🔐 Renseignements personnels, fraude et lutte contre le blanchiment

1. Quelle loi québécoise encadre la protection des renseignements personnels dans une entreprise privée comme un cabinet de courtage hypothécaire ?

1. La Loi sur l'accès aux documents des organismes publics, applicable par extension aux entreprises
2. La Loi sur la protection des renseignements personnels dans le secteur privé
3. La Loi sur la distribution de produits et services financiers, dans son chapitre sur les dossiers
4. La Loi sur la protection du consommateur, pour les renseignements recueillis auprès d'un particulier

C'est la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), profondément modifiée par la Loi 25, qui s'applique aux entreprises. La LDPSF impose par ailleurs ses propres obligations de tenue de dossiers.

2. Depuis la réforme apportée par la Loi 25, toute entreprise doit désigner :

1. un responsable de la protection des renseignements personnels
2. un vérificateur externe chargé d'auditer chaque année les dossiers clients conservés
3. un délégué auprès de la Commission d'accès à l'information pour la représenter en tout temps
4. un archiviste professionnel responsable du classement des documents papier et numériques

La Loi sur la protection des renseignements personnels dans le secteur privé impose la désignation d'un responsable de la protection des renseignements personnels, dont les coordonnées doivent être publiées. Par défaut, la fonction revient à la personne ayant la plus haute autorité.

3. À qui revient la fonction de responsable de la protection des renseignements personnels lorsque l'entreprise n'a désigné personne ?

1. À la personne ayant la plus haute autorité au sein de l'entreprise
2. Au dirigeant responsable désigné auprès de l'Autorité des marchés financiers pour la discipline
3. Au représentant qui traite le plus grand nombre de dossiers clients au cours de l'exercice
4. À la Commission d'accès à l'information, qui assume la fonction par substitution

La Loi sur la protection des renseignements personnels dans le secteur privé prévoit que la fonction échoit d'office à la personne ayant la plus haute autorité, ce qui évite toute vacance. Elle peut ensuite déléguer la fonction par écrit.

4. Quelles qualités le consentement à la collecte de renseignements personnels doit-il présenter ?

1. Tacite, l'absence d'objection du client valant acceptation des traitements envisagés
2. Écrit, signé devant témoin et conservé pendant toute la durée de la relation d'affaires
3. Général, afin de couvrir l'ensemble des usages futurs que l'entreprise pourrait envisager
4. Manifeste, libre, éclairé et donné à des fins spécifiques

La Loi sur la protection des renseignements personnels dans le secteur privé énumère ces quatre qualités, auxquelles s'ajoute l'exigence d'un consentement demandé pour chaque fin. Un consentement global couvrant tout usage futur ne remplit aucune de ces conditions.

5. Un cabinet veut utiliser les renseignements d'anciens clients pour leur offrir un service d'assurance. Que suppose cette démarche ?

1. Une simple mention dans la politique de confidentialité publiée sur le site du cabinet
2. Rien de particulier, le client étant déjà connu du cabinet et de ses représentants
3. Un nouveau consentement, la fin poursuivie n'étant pas celle de la collecte initiale
4. L'autorisation préalable de la Commission d'accès à l'information pour cette campagne

La Loi sur la protection des renseignements personnels dans le secteur privé lie l'usage à la finalité déclarée : offrir un autre produit est une fin nouvelle. Une politique publiée informe, elle ne tient pas lieu de consentement.

6. Qu'est-ce qu'un incident de confidentialité au sens de la loi québécoise ?

1. Une communication de renseignements faite avec le consentement de la personne concernée
2. Une plainte déposée par un client au sujet du traitement de ses renseignements personnels
3. Un désaccord entre l'entreprise et la Commission d'accès à l'information sur une pratique
4. Une atteinte à la sécurité des renseignements personnels détenus par l'entreprise

La Loi sur la protection des renseignements personnels dans le secteur privé retient une définition large : accès, utilisation ou communication non autorisés, perte ou toute autre atteinte à la sécurité. La bonne foi de l'entreprise n'entre pas dans la définition.

