CAN-SPAM, CASL et autres réglementations

Si le RGPD régit l'Europe, qu'est-ce qui régit le reste du monde ? La réponse est un patchwork de lois nationales et régionales, chacune avec ses propres exigences, sanctions et pratiques de contrôle. Si vous envoyez des cold emails à des prospects aux États-Unis, au Canada, au Royaume-Uni ou en Australie, vous devez comprendre les réglementations spécifiques qui s'appliquent.

Ce chapitre présente les principales réglementations hors RGPD, détaille ce que chacune exige et vous donne une comparaison pratique pour construire des workflows de prospection conformes partout où vous opérez.

CAN-SPAM Act (États-Unis)

Le Controlling the Assault of Non-Solicited Pornography And Marketing Act de 2003 (oui, c'est bien son nom officiel) est la principale loi encadrant l'email commercial aux États-Unis. Comparé au RGPD et à la CASL, le CAN-SPAM est relativement permissif. Il n'exige pas de consentement préalable pour envoyer des emails commerciaux, ce qui en fait la grande réglementation la plus favorable à la prospection à froid.

Les exigences essentielles du CAN-SPAM

• Pas d'en-têtes trompeurs : vos adresses « From », « To » et « Reply-To » doivent identifier exactement l'expéditeur de l'email. Vous ne pouvez pas usurper l'identité d'une autre personne ou entreprise.
• Pas d'objets trompeurs : l'objet ne doit pas déformer le contenu de l'email. Un « Re : Notre rendez-vous » alors qu'il n'y a eu aucun rendez-vous constitue une infraction.
• Identifier le message comme une publicité : la loi exige que les messages commerciaux soient identifiés comme des publicités. Toutefois, pour les cold emails B2B réellement transactionnels ou fondés sur une relation, cette exigence est interprétée de façon plus souple.
• Adresse postale : chaque email commercial doit comporter une adresse postale physique valide. Ce peut être une adresse de rue, une boîte postale enregistrée auprès du service postal américain (USPS) ou une boîte privée enregistrée auprès d'une agence de réception du courrier commercial.
• Mécanisme de désinscription : chaque email doit comporter un moyen clair et visible pour les destinataires de se désinscrire des futurs emails. Ce peut être un lien de désinscription ou un mécanisme par réponse.
• Respecter les désinscriptions sous 10 jours ouvrés : une fois que quelqu'un se désinscrit, vous avez 10 jours ouvrés pour cesser de lui envoyer des emails commerciaux. Vous ne pouvez pas facturer de frais, exiger d'autres informations que son adresse email, ni lui faire passer des obstacles.
• Surveiller les tiers : si vous confiez votre prospection à un prestataire, vous restez légalement responsable de la conformité. Vous ne pouvez pas vous défausser de vos obligations CAN-SPAM par la sous-traitance.

CASL (Canada)

La Loi canadienne anti-pourriel (CASL, pour Canada's Anti-Spam Legislation) est l'une des lois sur l'email les plus strictes au monde. Contrairement au CAN-SPAM, la CASL fonctionne sur un modèle d'opt-in : il vous faut généralement un consentement avant d'envoyer un message électronique commercial (MEC) à une personne au Canada.

Types de consentement sous la CASL

La CASL reconnaît deux types de consentement : exprès et tacite.

Le consentement exprès signifie que la personne a activement accepté de recevoir vos emails, via un formulaire, une case à cocher ou un accord verbal. Le consentement exprès n'expire pas.

Le consentement tacite existe dans certains contextes professionnels et c'est lui qui rend possible le cold email B2B sous la CASL. Vous disposez d'un consentement tacite lorsque :

• Le destinataire a une relation d'affaires existante avec vous (il a acheté chez vous, ou a fait une demande dans les 6 derniers mois, ou a eu un contrat dans les 2 dernières années)
• Le destinataire a publié son adresse email de façon visible, sans mention indiquant qu'il ne souhaite pas recevoir de messages non sollicités, par exemple sur le site web d'une entreprise ou dans un annuaire professionnel
• Le destinataire vous a remis sa carte de visite ou son adresse email dans le cadre d'une relation d'affaires

Exigences de la CASL pour des emails conformes

• Identifier clairement l'expéditeur (nom, raison sociale)
• Indiquer une adresse postale ainsi qu'un numéro de téléphone, une adresse email ou une adresse web
• Inclure un mécanisme de désinscription fonctionnel qui reste opérationnel pendant au moins 60 jours
• Traiter les demandes de désinscription sous 10 jours ouvrés

Réglementation britannique (post-Brexit)

Depuis le Brexit, le Royaume-Uni applique sa propre version du RGPD (le UK GDPR) combinée aux Privacy and Electronic Communications Regulations (PECR). Pour le cold email B2B, le Royaume-Uni est en réalité plus permissif que de nombreux pays de l'UE.

