Loi sur les activités associées aux paiements de détail du Canada : ce que les fournisseurs de services de paiement doivent faire depuis le 8 septembre 2025

Pendant des années, de nombreuses entreprises canadiennes de paiement ont exercé leurs activités sans surveillance fédérale dédiée. Cette situation a changé avec la Loi sur les activités associées aux paiements de détail (LAAPD). Depuis le 8 septembre 2025, les fournisseurs de services de paiement (FSP) visés par la Loi sont supervisés par la Banque du Canada. Cet article résume qui est visé, ce qu’ils doivent faire, et ce que cela signifie pour les entreprises qui travaillent avec eux.

Ce qu’est la LAAPD

La Loi sur les activités associées aux paiements de détail est une loi fédérale qui établit un cadre de surveillance pour les activités de paiement de détail. La Banque du Canada supervise les FSP en vertu de la Loi, en mettant l’accent sur la manière dont ils gèrent les risques opérationnels, réagissent aux incidents et protègent les fonds des utilisateurs finaux. La Banque précise que des questions telles que le règlement des différends, les frais et les plaintes relatives à la protection des renseignements personnels ne relèvent pas de son mandat.

Qui est visé

Un FSP est une entité qui exerce une ou plusieurs fonctions de paiement à titre de service ou d’activité commerciale. En résumé, les fonctions de paiement comprennent la fourniture ou la tenue d’un compte de paiement, la détention de fonds pour le compte d’utilisateurs finaux, l’initiation de transferts électroniques de fonds, leur autorisation ou leur transmission, ainsi que la fourniture de services de compensation ou de règlement. La Loi s’applique aux FSP situés au Canada ainsi qu’à certains FSP étrangers qui servent des utilisateurs finaux au Canada. Certaines exclusions existent, par exemple pour les banques et certaines autres entités réglementées; chaque organisation doit donc évaluer sa propre situation.

Le calendrier

• 1er novembre 2024 : la Banque du Canada a commencé à accepter les demandes d’inscription. Les FSP déjà en activité avaient jusqu’au 15 novembre 2024 pour présenter leur demande.
• 8 septembre 2025 : les dispositions restantes sont entrées en vigueur. À compter de cette date, les FSP doivent se conformer aux obligations relatives à la gestion des risques opérationnels et à la protection des fonds des utilisateurs finaux. La Banque publie également un registre des FSP.
• Chaque année, au plus tard le 31 mars : les FSP inscrits doivent soumettre un rapport annuel à la Banque. Le premier devait être soumis au plus tard le 31 mars 2026.

Les obligations essentielles

1. Inscription

Les FSP doivent être inscrits auprès de la Banque du Canada pour exercer des activités de paiement de détail. La Banque fournit des guides pour les demandes d’inscription et les avis de changement important. Un FSP peut également devoir présenter une nouvelle demande avant certains changements, comme un changement de contrôle.

2. Cadre de gestion des risques et de réponse aux incidents

Les FSP doivent établir, mettre en œuvre et maintenir un cadre de gestion des risques et de réponse aux incidents afin de cerner et d’atténuer les risques opérationnels. En pratique, cela touche la sécurité de l’information, la continuité des activités, le risque lié aux tiers, la répartition des rôles et responsabilités, ainsi que des tests et des révisions réguliers. Le cadre de surveillance de la Banque explique comment elle vérifie la conformité.

3. Déclaration des incidents

Lorsqu’un incident a une incidence importante, les FSP doivent aviser les utilisateurs finaux touchés, les autres FSP ou chambres de compensation concernés, et déclarer l’incident à la Banque du Canada. Cela exige un processus interne clair permettant de détecter, d’évaluer et d’escalader rapidement les incidents.

4. Protection des fonds des utilisateurs finaux

Les FSP qui détiennent des fonds pour le compte d’utilisateurs finaux doivent les protéger, soit dans un compte en fiducie, soit dans un compte distinct garanti par une assurance ou une garantie.

5. Déclarations et avis

Outre le rapport annuel, les FSP doivent aviser la Banque de tout changement important et de toute nouvelle activité, en utilisant les formulaires et guides fournis par la Banque.

Mesures d’application

La Banque du Canada peut prendre des mesures d’application, y compris des sanctions administratives pouvant atteindre 10 millions de dollars et la révocation de l’inscription. Les décisions d’application sont publiées sur le site Web de la Banque.

Le lien avec la norme PCI DSS et la protection des renseignements personnels

De nombreux FSP traitent déjà des données de cartes et sont assujettis à la norme PCI DSS. Beaucoup sont également assujettis à la loi québécoise sur la protection des renseignements personnels (Loi 25) ou à la loi fédérale, la LPRPDE. Ces cadres se recoupent avec la LAAPD, mais ne la remplacent pas. Une évaluation PCI DSS porte sur la sécurité des données de cartes, alors que la LAAPD exige un cadre de gestion des risques opérationnels plus large, qui couvre également la continuité, les tiers et la protection des fonds. Les organisations qui arriment leurs contrôles existants aux exigences de la LAAPD peuvent éviter de dédoubler leurs efforts.

Ce que les entreprises devraient faire

• Si vous pourriez être un FSP : vérifiez si vous exercez des fonctions de paiement, confirmez votre statut d’inscription, et évaluez votre cadre par rapport aux directives de la Banque.
• Si vous faites appel à des FSP : vérifiez que vos fournisseurs figurent dans le registre de la Banque et demandez-leur comment ils respectent leurs obligations en vertu de la LAAPD.
• Dans les deux cas : testez votre plan de réponse aux incidents et assurez-vous que vos contrats prévoient les responsabilités en matière d’avis.

Notre équipe KW Consulting aide les FSP à élaborer et à documenter des cadres de gestion des risques et de réponse aux incidents, et le portail Accel GRC soutient les programmes de gouvernance et de protection des renseignements personnels. Consultez nos pages sur la norme PCI DSS et la Loi 25 pour en savoir plus sur les obligations connexes, ou contactez-nous pour discuter de votre état de préparation à la LAAPD.

Sources

• Banque du Canada : Surveillance des paiements de détail
• Banque du Canada : Ressources pour les fournisseurs de services de paiement
• Banque du Canada : Registre des FSP
• Banque du Canada : Cadre de surveillance
• Banque du Canada : Comment remplir un rapport annuel (guide étape par étape)
• Site Web de la législation (Justice) : Loi sur les activités associées aux paiements de détail
• Norton Rose Fulbright : La Banque du Canada supervise désormais les activités des fournisseurs de services de paiement
• Baker McKenzie (Global Compliance News) : Échéance approchant pour l’inscription en vertu de la LAAPD