Le cadre de mobilité des données dans les services bancaires axés sur les consommateurs : incidences sur la cybersécurité et les données

Note de contexte : rédigé en janvier 2026, cet article présente les mesures proposées dans le projet de loi C-15 déposé le 18 novembre 2025. Celui-ci a reçu la sanction royale le 26 mars 2026. Les obligations ci-dessous décrivent le cadre proposé en janvier; sa mise en œuvre dépend des dispositions d’entrée en vigueur, des règlements et des accréditations applicables.

Le cadre canadien des services bancaires axés sur les consommateurs a été proposé dans le projet de loi d’exécution du budget déposé en novembre 2025. Ce projet prévoit la Loi sur les services bancaires axés sur les consommateurs et la création du système de services bancaires axés sur les consommateurs. Ensemble, ces mesures établiraient un cadre réglementé de mobilité des données permettant aux consommateurs de demander le partage sécurisé de leurs données financières au sein d’un écosystème défini et supervisé.

Fonctionnement du cadre des services bancaires axés sur les consommateurs

Le cadre repose essentiellement sur un modèle de participation et d’accréditation. Seules les entités formellement accréditées peuvent participer au système et procéder au partage réglementé de données. Une fois accréditée, une entité participante doit, sous réserve d’exemptions limitées, partager les données d’un consommateur avec d’autres entités participantes à sa demande.

La Loi habilite la Banque du Canada, par voie réglementaire et au moyen de mécanismes désignés, à accréditer les banques, les institutions financières, les fournisseurs de services de paiement enregistrés et les entreprises de technologie financière qui satisfont aux exigences prescrites. L’accréditation n’est pas automatique. Elle ne peut être accordée que si la Banque est convaincue qu’une entité respecte les normes techniques, les attentes de gouvernance et les mesures de sécurité applicables.

Cette structure montre que la mobilité des données prévue par la Loi n’est pas un droit à la portabilité sans limites. Elle s’exerce plutôt au sein d’un système contrôlé où l’accès, l’interopérabilité et le partage des données sont conditionnés au respect continu des exigences, à la surveillance et à la responsabilité.

Interaction avec le droit fédéral de la vie privée

Parallèlement, le projet de loi d’exécution du budget propose un nouveau droit à la mobilité des données à l’article 10.4 de la Loi sur la protection des renseignements personnels et les documents électroniques (« LPRPDE »). Cette modification fournirait le fondement juridique en matière de protection des renseignements personnels permettant à une personne d’exiger qu’une organisation communique ses renseignements personnels à une autre organisation désignée, lorsque les deux sont assujetties à un cadre de mobilité des données.

En pratique, la LPRPDE fournit l’assise juridique des services bancaires axés sur les consommateurs en soutenant une interopérabilité licite, des transferts de données normalisés et l’adoption d’exigences minimales de cybersécurité pour les entités participantes.

En janvier 2026, ces mesures demeurent proposées. La mise en œuvre du système doit se faire progressivement, au moyen de règlements et d’accréditations. Les organisations qui souhaitent y participer doivent donc comprendre comment leurs capacités de cybersécurité, de gouvernance des données et de réponse aux incidents seront évaluées dans le processus d’accréditation.

Obligations en matière de sécurité des données

La Loi établit un cadre de sécurité prescriptif qui lie directement l’accréditation à la posture technique, à la gouvernance et à la cybersécurité d’une organisation. Pour les entités participantes, les mesures de sécurité ne sont pas de simples exigences minimales de conformité, mais des conditions permanentes d’accès au marché.

L’accréditation prévue par la Loi est conditionnelle au respect des normes techniques et des mesures de sécurité définies par règlement. La Banque ne peut accréditer une institution que si ces exigences sont satisfaites, faisant de la préparation en cybersécurité un préalable à la participation.

Avant tout partage de données, les entités participantes doivent vérifier les authentifiants du consommateur, ce qui renforce les contrôles de gestion des identités et des accès.

