Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Le courriel envoyé au mauvais parent est un incident de confidentialité : le registre en 8 colonnes

Loi et règlement Par Eric Rousseau · 1 novembre 2026 · 10 min de lecture
Enveloppes blanches nouées d'un ruban gris et crayon sur une table blanche
En bref

Un courriel au mauvais parent est un incident de confidentialité à inscrire au registre ; la CAI n’est avisée qu’en cas de préjudice sérieux.

Une éducatrice a envoyé le rapport quotidien de Léa, avec sa fiche d’allergies, à la mère d’un autre enfant du groupe. Faut-il déclarer ça quelque part ? Oui, toujours, et dès aujourd’hui : dans votre registre des incidents de confidentialité. La Loi 25 ne fait pas de différence entre un pirate et un clic de trop. La différence, c’est la suite : la Commission d’accès à l’information (CAI) et les parents ne sont avisés que si l’incident présente un risque de préjudice sérieux. Voici comment faire la distinction, ce que le registre doit contenir, et un gabarit en huit colonnes à copier dans un tableur cet après-midi.

Ce que dit la loi : quatre situations, et l’erreur humaine en fait partie

L’article 3.6 de la Loi sur la protection des renseignements personnels dans le secteur privé définit l’incident de confidentialité par quatre situations : l’accès non autorisé par la loi à un renseignement personnel, son utilisation non autorisée, sa communication non autorisée, et sa perte ou toute autre atteinte à sa protection. Le courriel parti au mauvais parent, c’est le troisième cas, peu importe l’absence d’intention malveillante.

Dès que vous avez des motifs de croire qu’un incident s’est produit, l’article 3.5 impose trois gestes : prendre les mesures raisonnables pour diminuer le risque de préjudice et éviter que ça se reproduise ; si l’incident présente un risque de préjudice sérieux, aviser la CAI « avec diligence » et chaque personne concernée ; et, dans tous les cas, l’inscrire au registre prévu à l’article 3.8, dont la CAI peut demander copie.

Carnet fermé et stylo posés sur une table de bois
Le registre peut tenir dans un tableur ou un cahier : ce qui compte, c’est que chaque incident y soit inscrit, même le plus banal.

Les chiffres de la CAI : l’erreur humaine pèse autant que les pirates

Selon son rapport annuel 2024-2025, la CAI a reçu 514 avis d’incidents de confidentialité, une hausse de 16 % sur un an, dont 80 % provenaient du secteur privé ; sur trois ans, l’augmentation atteint 559 %. Par type : accès non autorisé (251), communication non autorisée (116), perte ou autre atteinte (59), utilisation non autorisée (9), certains avis cochant plus d’une case. Le graphique des causes, à la page 15, est le plus parlant pour un service de garde : cyberattaques (160), mais tout de suite après erreur humaine (110), rançongiciels (106) et communication accidentelle (100). La moitié des causes déclarées n’ont rien à voir avec un criminel. Dans une réponse à une demande d’accès datée du 9 janvier 2026, la CAI ajoute avoir reçu 518 avis entre le 1er janvier et le 10 décembre 2025, et n’avoir encore imposé aucune sanction administrative pécuniaire ni pénalité. Depuis le 27 mai 2025, elle ne publie plus la liste des organisations déclarantes, seulement des statistiques. Déclarer n’est donc ni s’exposer publiquement ni, pour l’instant, se faire punir : le régime vise d’abord à faire agir.

Le registre : huit colonnes, cinq ans, tous les incidents

L’article 7 du Règlement sur les incidents de confidentialité énumère le contenu du registre ; l’article 8 exige qu’il soit tenu à jour et conservé au moins cinq ans après la date où vous avez pris connaissance de l’incident. Les huit éléments, en colonnes :

Colonne Ce que vous inscrivez Exemple (courriel au mauvais parent)
1. Renseignements visés Description des renseignements touchés, ou pourquoi vous ne pouvez pas les décrire Rapport quotidien, fiche d’allergies, nom du médecin
2. Circonstances Brève description de ce qui s’est passé Courriel envoyé à un autre parent du groupe par erreur de sélection
3. Date de l’incident Date ou période, ou approximation 3 novembre 2026, 16 h 10
4. Date de la découverte Date où vous en avez pris connaissance 3 novembre 2026, 16 h 25 (appel du parent destinataire)
5. Personnes concernées Nombre, ou approximation 1 enfant et ses 2 parents
6. Évaluation du préjudice Éléments qui vous font conclure qu’il existe ou non un risque de préjudice sérieux : sensibilité, usages malveillants possibles, conséquences, probabilité Renseignement de santé, mais un seul destinataire connu qui a confirmé la suppression ; risque jugé faible
7. Dates des avis Si préjudice sérieux : dates des avis à la CAI et aux personnes concernées Sans objet ; parents de Léa informés par courtoisie le 3 novembre
8. Mesures prises Mesures prises après l’incident pour diminuer le risque Suppression confirmée par écrit ; rappel à l’équipe ; délai d’annulation d’envoi activé

Ajoutez une neuvième colonne, non exigée mais utile : le nom de la personne qui a consigné l’entrée. Le responsable de la protection des renseignements personnels doit être consulté pour l’évaluation du préjudice (art. 3.7), et le registre le prouve.