7. Que doit tenir une entreprise à l'égard des incidents de confidentialité ?

1. Une police d'assurance spécifique couvrant les conséquences financières de chaque incident
2. Un rapport annuel public détaillant chacun des incidents survenus dans l'année
3. L'entreprise doit tenir un registre des incidents de confidentialité
4. Une déclaration trimestrielle transmise à l'Autorité des marchés financiers

La Loi sur la protection des renseignements personnels dans le secteur privé impose un registre des incidents de confidentialité, communicable à la Commission d'accès à l'information sur demande. Aucune publication ni déclaration périodique n'est exigée.

8. Dans quel cas l'entreprise doit-elle aviser la Commission d'accès à l'information d'un incident ?

1. Uniquement lorsque plus de cent personnes sont concernées par la perte de renseignements
2. Dans tous les cas, quel que soit le nombre de personnes touchées par l'incident survenu
3. Uniquement lorsque l'incident résulte d'un acte criminel commis par un tiers extérieur
4. Lorsque l'incident présente un risque qu'un préjudice sérieux soit causé aux personnes concernées

La Loi sur la protection des renseignements personnels dans le secteur privé conditionne l'avis au risque de préjudice sérieux, apprécié notamment d'après la sensibilité des renseignements et les usages possibles. Aucun seuil chiffré de personnes n'est prévu.

9. Un courtier envoie par erreur le dossier complet d'un client à un autre client. Quelle est la première démarche ?

1. Prendre des mesures pour limiter le préjudice et consigner l'incident au registre
2. Attendre de savoir si le destinataire a ouvert le message avant d'entreprendre une démarche
3. Informer uniquement le destinataire erroné et lui demander de détruire le message reçu
4. Signaler l'incident à l'Autorité des marchés financiers, qui déterminera la suite à donner

La Loi sur la protection des renseignements personnels dans le secteur privé impose d'abord des mesures raisonnables pour réduire le risque de préjudice, puis l'inscription au registre. L'avis à la Commission d'accès à l'information suit si le risque est sérieux.

10. Quels droits la personne concernée peut-elle exercer auprès d'un cabinet à l'égard de ses renseignements ?

1. La personne peut exercer ses droits d'accès et de rectification
2. Le droit d'exiger la destruction immédiate de tout dossier la concernant, sans exception
3. Le droit d'interdire à l'entreprise de conserver la moindre trace de sa demande de prêt
4. Le droit d'obtenir une indemnité forfaitaire pour chaque renseignement conservé sans usage

La Loi sur la protection des renseignements personnels dans le secteur privé reconnaît l'accès et la rectification, auxquels s'ajoutent d'autres droits encadrés. La destruction se heurte toutefois aux obligations de conservation imposées par la réglementation adoptée sous la LDPSF.

11. Un client demande la rectification d'un renseignement qu'il estime inexact dans son dossier de courtage. Que doit faire le cabinet ?

1. Refuser toute modification, le dossier devant refléter ce qui a été consigné à l'époque
2. Examiner la demande et, si le renseignement est inexact, incomplet ou équivoque, le rectifier
3. Transmettre la demande au prêteur, qui décidera de la suite à donner à la rectification
4. Rectifier automatiquement, sans vérification, dès que le client en fait la demande écrite

La Loi sur la protection des renseignements personnels dans le secteur privé ouvre un droit de rectification qui suppose un examen : le renseignement doit être inexact, incomplet ou équivoque. Un dossier ne se réécrit pas sur simple demande.

12. Avant de communiquer des renseignements personnels à l'extérieur du Québec, une entreprise doit :

1. procéder à une évaluation des facteurs relatifs à la vie privée
2. obtenir l'autorisation écrite de la Commission d'accès à l'information
3. obtenir un avis juridique attestant de l'équivalence du droit étranger applicable
4. déclarer la communication à l'Autorité des marchés financiers dans les trente jours

La Loi sur la protection des renseignements personnels dans le secteur privé impose cette évaluation préalable, qui porte notamment sur la sensibilité des renseignements et sur le cadre juridique du lieu de destination. Aucune autorisation préalable n'est requise.

