Collège Saint-Charles-Garnier : aviser tout le monde quand on ignore ce qui a été pris

Le 27 mars 2025, les systèmes informatiques du Collège Saint-Charles-Garnier, une école secondaire privée de Québec, éprouvent des difficultés techniques. L’enquête menée avec des experts externes confirme qu’un tiers non autorisé a accédé à des données. Mais elle ne permet pas de dire lesquelles. Devant cette incertitude, le Collège fait un choix que peu d’organisations font : aviser toutes les personnes pour lesquelles il détenait des renseignements sensibles en format informatique. Élèves actuels et anciens, parents, employés, et même les clients de son stationnement et de ses cours de langue.

Son avis public, daté du 6 août 2025, est un document qu’on voit rarement : un avis d’incident complet, publié par un établissement d’enseignement québécois, avec la liste des renseignements touchés par catégorie de personnes. C’est l’occasion de le comparer, mention par mention, avec ce que la loi exige d’un avis aux personnes concernées, et de voir ce qu’un CPE peut en retenir pour le jour où il devra écrire le sien.

Ce qui s’est passé

• 27 mars 2025 : les systèmes du Collège rencontrent des difficultés techniques. Une enquête est lancée immédiatement avec des experts externes en cybersécurité (avis public du Collège).
• Au cours de l’enquête : elle révèle qu’un tiers non autorisé a accédé à des données présentes sur les systèmes, sans permettre de déterminer précisément lesquelles ont été compromises.
• Ensuite : le Collège analyse l’ensemble des données informatiques conservées pour identifier les personnes concernées et la nature des renseignements qui les concernent. L’avis ne précise pas la durée de cette analyse.
• 6 août 2025 : publication de l’avis public, en français et en anglais, sur le site du Collège. Il indique qu’un avis personnalisé a été transmis aux personnes concernées par courriel ou par la poste, sans en donner la date.

Nous n’avons trouvé aucune couverture médiatique de l’incident, ni aucune décision de la Commission d’accès à l’information (CAI) à son sujet. Tout ce qui suit vient de l’avis du Collège.

Les données touchées

L’avis distingue un socle commun et des renseignements propres à chaque catégorie. Pour toutes les personnes : nom complet, adresse résidentielle, courriel et numéros de téléphone. Ensuite :

• Élèves actuels et anciens : date de naissance, numéro d’assurance sociale, code permanent, numéro d’assurance maladie, photo ; dans certains cas, renseignements de santé et renseignements liés au passeport et au certificat de naissance.
• Parents actuels et anciens : lieu de naissance, scolarité ou occupation, coordonnées bancaires utilisées pour le prélèvement des frais de scolarité ; dans certains cas, informations de carte de crédit utilisées pour l’inscription au programme d’été, et renseignements liés au passeport ou à d’autres documents financiers.
• Employés actuels et anciens : date de naissance, numéro d’assurance sociale, documents du dossier d’employé, renseignements sur les avantages sociaux ; dans certains cas, coordonnées bancaires pour la paie et renseignements fiscaux.
• Clients du stationnement et des cours de langue : coordonnées bancaires ou informations de carte de crédit.

Le nombre de personnes avisées n’a pas été publié. L’avis précise que la liste couvre toutes les catégories de renseignements qui pourraient avoir été touchés et que, pour certaines personnes, seule une partie l’a été.

Ce qu’en disent les parents, les experts et les autorités

Les réactions publiques sont absentes : aucun parent, aucun expert et aucune autorité ne s’est exprimé publiquement sur cet incident, à notre connaissance. La seule voix est celle de la Direction générale du Collège, dans son avis.

Le Collège y explique son choix : « nous avons choisi d’agir avec la plus grande prudence et transparence » en avisant toutes les personnes potentiellement concernées. Il recommande d’être prudent avant de partager des renseignements personnels à la suite d’une demande non sollicitée, de surveiller ses comptes bancaires, d’éviter les liens et pièces jointes de courriels suspects, et de se méfier des messages qui sembleraient venir du Collège pour demander des informations financières. Il renvoie à un guide du Commissariat à la protection de la vie privée du Canada sur le vol d’identité et invite les personnes qui se croient concernées, sans avoir reçu d’avis, à écrire à la direction.

Ce que ça enseigne à un CPE québécois

Un CPE est une entreprise au sens de la Loi sur la protection des renseignements personnels dans le secteur privé. Si un incident présente un risque de préjudice sérieux, il doit aviser avec diligence la CAI et toute personne dont un renseignement est concerné (art. 3.5). Le Règlement sur les incidents de confidentialité fixe le contenu de cet avis en six mentions (art. 5). Voici comment l’avis public du Collège s’y compare :

Mention exigée (Règlement, art. 5)	Dans l’avis public du Collège
1. Description des renseignements visés, ou raison de l’impossibilité de les décrire	Très complète : liste par catégorie de personnes, et explication de l’incertitude.
2. Brève description des circonstances	Présente : difficultés techniques, accès par un tiers non autorisé.
3. Date ou période de l’incident	Présente : 27 mars 2025.
4. Mesures prises ou prévues pour diminuer le risque de préjudice	Mince dans l’avis public : enquête avec des experts et analyse des données. L’avis personnalisé, selon le Collège, détaille les mesures prises.
5. Mesures suggérées à la personne	Présentes : vigilance, surveillance des comptes, prudence avec les courriels, lien vers un guide sur le vol d’identité.
6. Coordonnées pour se renseigner	Présentes, mais une seule adresse courriel, sans téléphone.

