Mise à jour de juillet 2026 : Le projet de règlement sur les services bancaires axés sur le consommateur a été publié dans la Gazette du Canada le 27 juin 2026. Cet article a été mis à jour pour tenir compte du projet de règlement et de la période de consultation publique, qui se termine le 26 août 2026.
Un changement attendu depuis longtemps pour les données financières au Canada
Après des années de consultation, le cadre canadien de services bancaires ouverts se voit maintenant proposer des règles de fonctionnement. Le 27 juin 2026, Finances Canada a publié le projet de Règlement sur les services bancaires axés sur le consommateur dans la Gazette du Canada – une première, puisque le cadre passe de l’intention législative à des exigences opérationnelles concrètes.
Le gouvernement fédéral a confirmé que la Banque du Canada supervisera le système bancaire ouvert , ayant été choisie pour son indépendance, sa portée nationale et son autorité réglementaire. Cette décision remplace l’Agence de la consommation en matière financière du Canada (ACFC) et regroupe la supervision de multiples initiatives de modernisation sous une seule institution de confiance.
La Loi sur les services bancaires axés sur le consommateur a reçu la sanction royale en mars 2026. Le projet de règlement, ouvert à la consultation publique jusqu'au 26 août 2026, définit les exigences spécifiques en matière d'agrément, de sécurité, de consentement, de responsabilité et de partage des données. Pour la première fois, ces règles sont en vigueur.
- Étape 1 - Accès en lecture (2026) : Les consommateurs pourront partager en toute sécurité les renseignements de leur compte avec des fournisseurs agréés, les données étant introduites progressivement par type de compte : d'abord les comptes de dépôt et de paiement, puis les comptes de prêt, et enfin les comptes d'investissement enregistrés et non enregistrés.
- Phase 2 – Accès en écriture : La deuxième phase du cadre étend l’infrastructure pour prendre en charge les paiements, les changements de compte et les transactions de financement intégré. Le budget de 2025 visait la mi-2027, sous réserve que le système canadien de transfert de fonds en temps réel soit opérationnel et largement utilisé ; le règlement de juin 2026 ne précise pas de date.
Ce changement n’est pas seulement administratif. C’est une refonte fondamentale de l’infrastructure des données financières canadienne, fondée sur la confiance, la concurrence et l’interopérabilité.
Quelles sont les dispositions des réglementations bancaires axées sur le consommateur proposées par le Canada ?
Le projet de règlement, publié le 27 juin 2026, établit les règles de fonctionnement du cadre de services bancaires ouverts du Canada : les entités accréditées partagent des données financières autorisées par le consommateur par le biais d'une API, avec son consentement. Les fournisseurs de données sont responsables de l’authentification du consommateur ; les destinataires des données sont responsables de l’obtention et de la gestion du consentement. Les entités participantes doivent respecter des normes de sécurité définies, maintenir une disponibilité mensuelle de l’API de 99,5 %, rendre disponible un historique des transactions d’au moins 24 mois, renouveler le consentement au moins tous les 12 mois et conserver les dossiers pendant cinq ans. Les sanctions peuvent atteindre 1 million de dollars pour les particuliers et 10 millions de dollars pour les entités participantes. Le règlement est ouvert à la consultation publique jusqu’au 26 août 2026 et le cadre devrait entrer en vigueur dans l’année suivant sa publication définitive.
De l’incertitude politique à la confiance du marché
Pour les fintechs et les institutions financières, la différence entre l’incertitude politique et la clarté réglementaire est transformatrice.
Avec la Banque du Canada maintenant aux commandes, le cadre gagne en crédibilité et prend de l'ampleur. Les leaders de l'industrie prévoient que la consolidation simplifiera l'agrément et réduira les redondances. La publication du projet de règlement définit maintenant les voies d'agrément, notamment une procédure simplifiée pour les fournisseurs de services de paiement déjà inscrits en vertu de la Loi sur les activités de paiement au détail.
Le déploiement graduel donne aussi à l'écosystème le temps de mûrir :
- Établir des normes cohérentes de partage de données et d’accréditation.
- Ajoutez à cela des fonctionnalités transactionnelles qui soutiennent la finance intégrée, la portabilité et la mobilité des comptes.
- Favoriser un marché financier compétitif et prêt à l’innovation.
À mesure que les coûts et les frictions liés au changement de fournisseur financier diminuent, la concurrence s’intensifiera. Les institutions qui considèrent la banque ouverte comme un exercice minimal de conformité prendront du retard sur celles qui l’adoptent comme un avantage stratégique, offrant des expériences plus rapides, plus personnalisées et centrées sur le consommateur.
