Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

À Sherbrooke, la fuite de dossiers de nouveau-nés venait d’un employé

Faille de sécurité Par Eric Rousseau · 12 janvier 2023 · Mis à jour le 2 novembre 2026 · 11 min de lecture
Allée d'archives remplie de dossiers médicaux sur des rayonnages, photo en noir et blanc
En bref

Pendant environ 10 ans, un employé du réseau de la santé de Sherbrooke a puisé dans des dossiers de nouveau-nés pour faire solliciter leurs parents.

Vous venez d’avoir un bébé. Quelques semaines plus tard, le téléphone sonne : on vous offre un régime d’épargne-études. D’où vient votre numéro ? À Sherbrooke, plusieurs nouveaux parents ont posé la question à l’hôpital, par des plaintes, sans obtenir de réponse. La réponse se trouvait dans le système informatique des CLSC.

Selon une décision de la Commission d’accès à l’information (CAI) rendue le 6 janvier 2022, un infirmier auxiliaire du soutien à domicile cherchait les naissances récentes dans l’index des usagers, notait le nom et le téléphone des parents, puis les transmettait à sa conjointe. Celle-ci travaillait pour une entreprise privée qui appelait les familles pour leur offrir un régime d’épargne-études. La décision le dit sans détour : « Ce stratagème a duré environ 10 ans ».

Pas de pirate, pas de rançon, pas de courriel piégé. Un employé, un accès que son travail justifiait, et des consultations faites une à une que personne ne regardait. C’est l’incident le plus difficile à voir, et celui qu’un CPE est le moins outillé pour détecter.

Ce qui s’est passé

  • Pendant environ 10 ans : l’employé, affecté au soutien à domicile, n’a aucune fonction auprès des nouveau-nés. Il fait pourtant des recherches par dates de naissance récentes dans l’index des usagers du système I-CLSC, puis ouvre chaque fiche pour noter les noms et téléphones des parents (décision de la CAI, par. 4 et 5).
  • Avant avril 2015 : plusieurs plaintes de nouveaux parents sollicités sont adressées à l’hôpital Fleurimont. Les enquêtes internes ne donnent rien, car elles visent le système clinique de l’hôpital, alors que la fuite vient d’un autre établissement, juridiquement distinct à l’époque (par. 7).
  • Avril 2015 : la réforme du réseau fusionne les établissements et crée le CIUSSS de l’Estrie-CHUS (par. 6 et 8).
  • Après la fusion : une famille d’accueil porte plainte. Les archives cherchent cette fois dans toutes les installations de Sherbrooke ; le bris est trouvé du côté de la mission CLSC et des audits identifient l’employé (par. 8).
  • 2016 : découverte du stratagème, selon les observations du CIUSSS (par. 41). L’employé est congédié, puis radié temporairement par le conseil de discipline de son ordre professionnel : 15 mois sur chaque chef, purgés de façon concurrente (par. 9).
  • 20 mai 2017 : le quotidien La Tribune publie l’histoire. La CAI ouvre une enquête de sa propre initiative (par. 1).
  • 22 juin 2021 : avis d’intention de la CAI au CIUSSS et au ministère de la Santé et des Services sociaux (MSSS), propriétaire du système (par. 10).
  • 6 janvier 2022 : décision 1016308-S. La plainte est fondée en partie ; les deux organismes doivent transmettre, dans les 60 jours, un plan d’amélioration de leurs contrôles de sécurité (par. 52 à 54).

Les données touchées

Selon la décision, les renseignements visés sont les noms des nouveau-nés et leurs données démographiques, dont l’adresse des parents et leur numéro de téléphone (par. 19). L’employé retenait surtout ce qui servait à la sollicitation : le nom des parents et leur téléphone (par. 5). Comme ces renseignements servent à la prise en charge des nouveau-nés à la sortie de l’hôpital, la CAI les qualifie de renseignements de santé, donc sensibles (par. 20).

Combien de familles ? La décision ne le précise pas, et aucune autre source publique consultée ne donne de chiffre. Elle donne en revanche l’échelle du système : près de 5 000 personnes utilisent le logiciel I-CLSC chaque jour au CIUSSS, et ses neuf banques de données regroupent plus de 1,3 million de dossiers d’usagers (par. 39). Pour le seul réseau local de Sherbrooke, la base compte 72 profils d’accès différents (par. 30).

