Foire aux questions

Oui. La Loi sur la protection des renseignements personnels dans le secteur privé vise toute entreprise au sens de l’article 1525 du Code civil, que son activité soit commerciale ou non. Un CPE, une garderie, un bureau coordonnateur et une responsable en milieu familial y sont donc assujettis, même sans but lucratif, subventionnés et inspectés par le ministère de la Famille. Seuls les organismes publics, comme le ministère lui-même, relèvent d’une autre loi. Pour aller plus loin : La Loi 25 s’applique à votre CPE : qui en est responsable et ce que vous risquez.

Il en a déjà un, même sans l’avoir nommé : la loi confie ce rôle à la personne ayant la plus haute autorité, en pratique la direction générale (article 3.1). Cette personne peut déléguer la fonction par écrit, en tout ou en partie, mais elle demeure imputable, selon la Commission d’accès à l’information. Publiez le titre et les coordonnées du responsable sur votre site web. La Commission, elle, n’a pas à être informée de la nomination. Pour aller plus loin : La Loi 25 s’applique à votre CPE : qui en est responsable et ce que vous risquez.

Huit éléments, fixés par l’article 7 du Règlement sur les incidents de confidentialité : les renseignements visés, les circonstances, la date de l’incident, la date où vous l’avez découvert, le nombre de personnes concernées, votre évaluation du risque de préjudice, les dates des avis à la Commission et aux personnes s’il y en a eu, et les mesures prises. Tous les incidents y vont, même mineurs, et chaque entrée se conserve au moins cinq ans. Un tableur suffit. Pour aller plus loin : Le courriel envoyé au mauvais parent, un incident à inscrire au registre.

Oui, dès que l’outil touche des renseignements personnels. L’article 3.3 exige cette évaluation pour tout projet d’acquisition, de développement ou de refonte d’un système d’information, en consultant votre responsable dès le début. Pour un petit milieu, quelques pages suffisent souvent : quelles données, pourquoi, où elles sont hébergées, qui y accède et combien de temps. L’application HopHop, adoptée localement par des centaines de milieux puis débranchée du jour au lendemain en octobre 2025, rappelle pourquoi. Pour aller plus loin : Vérifiez qui a évalué un logiciel ou un jouet connecté avant de l’installer.

Des sanctions et un recours civil. La Commission d’accès à l’information peut imposer des sanctions administratives pécuniaires allant jusqu’à 10 000 000 $ ou 2 % du chiffre d’affaires mondial, et un juge, des amendes pénales de 15 000 $ à 25 000 000 $ ou 4 %. Une fuite peut aussi mener à une action collective : celle de La Place 0-5 s’est réglée pour 250 000 $. Au 9 janvier 2026, la Commission n’avait encore imposé aucune sanction administrative. Pour aller plus loin : 250 000 $ pour 8 589 personnes : ce que les parents de La Place 0-5 ont vraiment obtenu.

Quatre situations, selon l’article 3.6 de la Loi sur le privé : l’accès, l’utilisation ou la communication non autorisés d’un renseignement personnel, et sa perte ou toute autre atteinte à sa protection. Pas besoin d’un pirate. Un courriel parti au mauvais parent, un rançongiciel, un portable volé ou une employée qui consulte un dossier sans lien avec ses fonctions en sont tous. Un employé du réseau de la santé de Sherbrooke a ainsi puisé pendant environ 10 ans dans des dossiers de nouveau-nés. Pour aller plus loin : Le courriel envoyé au mauvais parent, un incident à inscrire au registre.

Pas automatiquement, mais il faut l’inscrire au registre le jour même. Vous évaluez ensuite le risque avec votre responsable selon les trois critères de l’article 3.7 : la sensibilité des renseignements, les conséquences appréhendées et la probabilité d’un usage préjudiciable. La Commission et les familles ne sont avisées que si le risque de préjudice est sérieux. Demandez au destinataire de supprimer le message et gardez sa confirmation écrite : un commissaire albertain a justement reproché à un YMCA de ne pas l’avoir obtenue. Pour aller plus loin : Le courriel envoyé au mauvais parent, un incident à inscrire au registre.

Isoler sans effacer les traces. Selon l’aide-mémoire de la Sûreté du Québec, on préserve le premier poste infecté et on l’éteint en tirant la prise électrique, pas par le menu de Windows, puis on débranche les autres appareils du réseau. On ne paie pas, on garde la note de rançon et les courriels suspects, puis on appelle le fournisseur informatique, l’assureur, la direction et la présidence du CA, et la police. Pendant ce temps, l’accueil des enfants se fait sur papier. Pour aller plus loin : La première heure après une cyberattaque : débranchez la prise, pas le bouton.