La distinction clé du droit britannique : les PECR traitent les emails adressés à des « abonnés professionnels » (adresses email d'entreprise du type nom@entreprise.co.uk) différemment des emails adressés à des abonnés particuliers (adresses personnelles). Les cold emails B2B envoyés à des abonnés professionnels ne nécessitent pas de consentement préalable au titre des PECR, mais doivent tout de même respecter les exigences d'intérêt légitime du UK GDPR.

Exigences propres au Royaume-Uni

• Les cold emails B2B envoyés à des abonnés professionnels sont autorisés sans consentement préalable
• Les entrepreneurs individuels et les sociétés de personnes sont traités comme des particuliers : leur consentement est requis
• Chaque email doit identifier l'expéditeur et inclure un mécanisme de désinscription valide
• L'Information Commissioner's Office (ICO) fait appliquer ces règles et peut infliger jusqu'à 500 000 GBP d'amende au titre des PECR

Australie (Spam Act 2003)

Le Spam Act australien est un régime d'opt-in, similaire à la CASL. Il faut un consentement avant d'envoyer des messages électroniques commerciaux à des destinataires australiens. Toutefois, comme la CASL, il reconnaît le consentement tacite résultant de relations d'affaires existantes et d'adresses email publiées de façon visible.

• Consentement requis (exprès ou déduit)
• Doit inclure l'identification de l'expéditeur et des coordonnées exactes
• Mécanisme de désinscription fonctionnel obligatoire, traité sous 5 jours ouvrés
• Sanctions pouvant atteindre 2,22 millions de dollars australiens par jour en cas d'infraction continue

Comparaison des réglementations en un coup d'œil

Voici une comparaison côte à côte des principales réglementations qui touchent le cold email B2B :

Conseils pratiques pour une conformité multi-régions

Si vous envoyez des cold emails à des prospects dans plusieurs pays, ce que font la plupart des entreprises B2B, il vous faut un workflow qui satisfait la réglementation applicable la plus stricte. Voici comment procéder :

Segmenter par zone géographique

Étiquetez chaque prospect avec son pays ou sa région. Utilisez cette étiquette pour appliquer les bonnes règles de conformité. Les prospects aux États-Unis reçoivent un traitement, ceux du Canada un autre. Votre plateforme de prospection doit permettre ce type de segmentation ; sinon, c'est un signal d'alerte.

Adopter par défaut le standard le plus strict

Si gérer plusieurs cadres de conformité vous paraît écrasant, il existe une approche plus simple : adoptez par défaut le standard le plus strict pour toute votre prospection. Si vous indiquez une adresse postale, proposez une désinscription claire, vous vous présentez correctement et ne contactez que des professionnels pertinents, vous êtes conforme presque partout. La seule exception est l'exigence de consentement tacite de la CASL, que vous devrez traiter séparément pour les prospects canadiens.

Tout documenter

Quelle que soit la réglementation applicable, la documentation est votre filet de sécurité. Consignez où vous avez obtenu les données de chaque contact, quand vous l'avez ajouté à votre liste, quelles campagnes vous lui avez envoyées et quand il s'est désinscrit (le cas échéant). Si une autorité vous le demande un jour, vous voulez pouvoir produire des registres propres en quelques minutes, pas vous démener pendant des jours.

Quand les réglementations évoluent

Les réglementations sur l'email évoluent. Le règlement européen ePrivacy est à l'état de projet depuis des années et pourrait changer la donne le jour où il sera adopté. Plusieurs États américains introduisent leurs propres lois sur la vie privée qui pourraient affecter le cold email. L'essentiel est de bâtir des processus adaptables : si votre prospection est déjà de haute qualité, ciblée et respectueuse, les nouvelles réglementations ne sont généralement que des ajustements mineurs plutôt que des refontes majeures.

Passez en revue vos pratiques de conformité chaque trimestre. Abonnez-vous aux mises à jour des organismes de régulation concernés (la FTC pour le CAN-SPAM, le CRTC pour la CASL, l'ICO pour le Royaume-Uni, votre autorité nationale de protection des données, comme la CNIL en France, pour le RGPD). Et en cas de doute, consultez un avocat : le coût d'un conseil juridique est dérisoire comparé à celui d'une amende ou d'un domaine sur liste noire.

« La meilleure stratégie de conformité ne consiste pas à connaître toutes les failles : c'est de construire une prospection si bonne que la conformité en devient un sous-produit naturel. »