Consultation sur un nouveau cadre de surveillance des paiements de détail

Mémoire à l'intention du Ministère des Finances Canada

Le 6 octobre 2017

Division des institutions financières
Direction de la politique du secteur financier
Ministère des Finances Canada
90, rue Elgin
Ottawa (Ontario) K1A 0G5

Objet : Consultation sur un nouveau cadre de surveillance des paiements de détail

Mesdames, Messieurs,

1. Le Commissariat à la protection de la vie privée du Canada (Commissariat) reconnaît que l’évolution du marché financier, combinée aux progrès technologiques et à la transformation des modèles d’affaires, a entraîné des défis et ouvert de nouveaux horizons pour le secteur financier. Compte tenu de ces changements, nous comprenons que le ministère des Finances Canada (ministère des Finances) lance une invitation à soumettre des commentaires sur un énoncé exposant les principales composantes d’un projet de cadre de surveillance des paiements de détail.
2. À titre d’information, le Commissariat a pour mandat de veiller au respect de la Loi sur la protection des renseignements personnels, laquelle porte sur les pratiques de traitement des renseignements personnels utilisées par les ministères et organismes fédéraux, et de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), la loi fédérale sur la protection des renseignements personnels dans le secteur privé au Canada, ainsi que de certains aspects de la Loi canadienne anti pourriel (LCAP). Le Commissariat a pour mission de protéger et de promouvoir le droit des individus à la vie privée. Nos commentaires ne porteront donc que sur les questions liées à notre mandat.
3. Globalement, nous sommes heureux de constater que le cadre législatif canadien de protection de la vie privée existant est pris en considération dans le cadre de surveillance des fournisseurs de services de paiements (FSP) de détail qui est proposé. Plus précisément, nous appuyons la position selon laquelle l’organisme de réglementation « ferait la promotion, au moment de l’inscription, de la LPRPDE et des dispositions législatives provinciales semblables afin de conscientiser les FSP à leurs exigences et favoriser leur observation. Par exemple, il pourrait référer les FSP à de la documentation pertinente publiée par le CPVP ou par tout autre organisme de réglementation^{Note de bas de page 1}. »
4. Le Commissariat appuie également l’objectif qui consiste à sensibiliser les nouveaux intervenants, entre autres les petites et moyennes entreprises (PME), pour mieux faire connaître les obligations de conformité réglementaires. C’est là un défi et un objectif que le Commissariat partage. Comme nous mettons actuellement en œuvre un plan de sensibilisation des PME, nous serions heureux de collaborer avec le ministère des Finances et de lui offrir notre soutien pour faire la promotion du respect de la LPRPDE auprès des nouveaux intervenants et des PME qui font partie de l’écosystème financier.

Le caractère approprié du périmètre proposé pour atténuer les risques

5. Comme le document de consultation propose une approche fonctionnelle, nous aimerions faire observer que les fonctions de base des FSP (transferts électroniques, éventail des transactions électroniques et enjeux touchant la sous traitance) comprennent toutes des dimensions qui portent sur la collecte, l’utilisation et la communication de renseignements personnels. Dans la mesure où elles le font, nous appuyons encore une fois la position du ministère des Finances selon laquelle il faut rappeler aux FSP leurs obligations en matière de protection des renseignements personnels.
6. Même si le document de consultation indique que le périmètre proposé pour le cadre de surveillance se limiterait, pour le moment, à la monnaie ayant cours légal, il est à noter que la LPRPDE s’appliquerait malgré tout aux organisations qui exercent des activités commerciales, peu importe que ce soit une monnaie ayant cours légal ou une monnaie virtuelle qui est utilisée pour la fonction, le transfert ou la transaction.
7. Le Commissariat propose donc que le périmètre proposé soit modifié de manière à indiquer que les activités commerciales utilisant des monnaies virtuelles sont assujetties aux lois canadiennes en matière de protection des renseignements personnels et font aussi l’objet d’une surveillance.
8. En ce qui concerne la question de la surveillance financière — qu’il s’agisse de l’élargissement du rôle des organismes existants ou de la création d’un nouvel organisme — il importe de considérer comment ces nouveaux pouvoirs/autorités interagiraient avec les organismes de réglementation existants, comme c’est le cas pour le Commissariat. Puisqu’il existe déjà un certain nombre d’organismes de réglementation dans l’écosystème financier (y compris le Commissariat), l’ajout d’un autre organisme de surveillance pourrait éventuellement mener à une surabondance d’organismes de réglementation et engendrer de la confusion au sein du marché.
9. Compte tenu du cadre législatif en matière de protection de la vie privée en place au Canada, une distinction claire entre les rôles contribuerait à réduire les chevauchements réglementaires et le fardeau pour les entreprises, y compris pour les PME et les modèles d’affaires émergents.

