Emailing aux États-Unis : ce qu'exige la loi CAN-SPAM, et ce qui la distingue des règles européennes

Les marketeurs européens arrivent souvent aux États-Unis en s'attendant à une liberté totale, parce qu'on leur a dit que le droit américain n'exige aucun consentement avant un email commercial. C'est exact. Ce qui les surprend, c'est la précision du reste de la loi : chaque email commercial doit comporter un expéditeur et un objet honnêtes, une adresse postale, un lien de désinscription fonctionnel traité sous dix jours ouvrés, et la responsabilité pèse aussi bien sur l'entreprise dont on fait la promotion que sur l'agence qui appuie sur « envoyer ». La loi fédérale en question est le CAN-SPAM Act de 2003, appliqué par la Federal Trade Commission (FTC).

Opt-out plutôt qu'opt-in : la grande différence

Dans une grande partie de l'Europe, la règle par défaut est l'autorisation préalable. L'Information Commissioner's Office britannique, pour prendre un exemple, rappelle aux entreprises qu'elles ne doivent pas envoyer d'emails ou de SMS marketing à des particuliers sans consentement spécifique, avec une exception étroite (soft opt-in) pour les clients existants à qui l'on a clairement offert la possibilité de refuser. Les adresses professionnelles des sociétés sont traitées plus librement, mais les entrepreneurs individuels comptent comme des particuliers.

Les États-Unis fonctionnent à l'inverse. CAN-SPAM n'exige aucun consentement avant l'envoi d'un email commercial à qui que ce soit, consommateur ou entreprise. La loi encadre plutôt la manière d'envoyer et donne à chaque destinataire le droit de dire stop, droit que vous devez respecter.

Deux conséquences en découlent. D'abord, nous traitons chaque adresse européenne d'un fichier selon les règles du pays du destinataire, et nous conseillons à nos clients d'en faire autant : vendre via une entité américaine ne change pas le lieu de résidence du destinataire. Ensuite, le modèle américain récompense la rigueur plutôt que la paperasse : vous pouvez lancer une campagne rapidement, mais un seul lien de désinscription cassé peut transformer chaque email envoyé en infraction distincte.

Les emails concernés par la loi

CAN-SPAM encadre le commercial electronic mail message : un email dont l'objet principal est la publicité ou la promotion commerciale d'un produit ou d'un service, y compris le contenu d'un site web commercial. La loi définit à part le transactional or relationship message (message transactionnel ou relationnel), largement exempté. Le texte en énumère cinq types :

1. finaliser ou confirmer une transaction déjà acceptée par le destinataire ;
2. informations de garantie, de rappel, de sécurité ou de sûreté concernant un produit ou un service que le destinataire a acheté ou utilise ;
3. avis de modification d'un abonnement, d'une adhésion, d'un compte ou d'un prêt en cours, ou relevé de compte périodique ;
4. informations directement liées à l'emploi du destinataire ou à un régime d'avantages salariaux ;
5. livraison de biens ou de services, y compris mises à jour ou mises à niveau, auxquels le destinataire a droit en vertu d'un accord existant.

Dans la réalité, beaucoup d'emails mélangent les deux. La règle de la FTC, au 16 CFR 316.3, tranche selon l'objet principal. Un email combinant contenu commercial et transactionnel est commercial si un destinataire raisonnable, en lisant l'objet, penserait qu'il s'agit d'une publicité, ou si la partie transactionnelle n'apparaît pas au début du message ou à proximité. Un email mêlant publicité et autre contenu, par exemple un article de newsletter, est commercial si l'objet ressemble à une publicité ou si un destinataire raisonnable conclurait, à la lecture du corps du message, que son but principal est la promotion, en fonction de l'emplacement de la promotion, de la place qu'elle occupe et de la mise en avant visuelle dont elle bénéficie.

Notre règle pratique : une confirmation de commande avec une petite bannière de vente croisée en bas reste transactionnelle. Un objet du type « Votre commande est expédiée, et 30 % de remise sur tout » ne l'est plus.

Même les emails transactionnels ne doivent pas contenir d'informations d'en-tête fausses ou trompeuses. Cette règle vaut pour les deux catégories.

Sept règles pour chaque email marketing

Le texte de loi, 15 U.S.C. 7704, et le guide de conformité de la FTC se résument à sept exigences.

