Le portable volé : quatre services de garde albertains et l’incident le plus évitable

Le 27 août 2021, des voleurs entrent par effraction dans une prématernelle francophone de l’Alberta. Ils repartent avec un ordinateur protégé par mot de passe et le sac d’urgence de la classe, celui qu’on apporte en sortie. Dans le sac, les fiches d’urgence des enfants : nom, adresse, date de naissance, numéro de carte santé, parents à joindre. Sur l’ordinateur, la facturation et les finances. L’organisme pense que les voleurs ont pris le sac pour emporter l’ordinateur, mais ne veut courir aucun risque pour ses familles. Le commissariat albertain à la vie privée (OIPC) lui donne raison sur le risque, et termine sa décision par un conseil : envisager le chiffrement des portables plutôt qu’un simple mot de passe. Ce n’était pas la première fois. Entre 2014 et 2021, l’OIPC a rendu au moins quatre décisions sur des portables, des clés USB ou des documents volés à de petits services de garde. Pas de pirate, pas de rançon : un vol ordinaire, et l’incident le plus évitable de tous.

Ce qui s’est passé

Les quatre organisations sont nommées dans les décisions publiques de l’OIPC, en lien en fin d’article. Nous ne les nommons pas ici : ce sont de très petites structures, et leur histoire vaut pour toutes.

• 17 octobre 2014, une agence de garde en milieu familial : un portable est volé dans des locaux non verrouillés. Il est protégé par mot de passe, mais pas chiffré. Les parents, les responsables de garde et le personnel sont avisés par téléphone le 22 octobre, avec une note sur les factures du mois. Décision P2015-ND-09 du 9 mars 2015.
• Du 10 au 12 mars 2018, un service de garde : effraction dans le bureau. Les voleurs emportent un téléviseur, une imprimante et un portable. Le portable est chiffré avec un mot de passe, mais l’organisation ignore si ce mot de passe était robuste : l’employée qui l’avait créé est partie. Les personnes touchées sont avisées par écrit le 14 mars. Décision P2018-ND-148 du 15 novembre 2018.
• 12 décembre 2020, une deuxième agence de garde en milieu familial : un membre du personnel se fait voler sa voiture avec violence en transportant des documents et une clé USB non chiffrée vers le bureau. Le véhicule est retrouvé à Kelowna, en Colombie-Britannique, le 13 janvier 2021, vide. Avis aux personnes touchées le 26 janvier. Décision P2021-ND-032 du 23 février 2021.
• 27 août 2021, une prématernelle francophone : effraction, vol d’un ordinateur protégé par mot de passe et du sac d’urgence. Les familles sont avisées par téléphone et par courriel le 2 septembre. Décision P2022-ND-066 du 23 décembre 2022.

Les données touchées

Cas	Ce qui a été volé	Renseignements	Personnes
Agence de garde en milieu familial, 2014	Portable non chiffré	Noms, adresses, téléphones, courriels, heures d’arrivée et de départ des enfants, contacts d’urgence, numéros d’assurance sociale, vérifications d’antécédents judiciaires, talons de paie	12
Service de garde, 2018	Portable chiffré, mot de passe de robustesse inconnue	Enfants : coordonnées, liste des enfants à ne pas photographier, liste des allergies alimentaires et renseignements médicaux, liste des enfants qui ont besoin d’aide pour la toilette. Personnel : numéros d’assurance sociale, données bancaires, certificats, vérifications de sécurité	113
Agence de garde en milieu familial, 2020	Documents papier et clé USB non chiffrée	Nom, adresse, lieu de travail, paie de novembre 2020 et gains cumulés de l’année	168
Prématernelle francophone, 2021	Ordinateur protégé par mot de passe et sac d’urgence	Nom, adresse, téléphone et date de naissance de l’enfant, numéro de carte santé albertaine, nom et téléphone du parent, contacts d’urgence, facturation, finances, un mot de passe	4 ou 5 familles

Une précision pour le cas de 2020 : la décision affirme d’abord qu’aucun renseignement personnel n’était stocké sur la clé USB, puis décrit une liste du personnel dont les renseignements s’y trouvaient. Le texte public ne permet pas de trancher.

Ce qu’en disent les parents, les experts et les autorités

Aucun média n’a couvert ces vols et aucun parent ne s’est exprimé publiquement. Les seules voix publiques sont celles des décisions, et elles sont constantes : dans les quatre cas, l’OIPC conclut à un risque réel de préjudice grave, d’abord parce que le vol est un acte malveillant et que rien n’a été récupéré.

En 2015, la commissaire à l’information et à la protection de la vie privée de l’Alberta qualifie de très sensibles les renseignements du portable de l’agence de garde en milieu familial. Elle retient, parmi les préjudices possibles, le vol d’identité, l’humiliation liée aux vérifications d’antécédents judiciaires et un possible préjudice physique pour une population vulnérable, les enfants, dont les heures d’arrivée et de départ figuraient dans le portable. Elle souligne que l’ordinateur était protégé par mot de passe, mais pas chiffré.

En 2018, la commissaire écarte l’argument du service de garde, qui faisait valoir que le portable était chiffré et que les fichiers n’étaient pas nommés : on ne sait pas, écrit-elle, si l’organisation avait utilisé un mot de passe robuste pour chiffrer les données. Le service de garde, lui, s’inquiétait surtout de l’embarras de familles qui verraient circuler la photo d’un enfant qu’elles n’avaient pas autorisée.

En 2022, la commissaire adjointe conclut la décision visant la prématernelle par ce conseil : « consider encryption protection on laptops instead of password protection » (en français : envisager le chiffrement des portables plutôt que la protection par mot de passe). La prématernelle, de son côté, prévoyait de limiter les renseignements des fiches d’urgence lorsque c’est possible et de ranger le sac sous clé le soir.

