Mémoire du Commissariat à la protection de la vie privée du Canada sur le Règlement sur les services bancaires axés sur les consommateurs

Le 26 août 2026

Kïrsten Fraser
Directrice, Innovation en matière de services financiers
Division des services financiers
Direction de la politique du secteur financier
Ministère des Finances Canada
90, rue Elgin
Ottawa (Ontario)
K1A 0G5
Courriel : obbo@fin.gc.ca

Objet : Mémoire du Commissariat à la protection de la vie privée du Canada sur le Règlement sur les services bancaires axés sur les consommateurs

Madame la Directrice,

Le Commissariat à la protection de la vie privée du Canada (le Commissariat) tient à remercier le ministère des Finances Canada de lui donner l’occasion de formuler des commentaires sur le projet de Règlement sur les services bancaires axés sur les consommateurs (le Règlement), publié dans la Gazette du Canada, Partie I, volume 160, numéro 26, le 27 juin 2026^{Note de bas de page 1}.

Le Commissariat veille au respect de la Loi sur la protection des renseignements personnels^{Note de bas de page 2}, qui régit les pratiques de traitement des renseignements personnels adoptées par les institutions fédérales, et de la Loi sur la protection des renseignements personnels et les documents électroniques^{Note de bas de page 3} (LPRPDE), qui est la loi fédérale en la matière dans le secteur privé au Canada.

Lors de sa comparution devant le Comité permanent de l’industrie et de la technologie de la Chambre des communes le 26 janvier 2026, le Commissaire, Philippe Dufresne, a exprimé son soutien à l’égard de l’adoption des services bancaires axés sur les consommateurs en tant que cadre de mobilité des données qui permettrait aux Canadiennes et aux Canadiens d’avoir un plus grand contrôle sur leurs renseignements personnels et de décider à qui leurs renseignements peuvent être communiqués^{Note de bas de page 4}.

Le Commissariat appuie les objectifs du régime de services bancaires axés sur les consommateurs, qui permettrait aux consommateurs de déterminer à qui leurs données sont communiquées de manière sécuritaire et d’interdire la pratique du grattage d’écran portant atteinte à la vie privée.

Plusieurs éléments du Règlement contribueraient à assurer la protection de la vie privée des consommateurs, notamment : 1) les exigences selon lesquelles les entités participantes doivent signaler les atteintes aux mesures de sécurité à la Banque du Canada, 2) l’exigence selon laquelle les entités participantes recevant une demande de communication de données doivent utiliser l’authentification multifacteur, et 3) l’exigence selon laquelle les entités participantes doivent informer les consommateurs des conséquences liées à la négligence grave, ou à la faute lourde au Québec, lorsqu’il est question de protéger leurs renseignements d’authentification et des mesures raisonnables qu’elles peuvent prendre pour protéger ces renseignements. Les mesures raisonnables contribueront à faire en sorte que les Canadiennes et les Canadiens puissent bénéficier de services financiers novateurs, tout en conservant le contrôle de leurs données financières très sensibles et en sachant qu’elles seront traitées de façon sécuritaire.

Le Commissariat aimerait également mettre en évidence certains éléments des mesures de protection de la vie privée qui pourraient être améliorés, notamment la portée des données auxquelles le cadre s’applique, les critères d’accréditation, l’exception au consentement pour les données accessibles au public, les mesures de sécurité et la surveillance partagée entre la Banque du Canada et le Commissariat pour ce qui est de la protection des renseignements personnels.

Éléments de données

L’article 2 du Règlement énumère les éléments de données qui seraient assujettis à la Loi sur les services bancaires axés sur les consommateurs (LSBAC). Ces éléments sont les suivants : a) les données relatives à l’identité du consommateur des produits ou des services; b) les numéros de compte, les numéros de transit, les numéros de la succursale et tout autre identificateur relatif aux produits ou aux services; c) les conditions qui s’appliquent à la fourniture des produits ou des services, notamment celles à l’égard des frais, des taux d’intérêt et des autorisations; d) les soldes actuels ou anciens ainsi que les montants dus; e) les données relatives aux transactions complétées, en suspens ou automatiques; et f) les données relatives aux produits ou aux services qui sont offerts à un consommateur ou mis à sa disposition^{Note de bas de page 5}.