13. Un cabinet utilise un service infonuagique dont les serveurs sont situés aux États-Unis. Quelle mesure est nécessaire ?

1. Évaluer les facteurs relatifs à la vie privée et encadrer la communication par une entente écrite
2. Rapatrier immédiatement les données au Québec, tout hébergement à l'étranger étant interdit
3. Obtenir le consentement écrit de chaque client avant chaque sauvegarde effectuée à l'étranger
4. Faire certifier le fournisseur par la Commission d'accès à l'information avant toute utilisation

La Loi sur la protection des renseignements personnels dans le secteur privé n'interdit pas l'hébergement à l'étranger : elle exige une évaluation préalable et un encadrement contractuel. Aucune certification de fournisseur n'existe.

14. Quel principe gouverne les mesures de sécurité que doit prendre un cabinet ?

1. L'adoption des mesures les plus coûteuses disponibles sur le marché de la sécurité
2. La proportionnalité à la sensibilité des renseignements et à leur finalité
3. L'alignement sur les pratiques du prêteur avec lequel le cabinet travaille le plus
4. L'obtention d'une certification internationale renouvelée tous les deux ans

La Loi sur la protection des renseignements personnels dans le secteur privé exige des mesures de sécurité propres à assurer la protection, proportionnées notamment à la sensibilité des renseignements. Un dossier de crédit se situe au sommet de cette échelle.

15. Un cabinet conserve les dossiers papier dans un local non verrouillé, accessible à des visiteurs. Quel constat s'impose ?

1. Un défaut de mesures de sécurité, indépendamment de tout incident survenu
2. Aucun manquement tant qu'aucune perte de renseignement n'a été constatée
3. Un manquement uniquement si des dossiers de clients actifs y sont conservés
4. Un manquement relevant du seul règlement sur la tenue de dossiers, et non de la Loi 25

La Loi sur la protection des renseignements personnels dans le secteur privé impose des mesures de sécurité, dont le défaut se constate en lui-même : l'incident n'est pas la condition du manquement. Les obligations de tenue de dossiers de la LDPSF s'y ajoutent.

16. Depuis quelle date les courtiers hypothécaires sont-ils assujettis au régime fédéral de lutte contre le blanchiment d'argent ?

1. Depuis le 1er janvier 2022, avec la réforme du régime des entreprises de services monétaires
2. Depuis le 1er mai 2020, en même temps que le transfert de l'encadrement à l'Autorité
3. Les courtiers y sont assujettis depuis le 11 octobre 2024
4. Depuis le 22 septembre 2023, date d'entrée en vigueur des nouvelles règles de confidentialité

La Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes vise le secteur hypothécaire — administrateurs, courtiers et prêteurs — depuis le 11 octobre 2024, avec les obligations de programme de conformité, de vérification d'identité, de déclaration et de tenue de documents. Le transfert à l'Autorité, lui, date de 2020.

17. À quel organisme les courtiers hypothécaires transmettent-ils leurs déclarations d'opérations douteuses ?

1. À l'Autorité des marchés financiers, qui les transmet ensuite aux autorités fédérales
2. Au Centre d'analyse des opérations et déclarations financières du Canada
3. Au Bureau du surintendant des institutions financières, chargé de la surveillance prudentielle
4. À la Commission d'accès à l'information, gardienne des renseignements personnels

Le Centre d'analyse des opérations et déclarations financières du Canada reçoit les déclarations prévues par le régime fédéral. L'Autorité des marchés financiers conserve la surveillance professionnelle, mais elle n'est pas le destinataire de ces déclarations.

