Dès qu’un incident présente un risque de préjudice sérieux, chaque parent concerné reçoit un avis contenant les six mentions de l’article 5 du Règlement.
Vos dossiers ont fuité. Peut-être un rançongiciel, peut-être une pièce jointe de trop. Qu’est-ce que vous écrivez aux parents, et quand ? Quand : dès que vous concluez que l’incident présente un risque de préjudice sérieux, « avec diligence », ni plus tôt dans la panique, ni plus tard par honte. Quoi : un avis qui contient obligatoirement six mentions, listées à l’article 5 du Règlement sur les incidents de confidentialité. La Commission d’accès à l’information (CAI) n’offre aucun modèle. En voici un, dans la voix d’un service de garde, avec un contre-exemple réel pour savoir ce qu’il ne faut pas reproduire.
Ce que dit la loi : quand l’avis devient obligatoire
L’article 3.5 de la Loi sur la protection des renseignements personnels dans le secteur privé (Loi 25) pose la règle : si l’incident présente un risque qu’un préjudice sérieux soit causé, vous avisez la CAI avec diligence et « toute personne dont un renseignement personnel est concerné par l’incident ». Si vous ne le faites pas, la Commission peut vous l’ordonner. Omettre de déclarer un incident quand on y est tenu est une infraction pénale (art. 91, paragraphe 2) et un motif de sanction administrative pécuniaire (art. 90.1).
Le seuil, c’est le préjudice sérieux : sensibilité du renseignement, conséquences appréhendées et probabilité d’un usage préjudiciable (art. 3.7), évalués avec votre responsable de la protection des renseignements personnels. Le gouvernement du Québec donne des exemples : humiliation, atteinte à la réputation, perte financière, vol d’identité, conséquences sur un dossier de crédit. Une liste de familles avec numéros d’assurance sociale ou des notes d’observation sur un enfant franchissent ce seuil sans débat. Seule exception : vous pouvez attendre tant qu’aviser les parents serait susceptible d’entraver une enquête policière ; dès que ce n’est plus le cas, l’avis part.
Les six mentions obligatoires de l’article 5
| Mention | Ce que le Règlement exige | Dans un CPE |
|---|---|---|
| 1. Renseignements visés | Description des renseignements touchés ou, si vous l’ignorez, pourquoi vous ne pouvez pas les décrire | « Le nom de votre enfant, sa date de naissance, votre adresse et vos numéros de téléphone » |
| 2. Circonstances | Brève description des circonstances | « Un accès non autorisé à notre serveur de fichiers par un logiciel malveillant » |
| 3. Date | Date ou période de l’incident, ou approximation | « Entre le 12 et le 14 novembre 2026 » |
| 4. Mesures prises | Mesures prises ou prévues pour diminuer le risque | « Nous avons isolé le serveur, déposé une plainte à la police et avisé la CAI » |
| 5. Mesures suggérées | Mesures suggérées au parent pour diminuer ou atténuer le préjudice | « Surveillez vos relevés, envisagez une alerte ou un gel de sécurité sur votre dossier de crédit » |
| 6. Coordonnées | Coordonnées pour se renseigner davantage | « Marie Tremblay, directrice générale, 418 555-0199, [email protected] » |
Avis individuel ou avis public ?
Selon l’article 6 du Règlement, l’avis est transmis à chaque personne concernée. Un avis public (site web, médias, affichage) ne le remplace que dans trois situations : préjudice accru pour la personne, difficulté excessive pour l’organisation, ou coordonnées inconnues. Vous pouvez publier un avis public en plus, pour agir vite, mais l’avis individuel reste dû avec diligence. Pour un service de garde qui possède le courriel et le téléphone de chaque famille, l’avis individuel est la règle. Pensez aux anciennes familles : les dossiers d’enfants partis depuis deux ans sont aussi dans le serveur.
