Afin d’alléger certaines obligations administratives liées à l’inscription des professionnels et des firmes, les Autorités canadiennes en valeurs mobilières (ACVM) publient des dispenses temporaires de certaines obligations prévues par le Règlement 33-109 sur les renseignements concernant l’inscription.
Conformément à ce règlement, les sociétés inscrites et les personnes physiques liées à celles-ci se doivent de transmettre certains renseignements personnels lors d’une demande d’inscription d’une personne physique ou d’examen en tant que personne physique autorisée.
Ces renseignements sont utilisés par les ACVM afin de s’assurer de l’identité d’une personne physique, mais également pour évaluer son aptitude à l’inscription ou à l’autorisation.
Avec la Décision générale coordonnée 33-930 relative à la dispense des obligations de transmission de certains renseignements personnels, qui est entrée en vigueur le 1er mai, les ACVM viennent retirer certaines obligations de transmission de renseignements personnels. C’est notamment le cas de la couleur des yeux et des cheveux, de la taille et du poids, le but étant de réduire le fardeau administratif.
Outre ces renseignements mentionnés, les informations relatives à la citoyenneté et au passeport « pourront être recueillies en dehors des exigences du règlement lorsque nécessaire », précise l’ordonnance. L’information sur la citoyenneté était auparavant collectée lorsque les personnes inscrites étaient citoyennes d’autres pays.
L’ordonnance agira comme mesure intérimaire jusqu’à ce que le Règlement 33-109 soit modifié en bonne et due forme.
Au Manitoba et en Ontario, une dispense similaire concernant la collecte de certains renseignements personnels sera accordée simultanément en vertu de la législation applicable aux contrats à terme sur marchandises. Au Québec, une mesure équivalente sera mise en place au même moment en vertu de la législation sur les instruments dérivés.
Une mesure découlant de la brèche de l’OCRI
UNE MESURE DÉCOULANT DE LA BRÈCHE DE L’OCRI
La modification de la collecte de renseignements personnels fait suite à la brèche de données survenue en 2025 au sein de l’Organisme canadien de réglementation des investissements (OCRI), qui a été détectée en août dernier et résultait d’une attaque par hameçonnage.
De fait, l’automne dernier, l’OCRI a confirmé que les renseignements personnels volés comprenaient notamment la couleur des yeux et des cheveux, la taille et le poids des personnes inscrites, ainsi que d’autres données sensibles. En janvier, l’OCRI a indiqué qu’environ 750 000 investisseurs canadiens avaient également été touchés par la brèche.
Pour les personnes inscrites, ces renseignements étaient recueillis dans le formulaire 33-109F4 et transmis à la Base de données nationale d’inscription (BDNI) par les courtiers actuels ou anciens. La brèche est survenue environ quatre mois après que la plupart des autorités provinciales en valeurs mobilières ont délégué à l’OCRI des pouvoirs élargis en matière d’inscription, et quelques semaines après que l’Autorité des marchés financiers (AMF) en ait fait autant. Comme indiqué précédemment, la BDNI n’a pas été touchée par la brèche, ont précisé les ACVM.
Outre la nature des données compromises, la question de la conservation des données par le régulateur a également été soulevée. L’OCRI avait auparavant indiqué son intention de procéder à un « nouvel examen » de ses politiques de conservation des données.
Lors d’allocutions publiques devant des courtiers, son chef de la direction, Andrew Kriegler, a affirmé que « l’écosystème des données » de l’industrie, y compris la conservation des données, ferait l’objet d’un examen.
Deux recours collectifs potentiels contre l’OCRI — l’un au Québec et l’autre en Colombie-Britannique — ont été déposés devant les tribunaux en lien avec la brèche, mais aucun n’a encore été autorisé.