18. Quels éléments un programme de conformité en matière de blanchiment doit-il comporter ?

1. Un registre des clients refusés, transmis chaque trimestre aux autorités fédérales compétentes
2. Une police d'assurance couvrant les pertes résultant d'opérations de blanchiment détectées trop tard
3. Un agent de conformité, des politiques écrites, une évaluation des risques, de la formation et un examen périodique
4. Une vérification annuelle des antécédents judiciaires de l'ensemble des clients du cabinet

Le régime fédéral confié au Centre d'analyse des opérations et déclarations financières du Canada repose sur ces cinq piliers, qui doivent être documentés et tenus à jour. Aucun registre des refus ni contrôle des antécédents des clients n'est exigé.

19. Quel type d'opération doit être déclaré au Centre d'analyse des opérations et déclarations financières du Canada ?

1. Toute opération pour laquelle le client refuse de fournir une pièce d'identité avec photographie
2. Toute opération dont le montant dépasse la valeur moyenne des prêts consentis par le cabinet
3. Toute opération conclue avec un client résidant à l'extérieur de la province de Québec
4. Une opération douteuse, une opération importante en espèces ou un bien appartenant à un groupe terroriste

La Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes vise notamment ces trois catégories, auxquelles s'ajoutent d'autres déclarations selon le secteur. Un refus de pièce d'identité est un indice à considérer, il n'est pas en soi une catégorie de déclaration.

20. Un courtier a des motifs raisonnables de soupçonner qu'une opération est liée au blanchiment. Peut-il en informer son client ?

1. Oui, à condition d'attendre que la déclaration ait été transmise aux autorités fédérales
2. Oui, la transparence envers le client primant sur toute autre considération professionnelle
3. Non, la divulgation de l'existence d'une déclaration est interdite
4. Non, sauf si le client demande expressément pourquoi son dossier est retardé

Le régime appliqué par le CANAFE interdit de divulguer qu'une déclaration a été faite ou son contenu, précisément pour ne pas compromettre l'analyse. Ce silence s'impose même si le client s'interroge sur les délais de traitement.

21. Sur quoi porte l'évaluation des risques exigée par le régime fédéral ?

1. Le risque de sanction disciplinaire encouru par les représentants du cabinet inscrit
2. La solvabilité des emprunteurs et la valeur des immeubles offerts en garantie
3. Le risque de perte financière encouru par le cabinet en cas de défaut d'un client
4. Les clients, les produits, les modes de livraison et les zones géographiques

L'évaluation exigée par le régime fédéral confié au Centre d'analyse des opérations et déclarations financières du Canada porte sur ces axes, puis débouche sur des mesures renforcées pour les risques élevés. Le risque de crédit relève d'une tout autre logique.

22. Quelle méthode permet de vérifier l'identité d'un client en personne ?

1. L'examen d'une pièce d'identité authentique, valide et courante délivrée par un gouvernement
2. La simple prise en note du numéro d'assurance sociale communiqué par le client
3. La vérification du nom du client au registre des représentants de l'Autorité
4. La confirmation verbale de l'identité par un membre de la famille du client

Les règles appliquées par le CANAFE admettent la méthode de la pièce d'identité avec photo, à laquelle s'ajoutent la méthode du dossier de crédit et la méthode double. Le numéro d'assurance sociale ne sert pas à vérifier une identité.

23. Un client se présente avec une pièce d'identité expirée depuis deux ans. Que doit faire le courtier ?

1. Accepter la pièce et noter au dossier qu'elle était expirée au moment de la vérification
2. Accepter la pièce si la photographie correspond visiblement à la personne présente
3. Utiliser une autre méthode de vérification prévue par le régime, la pièce n'étant plus valide
4. Refuser définitivement le dossier, l'identité du client ne pouvant plus être établie

Le CANAFE exige une pièce authentique, valide et courante : une pièce expirée ne satisfait pas au critère. La méthode du dossier de crédit ou la méthode double offrent une solution de rechange.

