Le 17 octobre 2024, l’Association canadienne des institutions financières en assurance (ACIFA) a tenu son cinquième webinaire de 2024, intitulé Le système bancaire ouvert : discussion amicale entre l’ACIFA et Meaghan Obee Tower, Brigitte Gouland et Sam Delechantos.
Le directeur exécutif de l’ACIFA, Keith Martin, a animé le webinaire. Il était accompagné de trois avocates chevronnées provenant de grands cabinets canadiens pour discuter de la signification du système bancaire ouvert pour les sociétés financières :
- Meaghan Obee Tower (partenaire, Stikeman Elliott)
- Brigitte Goulard (codirectrice de la pratique de la protection des consommateurs et du groupe de technologie financière, Torys)
- Sam Delechantos (associé, Fasken Martineau DuMoulin LLP)
De nombreux représentants des 15 entreprises membres et des 10 entreprises associées de l’ACIFA ont participé à ce webinaire, ainsi que des représentants d’associations sectorielles connexes, notamment l’Association canadienne des compagnies d’assurances de personnes, l’Association canadienne de l’assurance voyage, l’Association des banquiers canadiens, Life Insurance Marketing and Research Association et l’Association canadienne des administrateurs de régimes de retraite. Des représentants de plusieurs organismes de réglementation des assurances et des services financiers ainsi que d’organismes d’élaboration des politiques ont également participé au webinaire, notamment les organismes gouvernementaux suivants :
- Insurance Council of British Columbia
- Gouvernement de la Colombie-Britannique
- Gouvernement de l’Alberta
- Autorité des marchés financiers du Québec
- Autorité ontarienne de réglementation des services financiers
Après que K. Martin ait présenté les membres du groupe de discussion, Brigitte Goulard a donné la définition d’un système bancaire ouvert et expliqué son histoire au Canada. Au Canada, on parle plutôt de services bancaires axés sur les consommateurs et non de système bancaire ouvert. Par contre, aux fins de simplicité, les conférenciers ont utilisé l’expression « système bancaire ouvert ».
Le cadre sur le système bancaire ouvert du Canada a été présenté au parlement en avril 2024 et a reçu la sanction royale le 20 juin 2024. Ce cadre est composé de deux éléments : la Loi sur les services bancaires axés sur les consommateurs (LSBC) et les modifications connexes à la Loi sur l’Agence de la consommation en matière financière du Canada (LACFC). La LSBC est la législation établissant le cadre, alors que les modifications sont un ajustement de LACFC. L’Agence de la consommation en matière financière du Canada sera l’organisme de réglementation et son mandat sera de gérer, de surveiller et d’appliquer le cadre et les entités qui y participent. En ce qui concerne la LSBC, la première version contenait peu de détails sur la gouvernance, la portée et les processus. Les sections traitant de la responsabilité et de la confidentialité devraient être divulguées lors du prochain projet de loi d’exécution du budget, qui est habituellement présenté à l’automne. Un autre important aspect de la LSBC est l’obligation pour le ministre des Finances de désigner un organe pour établir les normes techniques sur l’échange de données. Aucun n’a été annoncé encore.
Le but d’un système bancaire ouvert, comme B. Goulard l’a expliqué, est de mettre fin à la capture de données d’écran pour rassembler les données financières afin que ces dernières restent confidentielles et que les consommateurs puissent faire ce qu’ils veulent avec les renseignements qui les concernent. La capture de données d’écran est une pratique où les organisations extraient les données de connexion des consommateurs et les « capturent ». Le cadre permettra aux consommateurs et aux petites entreprises de demander que leurs données financières détenues par leur banque soient transmises de façon sécurisée à une autre institution financière ou une entreprise de technologie financière qui pourrait avoir des offres et des produits intéressants. Les grandes banques devront devenir des entités participantes, mais le seuil pour définir une grande banque est encore flou.
