Utiliser les données clients pour le marketing en toute légalité au Canada : la ligne entre la LCAP et la LPRPDE

Un studio de conditionnement physique de Toronto à qui j'ai parlé l'an dernier a acheté une liste de courriels. Douze mille « prospects ayant adhéré » pour 400 $. Ils ont diffusé une promo de lancement, se sont sentis malins pendant environ une semaine, puis ont reçu une plainte transmise par le CRTC. En vertu de la Loi canadienne anti-pourriel, la sanction pour ce genre de chose plafonne à 10 millions de dollars par violation pour une entreprise (c'est 1 million de dollars pour un particulier). Ils ont réglé discrètement et ont appris une leçon coûteuse : au Canada, la liste que vous n'avez pas bâtie est une responsabilité, pas un actif.

C'est la partie que la plupart des spécialistes du marketing comprennent à l'envers. Ils traitent les données des clients comme du carburant à brûler le plus vite possible. La loi les traite comme quelque chose que vous avez emprunté à la personne qu'elles décrivent, et vous êtes censé le rendre dès qu'elle le demande. Comprenez bien ce cadrage et la majeure partie de la LCAP et de la LPRPDE cesse de ressembler à un piège.

La LCAP et la LPRPDE sont deux laisses différentes

Les gens les regroupent puis ne se conforment proprement à aucune des deux. Elles régissent des choses différentes.

La LCAP porte sur le *canal*. Elle réglemente les messages électroniques commerciaux : courriel, SMS, certains messages directs sur les réseaux sociaux. Avant d'appuyer sur envoyer, vous avez généralement besoin d'un consentement, vous devez vous identifier, et vous avez besoin d'un désabonnement fonctionnel que vous honorez dans les 10 jours ouvrables. Le CRTC l'applique, et il a des dents dont l'organisme de réglementation de la LPRPDE ne peut que rêver.

La LPRPDE (et la Loi 25 du Québec, qui est plus stricte) porte sur les *données elles-mêmes*. Comment vous les recueillez, pourquoi, si vous l'avez dit à la personne, si vous les utilisez à la fin qu'elle a acceptée. Le Commissariat à la protection de la vie privée du Canada supervise la LPRPDE au fédéral; la Commission d'accès à l'information (CAI) gère le Québec. La LPRPS couvre les renseignements sur la santé en Ontario, appliquée par le CIPVP.

Ainsi un seul courriel marketing peut enfreindre les deux à la fois. L'envoi enfreint la LCAP si vous manquiez de consentement. Le ciblage enfreint la LPRPDE si vous avez utilisé un historique d'achat que le client n'a jamais accepté de vous laisser exploiter. Deux problèmes différents, deux organismes de réglementation différents, et « mais ils étaient déjà clients » n'est une défense pour aucun des deux.

Le consentement qui compte vraiment

Voici où le studio de conditionnement physique s'est trompé, et où la plupart des petites entreprises se trompent aussi. La LCAP reconnaît deux saveurs de consentement, et elles ne sont pas égales.

Le consentement exprès est quelqu'un qui dit affirmativement oui : une case cochée (décochée par défaut), une soumission de formulaire, une adhésion au paiement libellée clairement. Il n'expire pas. C'est l'étalon-or, et c'est la seule chose qui survit proprement à un audit.

Le consentement implicite est la zone grise, et c'est là que les entreprises se leurrent. Vous avez un consentement implicite si quelqu'un a acheté chez vous ou détenait un contrat avec vous au cours des 24 derniers mois, ou a fait une demande de renseignements au cours des 6 derniers mois. Une fois cette fenêtre fermée, le consentement est parti. Cet utilisateur d'essai qui a téléchargé un livre blanc il y a 14 mois ? Vous ne pouvez pas lui envoyer une promo aujourd'hui à moins qu'il ne vous ait donné un consentement exprès. Le compte à rebours de la relation d'affaires a expiré.

La liste achetée n'avait ni l'un ni l'autre. Pas d'adhésion expresse, pas de relation, pas de défense. Acheter ou moissonner des adresses est la seule chose que la LCAP traite comme carrément indéfendable, et le CRTC a poursuivi les courtiers de données et les acheteurs des deux.

Le consentement implicite est un minuteur de compte à rebours, pas un droit permanent. Le jour où vous cessez de suivre quand il a commencé est le jour où vous avez perdu l'audit.

Ce qu'utiliser légalement les données des clients pour le marketing au Canada permet est plus que vous ne le penseriez

Je veux être juste ici, parce que la peur brûle plus fort que la réalité. Les règles récompensent les entreprises organisées plutôt que de les punir d'être ambitieuses.

Vous pouvez envoyer des courriels à vos clients actifs. Vous pouvez les segmenter selon ce qu'ils ont acheté, quand ils ont acheté, sur quoi ils ont cliqué, et combien ils ont dépensé. Vous pouvez personnaliser. La norme réelle de la LPRPDE est que vous recueillez et utilisez des renseignements personnels à des fins qu'une personne raisonnable jugerait appropriées dans les circonstances, et que vous avez obtenu un consentement valable à ces fins. Recommander des chaussures de course à quelqu'un qui vient d'acheter des chaussures de course franchit cette barre sans transpirer.