Les entités participantes doivent mettre en place les mesures de sécurité prescrites et informer de manière proactive la Banque de tout changement susceptible d’avoir une incidence importante sur leur conformité. Cette obligation de notification prospective dépasse le signalement traditionnel des atteintes.

Chaque entité participante doit désigner un dirigeant ou un employé interne responsable de la mise en œuvre et de la surveillance des mesures de sécurité, ce qui traduit une attente claire de responsabilité interne.

Le partage des données doit être conçu de manière à empêcher les entités destinataires de modifier les données dans les systèmes de l’entité qui les fournit, renforçant ainsi leur intégrité et leur contrôle.

Le non-respect de ces exigences peut entraîner la révocation de l’accréditation, des notifications obligatoires aux consommateurs et une perturbation potentielle des activités.

Réponse aux incidents et gestion des atteintes

Le cadre des services bancaires axés sur les consommateurs impose des exigences précises concernant la gestion, l’enquête et le signalement des incidents de sécurité touchant les données partagées des consommateurs. Ces obligations s’appliquent à la fois au niveau des consommateurs et du système.

Les entités participantes doivent mettre en œuvre des politiques et procédures pour atténuer les préjudices causés aux consommateurs après une atteinte aux mesures de sécurité, notamment en matière d’escalade, de mesures correctives, de communications et de processus après incident.

L’article 82 exige d’aviser les consommateurs lorsqu’une atteinte présente un risque réel de préjudice grave. Cette obligation vise une catégorie de données plus large que les « renseignements personnels » au sens de la LPRPDE, ce qui peut créer un chevauchement avec les régimes existants de notification des atteintes.

Indépendamment de la notification aux consommateurs, toute atteinte aux mesures de sécurité doit être signalée à la Banque du Canada, qu’un préjudice grave ait été constaté ou non.

Le « préjudice grave » comprend notamment les pertes financières, le vol d’identité, les effets négatifs sur le dossier de crédit, les dommages aux biens ou à la réputation ainsi que la perte d’un emploi ou d’occasions professionnelles.

L’article 83 exige une enquête sur chaque atteinte liée au partage des données des consommateurs, y compris l’identification de problèmes récurrents ou systémiques et la communication des résultats de l’enquête à la Banque.

L’article 84 exige également d’aviser la Banque de tout problème récurrent ou systémique susceptible de compromettre l’intégrité du système de services bancaires axés sur les consommateurs.

Lorsque plusieurs cadres juridiques s’appliquent, une cartographie claire des données et une classification rigoureuse des incidents seront essentielles pour respecter les obligations d’enquête et de signalement qui se chevauchent.

Gestion des risques liés aux tiers

Les articles 31 à 42 établissent un régime d’accréditation des fournisseurs de services tiers et interdisent aux entités participantes de recourir à des fournisseurs non accrédités pour certaines activités essentielles, notamment :

• Obtenir ou gérer le consentement du consommateur pour le compte d’une entité participante.
• Confirmer ou gérer l’authentification du consommateur.
• Fournir ou recevoir les données du consommateur pour le compte d’une entité participante.

Les fournisseurs de services tiers doivent être accrédités par la Banque conformément aux règlements à venir, et un registre des fournisseurs approuvés sera tenu. Les décisions d’accréditation peuvent être révisées ou révoquées, notamment pour des motifs de sécurité nationale. En cas de révocation, les fournisseurs doivent en aviser les consommateurs.

Exigences relatives au partage des données

Le consentement constitue un mécanisme de contrôle central de la Loi et un préalable au partage licite de données au sein du système.

Le paragraphe 85(1) exige le consentement explicite du consommateur avant de demander des données à une autre entité participante. La simple utilisation d’un produit ou d’un service ne constitue pas un consentement valide.