À quoi s’appliquera le cadre? Conformément à la législation, le cadre s’appliquera aux données relatives aux comptes de dépôt, aux REER et aux autres produits d’investissement non enregistrés, aux produits de paiement, aux cartes de crédit prépayées, aux produits de prêt ainsi qu’à d’autres produits ou services qui pourraient être prévus dans la réglementation. Étant donné que le règlement n’a pas encore été adopté, il n’est pas encore clair si d’autres produits ou services seront inclus. Par contre, il semble que la Loi limitera les produits visés à ceux couramment offerts par les banques. Les données dérivées, cependant, ne seront pas régies par le cadre sur le système bancaire ouvert. Il s’agit des données qu’une institution financière, comme une banque, génère à propos d’un consommateur. Par exemple, si une banque crée un profil pour un consommateur afin de lui offrir un type de carte de crédit ou un certain service, les données ne peuvent pas être transférées à une autre organisation. De plus, les données transférées ne peuvent pas être modifiées par une autre entité participante. Par exemple, si un consommateur demande à ce que ses données soient transférées à une entreprise de technologie financière, cette dernière ne peut pas les modifier.
L’Agence de la consommation en matière financière du Canada tiendra un registre public des entités participantes. Il s’agit d’un point important puisque les organisations qui prétendent être des entités participantes, mais qui ne le sont pas, peuvent se voir imposer des amendes élevées. Ainsi, le registre est crucial pour assurer la protection des consommateurs et la responsabilisation des entités.
En ce qui concerne les éléments visés par les modifications de la LACFC, le mandat de l’Agence de la consommation en matière financière du Canada a été élargi afin d’inclure la surveillance, l’administration et l’application du nouveau cadre. De plus, à la suite des modifications, une direction générale parallèle sera créée pour traiter uniquement du cadre sur le système bancaire ouvert. Tout comme les entités et les personnes qui se présentent faussement comme étant des entités participantes, celles qui ne respectent pas le cadre pourraient se voir imposer une amende. La façon dont le cadre a été rédigé s’harmonise aux modalités de protection des consommateurs des principales banques, notamment les barèmes d’amende et de pénalité.
B. Goulard a terminé sa présentation avec quelques exemples des meilleurs cas d’utilisation pour les entreprises de technologie financière et les institutions financières participant au système bancaire ouvert :
- Regroupement de comptes : utiliser une interface de programmation d’applications (IPA) pour obtenir un aperçu des comptes et des données financières.
- Gestion des finances personnelles : les IPA facilitent la gestion budgétaire.
- Risque de crédit instantané : les prêteurs peuvent rapidement passer en revue les antécédents en matière de crédit d’un demandeur en accédant instantanément à ses données bancaires.
- Gestion des abonnements : permettre aux consommateurs de gérer les paiements récurrents pour annuler les abonnements qui ne les intéressent plus.
- Ouverture de nouveaux comptes : accélération du processus d’ouverture de compte puisque l’information est facilement accessible.
K. Martin a indiqué qu’à la lumière de l’augmentation de l’échange de données, la protection de la vie privée est devenue de plus en plus importante. Il a demandé à Sam Delechantos si elle pouvait décrire les répercussions sur la protection de la vie privée. S. Delechantos a expliqué que la mise en œuvre du système bancaire ouvert éliminera le problème de capture de données d’écran, grâce à l’établissement de cadres propres aux IPA. La façon dont ces IPA seront configurées et les normes techniques les régissant n’ont pas encore été établies, mais elles devront être surveillées. Les anciennes normes techniques étaient flexibles et pouvaient s’appliquer à plusieurs organisations de tailles différentes pour limiter le fardeau en matière d’observation de la loi et cela pourrait être le cas pour les IPA du cadre sur le système bancaire ouvert.
Une autre question intéressante est le consentement. Dans les pays qui ont déjà mis en œuvre un système bancaire ouvert, le consentement pose des difficultés. Il y a des problèmes techniques quant à l’interopérabilité entre les détenteurs des données et les destinataires des données. La façon dont le consentement est obtenu et appliqué au transfert des données a été (et devrait rester) un problème. S. Delechantos a vu une proposition qui exigeait l’obtention périodique du consentement tout en gérant les données (confirmation du consentement tous les 12 mois). De plus, chaque organisation devra avoir un tableau de bord pour les consentements, où les utilisateurs peuvent librement indiquer qui peut accéder à leurs données (et à quelles données), la durée de l’accès et dans quelles circonstances. Ils peuvent également retirer leur consentement à tout moment au moyen du tableau de bord. C’est un point important puisqu’on pose des questions sur la durée du consentement. La nouvelle réglementation continuera à appliquer des paramètres sur les mécanismes de consentement et la façon dont le consentement est géré pour protéger les consommateurs et leur vie privée.