Le hic est la partie identifiez-vous et faites correspondre la finalité. Chaque message commercial a besoin du vrai nom de votre entreprise, d'une adresse postale physique, et d'un moyen de vous joindre. Les données que vous utilisez pour cibler doivent se rattacher à une finalité que le client a raisonnablement comprise. Si votre formulaire d'inscription disait « nous vous enverrons des courriels au sujet de votre compte », vous n'avez pas le droit d'alimenter discrètement ce profil dans un réseau publicitaire tiers. C'est une finalité à laquelle il n'a jamais consenti.

Où la personnalisation devient discrètement une violation

C'est la ligne qui fait trébucher les spécialistes du marketing avertis, ceux qui font tout « correctement » du côté du consentement.

La personnalisation basée sur des données que le client vous a données à cette fin est correcte. La personnalisation basée sur des données que vous avez déduites, moissonnées ou réaffectées est là où vous franchissez la limite. Quelques exemples concrets du mauvais côté :

• Enrichir votre CRM avec des données achetées d'un courtier, puis cibler en fonction de cela. Le client n'a jamais consenti à l'existence de ce profil.
• Tirer des déductions liées à la santé (quelqu'un a acheté des produits de grossesse, alors vous lui faites du marketing d'articles pour bébés). En Ontario cela peut s'aventurer vers le territoire de la LPRPS; partout c'est un échec de consentement valable.
• Le pistage entre appareils et les audiences similaires bâties à partir de votre liste de clients sans le divulguer dans votre politique de confidentialité.
• La Loi 25 du Québec exige que vous divulguiez quand vous utilisez des renseignements personnels pour bâtir un profil et que vous laissiez les gens se soustraire aux décisions prises uniquement par traitement automatisé. Notez ou segmentez algorithmiquement des résidents du Québec sans le leur dire, et vous êtes en porte-à-faux depuis l'entrée en vigueur de ces dispositions en septembre 2023.

Le test que je donne aux clients est sans détour : pourriez-vous expliquer, en face du client, exactement comment vous saviez de lui envoyer ceci ? Si la réponse honnête implique un courtier de données, un pixel de pistage qu'il n'a jamais remarqué, ou une déduction qu'il trouverait dérangeante, vous avez dérivé de la personnalisation vers la surveillance. Les organismes de réglementation appliquent presque cette même norme du caractère raisonnable.

La segmentation est correcte. La surveillance ne l'est pas.

La segmentation faite avec des données de première partie et consenties est le marketing le plus sûr et le plus efficace qui soit, et le droit canadien l'encourage réellement par rapport au tir à l'aveugle. Divisez votre liste par récence d'achat. Supprimez les gens qui n'ont pas interagi depuis un an. N'envoyez la relance de clients perdus qu'à ceux encore à l'intérieur de la fenêtre de consentement implicite de 24 mois, et orientez tous les autres vers une campagne de redemande de permission plutôt qu'une promo.

Ce que vous ne pouvez pas faire, c'est traiter la segmentation comme un permis de combiner chaque point de données que vous pouvez moissonner en un seul profil et d'agir sur celui-ci. La Loi 25 a rendu la trajectoire explicite : le consentement doit être granulaire, et là où des réglages de confidentialité existent, ils doivent être réglés par défaut à l'option la plus protectrice de la vie privée. Moins de données déduites, plus de permission explicite, des registres plus clairs.

Et les registres sont tout le jeu. Quand le CRTC ou le CPVP vient demander, la question n'est jamais « aviez-vous de bonnes intentions ». C'est « montrez-moi le consentement ». Vous devez prouver, par contact, quel type de consentement vous détenez, quand vous l'avez obtenu, par quel canal, et quand tout compte à rebours de consentement implicite a commencé à tourner. Les feuilles de calcul s'effondrent là-dessus dès l'instant où vous dépassez quelques milliers de contacts, parce que l'état du consentement change constamment et que personne ne met la feuille à jour.

Bâtissez la piste documentaire avant d'en avoir besoin

La plupart des ennuis de LCAP et de LPRPDE ne sont pas de la malice. Ce sont des entreprises qui ont grandi plus vite que leur tenue de registres. La promo de lancement part, trois personnes se plaignent, et soudain on vous demande une documentation qui n'a jamais été captée au départ. Rendu là, c'est une défense que vous ne pouvez pas monter.

Le correctif est peu glorieux : captez le consentement au moment où il est donné, horodatez-le, stockez la source, suivez les fenêtres de consentement implicite automatiquement, et rendez le désabonnement instantané et permanent sur chaque liste. Faites cela et le marketing auprès de vos propres clients devient à faible risque et à haut rendement. Sautez-le et chaque campagne est un petit pari contre un plafond de 10 millions de dollars.

Si vous préférez ne pas bâtir cette infrastructure à la main, Valdra tient un registre prêt pour l'audit, par contact, du consentement marketing et du statut LCAP afin que vous puissiez segmenter et envoyer avec une preuve derrière chaque nom. Configurez vos registres de consentement LCAP ici.