Points clés
- CBC News a rapporté le 21 octobre 2026 qu’une fuite de la plateforme de gestion des dénonciations P3 a exposé plus de 1,5 million de dénonciations transmises aux programmes canadiens de Crime Stoppers sur environ 25 ans, dont plus de 850 000 contenaient des renseignements personnels et des noms complets en clair dans plus de 4 300 rapports.
- Navigate360, la société américaine derrière P3, a changé de version pendant des mois : la section torontoise de Crime Stoppers dit qu’on lui a d’abord affirmé qu’aucune donnée canadienne n’avait été prise, puis que Toronto n’était pas touchée, puis que 176 859 rapports torontois de janvier 2022 à novembre 2025 avaient été compromis.
- Une note interne du 18 juin du président de l’Association canadienne de Crime Stoppers ordonnait aux sections de ne pas contacter leur commissaire régional à la protection de la vie privée, au motif que le commissaire n’aurait pas compétence sur Crime Stoppers. Au moins sept sections ont depuis suspendu leurs programmes de dénonciation.
Quand l’anonymat est le produit
Crime Stoppers ne vend qu’une chose : la promesse de pouvoir dénoncer un crime sans que personne ne connaisse votre nom. Cette semaine, cette promesse a échoué à l’échelle industrielle. L’enquête de CBC a révélé qu’une fuite de mars touchant P3 Global Intel, la plateforme infonuagique de gestion des dénonciations appartenant à la société américaine Navigate360, a exposé une copie des données piratées contenant 1,5 million de dénonciations transmises aux programmes canadiens de Crime Stoppers sur environ 25 ans. L’analyse de CBC montre que plus de 850 000 de ces dénonciations contenaient des renseignements personnels : adresses, numéros de téléphone, courriels, certains détails bancaires liés aux récompenses. Dans plus de 4 300 rapports, les noms complets des dénonciateurs figuraient en clair dans le texte, alors que la politique de Crime Stoppers ne demande jamais de données d’identification.
La section torontoise a suspendu entièrement son programme, retirant sa fonction de dépôt de dénonciations et demandant au public de ne plus envoyer de dénonciations par téléphone, en ligne ou via l’application. Au moins sept sections au Canada ont suivi, et les services policiers de Toronto, Durham, York, Halton, Windsor, Guelph et Hamilton ont suspendu leurs partenariats le temps d’examiner la fuite. Une ville dont le principal canal de dénonciation anonyme est hors ligne a moins d’yeux sur le crime, ce qui est précisément le tort que le programme devait prévenir.
La version du fournisseur n’a cessé de changer
Straight Arrow News a révélé l’affaire le 18 mars : le collectif hacktiviste Internet Yiff Machine lui avait remis, ainsi qu’à l’organisme Distributed Denial of Secrets, plus de 8,3 millions d’enregistrements volés dans P3. Les enregistrements couvrent la période de 1987 à novembre 2025. Le chef de la direction de Navigate360, JP Guilbault, a déclaré que l’entreprise avait retenu une firme d’expertise judiciaire et qu’elle n’avait « pas confirmé qu’une information sensible ait été consultée ou utilisée de manière abusive ». P3 est restée en ligne. La suite compte, car la section torontoise a tenu une chronologie :
| Moment | Ce que Navigate360 a dit à Toronto | Ce que l’analyse de CBC a révélé |
|---|---|---|
| 18 mars | La fuite est réelle; expertise judiciaire retenue; aucune utilisation abusive « confirmée »; le système reste en ligne | 8,3 millions d’enregistrements déjà en circulation, remontant à 1987 |
| 25 mars | Le système est « sûr et pleinement opérationnel » | Des soumissions brutes, avant caviarage, dans les données volées |
| Après mars | Aucune donnée canadienne prise | Des dénonciations canadiennes dans tout le jeu de données |
| Ensuite | Toronto n’était pas touchée | Plus de 179 000 dénonciations torontoises dans la fuite |
| Juin | Dénonciations de janvier 2022 à novembre 2025 touchées : 176 859 rapports, environ 12 392 avec des renseignements personnels | Plus de 4 300 rapports avec des noms complets de dénonciateurs en clair |
Le président de la section torontoise, Sean Sportun, dit que Navigate360 n’a toujours pas remis à la section le texte des dénonciations volées. Ali Dehghantanha a examiné des échantillons des données dans le cadre de l’enquête de CBC. Il a compté ce qui ressemblait à six versions différentes en sept mois et affirme que cela soulève de sérieuses questions sur la capacité du fournisseur à enquêter sur la fuite et à colmater les failles derrière elle. La GRC dit qu’on lui a d’abord affirmé que les données canadiennes n’étaient pas touchées, puis qu’elle a appris en mai qu’elles l’étaient. Chaque correction après la première est un retrait de confiance, et le solde est maintenant vide.
