L’open banking au Canada : les services bancaires axés sur le consommateur expliqués

par

Selon le ministère des Finances du Canada, environ 9 millions de Canadiens partagent déjà leurs données financières avec des applications tierces au moyen du « moissonnage d’écran » (screen scraping), une pratique qui les oblige à remettre leurs identifiants bancaires. Le cadre des services bancaires axés sur le consommateur (« open banking ») vise à remplacer cette pratique par un partage de données sécurisé, encadré et fondé sur votre consentement.

Si vous utilisez une application de budget, un outil de préparation de prêt ou un service qui « se connecte à votre banque », vous êtes peut-être déjà concerné. Comprendre ce que le nouveau cadre prévoit, qui le supervise et ce qui n’est pas encore en vigueur vous aide à décider en connaissance de cause avant de brancher vos comptes à un service.

Note : ce cadre est en cours de mise en place. Les règlements ont été publiés en version projet pour consultation et leur contenu final, ainsi que les dates d’entrée en vigueur, peuvent changer. Les informations ci-dessous reflètent les sources officielles consultées au moment de la rédaction ; consultez-les pour l’état le plus récent.

Sommaire

Qu’est-ce que les services bancaires axés sur le consommateur ?

L’expression désigne ce qu’on appelle couramment l’open banking : la possibilité pour vous de partager, avec le fournisseur de votre choix, les données de vos comptes.

Le principe. Vos données bancaires vous appartiennent. Plutôt que de transmettre votre nom d’utilisateur et votre mot de passe à une application, vous autorisez votre institution financière à lui transmettre certaines données, par un canal technique sécurisé appelé API (interface de programmation : une « porte d’entrée » standardisée entre deux systèmes).

À quoi ça sert. Selon le gouvernement, l’objectif est d’accroître la concurrence, de vous donner plus de contrôle sur vos données et de vous offrir de meilleurs outils pour gérer vos finances. Concrètement, cela peut faciliter l’agrégation de vos comptes dans une application de budget ou la comparaison de produits.

Ce que ce n’est pas. Ce n’est pas un nouveau compte bancaire ni un produit à acheter. C’est un cadre légal qui encadre la façon dont les données circulent.

Ce que prévoit le cadre canadien

Le cadre repose sur une loi et des règlements en cours de finalisation.

La loi. La Loi sur les services bancaires axés sur le consommateur (Consumer-Driven Banking Act) a reçu la sanction royale en mars 2026. Le gouvernement indique que les modifications à la Loi sur les banques concernant la fraude ciblant les consommateurs ont complété le cadre législatif.

Qui supervise. La Banque du Canada supervise le respect de la loi et des règlements : elle surveille les entités participantes et les fournisseurs de services tiers accrédités, et tient un registre public de ces acteurs. Elle ne remplace pas votre banque : c’est elle qui encadre les règles du jeu.

Où en sont les règlements. Les projets de Règlement sur les services bancaires axés sur le consommateur ont été publiés dans la Gazette du Canada, Partie I, à la fin de juin 2026, avec une période de commentaires de 60 jours. Ils entreraient en vigueur par étapes, l’accréditation d’abord, puis les règles communes et les frais d’évaluation, dans un délai d’un an suivant la publication finale. Aucune date de publication finale n’était annoncée dans les sources consultées.

Premier volet : lecture seule. Selon le projet de règlement, la première phase vise l’accès en lecture seule aux données : consulter, pas déplacer de l’argent.

Moissonnage d’écran ou connexion sécurisée : la différence clé

C’est le changement le plus concret pour vous.

Le moissonnage d’écran. Vous donnez vos identifiants bancaires à un tiers, qui se connecte à votre place et « lit » l’écran pour extraire vos données. Le gouvernement souligne que cette pratique expose à des risques de sécurité, de responsabilité et de vie privée : le tiers détient vos identifiants, et votre banque ne peut pas toujours distinguer cet accès d’une usurpation.

La connexion par API. Vous vous authentifiez auprès de votre propre institution et vous autorisez le partage de données précises ; le tiers n’obtient jamais votre mot de passe. Le projet de règlement prévoit que l’institution qui fournit les données doit vous authentifier, avec une authentification multifacteur.

Et le moissonnage, sera-t-il interdit ? Selon le projet de règlement, l’interdiction du moissonnage d’écran n’est pas encore en vigueur ; le ministère des Finances en fixera le moment après d’autres consultations. En attendant, la prudence reste de mise : lisez attentivement les risques liés au vol d’identité avant de remettre vos identifiants à qui que ce soit.

Vos données, votre consentement

Le projet de règlement prévoit plusieurs protections pour le consommateur.

Consentement exprès. Une entité doit obtenir votre consentement exprès avant d’utiliser les données partagées, sous réserve d’exceptions limitées (par exemple, une urgence menaçant la vie, la santé ou la sécurité d’une personne).

Renouvellement. Le consentement doit être renouvelé au moins tous les 12 mois, et plus tôt dans certaines circonstances, comme la compromission soupçonnée d’un identifiant d’authentification. Les registres de consentement doivent être conservés cinq ans.

Suppression des données. Vous pouvez demander la suppression de vos données ; l’entité ne peut refuser ou retarder qu’en cas limités (comme une obligation légale de conservation) et doit alors expliquer pourquoi.

Gratuité. Selon le projet de règlement, la loi interdit de facturer le partage de données et le consentement.

Responsabilité. La responsabilité pour une perte financière directe suit le partage des rôles : l’entité qui demande les données doit obtenir le consentement et recevoir les données de façon sécurisée ; celle qui les fournit doit vous authentifier et les transmettre de façon sécurisée.