Enfin, le dédoublement et la précision de données seront toujours des risques. Par contre, dans le cadre canadien, il existe certaines mesures de protection grâce à la modalité sur la lecture seule, qui empêche la modification des données reçues. Ce qui est risqué, c’est ce qui se passe par la suite : la façon dont les données sont reproduites et distribuées.
K. Martin a souligné que le processus semblait difficile à gérer. S. Delechantos a répondu que ce serait effectivement le cas pour le consentement. Elle a expliqué que de nombreuses entreprises œuvrant dans d’autres secteurs ont été critiquées pour leurs pratiques relatives au consentement et qu’elles ont été dans l’obligatoire de créer des tableaux de bord pour le consentement. Par contre, ce modèle ne se prête pas toujours bien à toutes les organisations, ce qui pourrait causer des problèmes techniques à l’avenir.
Par la suite, K. Martin a demandé à Meaghan Obee Tower quelles seraient les organisations qui participeraient au système bancaire ouvert. Bien que les grandes banques devront y participer, est-ce que les autres institutions financières pourraient refuser? M. Tower a expliqué qu’une fois que le groupe de grandes banques canadiennes aura été déterminé, les autres institutions financières pourront décider de participer au système bancaire ouvert (comme les entreprises de technologie financière et les caisses populaires). Cependant, toute entité qui veut participer doit respecter toutes les normes techniques et les exigences en matière de gouvernance. Il n’y a aucune attente en ce qui concerne les distinctions pour le régime d’application entre les entités qui doivent participer et celles qui sont autorisées à participer.
K. Martin a ensuite précisé que la protection des consommateurs pour les banques est une question sous réglementation fédérale alors que la protection des consommateurs pour les compagnies d’assurance est une question sous réglementation provinciale. Certaines compagnies d’assurance sont constituées en vertu d’une loi fédérale, alors que d’autres sont constituées en vertu d’une loi provinciale. Il a demandé à B. Goulard quels étaient les enjeux en matière de compétence en ce qui concerne les services bancaires. B. Goulard a expliqué qu’il y avait de nombreux enjeux en matière de compétence; en effet, comme les compagnies d’assurance, les caisses populaires peuvent être constituées en vertu d’une loi fédérale ou provinciale. Bien que toutes les banques soient sous réglementation fédérale, elles sont aussi assujetties à la législation provinciale sur la protection des consommateurs. En réalité, certaines provinces envisagent d’établir leur propre législation sur le système bancaire ouvert. Pour cette raison, si des institutions sous réglementation provinciales décident de participer au système, comme les compagnies d’assurance et les caisses populaires sous réglementation provinciale, elles seront assujetties à la LACFC. La situation pourrait être encore plus complexe puisque des définitions établies sont nécessaires pour décrire les points pertinents à l’échelle provinciale et ceux qui le sont à l’échelle fédérale. Par exemple, la protection des consommateurs est considérée comme étant un élément sous réglementation provinciale, mais elle peut déborder dans la sphère de compétence fédérale. Pour y voir plus clair, le gouvernement a nommé un sous-commissaire principal pour prendre les décisions relatives au système bancaire ouvert, notamment pour déterminer ce qui est sous supervision provinciale ou fédérale.
