Fuite de données chez un fournisseur : le cas Santé Î.-P.-É. et une grille pour noter les vôtres
Le 28 septembre 2026, Santé Î.-P.-É. (Health P.E.I.) a annoncé qu’un de ses fournisseurs de services, Maximus Canada, avait subi un incident de cybersécurité. Une « personne non autorisée » a obtenu une copie d’un fichier créé en 2011 contenant des renseignements de carte santé. Jusqu’à environ 234 000 personnes pourraient être touchées, selon la PDG par intérim, Laurae Kloschinsky (CBC News).
Pour une PME, la leçon est double : vos données vivent aussi chez vos fournisseurs, et un vieux fichier oublié reste un risque. Plus bas, une grille de pointage pour évaluer vos propres fournisseurs en 10 minutes.
Ce qu’on sait (sources : Santé Î.-P.-É., CBC News)
- Où : chez le fournisseur Maximus Canada. Selon Santé Î.-P.-É., ses propres systèmes internes sont protégés.
- Qui : les personnes qui avaient un numéro de carte santé de l’Î.-P.-É. en 2011 ou avant, et les non-résidents soignés sur l’île entre 2008 et 2011.
- Quoi : une partie ou l’ensemble des données suivantes : prénom, nom, date de naissance, date de décès (s’il y a lieu), genre, numéro personnel d’assurance maladie et admissibilité à l’assurance maladie.
- Risque : jugé faible par Santé Î.-P.-É., les renseignements de carte santé n’étant généralement pas des pièces d’identité clés.
Pourquoi ça concerne votre PME
Un fichier de 15 ans, chez un tiers, a suffi. Dans une PME, l’équivalent existe presque toujours : un ancien export de clients chez le fournisseur de logiciel de paie, un vieux site web avec des formulaires, un dossier partagé avec le comptable. Après une fuite, ces données servent souvent à rendre l’hameçonnage plus crédible.
Au Québec, la Loi 25 prévoit notamment qu’un renseignement personnel confié à un fournisseur le soit par un contrat écrit précisant les mesures de protection, que les renseignements soient détruits ou anonymisés lorsque la fin visée est atteinte, et qu’un incident présentant un risque de préjudice sérieux soit déclaré à la Commission d’accès à l’information et aux personnes concernées. Ce n’est pas un avis juridique.
Grille de pointage : notez vos fournisseurs (sur 16)
Pour chacun de vos fournisseurs qui détient des données sur vos clients ou employés, accordez 0, 1 ou 2 points par critère.
| Critère | 0 point | 1 point | 2 points |
|---|---|---|---|
| 1. Inventaire | On ne sait pas quelles données il détient. | Idée générale. | Liste écrite des données et de leur emplacement. |
| 2. Minimisation | On lui envoie tout « au cas où ». | On a retiré certains champs. | Seulement ce dont il a besoin. |
| 3. Conservation | Aucune règle; tout est gardé. | Règle écrite, jamais vérifiée. | Destruction ou anonymisation vérifiée chaque année. |
| 4. Contrat écrit | Conditions générales acceptées en ligne, jamais lues. | Contrat sans clause de sécurité. | Mesures de protection, usage limité et destruction prévus. |
| 5. Avis d’incident | Rien de prévu. | « Dans un délai raisonnable ». | Avis sans délai, avec un contact nommé de chaque côté. |
| 6. Accès à vos systèmes | Compte partagé, sans MFA. | Comptes nominatifs, MFA partiel. | Comptes nominatifs, MFA partout, accès retiré en fin de mandat. |
| 7. Sous-traitants et lieu | On ne sait pas où vont les données. | Pays connu, sous-traitants inconnus. | Lieu et sous-traitants documentés. |
| 8. Sortie | Rien de prévu à la fin du contrat. | Retour des données promis verbalement. | Retour et destruction confirmés par écrit. |
0 à 7 : à traiter ce mois-ci
Commencez par l’inventaire, la conservation et le contrat.
8 à 12 : base correcte
Ajoutez l’avis d’incident et la clause de sortie au prochain renouvellement.
13 à 16 : solide
Revoyez la grille une fois par année.
Trois gestes à faire cette semaine
- Cherchez vos « fichiers de 2011 » : anciens exports, sauvegardes, boîtes partagées. Ce qui ne sert plus, on le détruit (en respectant les durées de conservation légales, comme en fiscalité).
- Demandez à vos 3 principaux fournisseurs qui serait votre contact en cas d’incident et sous quel délai.
- Préparez votre équipe : après une fuite chez un tiers, méfiez-vous des courriels qui citent des détails réels pour inspirer confiance. Voir nos 5 signes qu’une PME est une cible facile.
Comment NeoTech peut vous aider
On aide les PME de Laval, Montréal et de la Rive-Nord à cartographier où vivent leurs données, à fermer les accès de fournisseurs inutiles et à mettre en place la MFA partout. Notre surveillance automatisée 24/7 avec intervention du technicien de garde repère les connexions inhabituelles, y compris celles d’un compte fournisseur. Voir aussi nos services de cybersécurité.
Réservez votre Bilan cyber gratuit
Vous voulez savoir quels fournisseurs ont encore accès à vos systèmes, et quelles vieilles données traînent ? En une courte rencontre, on fait le point et on priorise.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- CBC News — 234,000 people may be affected in personal information breach, says Health P.E.I. (28 septembre 2026)
- Gouvernement de l’Î.-P.-É. — Health PEI notifies the public of a privacy incident
- CTV News — Health PEI says unauthorized person accessed file from 2011
- Commission d’accès à l’information du Québec (Loi 25) — cadre général; pas un avis juridique
Photo : Element5 Digital (Pexels).
One thought on “Fuite de données chez un fournisseur : le cas Santé Î.-P.-É. et une grille pour noter les vôtres”