YMCA de Medicine Hat : 200 parents en « À » au lieu de « Cci », un vrai risque

Le 31 mai 2021, à Medicine Hat, en Alberta, un membre du personnel du YMCA envoie un courriel à environ 200 parents et tuteurs. Le message est banal, sans aucun renseignement confidentiel. Seul problème : les 200 adresses sont dans le champ visible, pas en copie conforme invisible (Cci). Chaque parent voit donc l’adresse de tous les autres. Le YMCA avise les familles dès le lendemain et déclare l’incident au Commissariat à l’information et à la protection de la vie privée de l’Alberta (OIPC). Dix-neuf mois plus tard, le 23 décembre 2022, la décision P2022-ND-067 tombe : il existe un risque réel de préjudice grave pour les personnes touchées. Pour une simple erreur d’envoi.

C’est l’incident le plus ordinaire qui soit, et la décision montre comment une autorité de protection de la vie privée le regarde.

Ce qui s’est passé

Les faits viennent de la décision P2022-ND-067 de l’OIPC de l’Alberta, qui reprend la déclaration de l’organisme. Aucun média n’a couvert l’incident.

• 31 mai 2021 : un membre du personnel envoie un courriel à environ 200 personnes, décrites comme des parents ou tuteurs (« guardians »), sans mettre les destinataires en copie conforme invisible. Selon la décision, le contenu était générique et ne contenait aucun renseignement confidentiel ou personnel.
• 1er juin 2021 : le YMCA avise les personnes touchées par courriel et déclare l’incident à l’OIPC le même jour.
• 23 décembre 2022 : l’OIPC rend sa décision. Il conclut à un « real risk of significant harm », c’est-à-dire un risque réel de préjudice grave, et exige l’avis aux personnes touchées. Comme le YMCA les avait déjà avisées le 1er juin 2021, il n’a pas à recommencer.

Ce n’était pas une première pour un YMCA de la ville. Une décision antérieure, P2020-ND-094 du 2 septembre 2020, visait l’organisme nommé Medicine Hat Family Young Men’s Christian Association. Le 15 juin 2020, une liste de contacts des tuteurs d’un camp de jour avait été transmise par erreur à un parent au moyen d’un lien OneDrive. L’erreur avait été découverte le 11 août 2020. Trente personnes étaient touchées, et elles n’avaient pas été avisées. Le commissaire avait exigé qu’elles le soient, avec confirmation écrite dans les 10 jours.

Les données touchées

Dans le cas du 31 mai 2021, une seule catégorie de renseignements : les adresses courriel d’environ 200 parents ou tuteurs. Aucun nom d’enfant, aucune information de santé, aucun numéro.

Le YMCA avait lui-même évalué le risque dans sa déclaration : probabilité 1 sur 5, exposition 4 sur 5, conséquence 3,5 sur 5, pour une note globale de 3 sur 5. Il décrivait le préjudice possible comme la possibilité que le courriel soit piraté et que des contacts personnels soient touchés.

Dans le cas de juin 2020, la liste transmise contenait le nom légal complet et l’adresse courriel de 30 tuteurs.

Ce qu’en disent les parents, les experts et les autorités

Aucune réaction publique de parents ni d’experts n’a été trouvée : l’incident n’a été rendu public que par la décision. Le raisonnement de l’OIPC est donc la seule réaction disponible, et il est instructif.

Sur le préjudice, la décision écrit qu’une personne raisonnable considérerait que les adresses courriel « could be used for phishing purposes, increasing vulnerability to identity theft and fraud ». Autrement dit : les adresses pourraient servir à de l’hameçonnage, ce qui rend les personnes plus vulnérables au vol d’identité et à la fraude. L’OIPC qualifie ce préjudice de grave.

Sur la probabilité, l’OIPC reconnaît deux éléments qui la diminuent : l’erreur est humaine, pas malveillante, et les destinataires non prévus sont connus de l’organisme. Mais il relève un manque qui pèse dans l’autre sens : rien dans la déclaration ne montre que le YMCA a demandé aux destinataires de supprimer le courriel, ni qu’ils ont confirmé l’avoir supprimé et ne pas l’avoir transféré. C’est exactement le même reproche que dans la décision de 2020 : l’organisme n’avait pas obtenu de confirmation que la liste avait été supprimée et ni copiée ni transférée.

Côté mesures, le YMCA s’est engagé à utiliser un logiciel conçu pour empêcher que les adresses des destinataires soient visibles, et à confirmer que son personnel a reçu la formation appropriée sur la vie privée.

Ce que ça enseigne à un CPE québécois

Au Québec, un CPE, une garderie ou un bureau coordonnateur relève de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), la loi des entreprises, comme le précise notre article sur le CPE et la Loi 25. Voici comment le cas de Medicine Hat s’y transpose.

C’est bien un incident de confidentialité. L’article 2 de la loi définit le renseignement personnel comme tout renseignement qui concerne une personne physique et permet de l’identifier. Une adresse courriel de parent, souvent composée de son prénom et de son nom, en est un. L’article 3.6 range parmi les incidents de confidentialité la communication non autorisée par la loi d’un renseignement personnel. Montrer 200 adresses à 200 personnes, c’est une communication de ce type.