Le Collège a aussi bien utilisé l’article 6 du Règlement : l’avis individuel est la règle, et un avis public peut s’y ajouter pour agir rapidement, sans le remplacer. Il a fait les deux. Ce que l’avis public ne permet pas de juger, c’est le délai : un peu plus de quatre mois séparent l’incident de la publication, et la date des avis personnalisés n’est pas indiquée. La loi demande d’aviser « avec diligence », sans fixer de nombre de jours.

La vraie leçon pour un CPE est en amont. Le Collège a dû aviser tout le monde parce qu’il ne pouvait pas prouver ce qui avait été copié, et la liste de ses personnes avisées incluait d’anciens élèves, d’anciens parents et d’anciens employés. Un CPE garde lui aussi des coordonnées bancaires pour le prélèvement, des fiches santé, des dossiers d’employés avec numéro d’assurance sociale et, souvent, les dossiers d’enfants partis depuis des années. Chaque dossier qui devait être détruit et qui ne l’a pas été allonge la liste des personnes à aviser. La loi exige de détruire ou d’anonymiser un renseignement dont la fin est accomplie, sous réserve des délais de conservation prévus par une loi (art. 23).

Ce que ça change pour votre service de garde

1. Rédigez votre avis avant d’en avoir besoin. Un gabarit en six mentions, adapté à votre CPE, se prépare en une heure. Le nôtre est dans les six mentions obligatoires de l’avis aux parents. Prévoyez la mention 4 dès maintenant : quelles mesures pouvez-vous réellement offrir, et lesquelles votre assurance couvre-t-elle ?
2. Sachez par catégorie ce que vous détenez. Faites le tableau que le Collège a dû bâtir après coup : enfants actuels, anciens enfants, parents, employés, anciens employés, et pour chacun les renseignements conservés en format informatique. Délai : un mois. Coût : du temps de direction.
3. Purgez ce qui n’a plus de raison d’être. Appliquez votre calendrier de conservation, document par document ; notre tableau Qui garde quoi, combien de temps donne les durées. Moins de dossiers, c’est un avis plus court, envoyé à moins de familles.
4. Gardez des journaux, et gardez-les ailleurs. Sans traces des accès et des transferts, impossible de démontrer qu’un dossier n’a pas été copié. Demandez à votre fournisseur ou à votre firme informatique quels journaux existent, combien de temps ils sont conservés, et s’ils survivraient à une attaque du système lui-même.
5. Prévoyez l’avis en deux temps : un avis public rapide sur votre site et votre page Facebook si la situation l’exige, puis l’avis individuel à chaque famille par courriel ou par la poste, comme le prévoit l’article 6 du Règlement.
6. Suggérez des mesures concrètes quand des numéros d’assurance sociale ou des renseignements bancaires sont touchés : surveillance des relevés, alerte ou gel de sécurité auprès des agences d’évaluation du crédit. C’est la mention 5, et c’est celle que les parents liront en premier.
7. Donnez une vraie personne à joindre. Un nom ou un titre, un téléphone et un courriel, avec des heures de disponibilité. Prévoyez une version anglaise si une partie de vos familles ne lit pas le français : le Collège a publié son avis dans les deux langues.

Sources

• Collège Saint-Charles-Garnier, avis public « Incident de cybersécurité », 6 août 2025 (PDF)
• Collège Saint-Charles-Garnier, version anglaise de l’avis public, 6 août 2025 (PDF)
• Règlement sur les incidents de confidentialité (RLRQ, c. A-2.1, r. 3.1), art. 5 et 6, LégisQuébec
• Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), art. 3.5 et 23, LégisQuébec
• Commission d’accès à l’information, « Incidents de confidentialité et mesures de sécurité » (entreprises)

À lire aussi

Faille de sécurité

Le traiteur qui change de compte bancaire : l’appel de cinq minutes qui arrête la fraude

25 octobre 2026 · 10 min de lecture

Faille de sécurité

Une double signature qui reposait sur un mot de passe partagé (jugement 2026 QCCS 3826)

5 octobre 2026 · 10 min de lecture

Faille de sécurité

Fraude du président : des OBNL du Saguenay et un CIUSSS visés, un CPE a le même profil

3 octobre 2026 · 10 min de lecture