Fuite d’Échec au crime : les commissaires fédéral et britanno-colombien ouvrent des enquêtes

Quand nous avons parlé de la fuite des signalements d’Échec au crime le 26 octobre, les commissaires à la protection de la vie privée fédéral et ontarien avaient dit ne pas pouvoir enquêter officiellement, parce que la loi fédérale sur le secteur privé ne s’applique généralement pas aux organismes sans but lucratif comme Échec au crime. Ce n’est plus le cas. Deux organismes de réglementation ont maintenant ouvert des enquêtes, sous des angles différents. Voici ce que chacun examine et ce que cela signifie si vous avez déjà fait un signalement.

Un bref rappel

Les sections d’Échec au crime partout au Canada utilisaient P3 Global Intel, une plateforme de signalements appartenant à l’entreprise américaine Navigate360, pour recueillir des signalements anonymes. Un groupe d’hacktivistes se faisant appeler Internet Yiff Machine a dit en mars 2026 y être entré. CBC News a trouvé plus de 1,5 million de signalements canadiens dans les données volées, sur 25 ans, dont plus de 850 000 contenaient des renseignements personnels comme des adresses et des numéros de téléphone.

Dans une déclaration du 23 octobre citée par Global News (en anglais), Navigate360 a dit avoir appris l’incident le 18 mars, qu’un tiers avait copié des données entre le 21 novembre 2025 et le 5 mars 2026, et que des noms, adresses, dates de naissance, numéros de sécurité sociale américains, numéros de téléphone et adresses courriel pourraient être touchés, selon la personne. Elle a ajouté n’avoir aucune preuve d’une utilisation abusive de renseignements personnels à des fins de fraude ou de vol d’identité.

L’enquête fédérale : les mesures de sécurité de Navigate360

Le 27 octobre, le commissaire à la protection de la vie privée du Canada, Philippe Dufresne, a ouvert une enquête sur Navigate360, l’entreprise commerciale qui fournit et gère la plateforme. Elle portera sur les mesures de sécurité en place chez Navigate360 au moment de la fuite, afin de déterminer si l’entreprise respectait la LPRPDE, la loi fédérale sur la protection des renseignements personnels dans le secteur privé.

C’est ainsi que le Commissariat a contourné la lacune que nous avions décrite. La LPRPDE ne s’applique généralement pas aux organismes sans but lucratif, et Échec au crime en est un. Mais Navigate360 est une entreprise qui traitait les signalements dans un cadre commercial : ses mesures de sécurité relèvent donc de la loi. Le Commissariat dit avoir aussi offert à Échec au crime des conseils pour répondre à la fuite et avoir contacté Navigate360 au sujet du confinement, de la réduction des risques pour les personnes touchées et de la prévention de futures fuites.

L’enquête en C.-B. : Échec au crime C.-B. lui-même

Le 3 novembre, le Commissariat à l’information et à la protection de la vie privée de la Colombie-Britannique a annoncé (en anglais) qu’il enquête pour savoir si la British Columbia Crime Stoppers Society a pris des mesures adéquates pour protéger les renseignements personnels recueillis auprès des personnes qui ont fait des signalements en C.-B.

La C.-B. peut faire ce que le fédéral ne pouvait pas, parce que sa loi sur le secteur privé, la PIPA, s’applique aux organisations, y compris les organismes sans but lucratif, qui traitent les renseignements personnels des gens de la province. La PIPA exige des organisations qu’elles prennent des mesures de sécurité raisonnables pour protéger les renseignements qu’elles détiennent.

Le commissaire a aussi dit une chose importante pour les informateurs : vu la grande sensibilité de ces renseignements, les personnes qui pensent être touchées n’ont pas à porter plainte. Le Commissariat dit ne pas pouvoir en dire plus tant que l’enquête est en cours.

Selon CBC (en anglais), Échec au crime C.-B. compte 15 sections bénévoles dans la province, et Metro Vancouver Crime Stoppers demande aux gens de ne pas soumettre de signalements par son programme jusqu’à nouvel ordre, et de s’adresser plutôt à la police locale. L’organisme précise que cette pause est temporaire et qu’il recommencera à accepter des signalements dès qu’il sera convaincu que c’est sécuritaire.

Ce que l’on ne sait pas encore

• Aucun des deux organismes n’a dit quand il pense terminer.
• Échec au crime Toronto a dit que 176 859 de ses signalements étaient touchés, dont 12 392 pourraient contenir des renseignements personnels, et que Navigate360 lui a ensuite remis une liste distincte de 14 973 noms. Son président a dit à Global News que cette liste manque des détails nécessaires pour mesurer le risque, parce qu’elle n’indique pas à qui appartiennent les noms.
• Il n’y a toujours pas de plan pour aviser les personnes nommées dans les signalements. Les données ne séparent pas clairement les informateurs des personnes signalées, ce qui rend les avis risqués.

Ce que vous pouvez faire

1. Vous n’avez rien à faire pour être inclus dans l’enquête de la C.-B. Si vous voulez tout de même exprimer une inquiétude, c’est au Commissariat de la C.-B. qu’il faut s’adresser.
2. Si un signalement que vous avez fait vous inquiète, contactez votre section locale ou l’Association canadienne d’Échec au crime, comme le conseille la GRC. Si une section a suspendu les signalements, elle vous dirigera vers la police locale.
3. Si vous ne vous sentez pas en sécurité, appelez votre police locale. En cas d’urgence, composez le 911.
4. Méfiez-vous de quiconque mentionne un signalement que vous avez fait. Échec au crime n’appelle pas les informateurs à l’improviste. Raccrochez et appelez la section à un numéro que vous avez trouvé vous-même.
5. Rendez votre adresse plus difficile à trouver. Notre guide pour vous retirer des courtiers en données au Canada passe en revue les sites de recherche de personnes qui publient adresses et numéros de téléphone.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Frame offre aussi des guides étape par étape pour vous retirer des courtiers en données qui publient adresses et numéros de téléphone. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Fuite des signalements d’Échec au crime : ce que les informateurs canadiens doivent savoir : notre premier article sur ce qui a été volé et pourquoi il est difficile d’aviser les gens.
• Comment vous retirer des courtiers en données au Canada : les principaux sites qui publient adresses et numéros de téléphone, et comment retirer les vôtres.

Sources

• Commissariat à l’information et à la protection de la vie privée de la C.-B., Office of the Information and Privacy Commissioner for BC investigating Crime Stoppers breach (en anglais, PDF), 3 novembre 2026
• Commissariat à la protection de la vie privée du Canada, Le Commissaire à la protection de la vie privée du Canada effectuera une enquête sur une atteinte à la sécurité des données mettant en cause Échec au crime, 27 octobre 2026
• CBC News, B.C. privacy watchdog launches investigation into Crime Stoppers data breach (en anglais), 3 novembre 2026
• CBC News, Privacy commissioner to investigate Canadian Crime Stoppers breach (en anglais), 27 octobre 2026
• Global News, No evidence stolen Crime Stoppers data used for fraud, provider says (en anglais), 27 octobre 2026