditeur peut prouver le fondement juridique invoqué au moment de l’envoi. Dans ses déclarations officielles, le CRTC indique que l’approche fondée sur l’adhésion volontaire s’applique aux courriels, aux messages directs et aux messages textes ^[13].

Les conséquences sur les processus de travail sont concrètes. Une personne figurant dans un système de gestion de la relation client n’est pas nécessairement admissible à recevoir des envois. Une adresse courriel professionnelle visible sur un site Web ne constitue pas nécessairement un consentement. Le délai applicable à une demande de renseignements diffère de celui applicable à un achat. Un changement de marque diffère de la vente d’une liste. Même un message demandant le consentement peut lui-même constituer un MEC ^[14].

Cette question est importante dans le milieu entrepreneurial local. 2727 Coworking offre des espaces de travail aux travailleurs autonomes et aux équipes, notamment des bureaux privés pour des équipes d’une à dix personnes ^[15]. Son site présente aussi des forfaits d’adresse d’affaires et de boîte postale à partir de 35 $ par mois ^[16]. Ces services ne déterminent pas la conformité à la LCAP. Ils illustrent le public visé par ce guide pratique : de petits exploitants qui utilisent des infolettres, la prospection et le suivi auprès de la clientèle tout en partageant des outils, des fournisseurs et des infrastructures physiques.

Les pages du Site Web de la législation citées ici présentent la loi et les règlements. Les pages du CRTC, d’Innovation, Sciences et Développement économique Canada et d’autres organismes gouvernementaux constituent des lignes directrices. Leurs exemples demeurent propres aux situations décrites.

La LCAP s’applique-t-elle ? Un parcours décisionnel de 60 secondes

Le point de départ utile est la classification, et non le nom du canal. Un message est commercial si l’un de ses objectifs encourage la participation à une activité commerciale. Un message qui combine de l’information et du contenu commercial peut tout de même constituer un MEC ^[17].

Suivez cette séquence avant de sélectionner les destinataires :

• Objectif : Le contenu offre-t-il un produit, un service, une entreprise ou une occasion d’affaires, ou en fait-il la publicité, la commercialisation ou la promotion ?
• Adresse électronique : Le message est-il envoyé à une adresse courriel, à un compte de téléphone, à un compte de messagerie instantanée ou à un compte comparable ?
• Lieu : Le Canada est-il concerné parce que le message est envoyé ou consulté au moyen d’un système informatique canadien ?
• Exclusion ou exception : S’agit-il d’une communication vocale interactive bidirectionnelle, d’un message demandé, d’un message visant à conclure une transaction ou d’un autre cas précis prévu par la loi ou les règlements ?
• Consentement ou exemption : L’expéditeur peut-il documenter un consentement exprès, un consentement tacite ou une exemption précise ?
• Forme du message : Les éléments d’identification, de coordonnées et de désabonnement sont-ils présents lorsqu’ils sont exigés ?
• Exclusion des envois : Ce destinataire s’est-il désabonné, et tous les systèmes d’envoi ont-ils reçu cette information ?

La classification devrait porter sur le fond. Une publication publique sur les médias sociaux qui n’est pas adressée à des adresses électroniques diffère d’un message privé envoyé à un compte. Les lignes directrices juridiques établissent cette distinction pour les publications générales sur les médias sociaux ^[18]. Un courriel transactionnel qui sert uniquement à conclure une transaction déjà convenue peut ne pas nécessiter de consentement, mais l’ajout d’une promotion peut modifier l’analyse ^[19].

Principales exigences en matière de consentement

Le consentement exprès est affirmatif et durable

Le consentement exprès devrait être recueilli au moyen d’une action positive. Les lignes directrices juridiques canadiennes décrivent cette norme comme une adhésion volontaire ^[20]. La demande doit préciser pourquoi le consentement est sollicité, identifier les parties concernées et expliquer que le consentement peut être retiré. Les règlements permettent un consentement oral ou écrit, mais exigent que le consentement aux MEC soit sollicité séparément du consentement à d’autres actes réglementés ^[21].