Ces éléments de données ne sont pas suffisamment détaillés pour qu’un consommateur connaisse les renseignements exacts qui seraient consignés. Par exemple, l’expression « données relatives à l’identité du consommateur des produits ou des services^{Note de bas de page 6} » ne précise pas les données concernées. Ce point peut être comparé aux Competition and Consumer (Consumer Data Right) Rules 2020 (règles de 2020 sur la concurrence et les consommateurs [droit aux données des consommateurs]) de l’Australie, qui régissent le système bancaire ouvert de l’Australie et décrivent divers éléments faisant partie des grandes catégories de données. Par exemple, selon les règles de l’Australie, les [traduction] « données des consommateurs » concernant une personne désignent [traduction] « les renseignements qui permettent d’identifier une personne ou qui la concernent » et comprennent i) le nom de la personne; ii) les coordonnées de la personne, y compris son numéro de téléphone, son adresse courriel et son adresse; et iii) tout renseignement que la personne a fourni au moment de l’acquisition du produit, et qui se rapporte à son admissibilité à acquérir le produit^{Note de bas de page 7}.

La définition précise des éléments de données en cause permettrait de faire en sorte que les consommateurs soient pleinement conscients des renseignements visés par le cadre. Par conséquent, le Commissariat recommande de modifier l’article 2 du Règlement pour énoncer les éléments de données précis auxquels s’applique la Loi sur les services bancaires axés sur les consommateurs.

Critères d’accréditation

La LSBAC oblige la participation de certaines banques figurant à l’annexe 1 de la Loi sur les banques^{Note de bas de page 8} et permet à d’autres entités de participer une fois accréditées. Le Règlement établit des critères pour quatre voies d’accréditation supervisées par la Banque du Canada : 1) l’accréditation non simplifiée, 2) l’accréditation simplifiée pour les entités enregistrées en vertu de la Loi sur les activités associées aux paiements de détail, 3) l’accréditation pour les tiers fournisseurs de services et 4) l’accréditation pour les institutions financières fédérales et provinciales. Le Règlement décrit les exigences minimales que les demandeurs doivent respecter et les renseignements qu’ils doivent fournir pour être accrédités.

Pour assurer l’efficacité du processus d’accréditation, le Commissariat recommande de modifier les critères d’accréditation comme suit : a) exiger de la Banque qu’elle soit convaincue que les tiers fournisseurs de services demandeurs ont mis en œuvre des mesures de sécurité adaptées à la sensibilité des données au titre du paragraphe 14(1) du Règlement et exiger que les tiers fournisseurs de services demandeurs fournissent des éléments de preuve démontrant qu’ils ont mis en œuvre ces mesures de sécurité, tels qu’une confirmation obtenue auprès d’un tiers indépendant suffisamment compétent, au titre du paragraphe 13(1) du Règlement; b) exiger que les institutions financières fédérales et provinciales et les demandeurs présélectionnés fournissent à la Banque des renseignements sur les procédures d’examen des plaintes visées à l’article 105 de la LSBAC; c) exiger que les tiers fournisseurs de services demandeurs qui fournissent ou reçoivent des données pour le compte d’une entité participante soumettent une preuve de conformité à la norme technique; d) exiger que les institutions financières fédérales et provinciales demandeuses démontrent que les personnes ayant une responsabilité importante quant aux services bancaires axés sur les consommateurs ont fait l’objet d’une vérification de leur bonne moralité et de leur intégrité et démontrent qu’elles disposent d’une assurance ou d’autres garanties pour atténuer les risques liés à la gestion des données au titre du cadre des services bancaires axés sur les consommateurs, et e) exiger que les institutions financières fédérales et provinciales et les demandeurs présélectionnés ainsi que les tiers fournisseurs de services qui gèrent l’authentification pour le compte des entités participantes fournissent des renseignements sur l’authentification des consommateurs et exiger que les institutions financières fédérales et provinciales et les demandeurs présélectionnés fournissent des renseignements sur le tableau de bord des consommateurs, comme les demandeurs non présélectionnés doivent le faire au titre de l’alinéa 6(1)n) du Règlement.

Exception au consentement pour les données accessibles au public

En vertu de l’alinéa 42c) du Règlement, les entités participantes seraient autorisées à utiliser des données sans consentement à des fins autres que celles décrites dans les renseignements fournis au consommateur si les données sont accessibles au public^{Note de bas de page 9}.

