Une société australienne a payé 871 660 dollars australiens pour cent cinquante-quatre messages.
Cent cinquante-quatre. Pas cent cinquante-quatre mille. C’est le montant, rapporté au volume, le plus élevé que nous ayons trouvé dans les décisions publiées de ces dernières années, et il vient du pays dont on parle le moins.
Australie : le pays qui sanctionne au message
Le Spam Act de 2003 impose un régime de consentement, exprès ou raisonnablement inféré. Son article 17 exige l’identification exacte de l’expéditeur, avec des coordonnées valables au moins trente jours après l’envoi. Son article 18 impose un mécanisme de désabonnement opérationnel pendant la même durée, et le retrait de consentement prend effet à l’issue d’un délai de cinq jours ouvrables.
En octobre 2024, l’autorité australienne des communications a fait payer 7,5 millions de dollars australiens à la Commonwealth Bank of Australia : plus de 170 millions de messages marketing envoyés entre novembre 2022 et avril 2024 sans mécanisme de désabonnement, dont 34,8 millions à des personnes qui n’avaient pas consenti ou avaient retiré leur consentement.
En juillet 2025, la même autorité a fait payer 871 660 dollars australiens à Betfair, assortis d’un engagement exécutoire de deux ans, pour 154 messages envoyés à des clients privilégiés entre mars et décembre 2024, sans consentement valide, et pour partie sans option de désabonnement.
Deux affaires, deux ordres de grandeur, une même logique : ce n’est pas le volume qui déclenche la sanction, c’est la nature du manquement.
Canada : le consentement tacite a une date d’expiration
La loi canadienne anti-pourriel fonctionne sur un consentement exprès par défaut, avec des exceptions de consentement tacite, notamment en cas de relation d’affaires existante.
Le point que tout le monde oublie : ce consentement tacite expire au bout de deux ans. Le consentement exprès, lui, n’expire pas, mais peut être retiré à tout moment.
Deux obligations formelles s’y ajoutent : identifier l’expéditeur et toute partie pour le compte de laquelle le message est envoyé, un lien vers une page portant ces informations étant accepté ; et fournir une adresse postale qui reste valide au moins soixante jours après l’envoi.
Les sanctions administratives atteignent un million de dollars canadiens par violation pour une personne physique et dix millions pour une entreprise.
Une précision utile, et rarement donnée correctement : le droit privé d’action, qui aurait permis à des particuliers d’attaquer directement les expéditeurs, n’est jamais entré en vigueur. Un décret du 2 juin 2017, publié à la Gazette du Canada le 14 juin 2017, a abrogé la disposition qui devait le déclencher au 1er juillet 2017. Il demeure suspendu à ce jour.
Royaume-Uni : le plafond a été multiplié par trente-cinq
Le régime britannique repose sur le PECR de 2003, dont la règle 22 pose un principe d’opt-in, tempéré par un soft opt-in comparable à l’exception française des clients existants : coordonnées obtenues à l’occasion d’une vente ou de négociations de vente, produits ou services similaires, moyen de refus simple et gratuit à la collecte et à chaque message.
Le changement majeur date du 5 février 2026, avec l’entrée en vigueur des dispositions correspondantes du Data (Use and Access) Act 2025, adopté le 19 juin 2025.
Deux effets, très différents l’un de l’autre.
Le premier est une ouverture : une nouvelle règle 22(3A) crée un soft opt-in caritatif, permettant à un organisme caritatif de solliciter par email les personnes ayant manifesté un intérêt pour son objet, sans consentement préalable, sous des conditions équivalentes.
Le second est un durcissement considérable : le plafond des sanctions pour manquement aux règles de marketing du PECR, dont la règle 22 sur l’email, passe de 500 000 livres au plafond du régime britannique de protection des données, soit 17,5 millions de livres ou 4 % du chiffre d’affaires mondial annuel. L’ICO l’a confirmé dans sa déclaration officielle du même jour.
Pour mesurer l’écart, une amende prononcée juste avant ce basculement : le 20 janvier 2026, l’ICO a sanctionné ZMLUK Limited à hauteur de 105 000 livres pour plus de 67 millions d’emails marketing envoyés sans consentement valide entre janvier et juillet 2023. Sous le nouveau plafond, la même affaire se plaiderait dans un tout autre ordre de grandeur.
Les trois régimes, côte à côte
| Canada | Royaume-Uni | Australie | |
|---|---|---|---|
| Principe | Consentement exprès, tacite admis | Opt-in, avec soft opt-in | Consentement exprès ou inféré |
| Durée du consentement tacite | 2 ans | Non applicable | Non publié |
| Coordonnées valides après envoi | 60 jours | Non publié | 30 jours |
| Effet du désabonnement | Sans délai publié | Sans délai publié | 5 jours ouvrables |
| Plafond de sanction | 10 M CAD (entreprise) | 17,5 M GBP ou 4 % du CA mondial | Non vérifié |
Une case reste vide, et nous la laissons vide : nous n’avons pas pu vérifier sur une source officielle le plafond en vigueur du Spam Act australien, exprimé en unités de pénalité réindexées depuis 2003. Les sanctions réelles, elles, sont vérifiées et publiées.
La règle qui vous évite de tenir trois tableaux
Quatre régimes, en comptant l’Europe. Des principes opposés, des délais différents, des plafonds sans commune mesure.
Il existe pourtant un dénominateur commun, et il est court : un consentement dont vous pouvez prouver l’origine et la date, une identification exacte de l’expéditeur, une adresse postale valide, un désabonnement qui fonctionne immédiatement et durablement.
Quatre conditions qui satisfont le régime le plus strict des quatre, donc les quatre. C’est plus simple à tenir qu’une matrice par pays, et c’est aussi ce qu’exigent les opérateurs de messagerie, qui, eux, ne vous demanderont pas où se trouve votre destinataire.
La question du consentement, en revanche, reste gouvernée par le pays du destinataire, et c’est la seule variable qu’il faut réellement segmenter. En Europe, elle passe par le régime professionnel ou le consentement préalable ; aux États-Unis, elle ne se pose pas.
Ce que vous faites demain matin
Segmentez votre base par pays de résidence du destinataire, pas par langue ni par domaine de messagerie. Une adresse en gmail.com ne dit rien du pays, et c’est le pays qui décide du régime applicable.
Vérifiez ensuite la date de vos consentements canadiens : au-delà de deux ans sans relation d’affaires, le consentement tacite est expiré.
Et si vous adressez le Royaume-Uni, relisez votre dispositif à l’aune du nouveau plafond. Un risque de 500 000 livres et un risque de 4 % du chiffre d’affaires mondial ne se traitent pas au même niveau de l’organisation.
Sources
- CRTC. Canada’s Anti-Spam Legislation: Frequently Asked Questions
- Gazette du Canada (14 juin 2017). Order Repealing the Order Fixing July 1, 2017 as the Day on which Certain Provisions of the Act Come into Force
- Privacy and Electronic Communications (EC Directive) Regulations 2003, regulation 22
- Data (Use and Access) Act 2025, Schedule 13
- ICO (5 février 2026). Statement on the commencement of the Data (Use and Access) Act
- ICO (20 janvier 2026). Fines of £225,000 for nuisance marketing messages
- ACMA (octobre 2024). Commonwealth Bank pays $7.5m for more spam breaches
- ACMA (juillet 2025). Betfair pays $871k for VIP customer spam breaches
LaFactory travaille l’emailing sur pièces : en-têtes, enregistrements DNS, journaux de rejet. Aucune promesse de taux d’ouverture, jamais. Contactez-nous pour un audit de délivrabilité.