Un dossier d’inscription devrait conserver le texte exact des renseignements présentés, l’horodatage, la version de la page ou du formulaire, l’action affirmative, l’adresse et le système source. Le consentement exprès n’a pas de date d’expiration automatique, mais son retrait met fin à ce fondement. Il devrait tout de même être réévalué après des changements importants touchant l’identité de l’expéditeur, l’objectif, le public ou la source des données.

Le consentement tacite comporte des conditions et des délais

Une relation d’affaires en cours peut découler de transactions, de contrats, de demandes de renseignements ou de demandes déterminés. ISDE résume les durées habituelles du consentement tacite comme pouvant aller jusqu’à deux ans, ou six mois pour les demandes de renseignements et les demandes ^[6]. Chaque transaction admissible subséquente peut faire recommencer la période fondée sur la relation ^[22].

Les autres voies de consentement tacite exigent leurs propres preuves :

• Publication bien en vue : conserver l’URL de la page, la date de capture, l’adresse, l’absence de mention contraire et la pertinence au regard du rôle.
• Communication volontaire : conserver la façon dont l’adresse a été fournie, toute restriction exprimée et la raison pour laquelle le message se rapporte au rôle professionnel de la personne.
• Relation privée en cours : documenter la catégorie prévue par la loi et la date de l’événement plutôt que de présumer que tout contact au sein d’une communauté est admissible.
• Vérification de l’expiration : calculer la dernière date d’envoi permise à partir de l’événement à l’origine du consentement, et non de la date d’ajout du contact dans l’outil de marketing.

Les exemptions sont plus limitées que leur appellation ne le laisse croire

L’exemption entre entreprises n’est pas une autorisation générale de faire de la prospection à froid interentreprises. Les règlements exigent une relation entre les organisations et un contenu concernant les activités de l’organisation destinataire ^[23]. L’exception de recommandation se limite au premier MEC suivant une recommandation admissible, avec les renseignements prescrits. Une exemption au sein d’une organisation dépend également du lien prescrit entre les personnes, le message et les activités de l’organisation.

Ces voies devraient comporter des champs de preuve nommés plutôt qu’une note en texte libre. La mention « B2B » à elle seule ne prouve rien. La mention « Recommandation » est incomplète sans la relation de la personne ayant fait la recommandation avec les deux parties et l’indication qu’il s’agit du premier message.

Matrice du consentement et des situations

Le tableau 1 permet d’examiner dix situations courantes dans les petites entreprises. « Possible » signifie qu’un fondement peut exister si chaque condition énoncée est documentée. Il ne s’agit pas d’une protection juridique garantie.

La ligne sur le panier abandonné est délibérément prudente. Les lignes directrices du CRTC indiquent qu’un panier d’achat en ligne abandonné ne constitue pas un achat ^[24] et recommandent d’obtenir un consentement exprès lorsqu’une adresse courriel ou un numéro de téléphone est recueilli au passage à la caisse ^[25]. La ligne sur l’adresse publique est tout aussi conditionnelle. L’adresse ne doit pas être accompagnée d’une mention interdisant les MEC, et la pertinence doit être propre au rôle du destinataire.

Dans le cas d’une recommandation, l’expéditeur devrait conserver le nom complet de la personne ayant fait la recommandation et les relations qui rendent celle-ci admissible. Les lignes directrices du CRTC indiquent qu’un seul MEC peut être envoyé sans le consentement du destinataire par cette voie ^[26].

Matrice des canaux : courriel, SMS, LinkedIn et notifications poussées

Le tableau 2 relie chaque canal à la question pratique concernant la LCAP. La Loi est neutre sur le plan technologique ; changer d’outil ne supprime donc pas la nécessité de classifier la communication.

La matrice montre pourquoi le consentement aux messages LinkedIn ne peut pas être établi au moyen d’une règle fondée uniquement sur la plateforme. Les lignes directrices du Bureau de la concurrence incluent expressément les messages directs envoyés au moyen des services de messagerie des plateformes sociales ^[28]. Le contenu, la destination, le destinataire, le fondement du consentement et l’interface de la plateforme comptent tous. Une connexion, un abonnement ou l’appartenance à un groupe ne correspond pas automatiquement à l’une des catégories de consentement prévues par la loi.

