Ce que la LCAP exige réellement avant l'envoi d'un message texte

La plupart des équipes découvrent la LCAP comme on découvre un mur porteur : en le démolissant. Les règles ne sont pas compliquées, mais elles sont précises, et les sanctions sont assez lourdes pour que deviner soit une mauvaise stratégie — les sanctions administratives pécuniaires atteignent 10 millions de dollars par violation pour une organisation.

Voici la version pratique, pour quiconque branche des SMS vers des numéros canadiens.

Le consentement précède le premier message, pas l'inverse

La LCAP vise les messages électroniques commerciaux (MEC), et les SMS en font partie. Avant d'en envoyer un à un numéro canadien, il vous faut un consentement au dossier — et il en existe deux formes au comportement très différent.

Le consentement exprès, c'est une personne qui accepte activement : une case cochée au moment du paiement, un formulaire soumis, une réponse START. Il n'expire pas. Il dure jusqu'à ce que la personne le retire.

Le consentement tacite découle d'une relation plutôt que d'une décision : quelqu'un a acheté chez vous ou a fait une demande de renseignements. C'est un consentement valide, mais il est chronométré. Selon le §10(9) de la LCAP, le consentement tacite issu d'une transaction expire deux ans après celle-ci. Un client ayant acheté en 2023 et jamais revenu n'est pas quelqu'un à qui vous pouvez écrire aujourd'hui sur cette base.

Le mode de défaillance est silencieux. Rien ne casse le jour où le consentement tacite expire : vous commencez simplement à envoyer des messages que vous n'avez plus le droit d'envoyer, et vous continuez jusqu'à ce que quelqu'un s'en aperçoive.

Enregistrez le consentement au moment où vous l’obtenez

Un consentement que vous ne pouvez pas prouver est un consentement que vous n'avez pas. Consignez son origine au moment même :

curl -X POST https://api.honkio.ca/v1/compliance/consents \
  -H "Authorization: Bearer mk_live_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "phone_number": "+16135550199",
    "consent_type": "express",
    "source_description": "Checkout opt-in checkbox",
    "source_ip": "203.0.113.1"
  }'

La description de la source compte plus qu'il n'y paraît. Si une plainte survient, « case d'adhésion au moment du paiement » accompagnée d'un horodatage et d'une adresse IP constitue une preuve défendable. « Le client a accepté » ne l'est pas.

Laissez l'envoi échouer

L'intérêt d'appliquer la règle au niveau de l'API, c'est qu'un envoi sans consentement valide ne part pas. HonkIO le refuse :

HTTP/1.1 451 Unavailable For Legal Reasons

{
  "code": "NO_CONSENT",
  "message": "Message blocked: no valid CASL consent on record for this recipient.",
  "statusCode": 451
}

451 Unavailable For Legal Reasons n'est pas ici un code d'état amusant : il décrit exactement la situation. Vous le verrez sous trois formes — NO_CONSENT lorsque rien n'est au dossier, CONSENT_EXPIRED lorsque le consentement tacite a expiré, et OPT_OUT_BLOCKED lorsque le destinataire s'est désabonné.

Un envoi bloqué vaut bien mieux qu'un envoi livré qu'il faudra justifier plus tard. Considérez un 451 comme une information sur vos données, et non comme un obstacle à contourner.

Les retraits doivent fonctionner réellement

Un destinataire qui répond STOP, STOPALL, UNSUBSCRIBE, CANCEL, END ou QUIT retire son consentement. La loi vous accorde dix jours ouvrables pour y donner suite. Dix jours ouvrables, c'est long pour continuer d'écrire à quelqu'un qui vous a demandé d'arrêter : HonkIO traite donc ces mots-clés en quelques secondes et bloque automatiquement les envois suivants. START et UNSTOP rétablissent l'inscription.

Vous n'avez pas à développer l'analyse des mots-clés — et surtout, vous ne pouvez pas oublier de le faire.

En bref

• Le consentement exprès n'expire pas; le consentement tacite expire deux ans après la transaction
• Consignez la source et l'horodatage au moment où le consentement est donné, pas après
• Laissez les envois échouer avec un 451 plutôt que de contourner la vérification
• Les mots-clés de retrait doivent prendre effet immédiatement, pas en dix jours
• Conservez les registres — la preuve, c’est la conformité

Rien de tout ceci ne constitue un avis juridique, et la LCAP couvre plus de terrain qu'un seul article — les exigences d'identification et de désabonnement dans le contenu des messages, par exemple. Si vous opérez à grande échelle, consultez un juriste qui la maîtrise. Mais si vous intégrez le suivi du consentement dès le départ, le plus difficile est déjà réglé.