Petite-Ourse : les fiches d’inscription au service de garde en ligne tout l’été

Personne n’a piraté quoi que ce soit. À la fin de l’année scolaire 2024-2025, un document de près de 300 pages a été déposé sur le site web de l’école primaire de la Petite-Ourse, dans le secteur Aylmer, à Gatineau. Il regroupait les fiches d’inscription au service de garde et au service des dîneurs de 147 élèves, selon Le Droit. Dates de naissance des enfants, adresses, cellulaires, courriels, code permanent et, pour de nombreux parents, le numéro d’assurance sociale. Le fichier était aussi trouvable à partir des moteurs de recherche. Il est resté accessible environ six semaines, jusqu’à ce qu’un citoyen alerte Le Droit et que le journal appelle le Centre de services scolaire des Portages-de-l’Outaouais (CSSPO), le 4 août 2025.

C’est l’incident public québécois le plus proche de la réalité d’un CPE : des fiches d’inscription de service de garde, des enfants, leurs parents et une simple erreur de dépôt.

Ce qui s’est passé

• Fin juin 2025 : à la fin de l’année scolaire, le document est déposé par erreur sur le site web de l’école. En entrevue à TVA Nouvelles, le directeur général par intérim du CSSPO explique : « Il y a eu confusion dans les noms de fichiers ».
• Juillet 2025 : le document reste public ; Le Droit constate qu’on le trouve en quelques clics dans les moteurs de recherche.
• 4 août 2025, en avant-midi : le CSSPO constate la situation, presque au même moment où Le Droit l’interpelle, et retire le document dans les minutes qui suivent, selon sa communication aux parents.
• 4 et 5 août 2025 : les parents visés sont informés le 4 août ; une communication générale part le lendemain à tous les parents de l’école, précise le CSSPO.
• 5 et 6 août 2025 : Le Droit, Radio-Canada et TVA Nouvelles rapportent l’incident.
• 28 août 2025 : après une analyse du risque dossier par dossier, le CSSPO annonce qu’il paiera 24 mois de surveillance du crédit aux parents dont le NAS figurait dans le document.

Le mécanisme est banal : un fichier interne porte un nom qui ressemble à celui d’un document public, il est téléversé, le site le publie, les moteurs de recherche l’indexent et personne ne regarde la page pendant les vacances. Techniquement, tout a fonctionné comme prévu.

Les données touchées

Selon Le Droit, les fiches contenaient notamment les dates de naissance des enfants, les adresses des résidences, des numéros de cellulaire, des courriels, le code permanent des élèves et le numéro d’assurance sociale de nombreux parents. Le NAS n’avait pas été fourni par tous les parents.

Le nombre d’élèves varie selon la source : 147 élèves et leurs parents selon Le Droit, 138 selon Radio-Canada, « près de 150 » selon TVA Nouvelles. Le CSSPO n’a pas publié de décompte officiel dans les articles consultés.

L’exposition a duré environ six semaines, selon le suivi du Droit du 28 août. Ce suivi rapporte qu’un père dont le NAS et celui de sa conjointe étaient en ligne trouvait encore, avec leur numéro de cellulaire, leur courriel et leur adresse dans un moteur de recherche, et que sa demande de retrait à Google avait été refusée. Retirer un fichier d’un site ne l’efface pas des résultats de recherche ni des copies déjà faites.

Ce qu’en disent les parents, les experts et les autorités

Le centre de services scolaire. Dans sa communication aux parents et au Droit, le 5 août 2025, le directeur général par intérim écrit : « Le document avait été déposé par mégarde à la fin du mois de juin dernier. » Le CSSPO s’excuse, invite les parents à signaler toute activité suspecte à la police et dit avoir joint la Direction de la sécurité de l’information et de la cyberdéfense du ministère de l’Éducation. Le 28 août, il explique qu’une firme spécialisée a examiné chaque dossier : « Et ceux dont le NAS y était, c’était un risque supérieur, les conséquences pourraient être plus graves. »

Les parents. Tous ceux qu’a joints Le Droit ont demandé l’anonymat. Un père juge qu’avec des NAS en cause, « une simple excuse ne sera pas acceptable ». Une mère se dit préoccupée mais consciente que des erreurs arrivent, et attend un protocole renforcé.

Les experts. Un expert en cybersécurité de la région, interviewé par Le Droit, TVA Nouvelles et Radio-Canada, souligne à TVA que des données conservées par un tiers pourraient servir des années plus tard, quand ces enfants seront adultes. La présidente de la Fédération des comités de parents du Québec a réagi au Droit : « La vigilance en ce qui concerne les données personnelles est non négociable. »

La Commission d’accès à l’information. Selon Le Droit, la CAI a été interpellée par un citoyen ; elle n’a ni confirmé ni commenté. Aucune décision publique de la CAI sur cet incident n’a été repérée au moment d’écrire ces lignes.

Ce que ça enseigne à un CPE québécois

Un centre de services scolaire relève de la Loi sur l’accès ; un CPE, une garderie, un bureau coordonnateur et une RSGE relèvent de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), réformée par la Loi 25. Les réflexes sont les mêmes : ne recueillir que le nécessaire, protéger ce qu’on détient, bien réagir à l’incident.