Les SMS exigent des démarches particulièrement courtes. Les lignes directrices du CRTC ont reconnu que répondre « STOP » ou « Désabonnement » constitue une option appropriée ^[29]. La brièveté ne supprime pas les règles d’identification. Les lignes directrices juridiques indiquent qu’une interface de messagerie instantanée peut présenter bien en vue les coordonnées de l’expéditeur et les renseignements de désabonnement ^[30].

Composition du message et relais opérationnel

Une campagne conforme n’est pas complète dès que le texte est approuvé. Le message, les preuves concernant les destinataires et le processus d’exclusion des envois en aval doivent concorder.

Ce que le message devrait présenter

• Identité de l’expéditeur : nommer la personne qui envoie le message et, si elle est différente, la personne au nom de laquelle il est envoyé.
• Adresse postale : inclure l’adresse postale prescrite.
• Autre moyen de communication : inclure un numéro de téléphone, une adresse courriel ou une adresse Web, conformément aux exigences. Les règlements commencent expressément par « l’adresse postale et soit le numéro de téléphone » ^[31].
• Validité des coordonnées : maintenir les coordonnées valides pendant la période exigée après l’envoi.
• Présentation claire : présenter clairement et bien en vue les renseignements d’identification et de désabonnement ^[32].
• Désabonnement gratuit : permettre au destinataire d’indiquer sans frais son souhait de ne plus recevoir de messages.
• Adaptation au canal : lorsque c’est possible, utiliser le même moyen électronique que celui utilisé pour envoyer le message ^[33].

Schéma des champs du registre des consentements

Un registre utile est tenu par destinataire, et non par campagne. Les champs recommandés sont les suivants :

• Clé du contact : adresse électronique normalisée et identifiant interne du client ou du prospect.
• Canal : courriel, SMS, plateforme de messagerie nommée ou notification poussée.
• Fondement juridique : consentement exprès, consentement tacite fondé sur une relation, publication bien en vue, communication volontaire, recommandation, exemption interentreprises ou autre fondement examiné.
• Événement source : soumission d’un formulaire, achat, demande de renseignements, rencontre, recommandation ou capture d’une publication.
• Horodatage de la source : date, heure et fuseau horaire.
• Référence à la preuve : version immuable du formulaire, transaction, capture d’écran, capture de l’URL ou compte rendu de l’appel.
• Portée : identité de l’expéditeur, marques, canaux et objectifs énoncés couverts.
• Date de l’événement : date qui fait commencer tout délai de consentement tacite.
• Date d’expiration ou de révision : date calculée et motif.
• Version des renseignements présentés : libellé exact du consentement présenté.
• Date du retrait : moment de réception de la demande de désabonnement.
• Propagation de l’exclusion des envois : systèmes mis à jour, confirmation du fournisseur et heure d’achèvement.
• Responsable de la révision : personne ayant approuvé une exemption ou un cas limite.

Les lignes directrices du CRTC suggèrent expressément de conserver l’adresse électronique, la date et la méthode d’obtention du consentement ^[34]. L’entreprise a besoin d’un calendrier de conservation justifiable qui appuie les envois continus tout en respectant les limites applicables en matière de protection des renseignements personnels.