Non. La Sûreté du Québec recommande de ne payer aucune rançon : le paiement ne garantit ni la récupération ni la non-publication des données, et il encourage la récidive. PowerSchool a payé pour faire détruire des données d’élèves volées ; cinq mois plus tard, elles servaient à extorquer des conseils scolaires. Votre vraie protection est une sauvegarde hors ligne, testée. En 2016, le CPE du CHUL a refusé de payer, selon Le Soleil, et a dû refaire sept mois de comptabilité. Pour aller plus loin : PowerSchool : la rançon payée, les données ressorties quand même.

Dès que vous concluez à un risque de préjudice sérieux, avec diligence, sans attendre la fin de votre enquête. L’avis va à chaque famille concernée et contient les six mentions de l’article 5 du Règlement sur les incidents de confidentialité : renseignements visés, circonstances, date ou période, mesures prises, mesures suggérées au parent et coordonnées pour en savoir plus. Un avis public sur votre site peut s’ajouter, mais il ne remplace l’avis individuel que dans trois cas précis. Pour aller plus loin : Les six mentions obligatoires de l’avis aux parents après un incident.

Ça dépend du document. La fiche d’assiduité se conserve 6 ans après la fin des services. La fiche d’inscription est remise au parent. L’original du dossier éducatif lui est aussi remis, et votre copie se détruit après 1 an. Le dossier du parent qui reçoit la contribution réduite se garde 6 ans. Pour le reste, la loi exige de détruire ou d’anonymiser un renseignement dès que ses fins sont accomplies (article 23). Garder « au cas où » n’est pas permis. Pour aller plus loin : Qui garde quoi, combien de temps : le dossier de l’enfant, du papier au numérique.

Au plus tard 30 jours après la réception, par écrit (article 32). Sans réponse dans ce délai, la demande est réputée refusée. L’accès est gratuit ; seuls des frais raisonnables de transcription, de reproduction ou de transmission peuvent être exigés, annoncés d’avance. Dès la réception, ne détruisez plus rien de ce qui est visé : la Commission d’accès à l’information a déjà reproché à un bureau coordonnateur d’avoir déchiqueté une grille d’évaluation demandée. Triez document par document plutôt que de tout refuser. Pour aller plus loin : Un parent ou une RSGE demande son dossier : quoi répondre, selon la CAI.

Pas forcément. Un renseignement personnel n’est accessible à un employé que s’il est nécessaire à ses fonctions (article 20 de la Loi sur le privé). Les allergies ou les personnes autorisées peuvent servir à toute personne qui accueille l’enfant, en remplacement par exemple. Le dossier éducatif, lui, est réservé à l’usage interne lié aux services fournis à cet enfant (article 123.0.7 du Règlement sur les services de garde éducatifs à l’enfance). Réglez les droits d’accès de votre logiciel en conséquence. Pour aller plus loin : À Sherbrooke, la fuite de dossiers de nouveau-nés venait d’un employé.

En règle générale, non. La fiche d’inscription prévue à l’article 122 du Règlement ne comprend ni le numéro d’assurance sociale ni le numéro d’assurance maladie, et l’article 5 de la Loi sur le privé limite la collecte au nécessaire. La Loi sur l’assurance maladie ne permet d’exiger la carte qu’à des fins liées aux services de santé ou aux services sociaux. Si une obligation fiscale vous oblige à détenir un NAS, gardez-le à part, à accès restreint. Pour aller plus loin : Petite-Ourse : les fiches d’inscription au service de garde en ligne tout l’été.

Non, pas sans vérification. Connaître le nom d’un enfant ne prouve aucun droit de venir le chercher. Consultez la liste des personnes autorisées de la fiche d’inscription (article 122 du Règlement), demandez une pièce d’identité et rappelez le parent au numéro inscrit au dossier, jamais à celui que donne la personne. Si vous ne joignez personne, l’enfant reste avec vous. À Vancouver, en décembre 2023, le personnel d’une garderie familiale n’a pas remis une fillette à un inconnu qui la nommait. Pour aller plus loin : Il connaissait le nom de la fillette : l’affaire de Vancouver et les personnes autorisées.

