Moneris passe aux mains d’Américains : vos données d’achats à risque?

Moneris, une entreprise canadienne spécialisée dans le traitement des paiements par carte, sera vendue à la société d’investissement américaine Francisco Partners pour 2 milliards de dollars. Cette transaction, prévue pour le premier trimestre de l’exercice 2027 sous réserve d’une approbation réglementaire, concerne environ un tiers des transactions effectuées au Canada. Moneris est une coentreprise fondée par deux grandes banques canadiennes, la Banque Royale du Canada (RBC) et la Banque de Montréal (BMO), et dessert plus de 325 000 commerces au pays. La vente soulève des questions sur l’avenir de la souveraineté numérique du Canada, notamment en matière de protection des données personnelles des Canadiens.

La vente de Moneris à un groupe américain inquiète les experts en cybersécurité et en protection des données. Sharon Polsky, présidente du Conseil canadien de la vie privée et de l’accès à l’information, met en garde contre les risques liés à l’accès aux renseignements personnels des Canadiens. Elle souligne que ces données, incluant les habitudes d’achat de millions de personnes, pourraient être utilisées par des gouvernements étrangers, notamment dans le cadre de négociations commerciales ou sous la contrainte. Par exemple, des agents de douane américains pourraient consulter l’historique de transactions de visiteurs canadiens avant leur entrée aux États-Unis, ce qui pourrait poser des problèmes pour des achats légaux au Canada mais interdits aux États-Unis, comme des produits contenant du THC.

Les craintes liées à cette vente s’inscrivent dans un contexte de tensions commerciales entre le Canada et les États-Unis. Colin Deacon, sénateur indépendant, craint que le gouvernement américain, dirigé par Donald Trump à l’époque, n’exerce un contrôle accru sur les services essentiels dont dépendent les Canadiens. Il évoque la possibilité que les données des Canadiens soient partagées avec les autorités américaines, soit sous la contrainte, soit à leur demande. Cette situation rappelle les craintes liées à des lois comme le Cloud Act américain, qui permet aux autorités des États-Unis d’accéder à des données stockées par des entreprises américaines, même si ces données sont situées à l’étranger.

Sharon Polsky critique les lacunes du cadre législatif canadien en matière de protection des données. Elle estime que le Canada n’est pas prêt à garantir la souveraineté numérique de ses citoyens, malgré les tentatives du gouvernement pour moderniser les lois. En juin 2026, le gouvernement a présenté le projet de loi C-36, qui vise à renforcer la protection de la vie privée en faisant de celle-ci un droit fondamental et en imposant des évaluations d’impact avant tout transfert de données personnelles à l’étranger. Cependant, Polsky juge ces mesures insuffisantes, car elles ne garantissent pas explicitement la conservation des données au Canada pour des raisons de sécurité nationale.

Le projet de loi C-36 représente la troisième tentative du gouvernement libéral pour réformer la protection des données au Canada, après des échecs en 2020 et 2023. Ce texte propose notamment de remplacer certaines dispositions de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), une loi fédérale en vigueur depuis 2000. Bien que le projet de loi ait été déposé en juin 2026, il doit encore franchir plusieurs étapes législatives avant d’entrer en vigueur. Polsky souligne que ces retards laissent le Canada dans une position vulnérable, malgré les déclarations du ministre Evan Solomon sur la nécessité de créer une économie numérique souveraine.