1. Des informations d'en-tête honnêtes. Les champs From, To et Reply-To ainsi que les informations de routage doivent être exacts et identifier l'expéditeur du message. Un champ From qui identifie correctement l'expéditeur n'est pas trompeur ; faire transiter les emails par d'autres ordinateurs pour en masquer l'origine l'est.
2. Un objet honnête. Vous ne pouvez pas utiliser un objet dont vous savez, ou devriez raisonnablement savoir, qu'il induirait un destinataire ordinaire en erreur sur un fait essentiel du message.
3. Une identification comme publicité. Le message doit indiquer de façon claire et visible qu'il s'agit d'une publicité ou d'une sollicitation, sauf si le destinataire a donné au préalable son consentement explicite pour le recevoir. La loi n'impose pas de formulation précise, mais elle doit être claire.
4. Une adresse postale physique valide. Votre adresse actuelle, une boîte postale enregistrée auprès du Postal Service, ou une boîte aux lettres privée enregistrée auprès d'un commercial mail receiving agency (prestataire de réception de courrier).
5. Un avis clair sur le droit de se désinscrire. Formulé de manière à ce qu'une personne ordinaire le voie et le comprenne.
6. Un mécanisme de désinscription fonctionnel. Une adresse email de réponse ou un mécanisme en ligne qui fonctionne pendant au moins 30 jours après l'envoi du message.
7. La responsabilité de vos prestataires. Si une agence ou une plateforme envoie en votre nom, vous pouvez être tous deux tenus juridiquement responsables.

Une adresse professionnelle américaine compte ici. Une entreprise européenne qui utilise son adresse de Munich ou de Madrid est en règle, mais les destinataires américains font davantage confiance à une adresse aux États-Unis, et de nombreuses plateformes d'emailing en demandent une. Notre guide sur l'adresse professionnelle aux États-Unis présente les options.

La désinscription : la règle qui pose le plus de problèmes

La plupart des problèmes de conformité que nous voyons commencent par un processus de désinscription cassé ou trop lent, généralement parce qu'un fichier a été copié d'un outil à l'autre. Les règles sont strictes et simples :

• Dix jours ouvrés. Une fois qu'une personne s'est désinscrite, vous ne pouvez plus lui envoyer d'email commercial plus de dix jours ouvrés après sa demande. Personne agissant en votre nom non plus.
• Trente jours de disponibilité. Le mécanisme présent dans chaque email doit continuer d'accepter les demandes pendant au moins 30 jours après l'envoi du message.
• Aucun obstacle. Selon le 16 CFR 316.5, vous ne pouvez pas facturer de frais, demander d'autres informations que l'adresse email et les préférences de désinscription, ni exiger une autre démarche que l'envoi d'un email de réponse ou la visite d'une seule page web.
• Un menu est autorisé. Vous pouvez laisser les gens choisir les types de messages qu'ils ne veulent plus recevoir, à condition que l'une des options permette d'arrêter tous vos messages commerciaux.
• Interdiction de revendre l'adresse. Après une désinscription, vous ne pouvez pas vendre, louer, échanger ou transférer de quelque manière que ce soit l'adresse, sauf pour vous conformer à la loi.
• Le consentement peut relancer la relation. Si la personne donne ensuite son consentement explicite, vous pouvez de nouveau lui écrire.

Tenez une seule liste d'exclusion, utilisée par tous vos outils et toutes vos agences. Lorsque vous changez de plateforme, exportez-la en premier et importez-la avant le premier envoi. Cela paraît évident ; c'est pourtant l'étape que l'on oublie.

Qui fait appliquer la loi, et ce que coûtent les infractions

CAN-SPAM assimile une infraction à une pratique déloyale ou trompeuse au sens du FTC Act. La FTC indique que chaque email non conforme est passible d'une amende pouvant atteindre 53 088 $, montant indexé sur l'inflation figurant actuellement dans le barème des sanctions civiles de la FTC au 16 CFR 1.98. Une campagne de 10 000 emails non conformes représente, en théorie, 10 000 infractions.

La loi réserve ces droits aux autorités publiques et aux fournisseurs d'accès à Internet ; elle ne cite pas les destinataires individuels parmi ceux qui peuvent agir sur son fondement. Les tribunaux peuvent réduire les dommages-intérêts pour les expéditeurs qui avaient des pratiques de conformité commercialement raisonnables, une raison de plus de documenter les vôtres.

