Fuite de données de paie : 10 ans de feuillets T4 volés, l’avant/après pour votre PME
Le 8 octobre 2026, CBC a rapporté qu’une cyberattaque contre l’Université mennonite canadienne (CMU), à Winnipeg, a exposé des feuillets fiscaux T4 d’employés remontant à 2015 et des feuillets T2202 d’étudiants depuis 2019, avec noms, adresses et numéros d’assurance sociale. Une petite organisation (775 étudiants, environ 90 enseignants) et dix ans de données sensibles d’un seul coup. Cette fuite de données de paie pose une question simple à toute PME : pourquoi garder tout ça aussi longtemps, et aussi accessible ?
Ce qui s’est passé, en trois dates
18 septembre 2026
L’université constate que ses systèmes ont été compromis.
Fin septembre
Avec des experts mandatés par son assureur, elle confirme l’accès aux feuillets T4 et T2202 : noms, adresses, NAS, revenus, dates de naissance.
Début octobre
Avis publié sur son site, lettres envoyées aux personnes touchées, deux ans de surveillance du crédit offerts.
Point positif à retenir : l’université a avisé les personnes en moins de trois semaines et offert une surveillance du crédit. C’est le genre de réaction qu’on attend aussi d’une entreprise québécoise sous la Loi 25.
Avant / après : vos données de paie
Le vrai problème n’est pas seulement l’intrusion, c’est la quantité de données qu’il y avait à voler. Voici à quoi ressemble la même situation dans une PME, avant et après un peu de ménage.
| ❌ Avant | ✅ Après |
|---|---|
| Feuillets T4 de 2015 à aujourd’hui, tous dans le même dossier partagé | Seulement les années exigées par la loi; les plus anciennes sont détruites de façon sécuritaire |
| Numéros d’assurance sociale (NAS) visibles dans des PDF ouverts à toute l’équipe | Accès limité à la paie, dossier chiffré, authentification multifacteur obligatoire |
| Anciens employés et stagiaires jamais retirés des listes | Registre de conservation : qui, quoi, combien de temps, qui détruit |
| Aucun plan si une fuite arrive | Procédure Loi 25 prête : évaluer le risque, aviser la Commission d’accès à l’information et les personnes touchées |
Combien de temps garder les feuillets T4 ?
En règle générale, l’Agence du revenu du Canada demande de conserver les registres six ans après la fin de l’année d’imposition visée; vérifiez avec votre comptable selon votre situation. Au-delà, chaque vieux NAS conservé est un risque sans bénéfice. La Loi 25 exige d’ailleurs de détruire ou d’anonymiser les renseignements personnels une fois la finalité atteinte.
Trois gestes simples dès lundi
- Chercher dans vos partages (SharePoint, OneDrive, serveur de fichiers) les dossiers « T4 », « paie », « RL-1 » et vérifier qui y a accès.
- Activer l’authentification multifacteur pour tous les comptes qui touchent à la paie.
- Mettre en place une sauvegarde chiffrée et une surveillance automatisée 24/7 avec intervention du technicien de garde.
Pour aller plus loin, lisez notre article sur la fuite de données chez un fournisseur (Maximus, Î.-P.-É.) et les 5 signes qu’une PME est une cible facile.
Réservez votre Bilan cyber gratuit
Où sont vos données de paie, et qui peut les voir ? Notre Bilan cyber gratuit fait le point sur vos accès, vos sauvegardes et vos protections, avec des recommandations adaptées à la Loi 25.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- CBC News — Canadian Mennonite University warns of data breach in cyberattack (Oct 8, 2026) (en anglais)
- Canadian Underwriter / La Presse Canadienne — Hackers access decade worth of personal data at CMU (Oct 9, 2026) (en anglais)
Photo : Christina Morillo, Pexels (licence Pexels).