Vérification imprimable avant l’envoi

• Classifier le contenu : consigner pourquoi le message est commercial ou ne l’est pas.
• Identifier l’adresse : préciser l’adresse courriel, le compte de téléphone ou le compte de messagerie utilisé.
• Segmenter les destinataires : ne pas appliquer un seul fondement de consentement à une liste hétérogène.
• Vérifier le consentement exprès : confirmer une action affirmative et la conservation des renseignements présentés.
• Vérifier le consentement tacite : identifier la catégorie admissible, l’événement et la période non expirée.
• Vérifier la publication : conserver une capture de la page, l’adresse, la date, l’absence de restriction et la pertinence au regard du rôle.
• Vérifier la recommandation : vérifier les relations avec les deux parties, le statut de premier message et les renseignements exigés.
• Vérifier l’exemption interentreprises : conserver la preuve de la relation entre les organisations et de la pertinence au regard des activités.
• Vérifier les exclusions des envois : comparer chaque destinataire à la liste centrale de désabonnement.
• Vérifier l’identité : vérifier l’expéditeur, la partie représentée, l’adresse postale et le moyen de communication.
• Vérifier le désabonnement : effectuer un envoi d’essai par le circuit réel de production.
• Vérifier les fournisseurs : confirmer que les outils de SMS, de gestion de la relation client et de courriel partagent les changements d’exclusion des envois.
• Fixer une échéance : acheminer les demandes de désabonnement pour qu’elles soient traitées bien avant la limite maximale prévue par la loi.
• Archiver les preuves : conserver le contenu final de la campagne, le public, l’heure, le fondement et le fournisseur chargé de l’envoi.
• Soumettre les exceptions à un examen : suspendre l’utilisation de listes achetées, les envois transfrontaliers incertains et les exemptions ambiguës pour obtenir l’avis d’un conseiller juridique.

Une petite ou moyenne entreprise devrait désigner une personne responsable comme point de contact. La responsabilisation n’exige pas un grand service. Elle exige un responsable, une révision reproductible et des preuves qui demeurent disponibles malgré les changements de personnel et de fournisseurs.

Considérations de mise en œuvre et changements aux processus

La mise en œuvre la plus fiable sépare l’admissibilité, le contenu et l’exclusion des envois. L’admissibilité détermine si un destinataire peut recevoir ce message maintenant. La vérification du contenu porte sur les éléments d’identification de l’expéditeur et de désabonnement. L’exclusion des envois garantit qu’un envoi ultérieur ne peut pas passer outre à un retrait.

Bâtir les règles autour des événements, et non des étiquettes importées

Les bases de données de marketing contiennent souvent des étiquettes comme « client », « prospect », « partenaire » ou « B2B ». Ces étiquettes ne constituent pas des preuves au sens de la loi. Convertissez-les en événements datés et en preuves :

• Client devient le type de transaction admissible, sa date et la contrepartie.
• Prospect devient un dossier de demande de renseignements, de publication, de recommandation ou de consentement exprès.
• Partenaire devient la relation réelle entre les organisations et la pertinence du message au regard des activités du destinataire.
• Abonné devient l’action d’adhésion volontaire et le texte exact des renseignements présentés.

Les listes de tiers devraient faire l’objet d’une condition d’arrêt. L’achat d’une simple liste d’adresses courriel ne transfère pas les consentements exprès du vendeur ^[35]. Une garantie du fournisseur ne remplace donc pas des preuves pour chaque destinataire.

Traiter différemment les changements de marque et les acquisitions

Un changement de nom commercial par la même personne morale n’invalide pas en soi le consentement lorsque l’objectif et la portée d’origine demeurent les mêmes ^[36]. Sur le plan opérationnel, le premier message suivant le changement de marque devrait expliquer clairement le changement d’identité et faire en sorte que les coordonnées actuelles soient présentes.

Une véritable vente d’entreprise diffère de la vente d’une liste. Les lignes directrices du CRTC indiquent qu’il est possible de se fonder sur les consentements exprès transférés lorsque le contrat de vente de l’entreprise transfère la liste faisant l’objet des consentements comme actif de l’entreprise ^[37]. Conservez l’entente, l’analyse de continuité, la portée du consentement initial et le dossier de migration.

Arrêter et consulter un conseiller juridique

Suspendez l’automatisation lorsque :

• Une liste achetée ne comporte pas de preuves pour chaque destinataire ni de captures des sources.
• L’acheminement transfrontalier rend incertain le lieu d’envoi ou de consultation des messages.
• Une chaîne de recommandations ne permet pas d’établir les relations exigées avec les deux parties.
• Une justification B2B repose uniquement sur la similarité des secteurs ou sur une adresse extraite d’un site.
• Un message à objectifs mixtes combine des renseignements de service nécessaires et des promotions.
• Une vente d’entreprise ne transfère pas clairement les actifs et les dossiers pertinents de l’entreprise.
• L’interface d’une plateforme ne permet pas de présenter efficacement les renseignements exigés ou un lien vers ceux-ci.
• L’autorisation en matière de protection des renseignements personnels de recueillir, d’utiliser ou d’exporter les données des contacts est incertaine.

