La LCAP et votre infolettre : consentement, désabonnement et les amendes que personne ne lit

Il y a une loi fédérale que presque aucune PME n'a lue et que beaucoup enfreignent partiellement. Elle s'appelle la Loi canadienne anti-pourriel, LCAP pour les intimes, et elle s'applique dès qu'un courriel commercial part vers une adresse. Une infolettre envoyée à 300 personnes est visée exactement comme une campagne de 300 000. C'est un des points qu'on regarde quand on reprend un site en abonnement, parce que tout se règle dans le formulaire d'inscription et le pied de page de l'infolettre.

L'angle habituel consiste à agiter le plafond de 10 000 000 $ et à vendre un audit de conformité. On va faire l'inverse. Le dossier d'application du CRTC est public, décision par décision, et il raconte une autre histoire. Ce qui fait sortir le régulateur de sa réserve tient rarement à une subtilité de consentement. C'est presque toujours un lien de désabonnement qui ne marche pas. Ce texte suit donc l'ordre des priorités réelles.

La réponse courte, pour les pressés

La LCAP vise tout message électronique commercial envoyé à une adresse électronique, ce qui inclut l'infolettre d'une entreprise de quatre personnes. Trois obligations tiennent l'ensemble. Un consentement d'abord, exprès ou tacite. Une identification ensuite : nom de l'entreprise, adresse postale et un moyen de vous joindre, valides au moins 60 jours après l'envoi. Un mécanisme de désabonnement enfin, dont la demande doit être traitée sans délai et au plus tard dans les 10 jours ouvrables. Le consentement exprès ne périme pas tant que la personne ne le retire pas. Le consentement tacite s'éteint, lui : deux ans après un achat ou un contrat, six mois après une simple demande de renseignements. Et la preuve vous incombe, l'article 13 de la Loi mettant le fardeau sur celui qui invoque le consentement. Les plafonds sont de 1 000 000 $ pour une personne physique et de 10 000 000 $ pour une entreprise.

Ce que la loi couvre, et ce qu'elle ne couvre pas

Le critère tient en une question : un des objectifs du message est-il d'encourager le destinataire à participer à une activité commerciale ? Si oui, c'est un message électronique commercial et les trois obligations s'appliquent. Le CRTC précise qu'un logo, un hyperlien ou des coordonnées dans une signature ne suffisent pas à eux seuls à transformer un courriel en message commercial, alors qu'une ligne qui pousse à acheter, oui. Le champ dépasse le courriel : la définition d'adresse électronique couvre aussi les SMS et les messageries instantanées, y compris celles des réseaux sociaux.

Les exclusions, en revanche, sont plus généreuses qu'on ne le croit. L'obligation d'obtenir un consentement ne s'applique pas au message qui fournit une soumission demandée par le destinataire, à celui qui complète ou confirme une transaction déjà convenue, à l'information de garantie ou de rappel de produit, ni au message factuel sur un abonnement ou un compte en cours. Votre confirmation de commande, votre rappel de rendez-vous, votre facture : hors du régime de consentement. Ce qui reste visé, c'est la partie que vous appelez marketing.

Consentement exprès, consentement tacite, et l'horloge qui tourne

Le consentement exprès veut dire que la personne a posé un geste volontaire pour dire oui : une case cochée par elle, un formulaire d'inscription, un accord verbal. Il n'a pas de date de péremption. Et une subtilité qui piège du monde : le courriel qui demande ce consentement est lui-même un message commercial, donc on ne peut pas s'en servir pour l'obtenir à froid.

Le consentement tacite est une liste fermée de situations, pas un principe général. La plus courante est la relation d'affaires existante, que le CRTC résume par quatre questions : la personne a-t-elle acheté ou loué quelque chose chez vous dans les deux ans précédant le message ? A-t-elle accepté une occasion d'affaires dans les deux ans ? A-t-elle fait une demande de renseignements dans les six mois ? A-t-elle un contrat écrit en vigueur ou expiré depuis moins de deux ans ? Un oui donne un consentement tacite, pour la durée indiquée et pas au-delà.

C'est cette horloge qui crée le vrai problème de la PME moyenne. Une liste bâtie sur des clients réels est légitime le jour où elle est constituée, puis une partie s'invalide toute seule, silencieusement, deux ans plus tard. Un outil d'infolettre ne fait pas ce calcul à votre place : il ne connaît pas vos dates de transaction.

La liste achetée : le seul cas où la réponse est simple

Le troisième cas de consentement tacite est la publication bien en vue : si quelqu'un affiche son adresse professionnelle publiquement, sans mention refusant les messages commerciaux, et que votre message est en rapport avec son rôle, vous pouvez écrire.

La décision Blackstone Learning Corp. montre jusqu'où ça ne va pas. L'entreprise avait envoyé 385 668 courriels et invoquait cette exception. Le CRTC a tranché qu'elle pose une exigence plus élevée que la simple disponibilité publique des adresses, et le passage sur les listes est explicite : si un tiers reproduit une adresse ou vend une liste de telles adresses de sa propre initiative, ça ne crée aucun consentement tacite, parce que ni le titulaire du compte ni le destinataire n'ont publié l'adresse. Blackstone n'a produit aucune trace de l'origine de ses adresses. Pénalité imposée : 50 000 $, sur les 640 000 $ que réclamait l'avis de violation.

