Étape importante pour les services bancaires ouverts: publication du projet de Règlement sur les services bancaires axés sur les consommateurs

Le 27 juin 2026, le ministère des Finances a publié son projet de Règlement sur les services bancaires axés sur les consommateurs(le « Règlement ») en vertu de la Loi sur les services bancaires axés sur les consommateurs (la « Loi »). Ensemble, la Loi et le Règlement créent un cadre qui sera supervisé par la Banque du Canada (la « Banque ») et qui permettra aux entreprises et aux particuliers canadiens de partager leurs données financières aux fournisseurs de services accrédités de leur choix.

Le Règlement établit des obligations relatives aux éléments suivants : accréditation, sécurité, sécurité nationale, authentification et consentement, production de rapports, tenue de documents, transparence du cadre, normes techniques, évaluations et violations. Nous examinons cidessous certains des éléments importants du Règlement. Le Règlement est assujetti à une période de consultation de 60 jours, prenant fin le 26 août 2026. Pendant cette période, les parties prenantes intéressées peuvent faire part de leurs commentaires en utilisant la fonction à cet effet sur le site Web de la Gazette du Canada.

Pour en savoir plus sur le cadre des services bancaires axés sur les consommateurs, veuillez consulter notre bulletin en anglais « Budget 2025: The Bank of Canada’s Mandate Expands to Stablecoin and Open Banking Supervision » .

Le Règlement

Portée des données visées

La Loi stipule qu’à la demande d’un consommateur, les entités participantes doivent transmettre les données fournies par le consommateur et les données sur les produits concernant les comptes de dépôt, les produits de paiement, les comptes d’investissement et les comptes de prêt.

Le Règlement précise que les données auxquelles s’applique la Loi comprennent :

• les données relatives à l’identité du consommateur des produits ou des services;
• les numéros de compte, les numéros de transit, les numéros de la succursale et tout autre identificateur relatif aux produits ou aux services; es soldes actuels ou anciens ainsi que les montants dus;
• les données relatives aux transactions complétées, en suspens ou automatiques;
• les données relatives aux produits ou aux services qui sont offerts à un consommateur ou mis à sa disposition, y compris les conditions en vertu desquelles ces produits ou ces services y sont offerts ou mis à sa disposition.

Voies d’accréditation

Le Règlement définit quatre voies d’accréditation spécifiques au type d’entité demandeuse :

• l’accréditation pour les institutions financières fédérales et provinciales;
• l’accréditation simplifiée pour les entités enregistrées en vertu de la Loi sur les activités associées aux paiements de détail;
• l’accréditation non simplifiée pour les autres entités;
• l’accréditation pour les tiers fournisseurs de services.

Le Règlement précise les renseignements que les demandeurs doivent soumettre à la Banque par l’intermédiaire du système électronique prévu à cette fin, ainsi que les droits d’accréditation de 2 500 $ (sujets à une modification annuelle). Le Règlement prévoit également des mécanismes pour faire appel en cas de refus, de suspension ou de révocation de l’accréditation par la Banque.

Certaines obligations des entités participantes

Le Règlement donne des détails concernant les obligations que les entités participantes doivent remplir. En voici quelques-unes ci-dessous.

Affichage du signe

Les entités participantes doivent afficher un signe indiquant qu’elles participent au cadre des services bancaires axés sur les consommateurs dans leurs propriétés physiques et numériques. Le signe doit répondre aux exigences du Règlement.

Avis de modification

Les entités participantes doivent aviser la Banque des modifications qui influeraient sur le résultat de l’accréditation si ces modifications avaient été en vigueur au moment où la demande d’accréditation était examinée par la Banque. Les modifications qui doivent être déclarées comprennent celles qui ont trait aux renseignements soumis durant l’accréditation et celles qui concernent les tiers fournisseurs de services accrédités (TFSA) avec lesquelles les entités participantes ont un contrat pour accomplir des activités en vertu de la Loi. Les modifications qui ont des effets immédiats ou pressants doivent être déclarées dès que possible, tandis que toutes les autres doivent l’être dans les 30 jours après qu’elles ont lieu.

Tenue de dossiers et de registres

Les entités participantes doivent tenir des dossiers et des registres suffisants pour démontrer leur conformité à la Loi et au Règlement dans un format électronique que la Banque peut lire, pendant une période de cinq ans, sauf indications contraires. Le Règlement précise également les mesures qui doivent être prises pour protéger les dossiers contre la perte, la destruction, la falsification, les inexactitudes et l’accès par des personnes non autorisées.

Sécurité

Les entités participantes doivent soumettre un rapport à la Banque dès que possible après une atteinte aux mesures de protection de la sécurité des données des consommateurs. Lorsque l’atteinte constitue un risque de préjudice grave pour le consommateur, le consommateur doit en être avisé directement ou indirectement. Les entités participantes doivent soumettre un rapport à la Banque dès que possible après le début d’une enquête sur une atteinte aux mesures de protection de la sécurité.

Consentement

Le Règlement précise également les obligations suivantes concernant le consentement pour les entités participantes.