La fiche d’inscription réglementaire ne demande pas de NAS. L’article 58 de la Loi sur les services de garde éducatifs à l’enfance oblige à tenir une fiche d’inscription pour chaque enfant. L’article 122 du Règlement sur les services de garde éducatifs à l’enfance en fixe le contenu : identité et coordonnées de l’enfant et du parent, personnes autorisées et personne à joindre en cas d’urgence, fréquentation, instructions d’urgence, renseignements de santé et d’alimentation. Le numéro d’assurance sociale n’y figure pas.

Ne recueillir que le nécessaire. L’article 5 de la Loi sur le privé ne permet de recueillir que les renseignements nécessaires aux fins déterminées avant la collecte. Si votre formulaire maison demande le NAS des parents « au cas où », c’est le premier champ à rayer ; si une obligation fiscale précise vous oblige à le détenir, gardez-le hors de la fiche de l’enfant, à accès restreint. Les bureaux coordonnateurs, eux, doivent tenir un registre des RSGE reconnues qui contient leur NAS (article 59 de la Loi) : ce registre mérite la prudence d’un fichier bancaire.

Protéger et réagir. L’article 10 exige des mesures de sécurité raisonnables compte tenu de la sensibilité des renseignements. L’article 3.5 oblige à réduire les risques dès qu’un incident est soupçonné et, si l’incident présente un risque de préjudice sérieux, à aviser avec diligence la Commission d’accès à l’information et les personnes concernées. L’article 3.7 précise comment évaluer ce risque, en consultant votre responsable de la protection des renseignements personnels, et l’article 3.8 impose de tenir un registre des incidents.

Ce que ça change pour votre service de garde

1. Rayez le NAS de vos formulaires d’inscription. Comparez votre fiche maison à la liste de l’article 122 du Règlement et retirez tout ce qui n’y est pas et dont vous ne pouvez pas expliquer l’utilité. Délai : avant votre prochaine période d’inscription. Coût : nul.
2. Un dossier par enfant, jamais un gros fichier. Ne compilez pas toutes les fiches dans un seul PDF : un document unique transforme une erreur de manipulation en fuite massive. Numérisées, les fiches vont dans le logiciel de gestion ou un dossier à accès restreint.
3. Séparez l’interne du public, dès le nom du fichier. Gardez les documents publiables (menus, calendrier, politique d’admission) dans un dossier distinct, sans aucun renseignement personnel. Ajoutez un préfixe clair aux fichiers internes, par exemple « CONFIDENTIEL », et demandez qu’une deuxième personne ouvre tout fichier avant sa mise en ligne. Deux minutes par publication, aucun coût.
4. Regardez votre site comme Google le voit. Une fois par trimestre, tapez dans le moteur de recherche « site:adresse-de-votre-site » puis la même recherche suivie de « filetype:pdf ». Ouvrez chaque document qui sort, puis vérifiez les liens de partage infonuagiques réglés sur « toute personne disposant du lien ». Coût : nul ; temps : 30 minutes.
5. Préparez la marche à suivre pour un document publié par erreur. Retrait immédiat du fichier, demande de suppression du résultat de recherche auprès du moteur, inscription au registre des incidents, évaluation du risque avec votre responsable de la protection des renseignements personnels, puis, s’il y a lieu, avis à la CAI et aux parents. Les articles de ce blogue sur le registre des incidents en 8 colonnes et sur les six mentions obligatoires de l’avis aux parents vous donnent les gabarits.
6. Prévoyez le coût d’une surveillance du crédit. À Gatineau, l’organisation a fini par payer une protection du crédit aux parents exposés. Demandez dès maintenant un prix pour 25, 100 et 300 personnes et notez-le dans votre plan d’incident. Le moyen le plus sûr d’éviter cette dépense : ne pas détenir de NAS.
7. Révisez qui peut publier sur votre site et votre page Facebook. Retirez les accès d’administration inutiles et activez l’authentification à deux facteurs. Le parcours des données d’un enfant, de l’inscription à l’admission vous aide à repérer les autres endroits où une fiche peut se retrouver.

Sources

• Le Droit, repris par La Voix de l’Est, « Une fuite de données « par mégarde » dans une école de Gatineau », 5 août 2025
• Le Droit, « Fuite de données : le CSSPO protégera certains parents à ses frais », 28 août 2025
• Radio-Canada, Le Téléjournal Ottawa-Gatineau, « Fuite de données à l’école de la Petite-Ourse », 5 août 2025
• TVA Nouvelles, « Fuite de données personnelles dans une école de Gatineau », 6 août 2025
• Règlement sur les services de garde éducatifs à l’enfance (RLRQ, c. S-4.1.1, r. 2), art. 122, LégisQuébec
• Loi sur les services de garde éducatifs à l’enfance (RLRQ, c. S-4.1.1), art. 58 et 59, LégisQuébec
• Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), art. 3.5, 3.7, 3.8, 5 et 10, LégisQuébec

À lire aussi

Faille de sécurité

Fraude du président : des OBNL du Saguenay et un CIUSSS visés, un CPE a le même profil

3 octobre 2026 · 10 min de lecture

Faille de sécurité

HopHop débranchée du jour au lendemain : ce que la faille a exposé

2 novembre 2026 · 8 min de lecture

Faille de sécurité

Segma, Xpayrience, CodeRED : quand le fournisseur piraté devient votre problème

8 septembre 2026 · 10 min de lecture