24. Que vise l'obligation d'identifier les bénéficiaires effectifs d'une personne morale cliente ?

1. Savoir qui contrôle réellement l'entité derrière la structure juridique
2. Établir la solvabilité de la personne morale avant de présenter son dossier au prêteur
3. Déterminer le représentant autorisé à signer les documents au nom de la société
4. Vérifier que la personne morale est immatriculée au registre des entreprises du Québec

Le régime confié au Centre d'analyse des opérations et déclarations financières du Canada vise la transparence de la propriété et du contrôle, pour empêcher qu'une structure serve d'écran. La solvabilité et les pouvoirs de signature relèvent de l'analyse du dossier, non de la conformité.

25. Que suppose la détection d'une personne politiquement vulnérable dans un dossier ?

1. L'obligation d'obtenir une lettre de référence signée par un dirigeant du prêteur retenu
2. Le refus automatique du dossier, ces personnes ne pouvant pas être clientes d'un cabinet
3. La transmission immédiate d'une déclaration d'opération douteuse aux autorités fédérales
4. Des mesures de vigilance renforcées et une décision de la haute direction sur la relation d'affaires

La Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes impose des mesures renforcées lorsqu'une personne politiquement vulnérable est identifiée, sans interdire la relation d'affaires. La déclaration d'opération douteuse suppose, elle, des motifs raisonnables de soupçonner.

26. Combien de temps les documents exigés par le régime fédéral doivent-ils généralement être conservés ?

1. Un an à compter de la fin de la relation d'affaires avec le client concerné
2. Les documents doivent généralement être conservés pendant cinq ans
3. Dix ans à compter de la date du déboursé des fonds par le prêteur retenu
4. Aussi longtemps que le prêt garanti par hypothèque demeure en vigueur

Le régime fédéral retient une conservation de cinq ans, comptée selon la nature du document. Cette durée s'ajoute à celle imposée par la réglementation adoptée sous la LDPSF pour les dossiers professionnels.

27. Quelle est la forme la plus courante de fraude dans un dossier de courtage hypothécaire ?

1. Le faux document justifiant un revenu, un emploi ou une mise de fonds
2. Le vol des fonds déboursés par le prêteur avant leur remise au vendeur
3. La falsification de l'acte notarié après sa publication au registre foncier
4. L'usurpation de l'identité du notaire instrumentant lors de la signature

La fraude documentaire est le risque quotidien du métier, et le courtier qui transmet un document qu'il sait faux commet une manœuvre dolosive prohibée par la LDPSF. Les fraudes spectaculaires existent, mais elles sont beaucoup plus rares.

28. Quelle différence sépare la fraude pour obtenir un logement de la fraude pour profit ?

1. La première concerne les emprunteurs et la seconde uniquement les prêteurs institutionnels
2. La première est civile et la seconde criminelle, selon le montant du prêt en cause
3. La première vise à obtenir un prêt qu'on n'aurait pas autrement, la seconde à détourner des fonds
4. La première est tolérée par les prêteurs, la seconde est systématiquement dénoncée

La distinction porte sur l'intention : améliorer artificiellement un dossier pour habiter un immeuble, ou monter une opération pour en tirer un gain. Dans les deux cas, le courtier qui y participe manque à l'intégrité exigée par la LDPSF.

29. Un client présente une mise de fonds apparue sur son compte trois jours avant la demande, sans explication. Que doit faire le courtier ?

1. Refuser le dossier immédiatement, un dépôt récent étant un indice de fraude
2. Transmettre le relevé au prêteur sans commentaire, la vérification lui appartenant
3. Attendre que le prêteur pose la question avant d'aborder le sujet avec le client
4. Demander la provenance des fonds et en documenter la réponse au dossier

La provenance de la mise de fonds est un point de contrôle du régime fédéral et un élément de la compétence exigée par l'article 16 de la LDPSF. Un dépôt récent appelle une question, non un refus automatique.