Préjudice sérieux ou pas ? Trois critères appliqués à un dossier d’enfant

L’article 3.7 vous demande de considérer la sensibilité du renseignement, les conséquences appréhendées et la probabilité d’un usage préjudiciable :

  • Sensibilité. Un horaire de sieste n’a pas le poids d’un diagnostic, d’un signalement, du numéro d’assurance sociale d’un parent ou de l’adresse d’un enfant visé par une ordonnance de garde restrictive.
  • Conséquences. Humiliation, atteinte à la réputation, perte financière, vol d’identité, conséquences sur un dossier de crédit : ce sont les exemples donnés par le gouvernement du Québec. Pour un enfant, pensez aussi à la sécurité physique quand une adresse circule.
  • Probabilité. Un courriel reçu par un parent connu, qui rappelle dans les quinze minutes et confirme l’avoir supprimé, n’a pas la probabilité d’usage malveillant d’un fichier déposé sur un forum.

Un même geste peut donc tomber d’un côté ou de l’autre. La fiche d’allergies de Léa envoyée à une autre mère du groupe : registre, probablement sans avis à la CAI. La liste complète des 70 familles avec adresses et numéros d’assurance sociale envoyée à tous les parents : registre, avis à la CAI et à chaque famille, parce que le nombre de destinataires et la nature des données changent tout.

L’erreur fréquente : attendre d’être certain avant d’aviser

Beaucoup de directions veulent « finir l’enquête » avant d’écrire à la CAI. La loi dit le contraire : l’avis se donne avec diligence, et l’article 4 du Règlement prévoit justement que vous transmettez ensuite tout renseignement appris après coup. L’article 3 liste les onze éléments de l’avis à la CAI (nom et NEQ de l’organisation, personne à contacter, renseignements visés, circonstances et cause si connue, date de l’incident, date de la découverte, nombre de personnes concernées et de résidents du Québec, éléments du préjudice sérieux, mesures pour aviser les personnes, mesures prises ou prévues, autre organisme de surveillance avisé le cas échéant), et plusieurs acceptent une approximation ou la mention « si connue ». Un avis incomplet envoyé le jour même vaut mieux qu’un avis parfait trois semaines plus tard.

L’exemple : trois courriels en quatre heures à Rosemère

Le 2 juillet 2026, à 15 h 27, la Commission scolaire Sir-Wilfrid-Laurier envoie aux parents de l’École secondaire Rosemère un courriel de rentrée dont la pièce jointe contient, selon CTV News, les numéros d’assurance sociale, les dates de naissance et d’autres renseignements de plus de 1 000 parents. À 16 h 11, un deuxième courriel demande de supprimer le premier ; à 19 h 23, un troisième demande de remplir un formulaire attestant la suppression. L’incident a été déclaré à la CAI. Pas de pirate : une pièce jointe de trop dans un envoi massif. Le récit complet est dans Rosemère : des numéros d’assurance sociale envoyés par courriel. Le Règlement sur les incidents de confidentialité s’applique aux organismes publics comme aux entreprises : un CPE qui envoie la liste des familles à toute sa liste de diffusion a les mêmes obligations.

Ce que ça change pour votre service de garde

  1. Créez le registre aujourd’hui. Un tableur avec les huit colonnes ci-dessus, accès limité à la direction et au responsable. Vingt minutes, aucun coût.
  2. Inscrivez-y les incidents passés dont vous vous souvenez. Un registre crédible n’est pas un registre vide, c’est un registre honnête. Une heure, une fois.
  3. Écrivez dans vos politiques que toute erreur d’envoi est rapportée le jour même au responsable de la protection des renseignements personnels, sans blâme pour la personne qui la signale.
  4. Préparez l’avis à la CAI à l’avance. Une page avec les onze éléments de l’article 3 du Règlement, NEQ et coordonnées déjà remplis ; la CAI offre un formulaire de déclaration en ligne.
  5. Réduisez les erreurs d’envoi à la source. Activez le délai d’annulation d’envoi de votre messagerie, désactivez la saisie automatique des adresses pour les comptes qui envoient des dossiers d’enfants, et préférez le portail parents de votre logiciel aux pièces jointes : le rapport va au bon compte, pas à une adresse tapée de mémoire. Une heure de configuration.
  6. Parcourez le guide de la CAI de janvier 2026, « Prévenir les incidents de confidentialité », en sept étapes avec liste de contrôle. Une réunion d’équipe.

Foire aux questions

Un courriel envoyé au mauvais parent, est-ce vraiment un incident de confidentialité ?

Oui. L’article 3.6 de la Loi sur le privé inclut la communication non autorisée d’un renseignement personnel, peu importe l’intention. L’incident va au registre ; l’avis à la CAI et aux parents n’est obligatoire qu’en cas de risque de préjudice sérieux.

Combien de temps faut-il conserver le registre des incidents ?

Au moins cinq ans après la date où vous avez pris connaissance de l’incident, selon l’article 8 du Règlement sur les incidents de confidentialité. Il doit être tenu à jour et la CAI peut en demander une copie.

Que doit contenir le registre des incidents de confidentialité ?

Les huit éléments de l’article 7 du Règlement : renseignements visés, circonstances, date de l’incident, date de la découverte, nombre de personnes concernées, évaluation du risque de préjudice sérieux, dates des avis à la CAI et aux personnes concernées le cas échéant, et mesures prises.

Est-ce que la CAI va publier le nom de mon CPE si je déclare un incident ?

Non. Depuis le 27 mai 2025, la Commission ne publie plus la liste des organisations ayant déclaré un incident, seulement des statistiques. Au 9 janvier 2026, elle n’avait encore imposé aucune sanction administrative pécuniaire.

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à [email protected].

Sources

À lire aussi

Étiqueté , , , ,

Laisser un commentaire

Votre adresse courriel ne sera pas publiée. Les champs obligatoires sont indiqués avec *