Le champ d’application de cette exception peut rendre les renseignements personnels des Canadiennes et des Canadiens vulnérables à une utilisation inappropriée. En revanche, l’alinéa 7(2)c.1) de la LPRPDE^{Note de bas de page 10} autorise les organisations à utiliser des renseignements personnels à l’insu de l’individu ou sans son consentement s’il s’agit d’un renseignement auquel le public a accès au titre du Règlement précisant les renseignements auxquels le public a accès^{Note de bas de page 11}. Ce dernier précise les types de renseignements personnels qui seraient considérés comme étant accessibles au public aux fins de l’exception au consentement. Dans la plupart des cas, il s’agit de renseignements qui ne font pas l’objet d’une atteinte raisonnable en matière de vie privée. Pour limiter suffisamment le champ d’application de l’exception au consentement prévue par le Règlement, le Commissariat recommande de modifier l’article 42 afin de préciser que les données accessibles au public ne comprennent pas les données à l’égard desquelles les consommateurs ont une attente raisonnable en matière de vie privée.

Mesures de sécurité

L’article 37 du Règlement décrit les mesures de sécurité que les entités seraient tenues de mettre en œuvre, notamment la mise en place de procédures de détection et de correction des vulnérabilités de leurs systèmes, l’adoption de méthodes visant à sécuriser les systèmes et les appareils au moyen de mesures comme l’authentification, le chiffrement, des contrôles de sécurité des réseaux et la prestation de formations aux employés, ainsi que la mise en place et la mise à l’essai régulière de plans de réponse aux incidents de sécurité qui permettent la détection des incidents, la réponse à ceux-ci et le rétablissement après de tels incidents^{Note de bas de page 12}. La mise en œuvre des mesures de sécurité prescrites doit être proportionnelle à la sensibilité des données^{Note de bas de page 13}.

Compte tenu du rythme rapide des changements technologiques, le fait de disposer d’une liste prescrite de mesures de sécurité peut faire en sorte que les mesures ne soient pas suffisantes pour faire face à l’évolution des risques pour la sécurité. Le Commissariat recommande donc d’ajouter au Règlement une exigence générale selon laquelle les entités participantes devraient protéger les données à l’aide de mesures de sécurité adaptées à la sensibilité des données. La nouvelle exigence pourrait s’ajouter aux mesures de sécurité précises actuellement prescrites par le Règlement, dont la mise en œuvre doit être proportionnelle à la sensibilité des données.

La Division de l’analyse de la technologie du Commissariat serait heureuse de rencontrer le ministère des Finances Canada pour discuter des autres mesures de sécurité qui pourraient être nécessaires pour assurer le transfert sécuritaire des données dans le cadre des services bancaires axés sur les consommateurs.

Coopération sur le plan de la réglementation

Comme la Banque et le Commissariat assument un rôle de surveillance partagée pour le traitement des renseignements personnels, notamment en ce qui concerne les atteintes aux mesures de sécurité, des dispositions qui prévoient expressément la coordination et l’échange de renseignements entre la Banque du Canada et le Commissariat contribueraient à assurer une surveillance efficace du cadre des services bancaires axés sur les consommateurs. Ces dispositions pourraient être semblables aux paragraphes 37(5) et 64(3) de la Loi sur la protection des renseignements personnels^{Note de bas de page 14} et à l’article 15.1 de la Loi sur l’Office de surveillance des activités en matière de sécurité nationale et de renseignement^{Note de bas de page 15}, qui autorisent expressément le Commissariat et l’Office de surveillance des activités en matière de sécurité nationale et de renseignement à coordonner leurs activités pour éviter tout double emploi et à s’échanger des renseignements à cet effet.

Le Commissariat recommande d’ajouter au Règlement une disposition précisant que les accords et les arrangements que la Banque peut conclure en vertu de l’article 5 de la Loi sur les services bancaires axés sur les consommateurs peuvent prévoir la coordination des activités de la Banque et de celles d’autres autorités gouvernementales et organismes de réglementation, ainsi que l’échange des renseignements nécessaires à cette coordination. À cet égard, l’article 23 de la LPRPDE peut servir de modèle.

Conclusion

Nous sommes heureux d’avoir l’occasion de faire connaître nos opinions et nous collaborerons avec plaisir avec vos représentants sur toute question soulevée dans le mémoire.

Je vous prie d’agréer, Madame la Directrice, mes salutations distinguées.