30. Qu'est-ce qu'un prête-nom dans un montage hypothécaire frauduleux ?

1. Un prêteur privé qui refinance un prêt refusé par une institution fédérale
2. Un représentant qui signe un dossier monté par un collègue non certifié
3. Un notaire qui reçoit l'acte sans avoir rencontré l'emprunteur en personne
4. Une personne qui emprunte pour le compte d'un tiers dissimulé au prêteur

Le prête-nom permet de cacher au prêteur l'identité de l'emprunteur réel, ce qui fausse toute l'analyse du risque. Le courtier qui participe sciemment à ce montage se livre à une manœuvre dolosive au sens de la LDPSF.

31. Un courtier constate que trois dossiers récents proviennent du même employeur, avec des lettres d'emploi identiques au mot près. Quelle conduite s'impose ?

1. Refuser les trois dossiers sans explication et ne pas en informer le cabinet
2. Poursuivre les trois dossiers, la similitude des lettres n'ayant rien d'anormal
3. Vérifier auprès de la source et signaler la situation à son dirigeant responsable
4. Informer les trois clients de ses soupçons et leur demander de nouveaux documents

Un faisceau d'indices concordants appelle une vérification, exigence de compétence de l'article 16 de la LDPSF, et une remontée vers la conformité. Si le soupçon subsiste, le régime fédéral impose une déclaration sans en informer les clients.

32. Un cabinet doit publier sur son site :

1. la liste des prêteurs avec lesquels il a conclu une entente de distribution de produits
2. ses règles de gouvernance en matière de renseignements personnels ainsi que les coordonnées du responsable
3. le nombre d'incidents de confidentialité survenus au cours de l'exercice précédent
4. les qualifications professionnelles de chacun de ses représentants certifiés

La Loi sur la protection des renseignements personnels dans le secteur privé impose de publier en termes simples les règles de gouvernance et les coordonnées du responsable. Le registre des incidents, lui, n'est pas public.

33. Un cabinet met en place un formulaire en ligne recueillant revenus, dettes et pièces d'identité. Quelle information doit accompagner la collecte ?

1. Uniquement la durée de conservation prévue par la réglementation professionnelle applicable
2. Uniquement le nom du cabinet et son numéro d'inscription auprès de l'Autorité des marchés financiers
3. Uniquement la mention que les renseignements seront transmis à des prêteurs partenaires
4. Les fins de la collecte, les moyens utilisés, les droits d'accès et de rectification et les coordonnées du responsable

La Loi sur la protection des renseignements personnels dans le secteur privé impose une information complète au moment de la collecte, précisément pour que le consentement soit éclairé. Les autres mentions sont utiles mais insuffisantes.

34. Quelle exigence s'applique lorsqu'un cabinet recueille des renseignements par un moyen technologique offrant des paramètres de confidentialité ?

1. Les paramètres doivent reproduire ceux du prêteur principal du cabinet inscrit
2. Les paramètres doivent être laissés au choix de l'utilisateur dès la première visite
3. Les paramètres doivent être approuvés par la Commission d'accès à l'information
4. Les paramètres doivent assurer le plus haut niveau de confidentialité par défaut

La Loi sur la protection des renseignements personnels dans le secteur privé impose la confidentialité par défaut pour les produits et services technologiques offerts au public. C'est à l'utilisateur d'abaisser le niveau, pas à lui de le relever.

35. À quelle fréquence le programme de conformité doit-il faire l'objet d'un examen ?

1. Chaque année, à date fixe, par un vérificateur externe indépendant du cabinet
2. Le programme doit être examiné au moins tous les deux ans
3. Tous les cinq ans, en même temps que la révision des politiques de tenue de dossiers
4. Uniquement lorsque le Centre d'analyse des opérations et déclarations financières l'exige

Le régime appliqué par le CANAFE impose un examen de l'efficacité du programme au moins tous les deux ans, portant sur les politiques, la formation et l'évaluation des risques. Il peut être mené à l'interne, à condition d'une certaine indépendance.