Les messages envoyés de l’étranger à des destinataires au Canada peuvent tout de même devoir respecter la LCAP ^[38]. Une campagne mondiale devrait donc être segmentée selon la destination et la législation applicable, plutôt que de présumer que le lieu où se trouve l’expéditeur est déterminant.

Analyse des données et éléments probants

Le meilleur contexte quantitatif ne mesure pas « le degré de conformité » d’une campagne donnée. Il montre l’ampleur du commerce électronique, des signalements officiels et de la demande opérationnelle.

Le tableau 3 résume les indicateurs officiels actuels et explique les conclusions qu’ils permettent ou ne permettent pas d’appuyer.

Les statistiques appuient une conclusion sur les processus, et non une présomption juridique. Une vente en ligne, une demande de devis ou un événement de passage à la caisse devrait générer des données structurées sur le consentement et la relation. L’événement ne devrait pas simplement ajouter une adresse à une liste. La population cible de l’enquête de Statistique Canada citée comprenait environ 293 000 petites entreprises ^[45].

Le total officiel des plaintes devrait lui aussi être interprété avec prudence. Il compte les plaintes, et non les messages ayant fait l’objet d’une décision, les expéditeurs uniques ou les contraventions prouvées. Pour un petit exploitant, sa valeur est indicative : les destinataires continuent d’utiliser les canaux officiels de signalement, et des dossiers incomplets peuvent rendre même une campagne justifiable difficile à expliquer.

Exemples détaillés de situations dans les petites entreprises

Recommandation à un travailleur autonome (exemple hypothétique)

Un designer reçoit une recommandation d’un ancien client et souhaite envoyer un courriel promotionnel au fondateur recommandé. Avant l’envoi, le designer consigne le nom complet de la personne ayant fait la recommandation et vérifie que celle-ci entretient une relation admissible avec les deux parties. Le premier message explique la recommandation, identifie le designer et comprend une option de désabonnement. Le designer n’ajoute pas le fondateur à une séquence à moins que la réponse ou un autre événement ne crée un fondement documenté. Cette démarche reflète la limite du premier message prévue par le règlement et l’exigence de fournir les renseignements sur la recommandation.

Panier abandonné pour un logiciel-service (exemple hypothétique)

Une jeune entreprise recueille une adresse après qu’un visiteur a commencé le processus de passage à la caisse, sans toutefois acheter. L’équipe considère que le panier ne constitue pas une preuve de transaction et propose plutôt une option distincte d’adhésion volontaire aux communications promotionnelles, dont la case n’est pas cochée. Un reçu ou un avis de sécurité est classifié séparément d’une offre de vente incitative. Le système de campagne conserve la version des renseignements présentés, l’action affirmative et l’horodatage.

Demande de renseignements sur un service local et SMS (exemple hypothétique)

Une entreprise de réparation reçoit un message texte demandant un devis. Elle consigne la date de la demande de renseignements et le service demandé, puis répond à la demande. Si elle envoie ensuite des messages textes promotionnels fondés sur la relation, elle calcule la période de six mois applicable à la demande de renseignements ^[6] et inclut un mécanisme de désabonnement fonctionnel. Elle ne transforme pas la demande de renseignements en une autorisation permanente de marketing. Les lignes directrices d’ISDE sur les SMS indiquent que les messages textes commerciaux exigent un consentement ^[27].

La LCAP et la Loi 25 du Québec

La LCAP et la loi québécoise sur la protection des renseignements personnels dans le secteur privé répondent à des questions différentes. La LCAP détermine si un MEC peut être envoyé et de quelle manière. La législation québécoise sur la protection des renseignements personnels détermine si des renseignements personnels peuvent être recueillis, utilisés, communiqués, conservés et protégés aux fins proposées. Le Québec a indiqué que les modifications apportées par la Loi 25 entraient en vigueur progressivement à partir de 2022, sur trois ans ^[46].

