On se rappellera l’année 2020 comme un tournant à plus d’un égard, notamment en ce que le monde s’y est vu contraint de reposer sur le numérique comme jamais auparavant. Le commerce en ligne, par exemple, a connu une montée vertigineuse : les résultats publiés par Amazon pour le quatrième trimestre de 2020 font état d’un chiffre d’affaires totalisant 125,56 milliards de dollars américains, soit le plus élevé jamais enregistré par l’entreprise au cours d’un seul trimestre. Le paiement sans contact, sous toutes ses formes, est passé de la commodité à la nécessité; les consommateurs, s’ils ont moins dépensé dans l’ensemble, ont davantage acheté en ligne et, de ce fait, utilisé le paiement électronique. Paiements Canada rapporte que 77 % de toutes les opérations effectuées en 2020 l’ont été par voie numérique, et que du côté du commerce de détail, le comportement des consommateurs laisse entrevoir une augmentation durable des modes de paiement électroniques.

Jusqu’à présent, les entreprises de technologie financière du secteur canadien des paiements de détail (à l’exception des banques et institutions financières réglementées) ont pu mener leurs activités sans trop avoir de comptes à rendre aux autorités de réglementation des services financiers, nombre d’entre elles échappant tant à l’emprise de la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes du Canada (la « Loi sur le recyclage des produits de la criminalité ») qu’à celle de la Loi sur les entreprises de services monétaires du Québec. Le gouvernement fédéral surveillait déjà l’évolution de la technologie dans le secteur des paiements de détail, où il avait observé un manque de réglementation, avant même que le commerce en ligne n’explose en 2020. Le 30 avril 2021, il a publié le projet de loi concernant les activités associées aux paiements de détail (les « LAAPD ») dans le cadre du projet de loi C-30, qui portait sur l’exécution de certaines dispositions du budget. La LAAPD donne suite aux recommandations formulées par le ministère des Finances dans son document de consultation de 2017, qui préconisait l’établissement d’un cadre de surveillance des activités associées aux paiements de détail pour protéger les utilisateurs finaux et renforcer la confiance du public dans l’écosystème de paiements de détail du Canada.

Bien qu’elle n’en soit pas à sa version définitive, la LAAPD pourrait assujettir la plupart des entreprises de technologie financière du secteur des paiements de détail à un nouveau cadre réglementaire dont la supervision serait confiée à la Banque du Canada et qui prévoirait des exigences opérationnelles continues ainsi qu’un processus d’enregistrement pouvant faire l’objet d’un contrôle à des fins de sécurité nationale.

Application de la LAAPD

La LAAPD s’appliquera à toute activité associée aux paiements de détail :

1. effectuée par un fournisseur de services de paiement ayant un établissement au Canada;
2. effectuée pour un utilisateur final au Canada par un fournisseur de services de paiement qui n’a pas d’établissement au pays, mais offre des activités associées aux paiements de détail à l’intention de personnes physiques ou d’entités se trouvant au Canada.

Un « fournisseur de services de paiement » (un « FSP ») est une personne physique ou une entité qui exécute une fonction de paiement dans le cadre d’un service ou d’une activité commerciale qui n’est pas accessoire à un autre service ou à une autre activité commerciale. Cette définition ratissant large, les activités commerciales considérées comme « accessoires » pourraient devoir être précisées par règlement.

Tout comme la Loi sur le recyclage des produits de la criminalité, la LAAPD se veut d’une portée extraterritoriale; elle s’appliquera non seulement aux FSP canadiens, mais aussi aux FSP étrangers offrant des activités associées aux paiements de détail à des personnes se trouvant au Canada. Les FSP étrangers seraient donc avisés d’évaluer attentivement les activités qu’ils offrent à l’intention de leur clientèle canadienne. Notons que la notion de prestation de services à des personnes situées au Canada pourrait comprendre l’utilisation de marketing ou de publicité ciblant de telles personnes, l’utilisation d’un nom de domaine « .ca » ou le fait de figurer à un annuaire des entreprises canadien.

Que constitue une activité associée aux paiements de détail?

Le terme « activité associée aux paiements de détail » s’entend d’une fonction de paiement exécutée relativement à un transfert électronique de fonds en monnaie canadienne ou étrangère ou au moyen d’une unité qui respecte les critères prévus par règlement. Même si ces critères prescrits seront sans doute énoncés dans les règlements d’application de la LAAPD, le terme « unité » pourrait avoir une large portée de sorte à inclure les devises virtuelles (comme la cryptomonnaie et d’autres monnaies chiffrées). De même, le terme « fonction de paiement » est défini de façon large et libérale; aussi les règlements ou l’autorité de réglementation concernée devront-ils en préciser la portée afin d’établir quelles activités tombent sous le coup de la LAAPD.

Quelles activités seront exemptées?

La LAAPD exclut expressément les activités associées aux paiements de détail suivantes de son champ d’application :

• Banques et autres entités réglementées : fonctions de paiement exécutées par une banque, une banque étrangère autorisée, une caisse de crédit, un gouvernement provincial ou un mandataire de celui-ci qui accepte les dépôts transférables par ordre, une compagnie d’assurance, une société de fiducie, une société de prêt, l’Association canadienne des paiements, la Banque du Canada, ou une personne physique ou une entité visée par règlement;
• Produits de paiement prépayés : transferts de fonds électroniques réalisés à l’aide d’un instrument émis par un marchand, ou un émetteur qui n’est pas un FSP et qui a conclu un accord avec un groupe de marchands, et qui permet au détenteur de l’instrument d’acquérir des biens ou des services uniquement du marchand ou du groupe de marchands (par exemple, cartes cadeaux en boucle fermée);
• Retraits à un guichet automatique : retraits d’espèces à un guichet automatique;
• Contrats financiers admissibles : fonctions de paiement exécutées pour donner effet à un « contrat financier admissible » au sens de la Loi sur la Société d’assurance-dépôts du Canada;
• Systèmes désignés : transferts électroniques de fonds exécutés à l’aide de systèmes désignés en vertu de la Loi sur la compensation et le règlement des paiements (notamment le système de paiement électronique Interac, qui a récemment été désigné);
• Opérations internes : fonctions de paiement entièrement exécutées entre un FSP et son entité affiliée;
• Mandataires de FSP : activités associées aux paiements de détail menées par les mandataires de FSP enregistrés dans le cadre de leur mandat.

