Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Comment éviter les pièges des médias sociaux au travail

Recommendations Par Eric Rousseau · 4 avril 2023 · Mis à jour le 31 octobre 2026 · 7 min de lecture
Bureau blanc vu du dessus avec un téléphone intelligent, un carnet ouvert, un crayon, des lunettes et un ordinateur portable
En bref

Encadrez les publications des employés pour éviter que votre service de garde ne soit tenu responsable de contenus inappropriés ou confidentiels.

Pour éviter les pièges des médias sociaux au travail, un service de garde a besoin de trois choses : une politique écrite que tout le monde a lue, des comptes officiels bien verrouillés, et une règle claire sur les photos d’enfants. Le reste découle de là. Sans ces balises, une publication faite de bonne foi par une éducatrice peut engager la responsabilité du milieu, exposer un enfant ou donner à un fraudeur exactement l’information dont il a besoin pour passer pour vous.

Mains d'un adulte tapant un message sur un téléphone intelligent au-dessus d'un bureau

Une publication part en quelques secondes ; une politique écrite évite qu’elle parte avec le nom d’un enfant.

Pourquoi un service de garde est plus exposé qu’un autre commerce

Votre milieu travaille avec ce que la loi protège le plus : des renseignements sur des enfants. Une photo de groupe publiée sur la page Facebook du CPE, c’est un nom d’établissement, des visages, parfois un prénom dans le commentaire, l’heure de la sortie et le parc où elle a eu lieu. Pour un parent, c’est un beau souvenir. Pour quelqu’un de mal intentionné, c’est une fiche d’information.

La Loi 25 encadre cette réalité. La Commission d’accès à l’information rappelle que les renseignements personnels d’un mineur de moins de 14 ans ne peuvent être recueillis sans le consentement du titulaire de l’autorité parentale, et que l’organisation doit tenir un registre des incidents de confidentialité et aviser la Commission en cas de risque de préjudice sérieux (principaux changements de la Loi 25). Une photo publiée sans consentement, ou dans laquelle un enfant est identifiable alors que le parent avait refusé, n’est pas une maladresse : c’est un incident.

Il y a aussi la question de la réputation. Au Royaume-Uni, en septembre 2025, des pirates ont publié des photos et des adresses d’enfants volées à une chaîne de garderies pour faire pression sur l’entreprise ; nous avons raconté l’affaire Kido. Moins il y a de photos d’enfants en circulation, moins il y a de matière pour ce genre de chantage.

Ce que recommande le Centre canadien pour la cybersécurité

Le Centre canadien pour la cybersécurité a publié deux documents utiles. Le premier, Facteurs à considérer lors de l’utilisation des médias sociaux dans votre organisation (ITSM.10.066), recommande de limiter le nombre de personnes qui détiennent les droits d’administrateur ou de publication, de donner à chacune un compte distinct avec des identifiants uniques, d’obtenir une approbation finale avant de publier sur les comptes officiels et de protéger ces comptes par l’authentification multifacteur. Le second, Utilisation de comptes personnels de médias sociaux au travail (ITSAP.00.066), s’adresse aux employés : obtenir l’approbation de son supérieur avant d’afficher de l’information liée au travail sur un compte personnel, limiter la géolocalisation dans les applications, et n’accepter que les demandes de contact de personnes que l’on connaît.

Ces conseils tiennent sur une page et s’appliquent tels quels à un CPE, à une garderie ou à un bureau coordonnateur. L’ampleur du risque, elle, est bien réelle : selon Statistique Canada, environ 1 entreprise canadienne sur 6 (16 %) a été touchée par des incidents de cybersécurité en 2023, et 31 % des entreprises touchées ont subi des incidents par vol d’identité, souvent alimenté par ce qui traîne sur les réseaux sociaux.