• Utilisation des données: Le Règlement définit un ensemble limité de circonstances dans lesquelles il est acceptable pour une entité participante d’utiliser les données des consommateurs qui ont été échangées dans le cadre pour une fin autre que celles indiquées au moment où le consentement exprès a été initialement obtenu. Les exceptions concernent les enquêtes sur les infractions à la loi, les urgences qui mettent en danger la vie, la santé ou la sécurité d’une personne et les données accessibles au public.
• Registre de consentement: Les entités participantes sont tenues de conserver et de fournir un registre de consentement exprès à la Banque.
• Renouvellement du consentement: Le Règlement établit les circonstances exceptionnelles dans lesquelles un renouvellement du consentement doit être obtenu par une entité participante en dehors de la période normale de validité du consentement (pas plus de 12 mois), notamment : i) lorsqu’une entité participante est informée que les renseignements d’authentification d’un consommateur ont été volés ou autrement exposés à un risque imminent; ii) lorsqu’une entité participante est informée d’un changement important dans la situation d’un consommateur; iii) lorsqu’il y a un changement important dans la situation d’une entité participante.
• Suppression de données: Le Règlement prévoit que l’obligation d’une entité participante de supprimer des données à la demande d’un consommateur ne s’applique pas si le consommateur a donné son consentement à l’entité participante pour qu’elle utilise des versions modifiées de ses données, lesquelles ont été irréversiblement et durablement modifiées de sorte qu’il n’y ait pas de risque raisonnablement prévisible qu’elles puissent servir à identifier le consommateur, directement ou indirectement, par quelque moyen que ce soit.  

Authentification

Le Règlement exige que les entités participantes qui fournissent des données emploient des contrôles de l’identité et de l’accès, y compris l’authentification multifacteur, et la réauthentification dans les circonstances où le renouvellement du consentement est nécessaire.

Partage de données

En général, les entités participantes sont tenues de vérifier l’identité de l’autre entité participante avant de transmettre des données en veillant à ce qu’elle figure au registre de la Banque et à ce que son statut sur ce registre n’assujettisse pas à des conditions sa capacité à fournir ou à recevoir des données. En outre, le Règlement établit des exceptions à l’obligation de partage de données permettant à une entité participante de refuser une demande de transmission de données ou de cesser la fourniture de données malgré le consentement valide du consommateur. Ces circonstances comprennent les cas où il existe des motifs raisonnables de croire que le partage de données causerait un préjudice physique, psychologique ou financier au consommateur, les cas où il existe des motifs raisonnables de croire que le partage de données créerait des risques pour la sécurité, l’intégrité, ou la stabilité du cadre, ou les systèmes de technologies de l’information et des communications de l’entité participante, et les cas où les comptes du consommateur ont été bloqués ou suspendus.

Les entités participantes qui invoquent l’une de ces exceptions doivent informer l’autre entité participante qui demande ou fournit les données, et la Banque, afin d’assurer une application appropriée.

Normes de niveau de service minimal

Le Règlement établit les exigences de base pour le temps de disponibilité en exigeant des points d’extrémité qui sont disponibles 99,5 % du temps chaque mois; les temps de réponse doivent être raisonnables et conformes aux normes généralement acceptées dans d’autres administrations; les limitations des taux de transmissions ne seront permises que pour des raisons de stabilité technique ou de sécurité; et les entités participantes doivent fournir un minimum de 24 mois de données de consommateurs sur demande.  

Autres dispositions

Le Règlement clarifie et énonce également d’autres exigences relatives aux éléments cidessous.

• Mesures de protection de la sécurité nationale : Le ministre des Finances a le pouvoir d’examiner les demandeurs et les entités accréditées, d’émettre des directives à la Banque lui demandant de refuser, de suspendre ou de révoquer l’accès au cadre des services bancaires axés sur les consommateurs, et d’exiger des engagements de la part d’un demandeur, d’une entité participante ou d’un TFSA, ou d’imposer des conditions à ceux-ci, pour des raisons de sécurité nationale.
• Rapports annuels : Les entités participantes doivent soumettre un rapport annuel à la Banque selon la forme et la manière précisées, et contenant les renseignements demandés.
• Obligations des TFSA : Les TFSA conviennent de s’acquitter de certaines obligations de tenue de dossiers et de registres, d’avis de modification et d’avis de sortie du cadre des services bancaires axés sur les consommateurs.
• Organisation de normalisation technique : Le Règlement exige l’inclusion de certains renseignements dans le rapport annuel de l’organisation de normalisation technique à la Banque.
• Privilège relatif à la preuve: Le Règlement définit des renseignements qui ne peuvent être utilisés comme preuve dans aucune poursuite civile.
• Cotisations : Le Règlement établit un régime de cotisations annuelles applicable aux entités participantes, aux TFSA et à l’organisme externe de traitement des plaintes, et demande aux entités participantes de déclarer annuellement les renseignements nécessaires à la Banque pour administrer les cotisations.
• Violations : Le Règlement indique les violations de quelles dispositions de la Loi et du Règlement peuvent être assujetties à des sanctions administratives pécuniaires (« SAP »). Le montant maximal d’une SAP pour une violation est de 1 000 000 $ si elle est commise par une personne, et de 10 000 000 $ si elle est commise par une entité participante ou un TFSA.  

Perspectives

Bien que la Loi et le Règlement ne soient pas encore en vigueur, ils représentent une étape importante dans le parcours du Canada vers les services bancaires ouverts et s’alignent sur l’engagement pris par le gouvernement dans la Mise à jour économique du printemps de 2026 visant à faire progresser les initiatives pour favoriser la concurrence et réduire les coûts financiers pour les Canadiens.

Les parties prenantes intéressées devraient examiner attentivement le Règlement et envisager de fournir des commentaires pendant la période de consultation.

La Banque prévoit également l’élaboration de lignes directrices qui préciseront davantage les exigences de la Loi et du Règlement, et les obligations des entités participantes.