Consultation publique sur le projet de règlement visant la fraude ciblant les consommateurs dans le système bancaire

Le 27 juin 2026, le ministère des Finances du Canada a publié un projet de règlement qui modifierait le Règlement sur le régime de protection des consommateurs en matière financière en vertu de la Loi sur les banques en vue de lutter contre la fraude ciblant les consommateurs (le « projet de règlement antifraude »). Ces développements font suite aux mesures législatives et aux politiques que nous avons examinées précédemment dans notre Bulletin Blakes intitulé Loi d’exécution du budget : Faits saillants pour le secteur des services financiers et s’alignent sur l’objectif plus général du gouvernement fédéral de mettre en place la Stratégie nationale antifraude. 

Le projet de règlement antifraude, dont l’entrée en vigueur est prévue le 1^er juillet 2027, fait l’objet d’une consultation de 30 jours qui prend fin le 27 juillet 2026.

Cadre législatif et règlement d’application

Comme nous l’avons souligné dans notre Bulletin Blakes antérieur, la Loi n^o 1 d’exécution du budget de 2025 (le « projet de loi C‑15 »), laquelle a reçu la sanction royale le 26 mars 2026, introduit un nouveau cadre à la Loi sur les banques en vue de lutter contre la « fraude ciblant les consommateurs », définie comme comprenant les opérations non autorisées ainsi que les opérations autorisées par suite de coercition ou de tromperie. 

De façon générale, les modifications apportées à la Loi sur les banques, qui ne sont pas encore en vigueur, prévoient l’établissement d’un régime structuré qui exigera que les banques et les succursales de banques étrangères (les « banques ») mettent en place : 1) des procédures plus rigoureuses pour la détection de la fraude, y compris des politiques et des procédures pour la prévention et la détection de la fraude ciblant les consommateurs, ainsi que l’atténuation de ses répercussions; 2) des fonctionnalités de compte contrôlées par le consommateur; 3) une gouvernance améliorée relativement à la fraude (y compris les critères utilisés pour déterminer si une personne physique est victime de fraude ciblant les consommateurs et, le cas échéant, si un recours lui est disponible, ainsi que les critères utilisés pour déterminer la nature de tels recours); 4) des avis obligatoires; et 5) la production d’un rapport annuel sur la fraude ciblant les consommateurs, devant être transmis à l’Agence de la consommation en matière financière du Canada (l’« ACFC »).

C’est sur ce cadre législatif que s’appuie le projet de règlement antifraude afin d’établir les exigences opérationnelles nécessaires pour donner effet à ces obligations.

Fonctionnalités réglementaires d’un compte et mécanismes de consentement

Le projet de règlement antifraude précise que les « fonctionnalités réglementaires d’un compte » dont il est question dans la Loi sur les banques sont celles qui sont associées à un compte de dépôt personnel et qui permettent le transfert électronique de fonds, y compris les virements télégraphiques, les transferts mondiaux et les virements électroniques Interac, sous réserve de certaines exclusions (p. ex., les virements électroniques entre des comptes détenus auprès d’une même institution financière par la même personne physique, les retraits au guichet automatique, les débits préautorisés et les paiements directs de factures).

Le projet de règlement antifraude établit également des exigences détaillées en matière de consentement exprès, bien que ces exigences soient neutres sur le plan technologique, ce qui favorise une certaine souplesse quant aux moyens utilisés pour obtenir un tel consentement :

• un consentement exprès distinct doit être obtenu pour chaque fonctionnalité et ne peut être groupé avec un autre tel consentement;
• les banques doivent fournir des renseignements sur la nature et les utilisations possibles de chaque fonctionnalité avant leur activation;
• les banques doivent mettre en place des procédures pour vérifier l’identité de la personne physique demandant l’activation d’une fonctionnalité.

Les banques doivent également permettre aux consommateurs de désactiver la fonctionnalité de transfert électronique de fonds. 

Fait à noter, les banques ne seraient pas tenues d’obtenir le consentement exprès pour les fonctionnalités déjà activées dans des comptes existants au moment de l’entrée en vigueur du cadre.

Exigences en matière de divulgation à l’ouverture d’un compte

Le projet de règlement antifraude impose également aux banques des exigences additionnelles en matière de divulgation à l’ouverture d’un compte de dépôt personnel. Plus précisément, le consommateur doit être informé de ce qui suit : 

• les fonctionnalités de son compte dont l’activation exige un consentement exprès;
• les fonctionnalités de son compte pouvant être désactivées;
• les fonctionnalités de son compte pour lesquelles les limites de transaction peuvent être augmentées ou réduites.

Les banques seraient également tenues d’aviser le consommateur par voie électronique lorsqu’une fonctionnalité de son compte est activée ou désactivée et lorsqu’une limite de transaction ou de retrait est augmentée ou réduite. 

Ces exigences ont pour but de faire en sorte que les consommateurs puissent prendre des décisions éclairées quand ils choisissent les fonctionnalités qui leur sont disponibles et paramétrer ces fonctionnalités pour se protéger contre la fraude.

Limites de transaction

Le projet de règlement antifraude établit également des délais de traitement pour les demandes de modification de limites de transaction faites par le consommateur :

• un traitement sans délai si la banque a vérifié que le demandeur est bien le titulaire du compte concerné par la demande;
• un traitement au plus tard le jour ouvrable suivant si elle n’a pas vérifié l’identité du demandeur.

