Merci beaucoup.
Monsieur le président, mesdames et messieurs les membres du Comité permanent de la sécurité publique et nationale, bonjour. Je suis accompagnée cet après-midi de M. Denis Berthiaume, premier vice-président exécutif et chef de l’exploitation, et de M. Bernard Brun, vice-président des relations gouvernementales, du Mouvement Desjardins.
D'entrée de jeu, j'aimerais dire que, chez Desjardins, nous étions ambivalents à l'égard de cette séance extraordinaire du Comité.
D’une part, cette séance peut paraître prématurée, dans la mesure où nous sommes en train de gérer cette situation et que des enquêtes policières sont en cours. Il est donc beaucoup trop tôt pour faire un bilan de la situation. Dans ce contexte, nous nous engageons à vous dire tout ce que nous savons de façon, toutefois, à ne pas nuire aux enquêtes en cours.
D’autre part, cette séance spéciale représente à nos yeux une occasion d’alerter les législateurs et l’opinion publique sur l'enjeu de la sécurité des renseignements personnels et sur la nécessité de repenser la notion d’identité numérique au Canada. Dans ma réflexion, c’est ce point qui l’a emporté.
Je vais d'abord dire une évidence: ce qui s’est produit chez Desjardins s’est produit ailleurs et pourrait se reproduire ailleurs, dans n’importe quelle entreprise privée ou n'importe quel organisme public dont la mission comporte la gestion de renseignements personnels. Qu’on pense à plusieurs banques dans le monde, par exemple Chase, aux États-Unis, Sun Trust, le Korea Credit Bureau ou, encore, plusieurs entités gouvernementales du Canada et des États-Unis, pour ne nommer que ceux-là, qui ont d’ailleurs été victimes d’employés malveillants.
Desjardins est une institution financière de premier plan et l'un des plus importants groupes financiers coopératifs dans le monde, avec plus de 300 milliards de dollars d’actifs. En 2015, le Mouvement Desjardins a été classé par Bloomberg au premier rang des institutions financières les plus sûres en Amérique du Nord, devant toutes les banques canadiennes. En d’autres mots, même les meilleurs ne sont pas à l’abri, et ce message doit être entendu, selon nous.
Personnellement, je travaille au Mouvement Desjardins depuis 27 ans. J’ai choisi cette organisation dès le début de ma carrière parce que c’est une institution financière qui réussit, après près de 120 ans, à très bien conjuguer l’économie et le social dans notre société.
Les agissements d’un employé malveillant sont à l'origine de cette situation déplorable, lequel est aujourd’hui congédié. Il a contrevenu à toutes les règles de notre coopérative. Dans cette situation, nous avons agi le plus rapidement possible et de la façon la plus transparente possible, avec pour seul objectif la protection de l’intérêt de nos membres. C’était notre priorité.
Dès le 20 juin, quelques jours après avoir appris l’ampleur de la situation, nous sommes sortis publiquement et avons donné toute l’information disponible, en concertation avec les forces policières. Nous avons aussi annoncé dès ce moment les mesures mises en place concernant la fuite des renseignements personnels.
Nous avons déployé tous les moyens que requiert la situation. Nous avons rapidement apporté des mesures additionnelles de surveillance et de protection, afin de protéger les renseignements personnels et financiers de nos membres et de nos clients. Nous avons avisé toutes les autorités compétentes: le Commissariat à la protection de la vie privée du Canada, la Commission d’accès à l’information du Québec, l’Autorité des marchés financiers, le Bureau du surintendant des institutions financières, ainsi que les ministères des Finances du Québec et du Canada.
Nous avons mis en place des mesures additionnelles pour confirmer l’identité des personnes lorsqu’elles font appel à nous et assurons une vigie constante de l’ensemble des comptes de nos membres. Les procédures pour confirmer l’identité de nos membres et de nos clients, lorsqu’ils appellent les caisses Desjardins, les centres Desjardins Entreprises et notre centre d’appel AccèsD, ont également fait l’objet de mesures additionnelles.
Nous avons communiqué avec les membres concernés par la messagerie privée AccèsD et par lettre personnalisée, afin de les informer de la situation et des actions qu'ils devaient poser.
Nous avons aussi ajouté des mesures complémentaires pour faciliter l’activation du forfait de surveillance d’Equifax. Les membres touchés peuvent maintenant s’inscrire de quatre façons: sur le site Internet d’Equifax, par le service téléphonique d’AccèsD, par l’application Web et mobile d’AccèsD et directement dans nos caisses Desjardins en parlant avec leur conseiller.
Nous poursuivons activement notre collaboration avec les différents corps policiers. Finalement, nous travaillons avec des experts externes pour continuer à protéger les renseignements personnels de nos membres.