S. Delechantos a partagé ses connaissances sur les autres pays qui ont adopté un système bancaire ouvert, en indiquant les leçons que le Canada peut en tirer. Le Canada a déjà examiné les systèmes de l’Australie, du Royaume-Uni et des États-Unis, qui ont adopté un tel système depuis plusieurs années déjà. Le Canada a pris en compte les erreurs de ces pays en créant son cadre et a tenté de les corriger. S. Delechantos a ajouté que l’Australie a mis graduellement son système bancaire ouvert en œuvre, ce qui a permis aux organisations d’obtenir une accréditation ou une autorisation pour participer au système et faciliter l’application du cadre. La mise en œuvre graduelle était attribuable à certaines limitations techniques. Le nombre de premiers destinataires ou détenteurs des données accrédités était peu élevé en raison des capacités limitées. La participation des consommateurs est relativement faible. En fait, la plupart des destinataires des données sont des grandes banques. S. Delechantos a expliqué que la lenteur du taux d’adoption est préoccupante puisque si aucune institution ne participe, le cadre pourra-t-il offrir l’expérience améliorée pour laquelle il a été conçu aux consommateurs? Plusieurs organisations peuvent aussi simplement utiliser les modèles de captage de données d’écran, ce qui est moins laborieux.
S. Delechantos a ajouté qu’apparemment, plusieurs banques australiennes se sont plaintes qu’elles devaient faire d’importants investissements pour respecter les obligations imposées par le cadre. De nombreuses petites banques ont aussi dû utiliser un nombre élevé de ressources et de fonds pour répondre aux exigences en matière de conformité. Lorsqu’on prend en considération les mesures techniques et de sécurité qu’il faudrait prendre au Canada, les organismes de réglementation doivent tenir compte du fardeau qui pèserait sur les entités.
Enfin, S. Delechantos a conclu en soulignant qu’en Australie, les règles établies dans le cadre initial n’incluaient pas les courtiers d’assurance comme étant des détenteurs de données admissibles. La réaction a été très négative et une pression énorme a été mise sur les organismes de réglementation, qui ont par la suite établi des niveaux d’accréditation. Le cadre a été divisé en paliers pour permettre la catégorisation des différents types et niveaux de détenteurs de données. Les courtiers d’assurance s’inscrivent dans la catégorie des conseillers de confiance.
B. Goulard a demandé à S. Delechantos si les banques australiennes ont forcé la participation. Le gouvernement de l’Australie, comme celui du Canada, a indiqué aux entreprises que si elles voulaient recevoir des données du système bancaire ouvert, elles devaient obtenir une accréditation ou une autorisation à titre de destinataires des données.
K. Martin a ensuite demandé si des pays avaient réussi et qui avaient observé d’importants avantages pour les consommateurs ou une concurrence accrue après l’instauration du système bancaire ouvert. S. Delechantos a expliqué que bien que l’Australie, le Royaume-Uni et les États-Unis avaient remarqué certains avantages pour les consommateurs, il y a également eu de nombreux problèmes. Le cadre est récent et, par conséquent, il faut du temps pour bien le mettre en place et le peaufiner. Elle a souligné que ces pays avaient récemment observé une tendance à la hausse maintenant que la plupart des difficultés techniques ont été réglées. En réalité, des parties du cadre du Canada (notamment le tableau de bord pour le consentement) ont été préparées en réponse aux problèmes survenus aux États-Unis et au Royaume-Uni.
K. Martin a ensuite demandé à M. Tower pourquoi le fait d’exiger la participation des grandes banques pourrait représenter un problème et ce que cela signifierait pour les plus petites institutions financières ou les entreprises de technologie financière. Elle a répondu que d’un point de vue de politique publique, pour qu’un système bancaire ouvert fonctionne, les gens doivent l’utiliser. Comme l’a évoqué S. Delechantos, il n’y a pas eu de changement immédiat dans les pratiques et les produits bancaires. Par conséquent, pour rendre le Canada plus concurrentiel à l’échelle internationale, il doit adopter un système bancaire ouvert tout en assurant la participation. La justification est que les grandes institutions financières canadiennes ont les ressources pour soutenir le cadre. Elles sont également les plus importants détenteurs de données pertinentes. En ce qui concerne les répercussions pour les autres institutions financières et les entreprises de technologie financière, M. Tower a précisé qu’elle est d’avis que comme il s’agit d’un système qui nécessite beaucoup de ressources, il faudra beaucoup de temps, d’efforts, de fonds, de personnes, de structures et d’essais. Cela pourrait décourager les plus petites institutions. Certaines peuvent considérer que cela en vaut la peine, et voir une possibilité d’augmenter leur profil concurrentiel et d’accéder à plus de consommateurs qui seraient normalement « ancrés » dans les grandes institutions financières. Évidemment, cela dépendra grandement de leur capacité à respecter le cadre.