Pour les entreprises montréalaises, un modèle pratique à deux vérifications est le suivant :

• Vérification LCAP : S’agit-il d’un MEC envoyé à une adresse électronique, et quel fondement de consentement ou quelle exemption s’applique ?
• Vérification de la protection des renseignements personnels : La collecte et l’utilisation de l’adresse sont-elles autorisées à cette fin, avec des avis, des mesures de protection, des règles de conservation et des contrôles des fournisseurs appropriés ?

La loi québécoise prévoit que la prospection commerciale n’est pas une fin automatiquement compatible avec la fin initiale de la collecte ^[47]. Elle prévoit également que le consentement en matière de renseignements personnels ne vaut que pour la durée nécessaire à la réalisation des fins pour lesquelles il a été demandé ^[48]. Ces règles sont conceptuellement différentes du consentement exprès prévu par la LCAP, qui n’expire pas simplement avec le temps.

La Commission d’accès à l’information décrit un consentement valide en matière de renseignements personnels comme étant spécifique à un objectif précis et clairement circonscrit ^[49]. Son site Web précise aussi expressément que ses textes visent à vulgariser les lois applicables ^[50], de sorte que la loi demeure le texte qui fait autorité.

Les outils transfrontaliers ajoutent une question de protection des renseignements personnels. La loi québécoise exige une évaluation des facteurs relatifs à la vie privée avant qu’une entreprise communique des renseignements personnels à l’extérieur du Québec ^[51]. Cette exigence ne constitue pas un consentement au sens de la LCAP. Elle régit le volet des renseignements personnels entourant les opérations de messagerie.

Conséquences et orientations futures

Le principal changement opérationnel consiste à rendre l’admissibilité aux envois dynamique. Un contact peut être admissible à une campagne et inadmissible à une autre parce que le canal, l’objectif, la portée du consentement, la date de l’événement ou la relation entre les organisations diffère. Une seule case « abonné » ne peut pas représenter cette complexité.

Les petites équipes devraient donner la priorité à quatre contrôles :

• Preuves fondées sur les événements : relier les autorisations aux achats, aux demandes de renseignements, aux formulaires et aux recommandations.
• Délais automatiques : calculer la période applicable prévue par la loi à partir de chaque événement admissible.
• Exclusion centralisée des envois : propager les retraits dans les outils de courriel, de SMS, de gestion de la relation client et de messagerie.
• Révision humaine : exiger une approbation pour la prospection fondée sur la publication d’une adresse, les recommandations, les exemptions interentreprises, les acquisitions et les cas limites transfrontaliers.

Le délai de désabonnement est une limite maximale, et non une cible de service. Les systèmes devraient exclure rapidement les destinataires des envois et utiliser la période maximale prévue par la loi comme marge de secours. L’arrêt d’une campagne ne devrait pas non plus désactiver immédiatement le canal de réponse exigé.

Les activités de protection des renseignements personnels et de marketing devraient partager une cartographie des données sans fusionner leurs critères juridiques. La conception pratique consiste en un seul dossier de contact encadré, comportant des champs distincts pour l’autorisation en matière de protection des renseignements personnels, le fondement LCAP, l’expiration, l’objectif et le retrait.

Foire aux questions (FAQ)

La LCAP exige-t-elle un consentement exprès pour chaque courriel de marketing ?

Non. La LCAP reconnaît le consentement exprès et certaines formes déterminées de consentement tacite, et les règlements prévoient des exemptions. L’expéditeur devrait documenter la voie exacte plutôt que de traiter « non exprès » comme « non requis ». Le consentement exprès constitue généralement le fondement le plus durable, tandis que le consentement tacite fondé sur une relation comporte souvent une limite de six mois ou de deux ans.

Une entreprise peut-elle envoyer un courriel à toutes les adresses publiées sur un site Web ?

Non. La publication bien en vue est conditionnelle. Aucune mention ne doit interdire les MEC non sollicités, et le message doit être pertinent au regard du rôle, des fonctions ou des tâches professionnelles de la personne. Il incombe à l’expéditeur de prouver le consentement ; une capture datée de la page et une justification écrite de la pertinence sont donc essentielles.

L’acceptation d’une invitation à se connecter sur LinkedIn crée-t-elle un consentement ?