C'est là que l'article 13 fait mal : la preuve du consentement incombe à celui qui l'invoque. En pratique, gardez pour chaque adresse la date, la méthode et la source. Les outils d'infolettre sérieux enregistrent ça par défaut. Un fichier Excel construit à la main sur trois ans, non.

Ce que chaque message doit porter

Innovation, Sciences et Développement économique Canada résume les mentions obligatoires sans détour : votre nom commercial et celui de toute personne pour qui vous envoyez le message ; une adresse postale actuelle et un numéro de téléphone, une adresse courriel ou une adresse de site web ; des coordonnées exactes qui resteront valides au moins 60 jours après l'envoi. Si vous travaillez de la maison, une case postale suffit, l'adresse résidentielle n'est pas exigée.

Reste le mécanisme de désabonnement. La loi exige qu'il soit gratuit, qu'il permette de refuser tous les messages ou une catégorie, et qu'il pointe vers une adresse ou une page web. Le CRTC donne un contre-exemple utile : un parcours en six étapes où l'utilisateur doit chercher le bon lien dans une page, se connecter à son compte, puis choisir entre supprimer son compte et se désabonner ne respecte pas le critère d'exécution facile.

Le dossier réel : c'est le désabonnement qui coûte cher

Trois décisions publiées suffisent à voir le motif. Compu.Finder, une entreprise de formation québécoise dont les courriels visaient surtout des travailleurs du Québec, a reçu en 2015 un avis de violation de 1,1 M$ pour envois sans consentement et mécanisme de désabonnement défaillant ; après représentations, le CRTC a imposé 200 000 $. DAVIDsTEA a conclu un engagement de 40 000 $ en mars 2023, pour des messages qui ne comportaient pas systématiquement un mécanisme de désabonnement, ou pas un mécanisme réellement exécutable. La Compagnie de la Baie d'Hudson a signé un engagement de 120 000 $ en juin 2024, pour le même motif.

Trois entreprises de tailles très différentes, un seul reproche commun. Le CRTC le confirme dans son rapport d'application couvrant la période du 1er octobre 2025 au 31 mars 2026 : les plaintes portent sur les pourriels et sur « les difficultés rencontrées pour se désabonner », « souvent en raison de liens qui ne fonctionnent pas ou de procédures trop compliquées ». Le même rapport prévient que le CRTC « entend prendre des mesures plus sévères pour faire respecter la Loi », la LCAP étant désormais, à ses yeux, bien établie et largement comprise.

Deux nuances honnêtes sur les chiffres, dans le même esprit que notre texte sur le risque réel des sanctions de la Loi 25. Les plafonds de 1 M$ et 10 M$ sont des maximums légaux par violation, pas des montants observés pour une PME. Et le droit privé d'action prévu à l'origine, celui qui aurait ouvert la porte aux recours collectifs, a été abrogé avant d'entrer en vigueur par décret en juin 2017. Votre risque, aujourd'hui, c'est le CRTC, et le CRTC arrive après des plaintes.

LCAP et Loi 25 ne se recouvrent pas, elles s'empilent

Beaucoup de dirigeants croient que respecter l'une règle l'autre. Les deux lois posent des questions différentes sur le même objet. La LCAP demande : avez-vous la permission d'écrire à cette adresse ? La Loi 25 demande : qu'est-ce que vous faites de cette adresse, qui est un renseignement personnel ?

L'exemple concret est l'article 12 de la Loi sur la protection des renseignements personnels dans le secteur privé. Un renseignement recueilli pour une fin ne peut servir à une autre sans consentement, sauf exceptions, dont les fins compatibles. Et le texte ferme la porte explicitement : « ne peut être considérée comme une fin compatible la prospection commerciale ou philanthropique ». L'adresse recueillie pour livrer une commande ne peut donc pas glisser dans l'infolettre au nom de la compatibilité. Il faut avoir demandé, et ça se règle dans le formulaire, sujet traité dans notre article sur la Loi 25 appliquée au site web.

Par où commencer cette semaine

Ouvrez votre dernière infolettre et cliquez vous-même sur le lien de désabonnement, depuis un téléphone. Si vous atterrissez sur une page de connexion, sur une erreur ou sur un formulaire à remplir, vous venez de trouver le seul problème que le régulateur sanctionne vraiment. Vérifiez ensuite le pied de page : nom de l'entreprise, adresse postale, un moyen de contact qui fonctionnera encore dans deux mois, sur une adresse à votre nom de domaine de préférence, pour les raisons décrites dans notre texte sur le courriel professionnel.

Ensuite seulement, regardez la liste. D'où viennent les adresses, et pouvez-vous le démontrer ? Une liste importée d'un ancien système sans historique est le vrai passif. Et si votre formulaire d'inscription est aussi le point d'entrée des pourriels, notre article sur les formulaires web et les pourriels traite l'autre bout du même tuyau.

Rien là-dedans ne demande un cabinet d'avocats. Ça demande une heure, et que quelqu'un regarde vraiment.

→ Parlez-nous de votre infolettre

Ce texte est une vulgarisation, pas un avis juridique. La LCAP et la Loi 25 comportent des exceptions et des cas particuliers que seul un conseiller juridique peut appliquer à votre situation.