Je peux vous confirmer que nous avons agi avec diligence. À la suite des informations transmises par le Service de police de Laval, notre enquête interne a rapidement permis de remonter à la source de la fuite: un employé unique. Cet employé a été suspendu, puis congédié.
À l’heure actuelle, notre première priorité est de rassurer, d’accompagner, de soutenir et de protéger chacun des membres qui ont été touchés par cette situation.
Encore ce matin, nous avons annoncé de nouvelles mesures de protection pour l'ensemble de nos membres. Dans cette ère du numérique, nous croyons, chez Desjardins, que tous nos membres doivent être protégés.
Comme je le disais, ce matin, Desjardins a annoncé qu'à compter de maintenant tous les membres de notre coopérative vont bénéficier d'une protection contre les transactions financières non autorisées et le vol d'identité. L'adhésion est automatique et sans frais, qu'ils aient été touchés ou pas par cette fuite de données. Depuis ce matin, Desjardins protège tous ses membres, tant les membres particuliers que les membres entreprises. C'est un précédent dans le monde des services financiers au Canada; nous sommes la première institution à faire cela. Dans cette situation, Desjardins agit avec rigueur, un sens du devoir et la volonté d'honorer son lien particulier avec ses membres.
Nous sommes entrés dans une ère où les données sont une ressource au même titre que l'eau, le bois et les matières premières essentielles au fonctionnement de pans entiers de notre économie. C'est la matière première, dorénavant, de toute une économie innovante qui va permettre des gains de productivité formidables et faciliter la vie des citoyens.
Le Canada est à quelques mois de l'opérationnalisation de la connectivité mobile 5G, qui va décupler les flots de données en circulation. Selon les spécialistes, cette connectivité ultrarapide sera le déclencheur d'applications futuristes liées à l'intelligence artificielle, un domaine où le Canada figure déjà parmi les leaders mondiaux avec ses trois pôles, Montréal, Toronto et Edmonton. Également, à l'heure où on se parle, le ministère des Finances du Canada est en consultation sur l'open banking, un système bancaire ouvert qui amènerait une ouverture du secteur transactionnel. Le virage a d'ailleurs déjà été entrepris dans plusieurs pays d'Europe.
À vous, législateurs, je me permets humblement de poser les questions suivantes.
Le Canada est-il bien outillé actuellement pour encadrer ces développements technologiques pleins de promesses, mais qui comportent aussi des risques nouveaux? Y a-t-il lieu d'adapter nos systèmes d'identification à cette ère du numérique pour garantir la protection des renseignements personnels et mieux lutter contre les cybercriminels? C'est toute la notion de l'identité numérique à laquelle j'ai fait allusion il y a quelques minutes.
Je vous soumets respectueusement que ce sont des questions réelles soulevées par la situation survenue chez Desjardins.
En terminant, je me permets de faire une proposition. J'invite ce comité à recommander au gouvernement du Canada la formation d'un groupe de travail spécial multipartite qui conseillerait le gouvernement sur la manière d'encadrer la gestion des données personnelles et l'identité numérique. Un tel groupe à l'écoute des préoccupations des citoyens devrait rassembler minimalement, selon nous, des représentants des gouvernements, du secteur des services financiers et des assurances, du secteur des télécommunications, ainsi que des juristes et des experts, ou tout autre groupe que le gouvernement trouverait pertinent de faire participer à la réflexion.
Le mandat de ce comité devrait consister en ceci: conseiller le gouvernement en matière de lois et de règlements; assurer la protection du public; favoriser un développement technologique innovant au bénéfice des citoyens et des communautés; et assurer une veille stratégique des meilleures pratiques dans le monde, afin que le Canada soit toujours à la page.
Personnellement, j'estime que le Canada ne peut viser l'excellence en technologie numérique et en intelligence artificielle sans avoir la même ambition en ce qui a trait à la gestion des données et des renseignements personnels. Nous devons tous tirer des leçons de la situation que vit le Mouvement Desjardins actuellement.
Merci.
Thank you very much.
Good afternoon, Mr. Chair and members of the Standing Committee on Public Safety and National Security. I'm joined this afternoon by Denis Berthiaume, Senior Executive Vice-President and Chief Operating Officer, and Bernard Brun, Vice-President, Government Relations, Desjardins Group.
First, I want to say that, at Desjardins, we were ambivalent about this exceptional committee meeting.
On the one hand, this meeting may seem premature, since we're in the process of managing this situation and the police investigations are ongoing. It's far too early to assess the situation. As such, we intend to tell you everything that we know, but in a way that won't interfere with the ongoing investigations.
On the other hand, we see this special meeting as an opportunity to inform legislators and the public about the security of personal information and the need to rethink the concept of digital identity in Canada. In my reflection process, this point prevailed.
