Le cadre canadien de l’open banking, désormais appelé banque axée sur le consommateur, prend forme. La Loi sur la banque axée sur le consommateur a reçu la sanction royale en mars 2026, et le gouvernement a publié des projets de règlements dans la Gazette du Canada le 27/06/2026 (Gazette du Canada). Des cabinets de conseil comme Deloitte ont cartographié ce que cela signifie pour les banques et les fintechs (Deloitte). Pour les fintechs et les prestataires de services de paiement, le message est simple : l’accès aux données bancaires s’accompagnera d’une accréditation, et l’accréditation s’accompagne d’obligations de sécurité.
Fonctionnement du cadre
- Qui doit participer : la participation sera initialement obligatoire pour certaines grandes banques désignées, selon un seuil de volume de détail.
- Quelles données : comptes de dépôt, produits de paiement, comptes d’investissement et comptes de crédit.
- Consentement : les consommateurs autorisent l’accès, et le consentement est normalement valable pour une durée maximale de 12 mois.
- Fiabilité : les points de terminaison des données doivent être disponibles 99,5 % du temps chaque mois (projets de règlements).
La Banque du Canada supervise le cadre et accrédite les participants, et fixera des normes en matière de gouvernance, de gestion des risques et de résilience opérationnelle (Banque du Canada).
Quatre façons d’être accrédité
Les projets de règlements prévoient quatre voies d’accréditation : une voie complète pour des entités telles que les fintechs, une voie simplifiée pour les prestataires de services de paiement enregistrés en vertu de la Loi sur les activités associées aux paiements de détail, une voie pour les institutions financières fédérales et provinciales, et une voie pour les prestataires de services tiers. Les frais d’accréditation proposés sont de 2 500 $, indexés annuellement (Gazette du Canada).
Si vous êtes déjà enregistré auprès de la Banque du Canada en vertu de la RPAA, votre cadre existant de gestion des risques et de réponse aux incidents constitue une longueur d’avance. Voir ce que la RPAA exige des prestataires de services de paiement.
La barre de sécurité
Selon la proposition, les participants doivent disposer d’un programme de sécurité de base couvrant la gestion et la réponse aux incidents, la sécurité des systèmes et des applications, le contrôle d’accès et l’authentification, ainsi que la protection et le chiffrement des données. L’authentification multifacteur est obligatoire. Les atteintes doivent être signalées à la Banque du Canada « dès que possible après la survenance de l’atteinte ». Les demandeurs doivent également démontrer comment une assurance ou des garanties comparables couvrent les risques liés au traitement des données de banque axée sur le consommateur (Gazette du Canada).
Ce que les fintechs et les PSP devraient faire dès maintenant
- Définissez votre rôle. Allez-vous accéder aux données, fournir des services à des entités accréditées, ou les deux ?
- Réalisez une analyse des écarts par rapport au socle. La réponse aux incidents, le contrôle d’accès, l’AMF et le chiffrement sont les domaines cités dans la proposition.
- Obtenez des preuves indépendantes. Un rapport SOC 2 ou un certificat ISO 27001 aide à démontrer au régulateur et aux banques l’existence d’un programme de sécurité opérationnel. Voir ISO 27001 ou SOC 2 ?
- Préparez-vous aux obligations en matière de protection de la vie privée. Les données financières des consommateurs constituent des renseignements personnels au sens de la LPRPDE et, au Québec, de la Loi 25.
- Suivez les règles définitives. Le texte ci-dessus est une proposition. Les règlements définitifs seront publiés dans la Gazette du Canada, Partie II.
Accel GRC organise le programme et les éléments de preuve, Ubitrak fournit des tests de sécurité et la préparation SOC 2, et nous accompagnons déjà des prestataires de services de paiement enregistrés en vertu de la RPAA. Contactez-nous.
Sources
Est-ce que cela s’applique à vous? Une consultation gratuite de 30 minutes relie l’exigence à vos systèmes et vous indique quoi faire ensuite.
Réserver une consultation gratuite