Unité néonatale d'hôpital vide avec chariots roses, couveuses et moniteurs, sans aucun bébé
Une unité néonatale vide. Les renseignements visés servaient au suivi des nouveau-nés à la sortie de l’hôpital.

Ce qu’en disent les parents, les experts et les autorités

Les réactions publiques sont minces. L’article de La Tribune de 2017 n’est pas accessible en ligne, et nous n’avons trouvé aucun témoignage de parent publié. La décision de la CAI reste la source principale.

La Commission y pose un constat sévère : les mesures de prévention et de contrôle n’ont pas permis de détecter la situation pendant 10 ans, « malgré plusieurs plaintes de parents » (par. 38). Elle les juge déraisonnables au sens de l’article 63.1 de la Loi sur l’accès.

Mais la CAI conclut aussi que l’accès lui-même était permis : un intervenant de première ligne en CLSC peut avoir à aider rapidement n’importe quel usager de son territoire, et l’accès à tout l’index de sa région respectait l’article 62 (par. 35). La faute n’était pas d’avoir ouvert la porte, mais de ne pas avoir regardé qui passait. Des mesures raisonnables, écrit la Commission, doivent être préventives et permettre un contrôle proactif après coup (par. 45).

Le CIUSSS, dans ses observations, présente l’événement comme le geste d’un seul individu ayant agi en dehors de son rôle clinique (par. 9). Il annonçait un processus de surveillance et d’audit par échantillonnage (par. 42), et le MSSS, un indicateur capable de repérer un volume anormal de consultations (par. 43).

Un cas montréalais montre que la journalisation fonctionne, même tard. Selon La Presse du 23 décembre 2022, quatre employées du CHU Sainte-Justine ont consulté 1 366 dossiers médicaux sans justification, en 2020 ou avant ; l’hôpital les a découverts grâce aux compilations des accès produites par son service informatique. Un professeur de droit de l’information de l’Université de Montréal, interrogé par le journal, y relevait un délai important entre les consultations et leur découverte.

Ce que ça enseigne à un CPE québécois

Un CPE n’est pas un CIUSSS, mais il détient le même genre de liste qu’un vendeur convoite : les familles qui ont un jeune enfant, avec leurs adresses et leurs téléphones. Photographes, assureurs, vendeurs de régimes d’épargne-études : ces coordonnées ont une valeur commerciale.

Trois règles de la Loi sur la protection des renseignements personnels dans le secteur privé, qui s’applique aux CPE, aux garderies et aux bureaux coordonnateurs, éclairent le cas :

  • Le besoin de connaître : un renseignement personnel n’est accessible sans consentement à un employé qu’à la condition qu’il soit nécessaire à l’exercice de ses fonctions (art. 20). C’est l’équivalent, pour le privé, de l’article 62 appliqué au CIUSSS.
  • Des mesures de sécurité raisonnables, proportionnées à la sensibilité, à la quantité et au support des renseignements (art. 10). Pour la CAI, « raisonnable » veut dire pouvoir détecter un abus, pas seulement l’interdire.
  • Un accès ou une utilisation non autorisés sont des incidents de confidentialité (art. 3.6). Ils vont au registre des incidents (art. 3.8) et, s’ils présentent un risque de préjudice sérieux, ils sont déclarés à la CAI et aux personnes concernées (art. 3.5). Ces obligations viennent de la Loi 25.

Le Règlement sur les services de garde éducatifs à l’enfance ajoute une règle propre au réseau : l’accès au dossier éducatif d’un enfant est interdit sans l’autorisation écrite du parent, sauf pour un usage interne lié aux services fournis à cet enfant (art. 123.0.7). Lire par curiosité le portrait périodique d’un enfant d’un autre groupe n’entre pas dans cette exception.

La leçon la plus utile reste celle de la CAI : l’accès peut être légitime et l’abus, invisible. Votre adjointe administrative voit les coordonnées de toutes les familles pour la facturation, et c’est normal. La seule façon de savoir si quelqu’un exporte la liste complète un soir, c’est un journal des accès, et une personne qui le lit.