.png)
Ce que le projet de réglementation exige — et ce que cela signifie pour vos décisions en matière d'infrastructure
Le projet de réglementation bancaire axée sur le consommateur marque une première : le passage de l'intention législative à la mise en œuvre concrète. La plupart des articles détaillent les exigences dans l'ordre de leur apparition. Voici les éléments qui influencent réellement les développements futurs des institutions financières et des technologies financières, et pourquoi.
La réglementation part du principe qu'il y a trois parties. La majeure partie du marché fonctionnera avec quatre.
Le cadre réglementaire est conçu pour un modèle direct : fournisseur de données, destinataire des données et consommateur. En pratique, la plupart des entités participantes n’établiront pas d’intégrations directes avec chaque contrepartie. Elles passeront par un intermédiaire – un fournisseur de services tiers agréé – ce qui ajoute une quatrième partie à la transaction. L'application des obligations telles que les niveaux de service et l'authentification à ce niveau supplémentaire est l'une des questions que la période de consultation vise à résoudre. Les institutions qui évaluent les modalités de participation doivent interpréter la réglementation en fonction du modèle qu’elles mettront réellement en œuvre, et non en fonction du modèle par défaut du document.
.png)
Une norme technique, un organisme désigné.
La loi exige que chaque entité participante mette en œuvre une norme technique unique, établie par un organisme de normalisation technique désigné. Les critères de désignation sont précis : l’organisme doit être véritablement canadien, fonctionner selon une structure de gouvernance équitable, ouverte et accessible, avec un processus décisionnel indépendant, et maintenir une norme sûre, sécurisée et interopérable. L'organisme n'a pas encore été désigné (le ministre des Finances détient le pouvoir de désignation), mais cette exigence élimine déjà une source importante de fragmentation. Tous les participants devront se conformer aux mêmes spécifications.
Vous pouvez conserver la couche d'enrichissement.
Les données dérivées — définies dans la réglementation comme des renseignements considérablement enrichis par une entité participante afin d'en accroître l'utilité ou la valeur commerciale — sont exclues des obligations de partage. Les institutions financières partagent les données brutes des transactions dans le cadre réglementaire. Les renseignements construits à partir de ces données (signaux de souscription, évaluations de la solvabilité, scores de risque) ne sont pas assujettis à l'obligation de partage. Il s’agit d’un choix délibéré, qui profite aux institutions et aux plateformes qui ont investi dans l’enrichissement des données avant l’entrée en vigueur de la réglementation.
La responsabilité est liée aux données.
La réglementation attribue les responsabilités en fonction du rôle de chaque acteur à chaque étape du transfert de données : l’entité demandant les données est responsable de l’obtention du consentement du consommateur et de la réception sécurisée des données. L'entité fournissant les données est responsable de l'authentification du consommateur (y compris l'authentification multifactorielle) et de la transmission sécurisée des données. Votre rôle dans la transaction détermine votre responsabilité, et l’infrastructure utilisée pour gérer le consentement ou l’authentification doit elle-même être accréditée. Le choix d'un partenaire d'infrastructure est maintenant une décision en matière de responsabilité, et non plus seulement une question technique.
Les infrastructures tierces doivent être accréditées.
Toute entité participante qui sous-traite la gestion du consentement, l’authentification ou le transfert de données doit recourir à un fournisseur de services tiers agréé (FSTA). Il s'agit d'une nouvelle catégorie d'infrastructure réglementée obligatoire. La Banque du Canada tiendra un registre public en temps réel de toutes les entités participantes et des FSTA – mécanisme que les partenaires utiliseront pour se vérifier mutuellement avant tout transfert de données. Les critères d’approbation détaillés des FSTA seront publiés dans un document d’orientation ultérieur après la période de consultation.
La portée des données est plus large que ce que la plupart des équipes envisagent.
La première phase concerne les comptes de dépôt et de paiement, les comptes de prêt et les comptes d'investissement (enregistrés et non enregistrés) étant intégrés ultérieurement. Les catégories de données sont plus détaillées que les simples soldes et transactions : les données de profil client comprennent des renseignements sur l'emploi, et les données de compte comprennent les conventions de compte – des éléments rarement partagés aujourd'hui. Les données transactionnelles couvrent les opérations récentes, en attente, préautorisées et l'historique, avec un historique d'au moins 24 mois disponible sur demande. Les équipes qui prévoient de se limiter aux soldes et aux transactions constateront que les exigences sont plus étendues que pour leurs intégrations actuelles.
24 mois d'historique constituent le minimum – et les cas d'utilisation que cela prend en charge existent déjà.