L’erreur fréquente : trois courriels en quatre heures
Le 2 juillet 2026, à 15 h 27, la Commission scolaire Sir-Wilfrid-Laurier envoie aux parents de l’École secondaire Rosemère un courriel de rentrée dont la pièce jointe contient, selon CTV News, les numéros d’assurance sociale, les dates de naissance et d’autres renseignements de plus de 1 000 parents. À 16 h 11, un deuxième courriel intitulé « COURRIEL URGENT À SUPPRIMER » demande de ne pas ouvrir le premier. À 19 h 23, un troisième demande de remplir un formulaire attestant que le message a été supprimé, sans copie ni partage, avec une échéance au lendemain 16 h. Des parents ont dit à CTV ne pas savoir quoi faire pour se protéger ; l’un d’eux hésitait à signer le formulaire par crainte de perdre un recours. Le 6 juillet, la commission scolaire annonçait trois ans de surveillance de crédit sans frais pour les personnes touchées, et une demande d’action collective était déposée le même jour. Le détail est dans Rosemère : des numéros d’assurance sociale envoyés par courriel.
Ce qu’il ne faut pas reproduire : des messages successifs qui disent « supprimez » sans dire ce qui a fuité, un formulaire qui ressemble à une décharge, et aucune mesure suggérée ni personne-ressource dans les premières heures. Les six mentions existent justement pour éviter ça, et l’article 5 du Règlement s’applique autant aux organismes publics qu’aux entreprises.
Surveillance de crédit et gel de sécurité : quoi suggérer aux parents
Quand des numéros d’assurance sociale ou des renseignements bancaires sont touchés, la mesure suggérée la plus utile concerne le dossier de crédit. Depuis le 1er février 2023, la Loi sur les agents d’évaluation du crédit oblige Equifax et TransUnion à offrir trois mesures de protection : le gel de sécurité, l’alerte de sécurité et la note explicative (art. 8). Le gel interdit à l’agence de communiquer le dossier pour la conclusion d’un contrat de crédit, une hausse de limite ou un contrat de téléphonie (art. 9). L’exercice des droits prévus par cette loi est gratuit, sauf le gel de sécurité (art. 15), pour lequel des frais peuvent s’appliquer : invitez les parents à vérifier auprès de chaque agence. Dans les cas récents, les organisations ont offert une surveillance de crédit payée pendant trois ans ; si votre assurance ou votre budget le permet, c’est la mesure que les parents retiennent.
Le gabarit : l’avis dans la voix d’un service de garde
Objet : Incident touchant les renseignements personnels de votre famille au CPE [Nom]
Bonjour [Prénom Nom],
Nous vous écrivons parce qu’un incident de confidentialité a touché des renseignements qui concernent votre enfant [Prénom] et vous-même. Voici ce que nous savons aujourd’hui.
Ce qui s’est passé (mentions 2 et 3) : Le [date ou période], [un accès non autorisé à notre serveur de fichiers / un courriel envoyé par erreur à d’autres parents / le vol d’un ordinateur portable]. Nous en avons pris connaissance le [date].
Les renseignements touchés (mention 1) : [nom et date de naissance de votre enfant, votre adresse, vos numéros de téléphone, votre numéro d’assurance sociale]. [Si inconnu : Nous ne pouvons pas encore confirmer la liste exacte ; nous vous écrirons dès que nous le saurons.]
Ce que nous avons fait (mention 4) : [Nous avons isolé le système touché, changé tous les mots de passe, déposé une plainte à la police le [date] et avisé la Commission d’accès à l’information le [date].]
Ce que nous vous suggérons (mention 5) : [Surveillez vos relevés bancaires. Envisagez une alerte ou un gel de sécurité sur votre dossier de crédit auprès d’Equifax et de TransUnion. Méfiez-vous des appels ou courriels qui mentionnent le CPE ou votre enfant et demandent de l’argent ou un code.]
Pour en savoir plus (mention 6) : [Prénom Nom], [titre], responsable de la protection des renseignements personnels, [téléphone], [courriel], de [heures].
Nous sommes désolés de l’inquiétude que cette situation vous cause. Nous vous tiendrons informés de toute nouvelle information.