First, I'll state the obvious. What happened at Desjardins has happened elsewhere and could happen again in any private company or public organization whose mission involves personal information management. We can think of several banks around the world, such as the American bank Chase, Sun Trust, the Korea Credit Bureau, or a number of government entities in Canada and the United States, to name a few, that have been the victims of malicious employees.
Desjardins is a leading financial institution and one of the largest cooperative financial groups in the world, with more than $300 billion in assets. In 2015, Bloomberg ranked the Desjardins Group as the strongest financial institution in North America, ahead of all Canadian banks. In other words, even the best aren't immune, and we believe that this message must be heard.
Personally, I've been working at the Desjardins Group for 27 years. I chose this organization at the start of my career because the financial institution has managed, after nearly 120 years, to successfully combine the economic and social aspects of our society.
The malicious actions of one employee led to this deplorable situation. That employee has now been dismissed. He violated all the rules of our cooperative. In this situation, we acted as quickly as possible and as transparently as possible, with the sole objective of protecting the interests of our members. That was our priority.
On June 20, a few days after learning of the extent of the situation, we went public and shared all the information available, in conjunction with the police forces. At that time, we also announced the measures implemented to address the privacy breach.
We've taken all the necessary measures to address the situation. We quickly implemented additional monitoring and protection measures to protect the personal and financial information of our members and clients. We informed all the relevant authorities, including the Office of the Privacy Commissioner of Canada, the Commission d'accès à l'information du Québec, the Autorité des marchés financiers, the Office of the Superintendent of Financial Institutions, and the Quebec and federal departments of finance.
We've implemented additional measures to confirm the identity of individuals when they contact us. We're constantly monitoring all our members' accounts. The procedures for confirming the identity of our members and clients when they call the Desjardins caisses, Desjardins Business centres and our AccèsD call centre have also been the focus of additional measures.
We contacted the affected members through the AccèsD private messaging system and by personalized letter, to inform them of the situation and of the steps that they needed to take.
We've also added extra measures to help with the activation of the Equifax monitoring package. The affected members can now register in four ways. They can register on the Equifax website, through the AccèsD telephone service, through the AccèsD web and mobile application, and directly in our Desjardins caisses by speaking with their advisor.
We're actively working with the different police forces. Lastly, we're working with external experts to continue to protect our members' personal information.
I can confirm that we acted diligently. After we received information from the Laval police service, we conducted an internal investigation and quickly traced the source of the breach to a single employee. The employee was suspended and then dismissed.
At this time, our main priority is to reassure, assist, support and protect each and every member affected by the situation.
Again this morning, we announced new protection measures for all our members. In this digital age, we at Desjardins believe that all our members must be protected.
As I was saying, Desjardins announced this morning that, from now on, all members of our cooperative will be protected from unauthorized financial transactions and identity theft. Membership is automatic and free of charge, regardless of whether they've been affected by the data breach. Since this morning, Desjardins has been protecting all its individual and corporate members. This sets a precedent in the financial services world in Canada. We're the first institution to take this step. In this situation, Desjardins is acting with rigour, a sense of duty and the willingness to honour its special relationship with its members.
We've entered an age where data is a resource on par with water, wood and the raw material needed to run entire sectors of our economy. Data is now the raw material for a whole innovative economy that will lead to tremendous productivity gains and make life easier for Canadians.
Canada is a few months away from the implementation of 5G mobile connectivity, which will increase the flow of data tenfold. According to experts, this ultra-fast connectivity will lead to futuristic applications related to artificial intelligence. Canada is already among the world leaders in this area with its three hubs, Montreal, Toronto and Edmonton. In addition, as we speak, the Department of Finance Canada is in the process of conducting a consultation on open banking, which would help open up the transactional sector. Several European countries have already made the shift.
I'll humbly ask you, the legislators, the following questions.
Is Canada currently well equipped to manage these promising technological developments, which also involve new risks? Should our identification systems be adapted to the digital age to ensure the protection of privacy and to better deal with cybercriminals? This issue is the whole notion of digital identity, which I referred to a few minutes ago.
I want to respectfully point out that these are real issues raised by the situation at Desjardins.
In closing, I want to make a proposal. I'd like to invite the committee to recommend to the Government of Canada the creation of an ad hoc multi-stakeholder working group to advise the government on how to regulate the management of personal data and digital identities. We believe that a group that listens to Canadians' concerns should at least include representatives of governments, the financial services and insurance sector, and the telecommunications sector, along with jurists and experts, or any other group that the government deems it appropriate to involve in the reflection process.
The mandate of this committee should consist of advising the government on legislation and regulations; ensuring the protection of the public; encouraging innovative technological development for the benefit of Canadians and communities; and ensuring the strategic monitoring of best practices around the world, so that Canada is always up to date.
I personally believe that Canada can't pursue excellence in digital technology and artificial intelligence without having the same ambition for data and personal information management. We must all learn from the current situation at the Desjardins Group.
Thank you.