Ces exigences en matière de délais de traitement ont pour but de trouver un équilibre entre l’utilisabilité et l’atténuation des risques de fraude.

Politiques et procédures en matière de fraude

Le projet de règlement antifraude ajouterait au cadre législatif l’exigence pour les banques d’inclure des critères additionnels dans leurs politiques et procédures, notamment :

• les critères qu’elles utilisent pour enquêter sur les opérations suspectes;
• les critères qu’elles utilisent pour déterminer s’il y a lieu d’informer le consommateur des demandes suspectes d’activation de fonctionnalités ou d’augmentation de limites de transaction.

Les banques seraient également tenues d’effectuer une révision annuelle de l’efficacité de leurs politiques et procédures. Le projet de règlement antifraude introduit cette exigence explicite en matière de gouvernance, laquelle s’ajouterait aux obligations plus générales prévues à la Loi sur les banques de mettre en place et de respecter de telles politiques et procédures.

Collecte de données sur les cas de fraude et établissement de rapports

Les modifications à la Loi sur les banques établiraient l’obligation pour les banques de préparer annuellement un rapport sur la fraude ciblant les consommateurs et de le soumettre à la commissaire de l’ACFC, laquelle présenterait au ministre des Finances un rapport compilant les renseignements qu’elle aura ainsi reçus. Le projet de règlement antifraude ajoute à ce cadre en précisant le contenu de ces rapports, ainsi que le délai de soumission et les attentes en matière de gouvernance qui s’y appliquent. Chaque rapport doit notamment :

• être soumis à l’ACFC dans les 135 jours suivants la fin de l’année civile;
• comporter des données détaillées sur chaque cas de fraude (y compris les tentatives de fraude et les cas de fraude allégués et confirmés), telles que le type de fraude, la tactique employée, le moyen de communication, la méthode de transaction, ainsi que le montant demandé ou perdu. Ces données doivent également préciser, pour chaque cas, s’il s’agissait d’une transaction non autorisée ou si elle avait été autorisée par coercition ou par tromperie, et si la banque a retardé ou bloqué la transaction. Elles doivent également comprendre des renseignements démographiques limités au sujet de la victime dans chaque cas, à savoir son groupe d’âge, son genre et les trois premiers caractères de son code postal;
• comprendre des renseignements sur les mesures prises par la banque pour mettre en place ses politiques et procédures, les formations offertes à ses employés au sujet de la fraude ciblant les consommateurs, ainsi que ses cibles internes de réduction de la fraude.

De plus, la commissaire de l’ACFC serait tenue de préparer annuellement un rapport consolidé confidentiel, à soumettre au ministre des Finances avant le 30 septembre de l’année suivant immédiatement l’année couverte par les rapports des banques. À noter, le projet de règlement antifraude comporte une disposition de transition qui accorderait aux banques un délai de six mois après l’entrée en vigueur du projet de règlement antifraude afin qu’elles puissent avoir le temps de concevoir les systèmes informatiques nécessaires à la collecte et à la transmission des données sur la fraude. Plus précisément, selon le libellé actuel du projet de règlement antifraude, ce premier rapport devrait être livré à l’ACFC au plus tard le 15 mai 2029 et porter sur la période du 1^er janvier 2028 au 31 décembre 2028.

Réponse en cas de fraude et recours

Afin de contrer le taux croissant de fraude, les modifications à la Loi sur les banques établiraient également un cadre structuré qui régirait comment les institutions répondent aux cas de fraude ciblant les consommateurs. Ce type de fraude étant un risque prévisible associé aux fonctionnalités de paiement activées par les banques, le projet de règlement antifraude imposerait des mesures de protection institutionnelles plus puissantes et plus cohérentes qui s’ajouteraient aux mécanismes limités actuels destinés à protéger les consommateurs contre la fraude. Le projet de règlement antifraude exigerait que les banques jouent un rôle plus important à cet égard, notamment en établissant et en appliquant des critères pour déterminer si un consommateur est victime de fraude, en évaluant la disponibilité d’un recours le cas échéant, ainsi que la communication de ces constats aux consommateurs touchés.

Fait intéressant à noter, le projet de règlement antifraude n’introduirait pas de nouvelles exigences prescriptives en matière de responsabilité ou de recours. L’attribution de la responsabilité aux termes du régime actuel, lequel prévoit que les consommateurs sont, dans l’ensemble, protégés contre les opérations sur carte non autorisées mais peuvent devoir assumer les pertes résultant de transferts à partir de comptes (y compris les transferts effectués par suite de tromperie), demeure inchangée en grande partie. Aux termes des modifications, les institutions seraient plutôt tenues d’officialiser les critères et les processus qu’elles emploient pour évaluer les cas de fraude et déterminer les recours disponibles, ce qui aurait vraisemblablement pour résultat l’établissement d’une approche plus structurée relativement à l’évaluation et au traitement de tels cas.

Alors qu’elles se préparent à l’entrée en vigueur du projet de règlement antifraude le 1^er juillet 2027, les banques devraient réfléchir aux enjeux s’y rapportant et, dans le cadre de la consultation de 30 jours sur ce projet de règlement, songer à soumettre leurs commentaires sur les dispositions qui sont susceptibles de poser problème ou qui nécessitent des précisions supplémentaires.

Pour en savoir davantage, communiquez avec un membre de notre groupe Réglementation des services financiers.