Points clés
- Le 26 octobre 2026, le Commissariat a annoncé que Les Compagnies Loblaw limitée a signé une lettre de conformité le 21 octobre à la suite d’une cyberattaque survenue en février 2026 qui a touché environ deux millions de Canadiens, en s’engageant à faire évaluer ses mesures de sécurité renforcées par une firme externe et à rendre compte des recommandations supplémentaires.
- L’enquête du Commissaire reste ouverte jusqu’à ce qu’il soit satisfait que Loblaw a respecté tous ses engagements, une fin différente de celle de WestJet, dont l’enquête a été close le 14 octobre à la suite d’une lettre de conformité.
- Le compte rendu de Loblaw sur les données prises s’est élargi entre mars et octobre, passant de simples coordonnées à des dates de naissance, des numéros de compte de fidélisation, des détails de commandes et des renseignements incomplets sur des cartes de paiement, ce qui explique pourquoi la séquence des avis compte autant que la correction.
La lettre, et la phrase qui compte le plus
Le Commissariat a annoncé la lettre le 26 octobre 2026, depuis Gatineau. Loblaw l’a signée le 21 octobre. Les engagements sont précis : confier à une firme de sécurité externe l’évaluation de l’efficacité des mesures renforcées, et dire au Commissaire comment l’entreprise donnera suite à toute recommandation supplémentaire de cette firme.
Vient ensuite la phrase qui distingue ce dossier du précédent. L’enquête du Commissaire restera ouverte jusqu’à ce qu’il soit satisfait que Loblaw a respecté tous ses engagements. Une lettre de conformité est une voie volontaire, ni une sanction ni une conclusion. Mais un dossier ouvert reste un dossier ouvert, et le communiqué ne donne ni échéance ni test public de ce que « satisfait » exigera. C’est le fil à suivre, parce que tout le reste du communiqué appartient déjà au passé.
Retour en arrière : de février à octobre
L’attaque elle-même remonte à février 2026, quand un groupe de pirates a accédé aux systèmes de Loblaw et aux renseignements de comptes de clients. En mars, Loblaw a circonscrit l’incident avec l’aide d’une firme de cybersécurité externe, a publié un avis public sur son site Web et un message dans l’application PC Optimum, et a avisé le Commissariat. Les clients l’ont d’abord remarqué par une déconnexion forcée de l’application PC Optimum.
Ce que Loblaw a dit avoir été pris a changé au fil de l’enquête. L’avis de mars décrivait des coordonnées de base. La mise à jour du 2 octobre énumérait des noms, des adresses, des numéros de téléphone, des adresses courriel, des dates de naissance, des numéros de compte de fidélisation, certains détails de commandes et des renseignements incomplets sur des cartes de paiement, en précisant que la combinaison variait selon le client. L’avis direct aux personnes touchées a commencé dans les semaines suivantes, et Loblaw offre une surveillance du crédit et des services de rétablissement d’identité gratuits par l’entremise de TransUnion.
J’ai déjà vu ce schéma d’élargissement, et c’est la partie d’un dossier d’atteinte qui nuit le plus à la confiance. Le premier avis est rédigé quand l’équipe en sait le moins. Chaque révision qui suit ressemble à une correction, même quand elle ne fait que refléter l’avancement de l’enquête. La solution est simple et elle fonctionne : limiter le premier avis à ce qui est confirmé, dire clairement que la liste peut s’allonger, et fixer une date pour la prochaine mise à jour.
Deux lettres, deux fins
Douze jours avant l’annonce concernant Loblaw, le Commissariat a clos son dossier WestJet. Le contraste est l’histoire même, parce que l’instrument est identique et le résultat ne l’est pas.
| WestJet | Loblaw | |
|---|---|---|
| Atteinte | Cyberattaque divulguée en 2026, plus de cinq millions de clients et d’employés touchés | Cyberattaque de février 2026, environ deux millions de Canadiens touchés |
| Lettre de conformité signée | Juillet 2026 | 21 octobre 2026 |
| Annonce du Commissariat | 14 octobre 2026 : satisfait, enquête close | 26 octobre 2026 : engagements annoncés, enquête ouverte |
| Engagements de l’entreprise | Authentification multifactorielle, contrôles d’identité et d’accès, sensibilisation à la sécurité, évaluation indépendante de la sécurité | Firme externe pour évaluer les mesures renforcées, rapport sur les recommandations supplémentaires |
| Ce qui clôt le dossier | Engagements respectés, annoncés publiquement | Satisfaction du Commissaire, aucune date donnée |
WestJet est le modèle de la clôture d’une lettre de conformité. Loblaw est le test en direct de la durée d’ouverture d’une telle lettre, et de la question de savoir si les conclusions de l’évaluation externe seront un jour rendues publiques. Le Commissariat a décrit les lettres de conformité volontaires comme un moyen de régler efficacement les questions de protection de la vie privée avec des entreprises motivées à s’améliorer. Cette présentation a deux tranchants. Efficace pour le régulateur et l’entreprise, mais le public ne connaît l’issue que lorsque le Commissaire se dit satisfait, et rien dans le communiqué ne s’engage à publier l’évaluation.
Ce qu’il faut retenir de la paire
Lisez la lettre, pas seulement le titre. Une annonce de lettre de conformité dit ce qu’une entreprise a promis, pas ce qu’elle a prouvé. L’avis de clôture de WestJet est l’événement probant. Loblaw n’en a pas encore eu, alors tout questionnaire de fournisseur ou de partenaire qui traite l’annonce du 26 octobre comme une résolution prend de l’avance sur les faits.
Inscrivez la clause d’évaluation dans votre propre plan de réponse aux incidents. L’engagement de Loblaw est un modèle utile : une firme externe vérifie la correction, et le rapport va au régulateur avec un plan de réponse. Si votre réponse à une atteinte s’arrête à « nous avons circonscrit l’incident et renforcé les systèmes », vous n’avez ni vérification indépendante ni trace écrite pour le prochain questionnaire.
Planifiez les avis comme si la portée allait s’élargir. L’élargissement de mars à octobre chez Loblaw est normal dans une vraie enquête, et il passe quand même mal. Promettez la prochaine mise à jour dès le premier avis, et tenez cette promesse même si la mise à jour dit « aucun changement pour l’instant ».
Mesure concrète : Si Loblaw figure dans votre inventaire de tiers, mettez son dossier à jour cette semaine : incident ouvert, lettre de conformité signée le 21 octobre 2026, évaluation externe en attente, dossier du Commissariat ouvert sans date de clôture. Vérifiez de nouveau le dossier quand le Commissariat annoncera sa satisfaction, et traitez toute affirmation de clôture avant cette annonce comme non vérifiée.