Non. Le consentement doit être manifeste, libre, éclairé et donné à des fins spécifiques, demandé distinctement pour chaque fin et valable seulement pour la durée nécessaire (article 14 de la Loi sur le privé). Une phrase générale glissée dans l’entente de services ne suffit pas. Prévoyez trois cases distinctes, usage interne, communications réservées aux familles et réseaux publics, renouvelées chaque année. Le parent peut retirer son accord, mais ce qui est déjà en ligne ne disparaît pas forcément. Pour aller plus loin : Facebook du CPE : ce que vaut vraiment votre formulaire de consentement photo.

Un contrat écrit, si vous lui transmettez des renseignements comme la liste des enfants. L’article 18.3 exige que ce contrat précise les mesures de protection, limite l’usage au mandat et interdise de conserver les données après son expiration ; la loi oblige en plus le photographe à vous aviser sans délai de toute violation. Demandez aussi où sont hébergées ses galeries et fixez une date de suppression. En 2024, des photos d’élèves canadiens ont été volées chez le sous-traitant d’un photographe scolaire, pas chez le photographe lui-même. Pour aller plus loin : Portraitbox : les galeries photo de garderies et d’écoles volées puis effacées.

Pas sans démontrer que c’est nécessaire. En 2014 et en 2015, la Commission d’accès à l’information a ordonné à deux garderies québécoises de cesser de filmer en continu et de détruire leurs enregistrements, faute de problème réel et documenté (article 5 de la Loi sur le privé). Avant toute caméra, écrivez le problème précis qu’elle doit régler, limitez son champ et la durée de conservation, et informez clairement les parents et le personnel de ce qui est filmé. Pour aller plus loin : Caméras en garderie : ce que la CAI a ordonné et ce qu’une direction peut filmer.

C’est difficile à justifier. Les deux décisions de la Commission d’accès à l’information sur des garderies ne l’autorisent pas, et chaque image montre aussi d’autres enfants et le personnel. Si un tel service existe, la sécurité doit suivre : un compte individuel fermé au départ de l’enfant, la double authentification, une connexion chiffrée et aucun mot de passe d’usine. Chez NurseryCam, au Royaume-Uni, tous les parents d’une même garderie recevaient le même identifiant administrateur, selon un chercheur. Pour aller plus loin : NurseryCam, Stonebrook, Insecam : des caméras de garderie vues par des inconnus.

Avec l’autorisation écrite du parent d’abord : toute communication du dossier éducatif l’exige, hors usage interne (article 123.0.7 du Règlement). Ensuite, préférez un lien de partage réservé à la personne visée plutôt qu’une pièce jointe. Si vous joignez un fichier, chiffrez-le et transmettez le mot de passe par un autre chemin, par exemple un appel. Au Manitoba, un fichier chiffré sur 8 900 enfants, parti par erreur à une centaine d’organismes, a été suivi de son mot de passe, aux mêmes destinataires. Pour aller plus loin : Au Manitoba, le fichier de 8 900 enfants était chiffré, mais le mot de passe a suivi.

Les deux, en pratique. Votre service de garde reste responsable des renseignements qu’il détient, même confiés à un tiers (article 3.1). Le fournisseur doit vous aviser sans délai de toute violation (article 18.3), mais c’est à vous d’inscrire l’incident au registre, d’évaluer le risque et d’aviser la Commission d’accès à l’information et les familles au besoin. Le vol des dossiers de La Place 0-5, en 2021, s’est produit chez un fournisseur technologique, selon la coopérative qui gérait le guichet. Pour aller plus loin : Segma, Xpayrience, CodeRED : quand le fournisseur piraté devient votre problème.

Posez-les par écrit et gardez les réponses avec le contrat. Demandez où les données sont hébergées, si elles sont chiffrées, la fréquence des sauvegardes et la date du dernier test de restauration, si l’authentification multifacteur est offerte, qui y a accès chez lui et si c’est journalisé, le délai pour vous aviser d’un incident, la liste des sous-traitants et le sort des données à la fin du contrat. Les fuites chez Vari Tech, Stay Informed et KigaRoo, éditeurs de logiciels de garderie, montrent pourquoi. Pour aller plus loin : Avant de choisir un logiciel de garderie, les 12 questions à poser au fournisseur.

Non, pour deux raisons. Le CLOUD Act américain permet d’exiger des données d’un fournisseur américain, où que soient ses serveurs. Et l’article 17 de la Loi sur le privé exige, avant de communiquer un renseignement hors du Québec ou d’en confier la conservation à l’extérieur, une évaluation des facteurs relatifs à la vie privée et une entente écrite. « Au Canada » ne veut pas dire « au Québec ». Microsoft 365 et Google Workspace ne sont pas interdits, mais leur usage déclenche cette évaluation. Pour aller plus loin : « Hébergé au Canada » ne suffit pas : 8 questions à poser à votre fournisseur.