Le registre est obligatoire, même pour un incident mineur. L’article 3.8 oblige à tenir un registre des incidents de confidentialité, et l’article 7 du Règlement sur les incidents de confidentialité en précise le contenu : description des renseignements, circonstances, date, nombre de personnes, évaluation du risque, mesures prises. Les renseignements doivent être conservés au moins 5 ans (article 8 du règlement). Notre article sur le courriel envoyé au mauvais parent détaille comment remplir ce registre.

C’est vous qui évaluez le risque, pas la CAI. C’est la principale différence avec l’Alberta. Là-bas, l’organisme déclare l’incident au commissaire, qui rend une décision publique sur l’existence d’un risque réel de préjudice grave. Au Québec, l’article 3.7 vous demande d’évaluer vous-même le risque, en tenant compte de la sensibilité du renseignement, des conséquences appréhendées de son utilisation et de la probabilité qu’il soit utilisé à des fins préjudiciables, et en consultant votre responsable de la protection des renseignements personnels. Si l’incident présente un risque qu’un préjudice sérieux soit causé, l’article 3.5 vous oblige à aviser avec diligence la Commission d’accès à l’information et les personnes concernées. La Commission ne publie pas de décision pour chaque avis reçu.

La décision albertaine n’est pas du droit québécois. Elle n’oblige personne ici à conclure qu’une adresse courriel exposée entraîne toujours un risque de préjudice sérieux. Mais elle donne une grille de lecture utile : la nature du renseignement (une porte d’entrée pour l’hameçonnage), le fait que l’erreur soit humaine, et surtout la preuve que vous avez demandé la suppression et obtenu une confirmation. Ce dernier point est entièrement entre vos mains.

Les mesures de sécurité doivent être raisonnables. L’article 10 exige des mesures propres à assurer la protection des renseignements, raisonnables compte tenu de leur sensibilité, de leur quantité et de leur support. Une liste de 80 familles tapée dans le champ « À » d’un courriel, quand des outils gratuits empêchent l’erreur, se défend mal.

Ce que ça change pour votre service de garde

1. Retirez les adresses des parents du champ « À » pour de bon. Pour les envois à tous les parents, passez par le module de messagerie de votre application parents ou par une liste de distribution gérée sur le serveur (groupe Microsoft 365 ou Google Groupes) : les parents voient l’adresse de la liste, pas celles des autres familles. Délai : une semaine pour créer une liste par groupe et une liste générale.
2. Confiez les envois de masse à une ou deux personnes. La direction et l’adjointe administrative, par exemple. Les éducatrices écrivent aux parents de leur groupe par l’application, pas par leur boîte personnelle.
3. Ajoutez un délai d’envoi. Dans Outlook pour ordinateur, une règle peut différer l’envoi de quelques minutes ; Gmail permet d’annuler un envoi pendant au plus 30 secondes. Coût : nul. Délai : 15 minutes de configuration par poste.
4. Activez les avertissements de votre messagerie. Microsoft 365 peut afficher une infobulle (MailTips) quand un message part vers un large public ou vers des destinataires externes. Demandez à votre fournisseur informatique de vérifier qu’elle est active.
5. Préparez la marche à suivre de la première heure. Si l’erreur arrive quand même : écrivez à tous les destinataires pour leur demander de supprimer le message et de ne pas le transférer, et demandez une confirmation par retour de courriel. Les deux décisions albertaines reprochent justement l’absence de cette confirmation. Gardez les réponses, inscrivez l’incident au registre le jour même, puis évaluez le risque avec votre responsable de la protection des renseignements personnels. Si vous devez aviser, notre article sur l’avis aux parents donne les mentions à inclure.
6. Prévenez les familles contre l’hameçonnage. Le préjudice retenu par l’OIPC, c’est l’hameçonnage. Après un envoi raté, rappelez aux parents que vous ne leur demanderez jamais de payer par un nouveau lien ou de changer des coordonnées bancaires par courriel. Faites-le aussi à la rentrée, sans attendre un incident.
7. Prenez dix minutes en réunion d’équipe. Montrez la différence entre « À », « Cc » et « Cci », et la nouvelle façon d’écrire aux parents. Le YMCA s’est engagé à confirmer la formation de son personnel : c’est le minimum attendu.

Si votre service de garde utilise un fournisseur pour ses communications aux parents, notre liste de 12 questions à poser à votre fournisseur de logiciel vous aidera à vérifier qu’il masque bien les destinataires.

Sources

• OIPC de l’Alberta, décision P2022-ND-067, YMCA Canada, Medicine Hat, 23 décembre 2022 (PDF)
• OIPC de l’Alberta, décision P2020-ND-094, Medicine Hat Family Young Men’s Christian Association, 2 septembre 2020 (PDF)
• Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), art. 2, 3.5 à 3.8 et 10, LégisQuébec
• Règlement sur les incidents de confidentialité (RLRQ, c. A-2.1, r. 3.1), art. 7 et 8, LégisQuébec

À lire aussi

Faille de sécurité

Le traiteur qui change de compte bancaire : l’appel de cinq minutes qui arrête la fraude

25 octobre 2026 · 10 min de lecture

Faille de sécurité

HopHop débranchée du jour au lendemain : ce que la faille a exposé

2 novembre 2026 · 8 min de lecture

Faille de sécurité

Une double signature qui reposait sur un mot de passe partagé (jugement 2026 QCCS 3826)

5 octobre 2026 · 10 min de lecture