K. Martin a demandé aux trois conférencières quels étaient les coûts opérationnels, juridiques et de conformité associés au système bancaire ouvert. B. Goulard a confirmé que l’adoption du système bancaire est à prévoir. Par conséquent, les institutions devront changer leurs systèmes internes pour participer et respecter les normes techniques. Elle a souligné les dangers de sous-estimer les coûts potentiels et a recommandé à tous d’augmenter leurs budgets opérationnel et de conformité, notamment pour les questions juridiques et la dotation. M. Tower était du même avis et a ajouté que certaines institutions mènent leurs activités de façon non réglementée, ce qui signifie qu’elles ne sont pas régies par aucune réglementation pour le moment. Pour ces institutions, le nouveau cadre sera un très gros changement. Pour les institutions déjà réglementées, comme les grandes banques, le changement pourrait être graduel. Par conséquent, l’ampleur des répercussions dépend de l’institution. S. Delechantos était d’accord avec les deux autres conférencières, et a souligné que les éléments techniques seront la plus grande difficulté pour les grandes institutions (qui pourraient ne pas avoir les spécifications techniques nécessaires pour prendre en charge les IPA requises pour l’échange de données). Pour cette raison, elles pourraient devoir embaucher des agents contractuels et des spécialistes techniques pour améliorer leurs capacités.
K. Martin a demandé à S. Delechantos d’analyser un scénario où, à la suite de l’adoption du cadre sur le système bancaire ouvert, une banque transfère les données d’un consommateur, à sa demande, à une entreprise de technologie financière, et une atteinte survient. Qui est responsable? Lorsque la Loi a été promulguée, le raisonnement était que la responsabilité suit les données. Donc, une fois que les données ont quitté le détenteur (soit la banque et son système interne), elles ne relèvent plus de sa responsabilité. Dans ce scénario, conformément à la Loi, la responsabilité revient à l’entreprise de technologie financière. Selon la province où l’atteinte survient, l’entreprise de technologie financière pourrait être tenue responsable conformément aux lois applicables en matière de protection de la vie privée.
Les trois avocates ont ensuite expliqué les risques et les avantages d’un système bancaire ouvert pour les institutions financières et les entreprises de technologie financière. M. Tower a indiqué qu’ils varient selon la perspective. Les attentes et l’objectif sont que dans le contexte d’un système bancaire ouvert, les consommateurs auront une meilleure expérience globale pour répondre à leurs besoins en matière de services bancaires. Du point de vue d’une entreprise de technologie financière, elle peut maintenant jouer sur un terrain qui était historiquement dominé par les banques. De même, les banques pourraient être plus flexibles et ainsi offrir une plus vaste gamme de produits intéressants pour les consommateurs. La mesure dans laquelle les consommateurs bénéficieraient réellement du cadre comme prévu dépendra du nombre de participants et le volume de données échangées. M. Tower a expliqué que les difficultés pour devenir une organisation participante pourraient être le plus gros obstacle pour les petites entreprises de technologie financière. En ce qui concerne les risques, les atteintes à la vie privée et les atteintes à la sécurité des données sont une grande menace. La législation a pour but d’empêcher ces atteintes et de s’assurer que les participants ont un cadre technologique approprié pour y arriver, mais peu importe les précautions prises, des atteintes surviendront.
