Lecture obligatoire pour les spécialistes du marketing par courrier électronique : une étude de cas sur la manière de ne pas collecter et utiliser les adresses e-mail

Notre Commissariat a récemment conclu une enquête qui a abouti à deux premières importantes ainsi qu’à des leçons clés apprises pour les entreprises pratiquant le marketing par courrier électronique.

L’enquête représente notre première mesure prise en vertu des dispositions de « récolte d’adresses » de la loi. Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) introduite par la loi canadienne anti-pourriel (LCAP). Cela a également abouti à la mise en œuvre de notre premier accord de conformité, un nouvel outil rendu possible par les modifications apportées à la LPRPDE introduites par le Loi sur la confidentialité numérique.

Identifier un problème potentiel

Suite au lancement du Conseil de la radiodiffusion et des télécommunications canadiennes (CRTC) Centre de signalement des spamsnous avons identifié un groupe de centaines de soumissions reçues du public concernant les activités de marketing par courrier électronique de Compu-Finder, un fournisseur de formation en entreprise basé au Québec.

Nous avons lancé une enquête contre l’entreprise qui a examiné ses pratiques de gestion de la confidentialité et son utilisation possible d’un logiciel de collecte d’adresses. Lors de discussions avec le CRTC, nous avons constaté qu’ils poursuivaient Compu-Finder en vertu de leur mandat LCAP concernant l’envoi de courriels commerciaux non sollicités (« spam »). En conséquence, nous avons convenu de partager des informations entre nos bureaux, comme le permettent la LCAP et un protocole d’entente connexe.

L’enquête

Au cours de notre enquête, la société a indiqué qu’en janvier 2014, elle détenait environ 475 000 adresses e-mail. Parmi ceux-ci, environ 170 000 ont été collectés à l’aide d’un logiciel de collecte d’adresses.

L’entreprise prétend qu’en prévision de l’entrée en vigueur de la LCAP, elle a réduit le nombre de ses adresses à un peu plus de 100 000 dont 28 000 recueillies par un logiciel de récolte d’adresses.

Collecte à partir de sites Web

Compu-Finder a également indiqué avoir recueilli des courriels provenant de sites Web d’entreprises qui, selon elle, seraient intéressées par sa formation et qui avaient l’obligation d’offrir une telle formation en vertu de la législation québécoise. Pourtant, alors que ses séances étaient offertes presque exclusivement en français dans des installations à Montréal et à Québec, des courriels étaient continuellement envoyés à des destinataires partout au Canada, jusqu’en Colombie-Britannique et même à l’étranger.

Compu-Finder croyait qu’elle pouvait s’appuyer sur un consentement implicite pour collecter et utiliser bon nombre des adresses électroniques en sa possession en raison : des relations commerciales existantes ; le caractère non sensible des informations collectées ; la publication ouverte des adresses e-mail ; et la pertinence de ses e-mails commerciaux par rapport aux activités professionnelles des destinataires individuels.

Pourtant, nous avons constaté que certains des sites Web sur lesquels la société collectait les adresses comportaient des avis de non-sollicitation clairs. Nous avons également interrogé certaines personnes qui ont soumis des observations au Centre de signalement des spams et avons constaté qu’aucune d’entre elles n’avait de relation commerciale avec l’entreprise et que les messages qu’elles recevaient n’étaient pas pertinents pour leur travail. Par exemple:

• Une personne a reçu des courriels faisant la promotion d’un cours destiné aux directeurs financiers alors qu’elle était professeur d’informatique dans une université ;
• Une autre personne a reçu des messages électroniques faisant la promotion de cours sur la mesure de la rentabilité d’une entreprise, alors qu’elle était un scientifique travaillant pour une agence gouvernementale ; et
• Un e-mail adressé à un autre destinataire faisait la promotion d’une formation à la direction de groupes, alors qu’il était comptable indépendant.

Collecte par téléphone

Compu-Finder a également collecté des adresses par téléphone. Nous avons obtenu une copie du script utilisé par les employés de l’entreprise, qui n’expliquait pas que le but de la collecte des adresses était d’envoyer des courriels à des individus vendant les services de l’entreprise. De plus, il était clair que Compu-Finder collectait les courriels du personnel de réception, d’administration et de soutien, plutôt que des personnes qui utilisaient les adresses.

