Pièces d’identité volées chez Guardian Childcare, et celles qu’un CPE n’a pas à garder

Fin mai 2024, des familles de l’État de Victoria, en Australie, reçoivent un courriel de Guardian Childcare, un réseau d’environ 60 garderies. Au terme d’une enquête, écrit l’entreprise, l’attaquant pourrait avoir eu accès à la « scanned image of the ID document you provided at the time of your visit » (en français : l’image numérisée de la pièce d’identité fournie lors de votre visite). Le conseil qui suit en dit long : communiquez avec l’organisme qui a délivré votre pièce pour en demander une nouvelle, et méfiez-vous des fraudes. Aucune autre donnée n’aurait été touchée, selon Guardian. Mais une copie de permis de conduire ou de passeport, c’est précisément ce qu’il faut à un fraudeur pour ouvrir un compte au nom de quelqu’un. La question pour un service de garde québécois n’est pas seulement de mieux protéger ces copies. C’est de savoir pourquoi on les garde.

Ce qui s’est passé

• Date de l’attaque : non publiée. Guardian indique avoir découvert le vol de pièces d’identité au terme d’une enquête approfondie.
• 30 mai 2024 : le réseau de télévision 9News rapporte la cyberattaque, présentée comme visant le plus grand exploitant de garderies de Victoria, selon la référence citée par Aussie Childcare Network.
• 31 mai 2024 : Cyber Daily et Insurance Business publient un extrait du courriel envoyé aux personnes touchées. Guardian dit avoir avisé les autorités compétentes et renforcé la sécurité de ses systèmes informatiques.
• 1er juin 2024 : Aussie Childcare Network, média spécialisé du secteur, reprend l’information.

Les médias ne décrivent pas tous de la même façon qui a fourni ces pièces. Le courriel cité parle d’une pièce présentée « lors de votre visite » et Aussie Childcare Network écrit que les visiteurs ont été avisés. Cyber Daily, de son côté, parle de documents remis à l’inscription des enfants et d’un avis au personnel. Ce flou est en soi une leçon : une organisation qui ne sait plus très bien pourquoi elle a numérisé une pièce d’identité aura du mal à expliquer à qui elle appartenait.

Les données touchées

Une seule catégorie de données, selon Guardian : des images numérisées de pièces d’identité. Le nombre de personnes touchées n’a pas été divulgué ; Insurance Business parle de milliers de familles potentiellement touchées, Aussie Childcare Network de milliers de familles touchées selon les informations rapportées. Les médias ne précisent pas quels types de pièces étaient en cause.

Ce qu’une pièce d’identité contient explique pourquoi l’incident pèse plus lourd que sa description. La Commission d’accès à l’information (CAI) du Québec en dresse la liste dans sa fiche destinée aux entreprises : le permis de conduire contient l’âge, l’apparence physique, des indications sur l’état de santé, une photographie et une signature ; le passeport, la date de naissance, la photographie, la nationalité et la signature. Le tout réuni sur une seule image, prête à être réutilisée.

Ce qu’en disent les parents, les experts et les autorités

Les réactions sont minces. Aucun parent ne s’est exprimé dans les articles consultés, et aucune autorité australienne de protection des données n’a commenté publiquement le cas, à notre connaissance. Voici ce qui a été publié.

Guardian Childcare, dans son courriel cité par Cyber Daily et Insurance Business, affirme qu’aucune autre donnée n’a été compromise, qu’elle a avisé les autorités et renforcé sa sécurité, et recommande aux personnes touchées de demander une pièce de remplacement auprès de l’organisme émetteur et de rester vigilantes face aux arnaques.

Cyber Daily précise n’avoir observé, au moment de publier, aucune preuve que les données aient servi à des fins malveillantes, tout en rappelant que les pièces d’identité servent à vérifier l’identité et sont donc un outil utile aux fraudeurs et aux pirates. Le média dit avoir demandé des commentaires à Guardian, qui a transmis la demande à son équipe des communications.

Au Québec, la Commission d’accès à l’information n’a pas commenté ce cas, mais sa fiche pour les entreprises répond exactement à la question qu’il pose : « Généralement, la simple présentation d’une pièce d’identité est suffisante pour identifier une personne ou confirmer son identité. » La collecte des renseignements qu’elle contient ou le fait d’en faire une copie, ajoute la Commission, ne sont d’ordinaire pas nécessaires au sens de la Loi sur le privé, sauf exception, par exemple si une autre loi exige cette collecte. Elle cite le cas d’une entreprise de location à qui elle a ordonné de ne plus conserver de copies de pièces d’identité, et rappelle que le consentement d’un client ne permet pas de recueillir un renseignement non nécessaire.

Ce que ça enseigne à un CPE québécois

Ici, il faut être honnête : un service de garde subventionné ne peut pas simplement cesser de garder des pièces d’identité. Le Règlement sur la contribution réduite oblige le parent qui demande à en bénéficier à fournir son certificat ou acte de naissance, ou un autre document établissant sa citoyenneté, et le certificat ou l’acte de naissance de l’enfant (article 14). Le parent qui n’est pas citoyen fournit des copies de ses documents d’immigration (article 15). Le guide du ministère de la Famille précise que la personne qui traite la demande atteste chaque copie en y inscrivant « ORIGINAL VU », ses initiales et la date. Et Québec.ca indique que ce dossier du parent se conserve six ans à l’établissement principal ou, en milieu familial, au bureau coordonnateur.