Quelles données et quels comptes sont visés

Selon le projet de règlement publié dans la Gazette du Canada, voici ce qui est prévu pour la première phase.

Types de comptes. Les comptes de dépôt (chèques et épargne), les produits de paiement, les comptes de placement (enregistrés et non enregistrés) et les comptes de prêt (garantis et non garantis). Pour savoir comment fonctionnent ces comptes enregistrés, voyez le guide CELI, REER et CELIAPP.

Types de données. Le profil du consommateur (nom, adresse, date de naissance, information sur l’emploi), les données de compte (identifiants, conditions, soldes, transactions passées et en attente) et les données de produit. Les données dérivées, c’est-à-dire sensiblement enrichies par l’institution, sont exclues.

Qui participe. Certaines grandes banques sont tenues de participer ; d’autres acteurs, comme les coopératives de crédit et certains fournisseurs de services de paiement, peuvent y adhérer volontairement. Cela signifie que tous vos comptes ne seront pas forcément accessibles dès le premier jour.

Accréditation des tiers. Les fournisseurs de services tiers doivent être accrédités par la Banque du Canada et figurer au registre public, ce qui vous permet de vérifier un service avant de l’autoriser. Selon le projet, la demande comporte des frais de 2 500 $, indexés annuellement.

Que faire dès maintenant

Le cadre n’est pas encore pleinement en vigueur ; voici des réflexes utiles en attendant.

Faites l’inventaire. Dressez la liste des applications auxquelles vous avez déjà donné accès à vos comptes, et révoquez celles que vous n’utilisez plus.

Ne partagez jamais votre mot de passe par courriel, texto ou appel, même si le message semble provenir de votre banque. Les arnaques financières exploitent justement la confusion autour des nouveaux services.

Lisez les autorisations. Avant d’accepter, vérifiez quelles données sont demandées, pour combien de temps et dans quel but. Demandez-vous si le service a vraiment besoin de tout.

Vérifiez le fournisseur. Une fois le registre public de la Banque du Canada en place, consultez-le pour confirmer l’accréditation d’un service avant de l’autoriser.

Le réflexe à adopter : considérez l’accès à vos données bancaires comme une clé de votre maison. Ne la remettez qu’à un tiers que vous pouvez identifier, pour un but précis, et reprenez-la dès que vous n’en avez plus besoin. Un service légitime ne vous demandera jamais d’identifiants par courriel ou par texto.

Les erreurs à éviter

Erreur 1 — Croire que le cadre est déjà complètement en vigueur. Les règlements sont encore à l’état de projet et l’entrée en vigueur se fera par étapes.

Erreur 2 — Remettre ses identifiants à une application inconnue. Le moissonnage d’écran n’est pas encore interdit, mais il comporte des risques que le gouvernement lui-même reconnaît.

Erreur 3 — Accepter sans lire l’étendue du consentement. Vérifiez les données demandées et la durée de l’autorisation.

Erreur 4 — Oublier de révoquer les accès inutilisés. Un accès laissé actif demeure un point d’entrée potentiel.

Erreur 5 — Confondre lecture seule et déplacement d’argent. La première phase vise la consultation des données, pas les virements.

Erreur 6 — Se fier à un message prétendant venir de la « nouvelle loi ». Les fraudeurs profitent de l’actualité ; en cas de doute, joignez votre institution par un numéro officiel.

Erreur 7 — Penser que tous les comptes seront visés dès le départ. Seules certaines institutions sont obligées de participer au début.

Questions fréquentes

Qu’est-ce que l’open banking au Canada ?

C’est le cadre légal, appelé « services bancaires axés sur le consommateur », qui vous permet de partager vos données financières avec des fournisseurs accrédités de votre choix, par un canal sécurisé et avec votre consentement.

Qui supervise ce système ?

La Banque du Canada supervise les participants et tient un registre public des entités et des fournisseurs tiers accrédités. L’Agence de la consommation en matière financière du Canada (ACFC) reçoit, de son côté, les données annuelles des banques sur la fraude visant les consommateurs.

Est-ce que ça fonctionne déjà ?

Le cadre est en cours de mise en œuvre. Les règlements ont été publiés en projet et entreraient en vigueur par étapes, l’accréditation d’abord. Consultez les sources officielles pour l’état à jour.

Puis-je retirer mon consentement ou faire supprimer mes données ?

Selon le projet de règlement, vous pouvez demander la suppression de vos données ; l’entité ne peut refuser ou retarder que dans des cas limités et doit expliquer sa décision. Le consentement doit aussi être renouvelé au moins tous les 12 mois.

Devrai-je payer pour partager mes données ?

Selon le projet de règlement, la loi prévoit que le partage de données et le consentement ne peuvent pas être facturés au consommateur. Un service tiers peut toutefois avoir ses propres tarifs pour ses fonctionnalités : lisez ses conditions.

Qui est responsable en cas de perte financière ?

Le projet de règlement répartit la responsabilité selon le rôle : l’entité qui demande les données répond du consentement et de la réception sécurisée, celle qui les fournit répond de l’authentification et de la transmission sécurisée.

Le moissonnage d’écran sera-t-il interdit ?

Selon le projet de règlement, l’interdiction n’est pas encore en vigueur et son calendrier sera fixé après d’autres consultations du ministère des Finances.

Sources officielles

Cet article a une visée informative et ne constitue pas un conseil juridique ou financier personnalisé. Le cadre décrit est en cours de mise en œuvre et les projets de règlement peuvent être modifiés avant leur version finale. Pour une situation particulière, consultez votre institution financière ou un conseiller qualifié. Pour en savoir plus sur notre démarche, consultez notre méthodologie éditoriale.