Manque de dossiers

Nous avons demandé à l’entreprise de fournir la preuve du consentement exprès sur lequel elle s’appuyait pour collecter des adresses e-mail spécifiques, et elle n’a pas été en mesure de fournir aucune information pertinente sur la manière dont le consentement a été obtenu pour la collecte d’adresses.

Le résultat

Tout compte fait, il était clair que Compu-Finder n’était pas au courant ou ne respectait pas ses obligations en matière de confidentialité en vertu de la LPRPDE. Et même si l’entreprise prétendait avoir cessé de collecter des adresses électroniques à l’aide de logiciels informatiques avant l’entrée en vigueur de la LCAP en juillet 2014, elle a clairement continué à utiliser ces adresses par la suite. De plus, les sites Web de l’entreprise ne comportaient pas de politique de confidentialité ni de contact désigné vers lequel les questions concernant la collecte et l’utilisation des informations personnelles par l’entreprise pourraient être adressées. En conséquence, nous avons émis plusieurs recommandations à Compu-Finder pour le remettre en conformité avec la LPRPDE. L’entreprise a finalement accepté de mettre en œuvre toutes les recommandations de notre Bureau et de conclure un accord de conformité.

Principales leçons apprises

Consentement exprès

Lorsqu’une entreprise revendique un consentement exprès pour la collecte et l’utilisation d’adresses e-mail, elle doit s’assurer que les personnes contactées sont pleinement informées des finalités pour lesquelles leur adresse e-mail sera collectée et utilisée.

Au cours de l’enquête, nous avons constaté que les activités de télémarketing de Compu-Finder n’apportaient pas une telle clarté, ce qui remettait en question le caractère significatif du consentement obtenu, particulièrement en l’absence de toute politique de confidentialité.

Informations accessibles au public

Les entreprises doivent lire et comprendre attentivement les règlements de la LPRPDE avant de déterminer si les informations sont réellement « accessibles au public ».

Au cours de l’enquête, Compu-Finder a déclaré qu’elle pensait que les adresses électroniques publiées sur des sites Web étaient potentiellement ouvertes à la collecte sans consentement en raison de l’exception « accessible au public » de la LPRPDE. Ce n’était cependant pas le cas, car la collecte et l’utilisation par Compu-Finder d’adresses électroniques aux fins d’envoi de courriers électroniques vendant ses services n’étaient pas, du moins dans certains cas, directement liées aux fins pour lesquelles les organisations avaient publié les informations personnelles des individus. adresses e-mail sur leurs sites Web.

De plus, l’exception accessible au public ne peut pas être invoquée si une adresse a été collectée à l’aide d’un logiciel de collecte d’adresses.

Tenir des registres solides

Cette enquête fait ressortir l’importance de conserver des registres solides et de mener une diligence raisonnable appropriée.

Même si l’on croyait à l’affirmation de Compu-Finder selon laquelle elle avait obtenu le consentement des individus pour recueillir et utiliser leurs adresses électroniques, il lui manquait des documents adéquats pour étayer ses affirmations.

Toute entreprise pratiquant le marketing par courrier électronique doit conserver des enregistrements indiquant quand et comment le consentement des individus a été obtenu pour collecter et utiliser leur adresse électronique. Ils doivent également fournir des indications sur l’emploi, l’entreprise ou la profession de la personne ainsi que sur les courriers électroniques qui lui ont été envoyés pour prouver leur pertinence, le cas échéant.

Ces enregistrements et leurs sources doivent également être revisités à intervalles réguliers si votre organisation s’appuie sur un consentement implicite pour vérifier que ce consentement reste valide. Par exemple, une déclaration de non-sollicitation a-t-elle été ajoutée à un site Web ?

Des dossiers solides prouvent non seulement une bonne pratique en cas d’enquête, mais ils permettent également à une entreprise de supprimer facilement l’adresse électronique d’un individu si son consentement est retiré ultérieurement, comme l’exige la LPRPDE.

Pour plus d’informations

Pour en savoir plus sur les meilleures pratiques en matière de marketing par courrier électronique et sur le respect des dispositions relatives à la collecte d’adresses électroniques suite à la modification de la LCAP à la LPRPDE, lisez notre fiche de conseils et notre guide.