Au Canada, il y a une restriction relativement à l’échange de données à l’intérieur même d’une banque (entre la division de l’assurance et les autres divisions). K. Martin a demandé, à la lumière de cette restriction, si le système bancaire ouvert permettra l’échange de données entre les divisions d’une organisation où cet échange est actuellement limité? Autrement, une tierce entreprise de technologie financière pourrait-elle recevoir et regrouper des données provenant de différentes divisions, puis les agréger de sorte qu’elles soient utiles? B. Goulard a répondu que, selon la section 6 de la Loi, rien dans la législation ne modifie les restrictions imposées par la Loi sur les banques en ce qui concerne l’échange d’information sur un consommateur dans une compagnie d’assurance ou une société de courtage d’assurance. L’interprétation de cette modalité est intéressante. B. Goulard ne croit pas qu’un consommateur pourra dire à sa banque d’envoyer ses données à une compagnie d’assurance simplement parce qu’il en fait la demande. Par contre, une autre question s’ensuit : est-ce qu’une entreprise de technologie financière pourrait demander des données à la suite d’une requête d’un consommateur, puis les transférer à une compagnie d’assurance? La restriction est imposée aux banques, et non aux entreprises de technologie financière. Cependant, si une entreprise de technologie financière est une entité participante, les restrictions imposées par la Loi sur les banques pourraient s’appliquer. Si l’entreprise de technologie financière n’est pas une entité participante, elle n’est donc pas régie par aucune restriction. Serait-elle autorisée à échanger l’information? K. Martin a demandé si une entreprise de technologie financière reçoit de l’information d’une banque et de sa division de l’assurance après qu’un consommateur ait demandé le transfert des données, l’entreprise de technologie financière doit-elle connaître les restrictions réglementaires imposées à la banque? B. Goulard a répondu que le sujet est complexe et flou. Si la restriction n’est pas stipulée dans la Loi, alors il n’y a aucune raison pour que l’entreprise de technologie financière soit dans l’obligation de connaître cette restriction. Par contre, si l’entreprise de technologie financière participe à la nouvelle législation et que ce dernier fait un renvoi à cette restriction, alors cette dernière pourrait également s’appliquer à l’entreprise de technologie financière. En définitive, cela dépend de la façon dont l’Agence de la consommation en matière financière du Canada appliquera la restriction.
K. Martin a mentionné qu’on a donné à l’Agence de la consommation en matière financière du Canada la responsabilité de mettre en œuvre le nouveau cadre, et il veut savoir ce que cela implique. Des ressources supplémentaires seront-elles allouées pour que l’organisme de réglementation puisse s’acquitter de cette responsabilité? S. Delechantos a répondu qu’un certain montant d’argent a été promis pour faciliter la mise en œuvre. Le financement permettra d’embaucher les ressources supplémentaires requises pour mettre en œuvre et gérer efficacement le nouveau cadre. M. Tower a ajouté que l’Agence de la consommation en matière financière du Canada est l’organisme de réglementation principal pour le cadre. Son rôle sera donc global. Elle sera responsable de tous les aspects : de la détermination de l’admissibilité au maintien des normes de conformité. Ce rôle sera colossal et nécessitera probablement des changements et des ajustements au cours des prochaines années.
Selon B. Goulard, l’Agence de la consommation en matière financière du Canada se développera et elle devra ajouter cinq nouvelles catégories de coût dans son budget :
- Surveillance des entités participantes pour s’assurer qu’elles respectent la Loi sur les banques
- Surveillance de l’organisme d’ombudsman et de l’Ombudsman des services bancaires et d’investissement
- Surveillance de l’organisme technique qui sera nommé par le ministre
- Tenue du registre des entités participantes
- Analyse des tendances pour tous les aspects du nouveau cadre
Avant la conclusion du webinaire, K. Martin a demandé aux trois conférencières si elles avaient des conseils sur la façon de se préparer à l’adoption du système bancaire ouvert. B. Goulard a précisé qu’il était important de comprendre les plans de l’Agence de la consommation en matière financière du Canada et sa perspective quant à l’avenir du cadre. Elle a conseillé de commencer à économiser en vue des coûts associés à la mise en œuvre du cadre. M. Tower a recommandé de planifier en visualisant l’institution financière dans le cadre sur le système bancaire ouvert d’ici trois ans, cinq ans, etc. Elle a conseillé de revoir le rôle de l’institution d’un point de vue stratégique, dans un secteur bancaire ouvert. S. Delechantos a conseillé de tenir davantage de discussions sur la réglementation. Elle a souligné l’importance de porter attention à la conformité, notamment les exigences régissant la vie privée.
K. Martin a remercié les trois conférencières et a mis fin au webinaire.