Fuite Crime Stoppers : 3 leçons pour les PME qui confient leurs données à un fournisseur
Le programme Crime Stoppers repose sur une promesse simple : vous pouvez signaler un crime sans jamais être identifié. Le 21 octobre, Toronto Crime Stoppers a suspendu la réception des signalements, et d’autres programmes et services de police, en Ontario, au Manitoba et en Saskatchewan, ont à leur tour suspendu les signalements ou leur partenariat. En cause : la fuite Crime Stoppers chez Navigate360, le fournisseur américain dont la plateforme P3 gérait les signalements.
Votre PME ne reçoit pas de signalements anonymes. Mais elle confie probablement des renseignements sur ses clients et ses employés à des plateformes en ligne : CRM, paie, prise de rendez-vous, formulaires. Cette affaire montre trois choses à vérifier chez vos propres fournisseurs : ce qu’ils vous disent après un incident, combien de temps ils gardent vos données, et ce que votre contrat prévoit.
La fuite Crime Stoppers en bref
Selon CBC, les données ont été volées en mars par un groupe d’hacktivistes, « Internet Yiff Machine », qui voulait démontrer que la plateforme n’était pas aussi anonyme ni sécuritaire qu’annoncé. CBC a analysé une copie des données et y a trouvé plus de 1,5 million de signalements canadiens, couvrant 25 ans. Navigate360 affirme pour sa part que sa base a été atteinte entre novembre 2025 et mars 2026, et dit n’avoir « aucune preuve d’utilisation abusive ». À ce jour, les sources consultées ne font pas état d’un impact confirmé au Québec.
🚩 Ce que CBC a trouvé
- Des données gardées bien après la fin des enquêtes.
- Tout était chez le même fournisseur, sur la même plateforme.
✅ La question pour votre PME
- Combien d’années d’historique vos fournisseurs gardent-ils pour vous?
- Ce qui ne sert plus est-il détruit ou anonymisé?
🚩 Ce que CBC a trouvé
- Environ la moitié des dossiers canadiens analysés par CBC.
- Ils peuvent appartenir à l’informateur, à une victime ou à une personne accusée.
✅ La question pour votre PME
- Les champs libres de vos formulaires reçoivent-ils plus que prévu?
- Qui relit ce qui est saisi?
🚩 Ce que CBC a trouvé
- Même si le programme demande de ne pas s’identifier.
- Des centaines de dossiers marqués « identifié » par le personnel n’étaient pas caviardés dans la base.
✅ La question pour votre PME
- Le caviardage se fait-il à la source, ou seulement dans une copie?
- Un dossier signalé comme sensible est-il vraiment traité?
Leçon 1 : la version du fournisseur peut changer
La déclaration publiée par Toronto Crime Stoppers retrace sept mois d’échanges avec son fournisseur. On y voit une même affaire décrite de façons très différentes au fil du temps.
Ali Dehghantanha, expert en cybersécurité qui a examiné des échantillons des données pour CBC, résume : Toronto a « apparemment reçu six versions différentes en sept mois de la part du fournisseur » (traduction libre). Pour lui, c’est un signal d’alarme sur la capacité de l’entreprise à enquêter et à corriger la faille.
Pour une PME, la leçon est concrète : « aucun impact pour vous » n’est pas une conclusion, c’est une étape. Notez chaque avis reçu, avec sa date, et redemandez par écrit quelles données, quelle période et quels comptes sont touchés.
Leçon 2 : garder 25 ans de données, c’est garder 25 ans de risque
Toronto caviardait les détails identifiants avant de transmettre les signalements aux enquêteurs. Mais les originaux, eux, restaient dans P3. C’est le piège classique : on protège la copie qu’on utilise, pas celle qu’on oublie. Au Québec, l’article 23 de la loi sur le secteur privé demande de détruire ou d’anonymiser un renseignement personnel une fois que les fins de sa collecte sont accomplies, et l’article 5 limite la collecte à ce qui est nécessaire.
Toronto Crime Stoppers dit d’ailleurs qu’à l’avenir, ses partenaires devront protéger les données, supprimer ce qui n’est pas nécessaire et signaler immédiatement tout incident. Ce sont trois clauses qu’une PME peut demander dès aujourd’hui.
Leçon 3 : la responsabilité reste chez vous
⚖️ La responsabilité ne se sous-traite pas
« La façon dont fonctionne la loi canadienne sur la vie privée, c’est que l’organisation qui recueille les renseignements personnels est celle qui en est responsable », a expliqué à CBC Michael Geist, professeur de droit à l’Université d’Ottawa (traduction libre). Au Québec, l’article 3.1 de la loi sur le secteur privé dit la même chose : l’entreprise est responsable des renseignements qu’elle détient, même quand un fournisseur les héberge.