C’est l’exception prévue par la CAI : une autre loi exige la collecte. Tout le reste retombe sous la règle générale de la Loi sur le privé : ne recueillir que les renseignements nécessaires aux fins déterminées avant la collecte (article 5), et les détruire ou les anonymiser quand ces fins sont accomplies, sous réserve d’un délai prévu par une loi (article 23). Concrètement, la fiche d’inscription de l’article 122 du Règlement sur les services de garde éducatifs à l’enfance exige le nom, l’adresse et le téléphone de la personne autorisée à venir chercher l’enfant, pas une copie de son permis. Elle ne mentionne pas non plus le numéro d’assurance maladie de l’enfant, et la Loi sur l’assurance maladie ne permet d’exiger la production de la carte qu’à des fins liées aux services de santé ou aux services sociaux (article 9.0.0.1).

Deux catégories, donc. Les copies exigées par le Règlement sur la contribution réduite : on les garde six ans, sous clé, avec un accès réservé aux personnes qui en ont besoin (article 20), puis on les détruit. Toutes les autres copies de pièces d’identité : on ne les fait pas. Notre article sur la conservation du dossier de l’enfant donne le calendrier complet, document par document.

Ce que ça change pour votre service de garde

1. Faites l’inventaire des copies de pièces d’identité, cette semaine. Classeurs, dossier de numérisation partagé, boîte de courriel du numériseur, pièces jointes reçues des parents, dossiers d’employés. Deux heures. Vous trouverez presque toujours des copies d’enfants partis depuis plus de six ans, ou de personnes autorisées qui n’ont jamais eu à en fournir.
2. Remplacez la photocopie par la vérification visuelle. Pour une personne autorisée qui vient chercher un enfant pour la première fois, une visite ou un nouveau fournisseur, la pièce se montre et se rend. Notez « pièce vérifiée », la date et vos initiales, sans le numéro. C’est la pratique que décrit la CAI.
3. Isolez le dossier du parent exigé par la contribution réduite. Classeur verrouillé ou dossier numérique à accès restreint (direction et personne responsable des admissions), jamais dans un dossier partagé de toute l’équipe. Si vous numérisez, faites-le dans un seul emplacement contrôlé, puis supprimez la copie restée dans la boîte du numériseur.
4. Détruisez à six ans, chaque année. Une journée de destruction documentée en juillet ou en août, déchiquetage à coupe croisée, registre de destruction. Les copies d’un parent dont l’enfant a quitté il y a sept ans sont une cible sans aucune utilité.
5. Révisez vos formulaires. Retirez les champs que la loi n’exige pas : copie de la carte d’assurance maladie, numéro d’assurance sociale si aucune loi ne vous l’impose (la CAI rappelle que sa diffusion augmente considérablement le risque de vol d’identité), photo du permis de la personne autorisée. Une heure, avec la direction.
6. Ne recevez jamais de pièces d’identité par courriel. Proposez le dépôt en personne ou une plateforme sécurisée. Un courriel avec un acte de naissance en pièce jointe reste des années dans deux boîtes de courriel, comme l’a montré l’envoi de numéros d’assurance sociale dans notre article sur Rosemère.
7. Préparez l’avis qui accompagnerait une fuite de pièces. Si des copies sont volées malgré tout, l’avis aux familles doit leur dire quoi faire, comme Guardian l’a fait : faire remplacer la pièce auprès de l’organisme émetteur et surveiller les tentatives de fraude. Notre modèle d’avis aux parents en six mentions vous donne la structure.

Sources

• Cyber Daily, « Victoria’s largest childcare org discloses data breach, ID document scans stolen », 31 mai 2024
• Insurance Business Australia, « Major childcare provider grapples with cyberattack », 31 mai 2024
• Aussie Childcare Network, « Guardian Childcare Targeted In Cyber Attack », 1er juin 2024
• Commission d’accès à l’information, « Faites de bonnes affaires en ne collectant que ce qui est nécessaire », fiche sur les pièces d’identité pour les entreprises (PDF)
• Règlement sur la contribution réduite (RLRQ, c. S-4.1.1, r. 1), art. 3, 14 et 15, LégisQuébec
• Ministère de la Famille, « Guide relatif aux documents exigés du parent pour l’admissibilité au paiement de la contribution réduite » (PDF)
• Québec.ca, « Gestion des admissions et des ententes de services de garde », section « Dossier du parent »

À lire aussi

Faille de sécurité

Le traiteur qui change de compte bancaire : l’appel de cinq minutes qui arrête la fraude

25 octobre 2026 · 10 min de lecture

Faille de sécurité

Une double signature qui reposait sur un mot de passe partagé (jugement 2026 QCCS 3826)

5 octobre 2026 · 10 min de lecture

Faille de sécurité

Fraude du président : des OBNL du Saguenay et un CIUSSS visés, un CPE a le même profil

3 octobre 2026 · 10 min de lecture