L’analyse de crédit , l’étude des flux de trésorerie et l’évaluation de la capacité de remboursement reposent déjà sur des données fournies avec l’autorisation du consommateur. L'exigence d'une période minimale de 24 mois permet de les rendre plus fiables et de les étendre aux consommateurs qui en étaient exclus auparavant, car des périodes plus courtes ne permettaient pas d'obtenir une vue suffisamment complète de leur situation financière. Cette obligation uniformise le niveau de détail requis pour les produits financiers importants.
Le consentement n'est pas une configuration ponctuelle, c'est une infrastructure récurrente.
Le consentement du consommateur est valide pour une durée maximale de 12 mois et doit être renouvelé. Ce renouvellement est également automatique en cas de compromis des informations d'authentification ou de changement significatif de situation de l'une ou l'autre des parties. Les enregistrements de consentement doivent être conservés pendant cinq ans. Il s'agit d'une fonctionnalité opérationnelle continue qui doit être intégrée dès la conception du produit et non ajoutée après coup lors de l'inscription.
La participation est obligatoire pour certains, stratégique pour tous les autres.
Les grandes banques dont le volume d'activité au détail dépasse un certain seuil (dont le montant précis n'a pas été publié) sont tenues de participer d'emblée. Les coopératives de crédit, les institutions réglementées par les provinces et autres entités admissibles peuvent y adhérer après avoir obtenu leur accréditation. Pour ces dernières, la question n'est pas la conformité, mais plutôt de savoir si les occasions de distribution, de produits et de relations clients offertes par ce cadre sont des opportunités qu'elles peuvent se permettre de négliger.
Les niveaux de service, les pénalités et les délais sont spécifiques.
Les points d'accès API doivent garantir une disponibilité mensuelle de 99,5 %, la limitation du débit n'étant autorisée que pour des raisons de stabilité technique ou de sécurité. Les pénalités maximales s'élèvent à 1 million de dollars pour les particuliers et à 10 millions de dollars pour les entités participantes ou les fournisseurs de services de plateforme d'accès à Internet (ATPSP). Les exigences d'agrément entrent en vigueur en premier, suivies des règles communes et des frais d'évaluation. Le cadre complet devrait être opérationnel dans l'année suivant la publication finale. Selon une analyse gouvernementale, les retombées économiques devraient s'élever à environ 13,2 milliards de dollars sur dix ans, pour un coût estimé à 457,7 millions de dollars.
Le web scraping est interdit par la loi, mais la date d'entrée en vigueur n'est pas encore fixée.
L' interdiction du web scraping est prévue par la loi. Elle n'entrera en vigueur qu'après la finalisation des consultations et de l'élaboration des politiques, et le web scraping restera autorisé lors de la phase initiale de déploiement. L'objectif est clair ; le calendrier, par contre, ne l'est pas.
La période pour établir les règles finales se termine le 26 août.
Le projet de réglementation est ouvert à la consultation publique pendant 60 jours. Les critères d'accréditation, les définitions des niveaux de service et les exigences en matière de consentement ne sont pas encore définitifs. Les intervenants concernés ont jusqu'au 26 août 2026 pour faire part de leurs observations avant que les détails ne soient finalisés.
Une poussée plus large : modernisation, mobilité et équité du marché
Le budget de 2025 ne se limite pas au lancement de l'open banking. Il s'agit d'un programme de modernisation coordonné qui englobe la mobilité des données, les paiements et la politique de la concurrence.
Transferts de compte et portabilité
Ottawa introduit des réformes pour éliminer les frais et raccourcir les délais de transfert des comptes enregistrés (par exemple, les REER). Combinés à la fonctionnalité d’accès en écriture, ces changements éliminent des obstacles de longue date au changement et signalent un objectif politique clair : une concurrence accrue entre institutions financières
Droits sur la mobilité des données
Un nouveau droit à la mobilité des données donnera aux consommateurs l’autorité légale de déplacer ou de partager leurs données financières à travers différents secteurs : de la banque à l’assurance, en passant par la gestion de patrimoine et les télécommunications. Ce droit constitue la base de la finance dirigée par le consommateur, assurant que ce sont les individus, et non les institutions, qui contrôlent la façon dont leur information circule.
Les stablecoins et la frontière des paiements
Le gouvernement a également annoncé un cadre fédéral de stablecoins qui intègre les actifs numériques libellés en CAD dans le système de paiements sous la supervision de la Banque du Canada. En réglementant les stablecoins comme instruments de paiement plutôt que comme des titres, Ottawa vise à promouvoir l’innovation sécuritaire et la souveraineté monétaire.