Entente avec un fournisseur qui traite vos renseignements personnels
Ce que la loi québécoise demande d’y écrire (art. 18.3) — à vérifier dans vos contrats
Mesures de protection. Le contrat précise les mesures que le fournisseur doit prendre pour protéger les renseignements.
↳ Pas une promesse générale : MFA, chiffrement, journalisation, qui a accès.
Usage limité au mandat. Les renseignements ne servent qu’à exécuter le contrat.
↳ Pas d’analyse ni de réutilisation pour d’autres clients ou d’autres fins.
Pas de conservation après le contrat. Le fournisseur ne garde pas les renseignements une fois le contrat terminé.
↳ Demandez comment la destruction est confirmée, et pour les sauvegardes aussi.
Avis sans délai. Le fournisseur avise sans délai votre responsable de la protection des renseignements personnels de toute violation ou tentative.
↳ Fixez par écrit qui est avisé, par quel moyen, et ce que l’avis doit contenir.
Droit de vérification. Votre entreprise peut faire toute vérification relative à la confidentialité.
↳ Un rapport d’audit récent ou un questionnaire de sécurité annuel, c’est déjà un début.
Si les renseignements sont communiqués à l’extérieur du Québec, l’article 17 exige aussi une évaluation des facteurs relatifs à la vie privée et une entente écrite.
Et si un incident touche vos données chez un fournisseur, l’article 3.5 vous oblige à prendre des mesures raisonnables et, s’il y a un risque de préjudice sérieux, à aviser la Commission d’accès à l’information et les personnes concernées. Votre registre des incidents (article 3.8) doit en garder la trace.
Cette semaine : 5 vérifications pour vos fournisseurs
- ☐ Faites la liste des fournisseurs qui hébergent des renseignements sur vos clients ou vos employés (CRM, paie, prise de rendez-vous, formulaires web).
- ☐ Pour chacun, demandez combien d’années d’historique ils gardent et faites détruire ou anonymiser ce qui ne sert plus (art. 23).
- ☐ Vérifiez que tous les comptes d’accès à ces plateformes ont l’authentification multifacteur, y compris les anciens comptes d’employés partis.
- ☐ Relisez le contrat : les cinq clauses ci-dessus y sont-elles? Sinon, demandez un avenant.
- ☐ Ajoutez à votre registre des incidents (art. 3.8) toute alerte reçue d’un fournisseur, même si on vous dit qu’il n’y a « aucun impact ».
Ce n’est pas la première fois qu’un fournisseur expose les données de ses clients : nous l’avions vu avec la fuite chez un fournisseur de santé à l’Île-du-Prince-Édouard et avec la fuite de données de paie. Pour vos hébergeurs web, nos questions à poser après l’incident Pantheon s’appliquent aussi.
Chez NeoTech, nous vous aidons à faire l’inventaire de vos fournisseurs, à fermer les accès inutiles et à garder des sauvegardes sous votre contrôle. Avec notre surveillance cyber, une surveillance automatisée 24/7 avec intervention du technicien de garde repère les connexions inhabituelles à vos comptes infonuagiques, y compris ceux de vos plateformes externes.
Réservez votre Bilan cyber gratuit
Vous ne savez pas exactement quels fournisseurs détiennent des données sur vos clients ou vos employés, ni ce que prévoient vos contrats? Le Bilan cyber gratuit commence par cet inventaire, puis nous vous remettons un plan clair.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- CBC : Toronto Crime Stoppers suspend son programme après une fuite de données (21 octobre 2026, mis à jour le 23 octobre) (en anglais)
- CBC : la fuite de Crime Stoppers, et maintenant? (23 octobre 2026) (en anglais)
- Toronto Crime Stoppers : déclaration du 21 octobre 2026 (PDF) (en anglais)
- CBC Saskatchewan : Crime Stoppers suspend la réception des signalements en Saskatchewan (en anglais)
- CBC Manitoba : la police de Winnipeg suspend son partenariat avec Crime Stoppers (23 octobre 2026) (en anglais)
Sources en français
- Radio-Canada : fuite de données chez Crime Stoppers
- LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (art. 3.1, 3.5, 3.8, 17, 18.3 et 23)
Photo : João Jesus, Pexels (licence Pexels).