Un technicien qui peut voir vos dossiers d’enfants reçoit des renseignements personnels : le contrat doit être écrit, préciser les mesures de protection et interdire l’usage hors du mandat et la conservation après ; la loi l’oblige en plus à vous aviser sans délai de toute violation (article 18.3). Exigez la double authentification sur son outil d’accès à distance. En 2021, plus de 100 jardins d’enfants néo-zélandais ont dû éteindre leurs ordinateurs parce que le logiciel de télégestion de leur prestataire avait été détourné par des criminels. Pour aller plus loin : Whānau Manaaki et EFAJE : un prestataire piraté, une sauvegarde de la veille.

Une réserve de clientèle limitée : les coordonnées du parent, les trois premiers caractères du code postal, le nom et l’âge de l’enfant, le nom des enfants à la même adresse, la date et l’horaire souhaités, et l’intérêt pour une place partielle ou sporadique. Pas de date de naissance complète ni de numéro d’état civil. Réservez l’accès à une ou deux personnes nommées, sans mot de passe partagé, et n’exportez pas cette réserve dans un tableur ou un courriel. Pour aller plus loin : Le parcours des données d’un enfant, de l’inscription au portail jusqu’à l’admission.

Ne rien modifier avant d’avoir parlé de vive voix à quelqu’un du fournisseur, au numéro déjà inscrit dans vos dossiers, jamais à celui du courriel. Le message peut venir de sa vraie adresse si sa boîte a été piratée. Exigez aussi deux signatures pour tout premier paiement à un nouveau compte, configurées dans le portail bancaire et pas seulement dans une politique. Si l’argent est déjà parti, appelez immédiatement votre institution financière, puis la police et le Centre antifraude du Canada. Pour aller plus loin : Le traiteur qui change de compte bancaire : l’appel de cinq minutes qui arrête la fraude.

Traitez-la comme telle tant que vous ne lui avez pas parlé. C’est le scénario de la fraude du président, et les signaux sont ceux que décrit la GRC : pression pour agir vite, demande de confidentialité, procédures contournées. Rappelez la personne au numéro que vous connaissez déjà et n’achetez jamais de cartes-cadeaux sur demande. Donnez aux membres du CA une adresse officielle du CPE et faites configurer SPF, DKIM et DMARC sur votre domaine. Aucun cas public visant un CPE n’est documenté, mais des OBNL québécois ont été visés. Pour aller plus loin : Fraude du président : des OBNL du Saguenay et un CIUSSS visés, un CPE a le même profil.

Les suspendre dès le premier jour du congé, sans supprimer le compte : messagerie, logiciel de gestion, application parents, page Facebook et accès bancaires. L’article 20 limite l’accès aux personnes qui en ont besoin pour leurs fonctions, et une personne en congé ne les exerce pas. En Saskatchewan, les identifiants d’un employé en congé depuis 11 mois, resté actif pour entraîner une équipe de basketball, ont permis à un intrus de copier des données touchant possiblement environ 20 000 personnes. Revoyez la liste des comptes actifs chaque trimestre. Pour aller plus loin : Un compte d’employé en congé a servi à copier 20 000 dossiers à South East Cornerstone.

Oui. Avec un deuxième facteur, un mot de passe volé ne suffit plus à entrer, et Microsoft estime qu’elle bloque plus de 99,9 % des attaques de compromission de compte. Commencez par le courriel, le logiciel de gestion et la banque ; elle est généralement incluse dans Microsoft 365 et Google Workspace. À Edmonton, un intrus a eu accès pendant environ cinq jours à la boîte Microsoft 365 d’un programme préscolaire, qui ouvrait la porte jusqu’à des rapports d’orthophonie d’enfants. Pour aller plus loin : Une pièce jointe, puis une demande de rançon chez ABC Head Start, à Edmonton.

Passez par la messagerie de votre application parents ou par une liste de distribution, jamais par des adresses tapées dans le champ « À ». Pour tout envoi à plus de 20 destinataires, faites vérifier chaque pièce jointe par une deuxième personne et activez le délai d’annulation de votre messagerie. En juillet 2026, un courriel de rentrée d’une école secondaire de Rosemère contenait par erreur les numéros d’assurance sociale de plus de 1 000 parents. Même 200 adresses visibles peuvent poser un risque. Pour aller plus loin : Rosemère : les numéros d’assurance sociale de plus de 1 000 parents envoyés par courriel.