Les règlements d’application de la LAAPD pourraient prévoir d’autres exemptions.

Enregistrement en vertu de la LAAPD

Une fois la LAAPD en vigueur, les FSP devront s’enregistrer auprès de la Banque du Canada avant de se livrer à toute activité associée aux paiements de détail. La demande d’enregistrement devra comporter certains renseignements, dont une description des services qui seront fournis, du cadre de gestion des risques opérationnels et de réponse aux incidents du FSP et des mesures de protection en place pour protéger les fonds des utilisateurs finaux, et indiquer si le FSP est enregistré auprès du Centre d’analyse des opérations et déclarations financières du Canada (« CANAFE »).

La Banque du Canada pourra refuser ou révoquer un enregistrement pour plusieurs motifs, notamment si le demandeur fournit des renseignements faux ou trompeurs, s’il n’est pas inscrit à titre d’entreprise de services monétaires (une « ESM ») en vertu de la Loi sur le recyclage des produits de la criminalité alors qu’il est tenu de l’être, ou si un procès-verbal lui a été signifié aux termes de cette Loi en raison d’une violation qualifiée de « grave » ou de « très grave ». Cela dit, la question de savoir si une entité est tenue de s’inscrire comme ESM n’est pas toujours clairement établie, cette obligation dépendant du fait que la prestation de services de transfert ou de remise de fonds est ou non purement accessoire à ses véritables activités. Les FSP doivent donc évaluer soigneusement si la nature de leurs activités commerciales particulières les contraint à s’enregistrer en vertu de la Loi sur le recyclage des produits de la criminalité.

Notons également que le ministre des Finances pourra contrôler les demandes d’enregistrement pour des raisons liées à la sécurité nationale, et qu’il pourra invoquer celles-ci pour refuser une demande, ou encore exiger du demandeur la prise d’engagements ou le respect de certaines conditions.

Par ailleurs, la Banque du Canada tiendra un registre des FSP enregistrés, lequel ressemblera sans doute à celui que tient le CANAFE relativement aux ESM, de même qu’une liste des personnes dont l’enregistrement a été refusé ou révoqué, liste qui indiquera les motifs derrière ces mesures.

Exigences opérationnelles

Afin d’identifier et d’atténuer les risques opérationnels et de répondre aux incidents, les FSP seront tenus de mettre sur pied et de maintenir un cadre de gestion des risques et de réponse aux incidents satisfaisant à certains critères. Ce cadre pourra être évalué par la Banque du Canada, qui pourra ensuite prescrire au FSP les mesures correctives qu’elle estime indiquées.

Protection des fonds

Sous réserve d’exceptions applicables aux institutions de dépôt, le FSP qui détient les fonds d’un utilisateur final doit le faire dans un compte prescrit, soit dans un compte en fiducie ou en fidéicommis qui n’est utilisé qu’à cette fin, soit dans un compte qui n’est utilisé qu’à cette fin et qui est protégé par une assurance ou une garantie dont la valeur est égale ou supérieure à la somme des fonds détenus.

Autres exigences

La LAAPD exigera qu’un avis soit donné :

• lorsque le FSP prend connaissance d’un incident ayant des répercussions importantes sur un utilisateur final, un autre FSP ou la chambre de compensation d’un système de compensation et de règlement;
• lorsqu’il voudra apporter un changement important à la manière dont il exécute une activité associée aux paiements de détail ou en ajouter une nouvelle à celles qu’il exécute déjà, dans la mesure où on peut raisonnablement prévoir que ce changement ou cette nouvelle activité aura un effet important sur les risques opérationnels ou sur la manière dont les fonds des utilisateurs finaux sont protégés.

Les FSP enregistrés devront en outre produire un rapport annuel à la Banque du Canada comportant des renseignements sur leur cadre de gestion des risques opérationnels et de réponse aux incidents, en plus d’autres informations.

Application

La LAAPD investira la Banque du Canada de pouvoirs d’enquête et de vérification, et l’habilitera à délivrer des sanctions administratives pécuniaires allant jusqu’à 10 millions de dollars en cas de contravention.

Aux termes de la LAAPD, la personne physique ou l’entité sera responsable de toute contravention commise par son employé, son fournisseur de services tiers ou son mandataire agissant dans le cadre de son mandat, et ce, peu importe, si la personne l’ayant effectivement commise a été identifiée ou non.

Prochaines étapes

Aucune date d’entrée en vigueur n’est encore prévue pour la LAAPD, et ses règlements d’application n’ont pas été publiés. De plus, une fois en vigueur, la LAAPD laissera aux FSP un certain temps pour s’enregistrer et rendre leurs pratiques conformes à ses exigences. Cela dit, étant donné son historique et la quantité de questions demeurant en suspens à son sujet, force est de croire qu’elle n’entrera pas en vigueur avant un certain temps. Toutefois, les FSP du Canada et de l’étranger seraient avisés de suivre le dossier attentivement pour être prêts à adapter leurs pratiques sans devoir interrompre leurs activités le moment venu.