Pas automatiquement. Un message privé sur LinkedIn peut être envoyé à une adresse électronique aux fins de la LCAP. L’expéditeur doit tout de même disposer d’un fondement de consentement documenté ou d’une exemption applicable pour un message commercial. Le statut de connexion sur la plateforme ne suffit pas à établir tous les éléments du consentement exprès, du consentement tacite ou de l’exemption interentreprises.

Combien de temps le consentement au sens de la LCAP demeure-t-il valide ?

Le consentement exprès n’expire pas simplement parce que le temps passe, mais il prend fin lorsqu’il est retiré. Le consentement tacite dépend de sa catégorie. Un achat admissible peut justifier une période de deux ans, tandis qu’une demande de renseignements peut justifier six mois ^[6]. Les voies de publication et de communication volontaire demeurent conditionnelles et devraient être validées de nouveau.

Les SMS doivent-ils contenir une option de désabonnement ?

Les messages textes commerciaux visés par l’article 6 doivent comporter le mécanisme de désabonnement prescrit. Celui-ci doit être gratuit et fonctionnel. Le CRTC a reconnu que les réponses STOP ou Désabonnement constituent une conception appropriée pour les SMS, tandis que les renseignements d’identification exigés peuvent être fournis au moyen d’un lien accessible et conforme lorsque l’espace disponible ne permet pas de les inclure.

Une entreprise peut-elle envoyer un courriel pour demander le consentement ?

Pas simplement parce que le message demande un consentement. Les lignes directrices juridiques confirment que la définition d’un MEC comprend une demande électronique de consentement ^[14]. Un autre fondement valide serait tout de même nécessaire avant d’envoyer cette demande par voie électronique.

L’exemption interentreprises équivaut-elle au consentement tacite ?

Non. Il s’agit de voies juridiques différentes. L’exemption entre organisations exige une relation entre celles-ci et un contenu concernant les activités de l’organisation destinataire. Une adresse professionnelle publique peut plutôt relever du consentement tacite fondé sur une publication bien en vue, avec ses propres conditions.

La LCAP remplace-t-elle la Loi 25 du Québec ?

Non. Les lignes directrices d’ISDE indiquent de même que les entreprises doivent respecter à la fois la LCAP et le régime fédéral de protection des renseignements personnels lorsqu’il s’applique ^[52]. Au Québec, la LCAP et la loi provinciale sur la protection des renseignements personnels dans le secteur privé exigent des analyses distinctes.

Conclusion

Les exigences de consentement de la LCAP pour les petites entreprises sont gérables lorsqu’on les convertit d’un résumé juridique en un processus par destinataire. Classifiez d’abord le message selon son objectif commercial et sa destination électronique. Identifiez et documentez ensuite le consentement exprès, une catégorie définie de consentement tacite ou une exemption précise. Puis, validez l’identité de l’expéditeur, ses coordonnées et le parcours de désabonnement avant que la campagne quitte le système.

Le fondement du consentement ne devrait jamais être une étiquette vague. Les achats et les demandes de renseignements nécessitent des dates. Les adresses publiées nécessitent des captures et une pertinence au regard du rôle. Les recommandations nécessitent des preuves de relation et un indicateur de premier message. Les exemptions interentreprises nécessitent une véritable relation entre les organisations et un contenu lié aux activités de l’organisation destinataire. Les changements de marque et les ventes d’entreprise nécessitent des dossiers de continuité, et non des suppositions.

Enfin, la conformité est opérationnelle. Un programme justifiable tient un registre des consentements, calcule les dates de révision, teste les mécanismes de désabonnement, synchronise les exclusions des envois et conserve les preuves des campagnes. Il effectue aussi séparément les vérifications relatives à la LCAP et à la protection des renseignements personnels au Québec. Cette matrice peut servir à examiner des situations courantes, mais elle ne peut pas transformer une exception dépendant des faits en une protection juridique automatique. Les listes achetées, les campagnes transfrontalières incertaines, les mécanismes de plateforme ambigus et les exemptions peu claires devraient faire l’objet d’une suspension et d’un examen juridique ciblé avant l’envoi.