Le Centre canadien pour la cybersécurité, sans viser ces cas, dit la même chose aux petites organisations : les clés USB se perdent et se volent, il faut tenir un inventaire et utiliser des dispositifs de stockage amovibles chiffrés.

Ce que ça enseigne à un CPE québécois

Ces quatre histoires sont celles d’organisations de la taille d’un CPE, d’une installation de garderie ou d’un bureau coordonnateur, avec un portable au bureau et une clé USB dans le sac à main. Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé, la Loi 25, les traiterait de la même façon, à une différence près : personne ne rend de décision publique à votre place. C’est à vous d’évaluer le risque, comme l’explique notre article sur le courriel du YMCA de Medicine Hat, autre décision du même commissariat albertain.

Le vol d’un portable contenant des dossiers est un incident de confidentialité : l’article 3.6 vise expressément « la perte d’un renseignement personnel ou toute autre atteinte à la protection d’un tel renseignement ». Il s’inscrit au registre (article 3.8), et la Commission d’accès à l’information (CAI) et les familles sont avisées si le risque de préjudice est sérieux (article 3.5). C’est ici que le chiffrement change tout dans l’évaluation de la probabilité de préjudice exigée par l’article 3.7 : un disque chiffré avec une clé robuste, gardée ailleurs, rend les fichiers illisibles au voleur ; un disque protégé par un simple mot de passe de session, non.

L’article 10 exige des mesures de sécurité raisonnables compte tenu, notamment, de la sensibilité des renseignements, de leur quantité, de leur répartition et de leur support. Un portable qui sort du bureau, une clé USB qui voyage en voiture, un sac d’urgence qui part en sortie sont des supports à risque. Le chiffrement intégré aux systèmes d’exploitation actuels rend cette mesure difficile à qualifier de déraisonnable. Et la règle de l’article 5, ne recueillir que le nécessaire, vaut aussi pour ce qu’on transporte : la fiche d’inscription de l’article 122 du Règlement sur les services de garde éducatifs à l’enfance ne comprend pas le numéro d’assurance maladie de l’enfant.

Ce que ça change pour votre service de garde

1. Chiffrez tous les portables cette semaine. BitLocker est intégré aux éditions Professionnel de Windows et FileVault à macOS : aucun achat de logiciel. Vérifiez que le chiffrement est actif sur chaque appareil et conservez la clé de récupération ailleurs que dans l’ordinateur, dans un endroit connu de la direction. Une demi-journée avec votre technicien.
2. Remplacez les clés USB ordinaires. Clés chiffrées ou, mieux, un espace infonuagique à accès contrôlé avec double authentification pour transporter les fichiers. Tenez l’inventaire des clés existantes, comme le recommande le Centre canadien pour la cybersécurité, et effacez-les correctement avant de les jeter.
3. Faites que l’organisation, pas une employée, connaisse les mots de passe et les clés de chiffrement. En 2018, le service de garde ignorait la robustesse d’un mot de passe créé par une employée partie. Conservez les clés de récupération dans un coffre-fort numérique de l’organisation et changez les accès à chaque départ.
4. Allégez le sac d’urgence. Une fiche par enfant avec ce qui sert vraiment en cas d’urgence : nom, allergies, personne à joindre. Pas de numéro d’assurance maladie si vous n’en avez pas besoin, pas de liste du personnel, pas de clé USB. Le soir, le sac se range sous clé.
5. Rien de confidentiel ne dort dans une voiture. Pas de dossiers papier, de talons de paie ni de portable laissés dans un véhicule, même quelques minutes. Si un transport est inévitable, il se fait sur un support chiffré et directement d’un lieu à l’autre.
6. Verrouillez les locaux et le matériel. Portes verrouillées hors des heures d’ouverture, portable rangé dans une armoire fermée la nuit, rideaux tirés sur le bureau. Le service de garde cambriolé en 2018 a justement choisi de ranger son portable en lieu sûr le soir et de tirer les rideaux. Coût : presque rien.
7. Préparez le scénario du vol. Plainte à la police, inscription au registre des incidents, évaluation du risque avec votre responsable, avis aux familles au besoin, et effacement à distance si vos appareils le permettent. Notre modèle d’avis aux parents en six mentions et notre article sur la conservation du dossier de l’enfant vous aident à réduire ce qu’il y aurait à déclarer.

Sources

• Office of the Information and Privacy Commissioner of Alberta, décision P2015-ND-09, 9 mars 2015 (PDF)
• Office of the Information and Privacy Commissioner of Alberta, décision P2018-ND-148, 15 novembre 2018 (PDF)
• Office of the Information and Privacy Commissioner of Alberta, décision P2021-ND-032, 23 février 2021 (PDF)
• Office of the Information and Privacy Commissioner of Alberta, décision P2022-ND-066, 23 décembre 2022 (PDF)
• Centre canadien pour la cybersécurité, « Les meilleures mesures pour renforcer la cybersécurité des petites et moyennes entreprises » (ITSAP.10.035)
• Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), art. 3.5 à 3.8, 5 et 10, LégisQuébec

À lire aussi

Faille de sécurité

Segma, Xpayrience, CodeRED : quand le fournisseur piraté devient votre problème

8 septembre 2026 · 10 min de lecture

Faille de sécurité

HopHop débranchée du jour au lendemain : ce que la faille a exposé

2 novembre 2026 · 8 min de lecture

Faille de sécurité

Rosemère : les numéros d’assurance sociale de plus de 1 000 parents envoyés par courriel

15 août 2026 · 8 min de lecture