Points clés
- Le 27 octobre 2026, le Commissaire à la protection de la vie privée, Philippe Dufresne, a ouvert une enquête sur Navigate360, l’entreprise commerciale derrière la plateforme de gestion des signalements utilisée par les programmes canadiens de Crime Stoppers, pour vérifier si ses mesures de sécurité au moment de l’atteinte respectaient la LPRPDE.
- La cible compte parce que la LPRPDE ne s’applique généralement pas aux organismes sans but lucratif, et Crime Stoppers en est un. L’enquête vise le fournisseur, pas l’organisme de bienfaisance, ce qui règle la question de compétence qui laissait les informateurs sans régulateur évident la semaine dernière.
- Au 26 octobre, au moins 11 programmes de Crime Stoppers avaient suspendu la réception des signalements et 24 services de police avaient suspendu leurs partenariats, selon un décompte de CBC, et la Police provinciale de l’Ontario a dit le 27 octobre qu’elle suspend la promotion de Crime Stoppers pendant l’évaluation des répercussions.
L’annonce est arrivée une semaine après la révélation
Il y a une semaine, le dossier Crime Stoppers ressemblait à une impasse réglementaire. L’enquête de CBC avait révélé que plus de 1,5 million de signalements canadiens s’étalant sur environ 25 ans avaient été exposés par la plateforme P3, avec des renseignements personnels dans plus de 850 000 d’entre eux et des noms complets non caviardés dans plus de 4 300 rapports. J’ai traité de cette atteinte, et de la note interne demandant aux sections de ne pas appeler leur commissaire à la vie privée, le 23 octobre. Sous ce dossier se cachait un problème de compétence : l’organisme de bienfaisance au centre de l’affaire échappe à la LPRPDE, et le chien de garde fédéral n’avait donc aucun dossier évident à ouvrir.
Le 27 octobre a changé la donne. Le Commissaire a ouvert une enquête sur Navigate360 elle-même, l’entreprise américaine qui exploite P3. La déclaration du Commissariat est brève : l’enquête examinera les mesures de sécurité en place chez Navigate360 au moment de l’atteinte, pour vérifier le respect de la loi fédérale sur la protection des renseignements personnels dans le secteur privé. Le Commissariat a dit avoir communiqué avec les deux organisations, en mettant l’accent sur le confinement et la prévention d’une répétition.
Pourquoi le fournisseur, et pourquoi les mesures de sécurité
La LPRPDE s’applique aux organisations qui recueillent, utilisent ou communiquent des renseignements personnels dans le cadre d’activités commerciales. Cette phrase fait l’essentiel du travail ici. Navigate360 vend et exploite la plateforme. Crime Stoppers, en tant qu’organisme sans but lucratif, échappe généralement à la Loi. Le régulateur n’a pas étiré la loi pour couvrir l’organisme de bienfaisance. Il a suivi l’argent et les serveurs jusqu’à l’entreprise qui détenait les données.
Les mesures de sécurité sont aussi un test choisi à dessein. Le Commissariat n’enquête pas, à ce stade, sur la qualité des avis envoyés aux informateurs, ni sur l’honnêteté de la promesse d’anonymat. Il pose une question plus étroite, avec une trace écrite : quelles protections étaient en place quand un tiers non autorisé a copié des données entre le 21 novembre 2025 et le 5 mars 2026, et étaient-elles suffisantes pour des données aussi sensibles? Navigate360 a dit le 23 octobre que des noms, des adresses, des dates de naissance, des numéros de téléphone et des adresses courriel ont pu être touchés. Son affirmation ajoutée, selon laquelle rien n’indique une utilisation à des fins de fraude ou de vol d’identité, vient de l’entreprise, pas d’une conclusion.
Trois dossiers d’atteinte, trois fins différentes pour l’instant
L’enquête sur Navigate360 côtoie deux dossiers de lettres de conformité du même mois. Le dossier de WestJet est clos. Celui de Loblaw reste ouvert jusqu’à ce que le Commissaire soit satisfait. Celui de Navigate360 vient de s’ouvrir, sans entente de conformité sur la table pour l’instant.
| Dossier | Ce que le Commissariat a fait | État actuel |
|---|---|---|
| WestJet | A clos l’enquête le 14 octobre 2026 après que la compagnie eut respecté tous les engagements de sa lettre de conformité de juillet | Clos |
| Loblaw | A annoncé le 26 octobre 2026 que Loblaw a signé une lettre de conformité, avec une évaluation externe de ses mesures renforcées encore à venir | Ouvert jusqu’à ce que le Commissaire soit satisfait |
| Navigate360 | A ouvert une enquête le 27 octobre 2026 sur les mesures de sécurité au moment de l’atteinte | Ouvert, aucune conclusion pour l’instant |
Une autre différence mérite d’être nommée clairement. En vertu de la LPRPDE dans sa forme actuelle, le Commissaire ne peut pas imposer d’amende à Navigate360. Les outils au bout de ce chemin sont des conclusions, une entente de conformité négociée du type de celles signées par WestJet et Loblaw, et, si un plaignant ou le Commissaire porte l’affaire devant elle, la Cour fédérale. Il s’agit d’une reddition de comptes plus lente qu’une pénalité, et c’est pourquoi les conclusions publiques de l’enquête compteront plus que son annonce d’ouverture. Une conclusion qui nomme des lacunes précises devient la liste de vérification à laquelle on mesurera tous les autres fournisseurs détenant des données sensibles.
Ce qu’il faut vérifier dans vos propres dossiers de fournisseurs
Si vous achetez une plateforme qui détient des renseignements personnels pour vous, posez ces quatre questions avant le prochain renouvellement, pas après la prochaine atteinte :
- Qui détient réellement les données, et votre contrat nomme-t-il cette entreprise, pas seulement la marque sur la page de connexion?
- Quelles mesures de sécurité étaient en place le jour de la signature, et le fournisseur peut-il montrer des preuves datées de ce moment, pas une politique rédigée après un incident?
- Si le fournisseur subit une atteinte, qui avise les personnes touchées, selon quel délai, et qui décide si l’avis lui-même crée un risque pour la sécurité?
- Quand votre fournisseur dit qu’il n’y a aucune preuve d’utilisation abusive, traitez-vous cela comme une mise à jour avec une date d’expiration, ou comme une conclusion?
Personne n’a encore publié de réponse à la question qui compte le plus pour les personnes visées par ces 1,5 million de signalements : seront-elles informées, individuellement, de ce qui a été exposé les concernant? L’association nationale a soutenu que l’avis lui-même pourrait créer des risques pour la sécurité, parce que les dossiers ne séparent pas nettement les informateurs des personnes nommées dans les signalements. L’enquête pourrait imposer une meilleure réponse que celle-là.
Mesure concrète : Si un fournisseur détient des renseignements personnels sensibles pour vous, demandez-lui par écrit cette semaine ses preuves en matière de mesures de sécurité et son délai d’avis d’atteinte. S’il ne peut produire ni l’un ni l’autre, cette lacune est votre conclusion. Vous n’avez pas besoin d’attendre qu’un régulateur la rédige pour vous.