Certaines pratiques constituent des infractions aggravées qui alourdissent l'enjeu : collecter des adresses sur des sites qui l'interdisent, générer des adresses en combinant noms, lettres ou chiffres, utiliser des scripts pour créer plusieurs comptes d'envoi, et relayer des messages via des ordinateurs utilisés sans autorisation. Les contenus à caractère sexuel doivent porter une mention prescrite dans l'objet, sauf consentement du destinataire, et la violation délibérée de cette règle est une infraction pénale.

États, emails vers mobiles et SMS

Droit des États. CAN-SPAM prime sur les lois des États qui encadrent expressément l'email commercial, sauf dans la mesure où elles interdisent la fausseté ou la tromperie. Les lois générales des États sur les contrats, la responsabilité civile, la fraude et la cybercriminalité restent applicables. En pratique, cela signifie une norme nationale unique pour les expéditeurs conformes, et des recours au niveau des États contre les expéditeurs trompeurs.

Emails vers téléphones mobiles. La Federal Communications Commission (FCC) a adopté, en application de CAN-SPAM, une règle distincte pour les messages commerciaux envoyés vers des appareils sans fil. Selon le 47 CFR 64.3100, vous ne pouvez pas envoyer de mobile service commercial message sans l'autorisation préalable expresse de l'abonné. La FCC tient une liste de noms de domaine sans fil, c'est-à-dire d'adresses qui livrent directement sur les téléphones ; un message commercial envoyé à une adresse dont le domaine figure sur la liste depuis au moins 30 jours est présumé être un tel message. La demande d'autorisation doit identifier l'expéditeur, prévenir que l'opérateur peut facturer les messages et préciser que le consentement peut être retiré à tout moment, et les désinscriptions doivent être traitées sous 10 jours.

SMS. Le marketing par SMS vers des numéros de téléphone relève des règles de la FCC sur le démarchage téléphonique, au 47 CFR 64.1200, qui visent expressément les appels de télémarketing et les SMS vers des numéros mobiles, y compris le retrait du consentement. Leurs exigences de consentement, comme le consentement écrit préalable et exprès pour certains appels publicitaires vers des mobiles, forment un régime différent de CAN-SPAM. Traitez le marketing par SMS comme un projet à part, avec son propre processus de consentement.

Si votre entrée sur le marché américain comprend un audit de conformité plus large, notre panorama des exigences juridiques et formalités administratives aux États-Unis replace l'emailing parmi les autres règles qu'un nouvel entrant rencontre.

Les messageries fixent la barre en pratique

La conformité légale vous met à l'abri de la FTC. Elle ne vous fait pas arriver en boîte de réception. Les grands fournisseurs de messagerie publient désormais leurs propres exigences, et pour un expéditeur à gros volume, elles sont plus strictes que la loi.

Les consignes de Google pour Gmail demandent à chaque expéditeur d'authentifier son domaine avec SPF ou DKIM et de maintenir le taux de spam signalé dans les Postmaster Tools de Google sous 0,3 %. Les expéditeurs de plus de 5 000 messages par jour vers des comptes Gmail doivent configurer SPF et DKIM, publier une politique DMARC et proposer la désinscription en un clic pour les messages marketing et les abonnements via les en-têtes List-Unsubscribe et List-Unsubscribe-Post ; Google conseille de garder le taux de spam sous 0,10 % et de ne jamais atteindre 0,30 %.

Notre recommandation à chaque client qui lance l'emailing aux États-Unis : configurez les trois enregistrements d'authentification et la désinscription en un clic dès le premier envoi, quel que soit votre volume. Cela demande un après-midi avec votre plateforme d'emailing et vous évite la tâche bien plus ardue de restaurer plus tard la réputation d'un domaine. Si vous vendez en ligne, cette même rigueur a sa place dans votre dispositif e-commerce aux États-Unis, aux côtés de la sales tax et des paiements.

Check-list avant votre première campagne aux États-Unis

Passez-la en revue une fois avec votre équipe marketing et une fois avec la personne qui gère la plateforme d'emailing. D'expérience, les problèmes ne sont presque jamais dans le texte ; ils sont dans la tuyauterie. Et si l'entité américaine derrière la campagne est encore en cours de création, notre guide pour entrer sur le marché américain indique par quoi commencer.