La note : n’appelez pas le commissaire
Le document le plus cinglant du reportage de CBC n’est pas technique. C’est une note interne du 18 juin du président de l’Association canadienne de Crime Stoppers, David Forster, obtenue par CBC, qui ordonnait aux sections : « Nous ne croyons pas actuellement que vous êtes tenus, ni que vous devriez contacter le commissaire à la protection de la vie privée de votre région pour le moment. » Le fondement : l’association avait « précédemment évalué » que le commissaire n’a pas compétence sur Crime Stoppers.
J’ai déjà vu des versions de cette note dans la réponse aux incidents en entreprise, et elles vieillissent toujours mal. Que la théorie juridictionnelle tienne ou non, ce n’est pas le point. La structure, un organisme de bienfaisance en partenariat avec les services policiers et fonctionnant sur la plateforme d’un fournisseur américain, rend la compétence réellement nébuleuse, mais la note date de juin, trois mois après que la fuite est devenue publique, et les données qu’elle devait contenir sont toujours là. La déclaration du 22 octobre de Forster affirme que des experts tiers ont enquêté, trouvé et corrigé les vulnérabilités et renforcé les systèmes actuels, mais elle est honnête sur la limite : « Ils ne peuvent pas annuler l’exposition des informations déjà prises, ce qui demeure une préoccupation sérieuse. » Cette phrase est tout le dossier en miniature. La remédiation répare l’avenir. Rien ne répare le passé, et demander aux sections de ne pas appeler le régulateur en juin ressemble, avec le recul, à du temps passé sur le mauvais problème.
La loi est plus mince que la promesse
Michael Geist, qui a commenté le dossier pour CBC, l’a qualifiée de « potentiellement l’une des fuites de données les plus nuisibles jamais vues au Canada ». Son analyse juridique est la partie que les équipes de protection de la vie privée devraient classer :
- Le collecteur est responsable. Sous la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), l’organisation qui recueille les renseignements en est responsable, même quand un sous-traitant les détient. Crime Stoppers ne peut pas s’en exonérer par contrat, et vous non plus avec vos propres responsables de traitement.
- L’application transfrontalière est difficile. Navigate360 est une société texane. Faire mordre une ordonnance canadienne de l’autre côté de la frontière est le point faible de chaque dossier canadien avec un fournisseur américain.
- La boîte à outils fédérale est vide. Si le commissaire à la protection de la vie privée enquête, il ne peut rendre qu’une conclusion non contraignante. La LPRPDE ne prévoit aucune sanction administrative pécuniaire, et l’indemnisation des dénonciateurs touchés devrait passer par des recours collectifs, comme l’a dit Geist. Le guide du commissaire sur l’évaluation des fournisseurs tiers, ouvert aux commentaires jusqu’au 4 décembre, dit exactement ce qui aurait dû se produire ici : cartographier vos flux de données vers les sous-traitants, et demander si le fournisseur utilisera les données pour ses propres fins. Personne ne peut citer une amende canadienne qui donnerait à ce guide plus de force qu’un conseil.
La phrase de Geist sur l’état du droit mérite d’être citée au complet : « Il y a une urgence réelle à moderniser le droit canadien de la protection de la vie privée, qui est lamentablement désuet. Et en tête de liste se trouve une application vraiment faible. » Une fuite qui démasque des dénonciateurs et un fournisseur qui a réécrit son récit pendant sept mois, voilà ce que « l’application faible » achète.
Ce que cela change dans votre dossier fournisseur
Soumettez votre propre P3 à quatre questions, et répondez-y à partir de contrats et de preuves, pas du discours commercial du fournisseur :
- Où résident les données brutes ? Toronto dit que les données d’identification sont normalement retirées avant que les dénonciations parviennent aux enquêteurs, mais les données volées venaient du dépôt pré-caviardage. Le caviarage en aval ne protège rien si la copie en amont est exposée. Demandez à vos fournisseurs où se trouve la version la plus brute de vos données, et qui peut la voir.
- Que dit votre contrat sur la divulgation d’incidents ? Six versions changeantes en sept mois laissent croire à un contrat sans norme de divulgation ou ignoré par le fournisseur. Inscrivez la chronologie au contrat : ce que le fournisseur vous dit, dans quel délai, par écrit.
- Qui détient l’expertise judiciaire ? Navigate360 a retenu sa propre firme, gardé ses conclusions pour elle et n’a jamais remis le texte volé à la section touchée. Votre contrat devrait vous donner les conclusions d’un expert indépendant, pas le résumé du fournisseur.
- Quel régulateur reçoit l’appel ? Si votre note d’incident commence par une théorie de compétence plutôt que par un plan de notification, réécrivez-la. La question de compétence est réelle, mais les régulateurs remarquent qui a appelé et quand.
Mesure concrète : Cette semaine, prenez le fournisseur qui détient vos données les plus sensibles et demandez-lui deux choses par écrit : l’emplacement exact et la conservation de la copie brute, avant tout traitement, et son obligation contractuelle de vous remettre les conclusions de l’expertise judiciaire de tout incident dans un nombre de jours fixe. Si l’une ou l’autre réponse est vague, vous courez le profil de risque de Toronto avec votre propre budget. Un anonymat qui ne vit que dans la configuration du fournisseur est un argument de vente, pas un contrôle, et cette semaine en a fait la preuve.