Ce que ça change pour votre service de garde

  1. Faites l’inventaire de qui voit quoi. Dans votre logiciel de gestion, listez les rôles (direction, adjointe, éducatrices, conseillère pédagogique ; au bureau coordonnateur, les agentes de conformité) et ce que chacun peut consulter, exporter ou imprimer. Comparez avec le besoin réel de chaque poste. Outil : un tableau d’une page. Délai : un mois. Coût : du temps de direction.
  2. Exigez la journalisation des consultations et des exportations. Demandez par écrit à votre fournisseur si son logiciel conserve qui a consulté quel dossier et quand, et pendant combien de temps. C’est la question 5 de nos 12 questions à poser à votre fournisseur de logiciel. Si la fonction manque, inscrivez-la comme exigence au prochain renouvellement.
  3. Lisez les journaux au hasard, chaque mois. C’est l’audit par échantillonnage que le CIUSSS a dû mettre en place. Tirez trois ou quatre consultations et vérifiez leur lien avec le travail de la personne. Cherchez aussi les volumes anormaux : une exportation complète de la liste des familles, des dizaines de fiches ouvertes en quelques minutes. Coût : environ une demi-heure par mois.
  4. Retirez les accès le jour du départ, et suspendez-les pendant les longues absences, avec une liste de vérification signée par la direction. Fermez aussi les comptes partagés : un compte commun « éducatrice » rend tout journal inutile.
  5. Traitez chaque plainte de sollicitation comme un indice. À Sherbrooke, les plaintes ont été vérifiées dans le mauvais système pendant des années. Quand un parent dit avoir été appelé pour un régime d’épargne-études ou une séance de photos juste après l’inscription, notez la date et l’entreprise, puis vérifiez qui avait accès à ses coordonnées.
  6. Faites signer un engagement de confidentialité, et rappelez-le chaque année. Le CIUSSS en faisait signer un à ses nouveaux employés depuis 2015 (par. 40). Ça ne suffit pas seul, mais ça fixe la règle. Écrivez-le dans votre politique de gouvernance : les coordonnées des familles ne servent jamais à des fins commerciales.
  7. Prévoyez la suite si un abus est découvert : registre, évaluation du risque de préjudice avec votre responsable de la protection des renseignements personnels (art. 3.7), puis avis à la CAI et aux familles si le risque est sérieux. Voyez notre registre des incidents en 8 colonnes et les six mentions obligatoires de l’avis aux parents.

Foire aux questions

Un employé qui consulte un dossier sans raison, est-ce un incident de confidentialité ?

Oui. La Loi sur le privé inclut dans l’incident de confidentialité l’accès non autorisé par la loi à un renseignement personnel et son utilisation non autorisée (art. 3.6). Il va au registre des incidents (art. 3.8) et n’est déclaré à la CAI et aux personnes concernées que s’il présente un risque de préjudice sérieux (art. 3.5).

Mes éducatrices doivent-elles voir les fiches de tous les enfants ?

Pas nécessairement. La règle est le besoin de connaître (art. 20). Les allergies ou les personnes autorisées à venir chercher un enfant peuvent être nécessaires à toute personne qui l’accueille, en remplacement par exemple. Le dossier éducatif, lui, est réservé à l’usage interne lié aux services fournis à l’enfant (Règlement, art. 123.0.7).

Combien de familles ont été touchées à Sherbrooke ?

Aucun chiffre n’a été publié. La décision de la CAI du 6 janvier 2022 parle d’un stratagème d’environ 10 ans et de plusieurs plaintes de parents, sans dénombrer les familles sollicitées.

Un logiciel peut-il empêcher ce genre d’abus ?

Pas entièrement. La CAI a jugé que l’accès de l’employé était justifié par ses fonctions. Ce qui manquait, c’était la détection : journaux d’accès, contrôles par échantillonnage, indicateur de volume anormal. Le logiciel fournit la trace ; c’est sa lecture régulière qui protège les familles.

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à [email protected].

Sources

À lire aussi

Étiqueté , , , ,

Laisser un commentaire

Votre adresse courriel ne sera pas publiée. Les champs obligatoires sont indiqués avec *