Les entités participantes doivent offrir des mécanismes conviviaux pour accorder, renouveler, retirer et gérer le consentement, y compris pour demander la cessation du partage des données.

Les organisations doivent maintenir un emplacement unique regroupant des renseignements à jour sur les destinataires des données, leur portée et la durée du consentement.

Les communications destinées au public, notamment les avis sur les sites Web, doivent informer les consommateurs des mesures relatives aux services bancaires axés sur les consommateurs.

Le paragraphe 92(2) interdit de conditionner le partage des données au consentement à recevoir des produits ou services.

Lorsque le consentement est retiré ou expire, les entités participantes doivent cesser le partage des données et supprimer celles pour lesquelles aucun nouveau consentement n’a été obtenu.

En outre, le paragraphe 76(2) exige le respect des normes techniques applicables. Le paragraphe 125(1) autorise l’adoption de normes réglementaires, notamment par délégation à des organismes désignés. Bien que ces normes restent à définir, la Loi exige qu’elles portent sur la sécurité, l’efficacité, l’équité, l’accessibilité, la transparence et la gouvernance.

Régime de responsabilité

La Loi établit un régime de responsabilité fondé sur le contrôle des données plutôt que sur la délégation contractuelle.

Les consommateurs ne sont pas responsables des pertes financières résultant de l’accès non autorisé à leurs données ou de leur utilisation non autorisée, sauf en cas de négligence grave ou, au Québec, de faute lourde.

Lorsque le consommateur n’est pas en faute, la responsabilité incombe à l’entité participante qui contrôlait les données au moment de l’incident. Le recours à un fournisseur de services tiers ne transfère pas, à lui seul, ce contrôle.

Une entité participante qui contrôle les données est responsable des pertes financières causées par une atteinte à ses mesures de sécurité pendant le partage des données.

La Loi ne traite pas expressément des communications non autorisées ou des incidents ne découlant pas d’une atteinte aux mesures de sécurité. Ces risques restent donc à encadrer contractuellement.

Ce modèle de responsabilité devrait accroître les exigences de diligence raisonnable, de garanties contractuelles et d’assurance au sein de l’écosystème. Le paragraphe 133(1) prévoit en outre que certains renseignements réglementaires communiqués à des fins de surveillance sont protégés et ne peuvent être utilisés comme preuve dans une instance civile.

Se préparer à la mise en œuvre des services bancaires axés sur les consommateurs

À mesure que le cadre est mis en œuvre au moyen de règlements, d’accréditations et de normes techniques, les organisations devront évaluer leur préparation en matière de cybersécurité, de gouvernance des données, de réponse aux incidents et de gestion des risques liés aux tiers. Plusieurs des exigences les plus importantes, notamment celles touchant les mesures de sécurité, les conditions d’accréditation et le signalement des incidents au niveau du système, s’appliqueront avant que le partage des données ne commence en pratique.

Nous aidons les institutions financières, les entreprises de technologie financière et les fournisseurs de services à préparer leur participation au système en évaluant leur préparation réglementaire, en examinant leurs cadres de sécurité et de réponse aux incidents et en identifiant les écarts par rapport aux conditions d’accréditation et aux normes techniques anticipées. Ce travail comprend l’alignement des structures de gouvernance, des responsabilités internes et des arrangements avec les fournisseurs sur les attentes réglementaires émergentes.

Compte tenu de la mise en œuvre progressive et de l’élaboration continue des règlements et normes, un suivi régulier sera essentiel. Nous suivons les développements législatifs et réglementaires concernant les services bancaires axés sur les consommateurs, la mobilité des données et la cybersécurité, et partageons des mises à jour à mesure que le cadre évolue.

Pour recevoir des mises à jour sur les règlements, les exigences d’accréditation et les obligations de cybersécurité, abonnez-vous à notre infolettre ou contactez-nous pour discuter de votre préparation.

Cet article fournit des renseignements généraux et ne constitue pas un avis juridique.