Éléments d’un processus de traitement des plaintes

10. Le Commissariat note que les sections sur les divulgations (5.2.3) et le règlement des différends (5.2.4) traitent d’éléments qui concernent sans équivoque le consentement. Par conséquent, le cadre de surveillance devrait reconnaître que la LPRPDE contient des obligations relativement à la façon d’obtenir le consentement et précise les conditions pour la validité du consentement. L’importance du consentement dans l’économie numérique, et les principes clés que les organisations doivent prendre en considération pour obtenir un consentement valable sont soulignés dans notre dernier rapport annuel au Parlement^{Note de bas de page 2}.
11. De même, le cadre proposé pour le règlement des différends pourrait renforcer les obligations prévues par la LPRPDE, qui comprennent, sans toutefois s’y limiter : i) la nomination d’une personne responsable de la protection des renseignements personnels au sein de l’organisation et la transmission de ses coordonnées sur demande; ii) la rédaction des documents expliquant les politiques et les procédures de l’organisation.
12. Ce serait un ajout important compte tenu de l’essor des entreprises de technologie financière (FinTech) au Canada et dans le monde entier. La LPRPDE — qui est neutre sur le plan technologique et se fonde sur des principes, et qui a une application intersectorielle — est conçue pour régler les différends.
13. Par exemple, dans un résumé de conclusions d’enquête récent, le Commissariat démontre qu’il a été capable de travailler en collaboration avec une entreprise de technologie financière pour régler une affaire dans l’intérêt de l’organisation et de la personne concernée^{Note de bas de page 3}.

Promotion de l’innovation et de la concurrence

14. Le Commissariat appuie l’énoncé suivant du document de consultation : « Une faible protection des renseignements personnels par les FSP constitue un type de risque lié à la conduite sur le marché qui peut entraîner une série de conséquences indésirables pour les utilisateurs finaux, comme un préjudice financier ou à sa réputation découlant de la violation des données^{Note de bas de page 4}. »
15. Par conséquent, le Commissariat recommande que le cadre proposé reconnaisse explicitement le rôle de la confiance dans la promotion de l’innovation et de la concurrence. La protection des renseignements personnels peut jouer un rôle important pour assurer l’intégrité du système des paiements de détail et faire en sorte que les consommateurs aient suffisamment confiance pour y participer.

Autres considérations : Outils de conformité et recours

16. Le Commissariat appuie la position du ministère des Finances selon laquelle l’organisme de réglementation proposé aurait « […] une combinaison d’outils de conformité qui lui permettrait d’intervenir de manière efficace auprès de tout type de FSP^{Note de bas de page 5}. »
17. Nous comprenons que ces outils comprendraient des mécanismes pour évaluer la conformité, comme des demandes de renseignements et des examens sur place.
18. Le Commissariat approuve ces mesures, de même que les pratiques complémentaires pour une application proactive de la loi. Le Commissariat a fait des observations semblables concernant sa propre capacité à évaluer la conformité de manière proactive dans ses travaux récents sur le consentement, qui sont décrits en détail dans notre dernier rapport annuel au Parlement^{Note de bas de page 6}. D’ailleurs, le commissaire Therrien avait déjà attiré l’attention sur la justification et la nécessité d’un renforcement des pouvoirs d’application de la loi pour le bon fonctionnement de l’économie numérique^{Note de bas de page 7}.
19. Des pouvoirs semblables dans le cadre de la LPRPDE, comparables à ceux que propose le ministère des Finances, contribueraient à améliorer la protection financière des consommateurs, et appuieraient l’approche globale du gouvernement du Canada en matière de protection et de promotion du système de paiements canadien.

Conclusion

20. Le Commissariat reconnaît l’importance de l’innovation pour favoriser la croissance économique. Le respect des obligations liées au droit à l’information et à la vie privée sert de catalyseur pour bâtir la confiance et accroître la participation des consommateurs à l’économie numérique.
21. L’accent mis sur la protection des renseignements personnels dans le document de consultation, et la reconnaissance qu’il existe un cadre de surveillance de la protection des renseignements personnels au Canada, représente un pas dans la bonne direction pour bâtir la confiance. Il est essentiel de reconnaître l’importance fondamentale de la conformité au cadre législatif canadien actuel en matière de protection de la vie privée, étant donné le rôle que jouent les renseignements personnels dans l’économie numérique et le système de paiements.
22. Nous sommes reconnaissants envers le ministère des Finances d’avoir entrepris cette consultation publique et d’avoir fourni au Commissariat l’occasion d’exprimer son point de vue et de proposer des recommandations. Nous serons heureux de faire un suivi sur les commentaires présentés dans notre mémoire et sur les autres questions connexes.

Veuillez agréer mes salutations distinguées.

La directrice, Politiques et recherche,