Ensemble, ces initiatives représentent une modernisation majeure de l’infrastructure financière canadienne, en alignant la politique des données, des paiements et de la concurrence sous une vision unique et coordonnée.
Flinks : Construit pour l’instant et bâti ce qui vient ensuite
Chez Flinks, ce moment valide une mission que nous poursuivons depuis le premier jour : rendre les données financières accessibles, portables et exploitables.
Avec des connexions sécurisées déjà desservant les principales fintechs et institutions financières du pays, la plateforme de Flinks offre l’infrastructure pour des financements autorisés par les consommateurs :
- Connectivité de confiance basée sur le consentement.
- Enrichissement des données qui transforme les données brutes en informations exploitables pour le crédit, le risque et la personnalisation.
- Des normes d'API interopérables conçues pour s'intégrer parfaitement aux cadres bancaires et de paiement ouverts.
- Les services gérés , notamment le consentement en marque blanche, le maintien des normes techniques et les rapports, permettent de réduire la charge opérationnelle liée à la participation à un cadre réglementé.
Le projet de règlement officialise la structure que Flinks applique depuis des années : partage de données fondé sur le consentement, responsabilité définie par les rôles et infrastructure accréditée entre les fournisseurs et les destinataires de données . Depuis sa création, Flinks est un chef de file en matière de connectivité sécurisée des données et de transferts de fonds au Canada.
Nous n'avons pas attendu la réglementation pour construire de manière responsable, nous avons construit les rails que la réglementation rattrape aujourd'hui.
Partenariats de confiance et alignement réglementaire
Grâce à ses intégrations avec la Banque Nationale du Canada , EQ Bank et d'autres grandes institutions financières canadiennes, Flinks a déjà démontré concrètement à quoi ressemblent les environnements bancaires ouverts et conformes, bien avant qu'ils ne soient obligatoires. La collaboration et la mise en œuvre sont bien avancées au sein de l'écosystème.
Dans de nombreux cas, Flinks a agi comme partenaire d’accès et d’accréditation, évaluant les fintechs cherchant des connexions API pour les banques. Cette approche reflète étroitement les processus d’accréditation et de supervision qui sont maintenant en cours de formalisation.
« Bien avant que l’Open Banking ne devienne une politique, il existait déjà — de manière sécurisée, responsable et à grande échelle — grâce à Flinks. »
- Julien Cousineau, fondateur et PDG de Flinks
Votre feuille de route pour la préparation
Le compte à rebours a commencé. Voici comment les institutions visionnaires prennent déjà des mesures pour prendre de l'avance :
- Cartographiez vos flux de données. Identifier l'emplacement des données clients, leur mode de partage et les évolutions nécessaires des cadres de consentement. Le projet de réglementation définit la portée des données en catégories spécifiques (données de profil, de compte et de produit), ce qui confère à cette cartographie un objectif précis.
- Se conformer aux exigences d’agrément. Les voies d’agrément sont maintenant définies dans le projet de règlement, et des critères détaillés devraient figurer dans les directives ultérieures de la Banque du Canada. La sécurité, la protection des données et la résilience opérationnelle détermineront l’état de préparation sous la supervision de la Banque du Canada.
- Établissez des partenariats dès le début. Commencez dès maintenant à explorer les cas d'utilisation des intégrations de données en lecture seule afin d'être prêt lorsque les fonctionnalités transactionnelles (accès en écriture) suivront.
- Concevoir pour la portabilité. Anticiper la demande des consommateurs pour une inscription, un changement de fournisseur et un approvisionnement de compte sans friction.
- Il faut dépasser le secteur bancaire. La mobilité des données à venir annonce une finance ouverte : un avenir où convergeront les écosystèmes financiers, patrimoniaux et de paiement.
Flinks travaille déjà avec des partenaires sur ces fronts de préparation pour aider à traduire la réglementation en une capacité réelle prête pour le marché.
Des règles à l'exécution
Le Canada a maintenant un organisme de surveillance, une loi et un projet de règlement d'application pour les services financiers autorisés par les consommateurs. Il ne reste plus qu'à procéder à la mise en œuvre : l'agrément, l'intégration et les décisions relatives aux produits.
Pendant des années, la question a été de savoir quand ce cadre réglementaire serait mis en place. Le projet de règles y répond. La décision revient maintenant aux institutions.
Visionnez l'enregistrement de notre dernier webinaire, Open Banking au Canada : L'opportunité au-delà de la conformité , pour découvrir comment aller au-delà du résumé réglementaire et comprendre ce que cela signifie pour votre façon de construire.
.png)