[Signature de la direction générale]
Même texte pour la lettre papier, pour les familles dont vous n’avez pas le courriel à jour. Envoyez l’avis à la CAI en parallèle, avec les onze éléments de l’article 3 du Règlement, et complétez-le ensuite (art. 4) : ni l’un ni l’autre n’attend la fin de l’enquête.
Ce que ça change pour votre service de garde
- Enregistrez le gabarit dans vos modèles de courriel, avec le nom et les coordonnées de votre responsable déjà remplis. Quinze minutes.
- Gardez une liste de diffusion à jour, exportable en une minute, incluant les familles parties dont les dossiers sont encore chez vous.
- Décidez à l’avance qui tranche le préjudice sérieux et dans quel délai : par exemple la direction générale et la présidence du CA, dans les 24 heures suivant la découverte.
- Préparez une fiche d’une page sur le gel et l’alerte de sécurité (liens Equifax et TransUnion, coordonnées de la CAI, Centre antifraude du Canada), à joindre à l’avis.
- Vérifiez votre assurance. Si votre police couvre les frais d’avis et la surveillance de crédit, vous saurez d’avance ce que vous pouvez promettre aux parents. Sinon, demandez un prix à votre courtier.
- Consignez tout au registre : les dates des avis à la CAI et aux parents sont des éléments obligatoires du registre (art. 7 du Règlement), conservé cinq ans.
Foire aux questions
Quand un CPE doit-il aviser les parents d’un incident de confidentialité ?
Dès que l’incident présente un risque de préjudice sérieux, évalué selon la sensibilité des renseignements, les conséquences possibles et la probabilité d’un usage malveillant (art. 3.5 et 3.7 de la Loi sur le privé). L’avis part avec diligence, sans attendre la fin de l’enquête, sauf si une enquête policière l’exige.
Que doit contenir l’avis aux parents ?
Les six mentions de l’article 5 du Règlement sur les incidents de confidentialité : renseignements visés, circonstances, date ou période, mesures prises, mesures suggérées aux personnes concernées et coordonnées pour obtenir plus d’information.
Peut-on remplacer les courriels individuels par un avis sur le site web ?
Seulement dans les trois cas de l’article 6 du Règlement : préjudice accru, difficulté excessive ou coordonnées inconnues. Un avis public peut s’ajouter pour agir vite, mais l’avis individuel reste obligatoire pour chaque famille dont vous avez les coordonnées.
Le gel de sécurité du dossier de crédit est-il gratuit au Québec ?
La Loi sur les agents d’évaluation du crédit, en vigueur sur ce point depuis le 1er février 2023, rend gratuit l’exercice des droits qu’elle prévoit, sauf le gel de sécurité (art. 15). Des frais peuvent donc être exigés ; les parents doivent vérifier auprès d’Equifax et de TransUnion. L’alerte de sécurité, elle, est gratuite.
Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à [email protected].
Sources
- Règlement sur les incidents de confidentialité (RLRQ, c. A-2.1, r. 3.1), art. 3 à 8, LégisQuébec
- Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), art. 3.5, 3.7, 90.1 et 91, LégisQuébec
- Gouvernement du Québec, « Incident de confidentialité » (critères et exemples de préjudice sérieux)
- CTV News Montréal, « Thousands of parents’ personal information leaked in Montreal-area high school security breach », 3 juillet 2026
- Commission scolaire Sir-Wilfrid-Laurier, page d’information aux familles sur l’incident et la protection de crédit, juillet 2026
- Loi sur les agents d’évaluation du crédit (RLRQ, c. A-8.2), art. 8, 9 et 15, LégisQuébec
- Ministère des Finances du Québec, « Entrée en vigueur du gel de sécurité », communiqué du 1er février 2023
À lire aussi
Le courriel envoyé au mauvais parent est un incident de confidentialité : le registre en 8 colonnes
1 novembre 2026 · 10 min de lecture
Un CPE, c’est du « privé » au sens de la Loi 25 : qui est votre responsable et ce que vous risquez
1 novembre 2026 · 11 min de lecture