Les quatre pièges les plus fréquents

  • Le compte officiel partagé. Un seul mot de passe pour la page Facebook, connu de six personnes, jamais changé après un départ. Le jour où une ancienne employée mécontente publie, personne ne sait qui l’a fait.
  • La photo « juste pour les parents ». Publiée dans un groupe privé, puis partagée en capture d’écran par un grand-parent fier, elle devient publique sans que personne l’ait voulu.
  • L’information qui aide les fraudeurs. « Notre directrice est en vacances jusqu’au 15! » est le genre de message qui précède un courriel frauduleux demandant un virement urgent au nom de la directrice absente.
  • Le compte personnel qui parle au nom du milieu. Une éducatrice qui commente une actualité en s’identifiant comme employée du CPE engage l’image du CPE, même si elle parle en son nom.

Un exemple concret dans un CPE

Prenons un CPE de 80 places dans les Laurentides. Une éducatrice publie sur sa page personnelle une photo de l’activité de la cabane à sucre, avec le nom du CPE en commentaire et trois enfants bien visibles. Un parent, qui avait coché « non » à la case photo sur le formulaire de consentement, reconnaît sa fille et écrit à la direction. Sans politique, la directrice improvise : demande de retrait, discussion tendue, parent qui menace de porter plainte à la Commission d’accès à l’information. Avec une politique signée à l’embauche, la situation se règle en une heure : retrait immédiat, note au registre des incidents, rappel de la règle à l’équipe, et un parent qui constate que le milieu avait prévu le coup. La différence, ce n’est pas la bonne volonté de l’éducatrice, c’est le cadre.

Ce que ça change pour votre service de garde

  1. Rédigez une politique d’utilisation des médias sociaux en deux pages. Qui publie sur les comptes officiels, ce qui peut être publié, ce qui ne l’est jamais (photos d’enfants identifiables sans consentement écrit, horaires, absences, informations sur les familles), et ce qui est attendu sur les comptes personnels. Faites-la signer à l’embauche. Une journée de travail, puis cinq minutes par nouvel employé.
  2. Donnez à chaque administrateur son propre accès. Sur Facebook et Instagram, utilisez les rôles d’administration plutôt qu’un mot de passe partagé. Activez l’authentification multifacteur sur chaque compte. Trente minutes, sans frais.
  3. Tenez un registre des consentements photo. Une colonne « photo autorisée : oui/non » dans votre logiciel de gestion ou dans un tableur, consultée avant chaque publication. Le consentement du titulaire de l’autorité parentale est une exigence de la Loi 25. Deux heures pour mettre en place, puis vérification systématique.
  4. Privilégiez le portail parents pour les photos individuelles. Les photos d’un enfant vont au parent de cet enfant, par un canal protégé par mot de passe et authentification multifacteur, pas sur une page publique. Inclus dans la plupart des logiciels de gestion.
  5. Retirez les métadonnées et la géolocalisation. Désactivez la localisation dans l’application appareil photo des téléphones du milieu et dans les applications de médias sociaux, comme le recommande le Centre canadien pour la cybersécurité. Dix minutes par appareil.
  6. Prévoyez une procédure de retrait en cas d’erreur. Qui retire la publication, qui avise le parent, qui inscrit l’incident au registre, et à partir de quel seuil on avise la Commission d’accès à l’information. Une page, une heure.
  7. Révisez les accès à chaque départ. Ajoutez les comptes de médias sociaux à votre liste de fin d’emploi : retrait du rôle d’administrateur le jour même. Cinq minutes, mais c’est la mesure la plus oubliée.

Sources

Foire aux questions

Est-ce que mon CPE est responsable des publications Facebook de ses employés?

Oui, selon l’article, les employeurs peuvent être tenus responsables des commentaires et des publications de leurs employés sur les médias sociaux.

Quelles informations ne faut-il jamais publier sur les médias sociaux au travail ?

Aucune information confidentielle ou sensible, aucun contenu offensant, discriminatoire ou harcelant, et rien qui viole les droits d’auteur ou les politiques de l’entreprise.

Comment éviter les pièges des réseaux sociaux en milieu de garde?

Suivez les conseils de l’article : ne publiez rien d’offensant, de discriminatoire ou de négatif sur l’employeur. Consultez aussi le document ITSAP.00.066 pour plus de détails.

À lire aussi

Étiqueté , , ,