Mesures de sécurité : les décisions d'octobre du CPVP

En 13 jours, le Commissariat à la protection de la vie privée du Canada a rendu publics 3 dossiers sur les mesures de sécurité. Le 14 octobre 2026, il a fermé son enquête sur WestJet, satisfait des mesures renforcées après la cyberattaque de 2025. Le 26 octobre, il a annoncé que Loblaw s'était engagée, par une lettre signée le 21 octobre, à renforcer ses mesures après une atteinte touchant environ 2 millions de personnes. Le 27 octobre, il a ouvert une enquête sur Navigate360, l'entreprise qui fournit la plateforme de gestion des signalements des sections canadiennes d'Échec au crime.

Ce que disent les sources

WestJet, enquête fermée. Selon la lettre de conformité signée le 8 juillet 2026, l'atteinte du 12 juin 2025 environ a touché quelque 5 164 000 employés et clients canadiens. Un tiers non autorisé a eu recours à l'ingénierie sociale pour accéder au compte d'un employé disposant de privilèges administratifs, en se faisant passer pour lui, ce qui lui a permis de contourner l'authentification multifacteur (AMF). WestJet a déclaré l'atteinte au Commissariat le 14 juin 2025. Parmi les mesures décrites : AMF obligatoire pour les comptes WestJet Rewards, méthodes d'AMF plus robustes pour les comptes privilégiés (applications d'authentification, clés matérielles), moindre privilège, et vidéo en direct ou reconnaissance en personne pour la grande majorité des réinitialisations d'identifiants et d'AMF des employés. WestJet s'engageait à remettre d'ici le 7 août 2026 le rapport sommaire d'une évaluation par une firme externe indépendante, approuvée par le Commissariat, puis à répondre à ses recommandations d'ici le 7 septembre. Le 14 octobre, le Commissaire a jugé les engagements respectés : « Ce dossier témoigne de la valeur d'une mobilisation proactive entre les entreprises et les organismes de réglementation lorsque des incidents sérieux se produisent. »

Loblaw, engagements signés. La lettre du 21 octobre 2026 indique que Loblaw a confirmé un accès non autorisé le 5 mars 2026. L'auteur de menace a utilisé des justificatifs compromis pour une plateforme servant à des contrôles de qualité, avec un premier accès probable le 23 février. Les renseignements touchés comprennent nom, courriel, adresse, téléphone, date de naissance, numéro de fidélité, détails d'achats et 4 derniers chiffres de carte de paiement. Loblaw a conclu que le seuil du risque réel de préjudice grave était atteint. Après un avis public le 10 mars, elle l'a mis à jour le 2 octobre à la demande du Commissariat et a commencé les avis directs le 19 octobre, délai qu'elle attribue à l'analyse, à la déduplication et à la validation des données. Ses engagements : confirmer toutes les notifications d'ici le 16 novembre 2026, décrire sa méthode de validation et d'évaluation du risque d'ici le 31 janvier 2027, remettre une évaluation de sécurité externe indépendante d'ici le 31 octobre 2027 et des rapports trimestriels. L'enquête reste ouverte.

Navigate360, enquête ouverte. Le 27 octobre 2026, le Commissaire a lancé une enquête sur Navigate360, « l'organisation commerciale qui fournit et gère la plateforme de gestion des signalements utilisée par les sections canadiennes d'Échec au crime ». Elle portera sur les mesures de sécurité en place au moment de l'atteinte. Le Commissariat rappelle que la LPRPDE ne s'applique généralement pas aux organisations à but non lucratif, comme Échec au crime, et ne donne pas d'autres détails.

Pourquoi ça compte

Le principe 4.7 de la LPRPDE pose la règle : « Les renseignements personnels doivent être protégés au moyen de mesures de sécurité correspondant à leur degré de sensibilité. » Le 4.7.2 précise que la nature des mesures varie selon la sensibilité, la quantité, la répartition et le format des renseignements, et que les plus sensibles doivent être mieux protégés. Les 3 dossiers portent sur les mesures en place au moment de l'atteinte : ce que vous ajoutez ensuite compte, mais l'enquête porte d'abord sur ce qui existait avant.

Les 2 lettres suivent le même schéma : mesures déjà prises, évaluation par une firme indépendante, réponse écrite à chaque recommandation, dates fixes. Celle de Loblaw ajoute un volet sur les avis aux personnes touchées et sur la méthode d'évaluation du risque. Le Commissariat demande donc non seulement d'avoir notifié, mais aussi d'expliquer comment la décision a été prise.

Le dossier Navigate360 rappelle enfin qu'un fournisseur qui héberge vos renseignements peut être lui-même l'objet de l'enquête. Pour le client, le principe 4.1.3 reste entier : l'organisation est responsable des renseignements confiés à un tiers aux fins de traitement. L'orientation du Commissariat du 10 septembre 2026 sur les tiers fournisseurs est explicite : « Confirmez de quelle façon une atteinte à la sécurité des données sera gérée, y compris les rôles et responsabilités de votre organisation, du fournisseur et de tout sous-traitant ».

Ce que nous en pensons chez Sentrix

1. Classer les renseignements par sensibilité, puis calibrer les mesures. C'est la lecture directe du principe 4.7 : un inventaire qui dit où sont les données sensibles et quelle protection elles reçoivent, voir notre page LPRPDE.
2. Protéger les réinitialisations comme un accès privilégié. Le processus vérifié que WestJet décrit pour les réinitialisations d'identifiants et d'AMF montre où le Commissariat regarde. Notre service identité et accès couvre cette étape.
3. Écrire dans le contrat qui fait quoi en cas d'atteinte. Fournisseur, sous-traitants, délais d'avis, accès aux journaux : à fixer avant la signature et à suivre ensuite, comme le fait notre module risques tiers.
4. Tenir le registre et documenter l'analyse du risque. Chaque atteinte, déclarée ou non, avec le raisonnement sur le risque réel de préjudice grave. Notre article sur la déclaration des atteintes détaille le contenu.
5. Préparer la notification avant d'en avoir besoin. Savoir à l'avance quels renseignements se trouvent dans quel système et à qui ils appartiennent raccourcit l'étape d'analyse et de déduplication qui précède les avis.
6. Faire évaluer vos mesures par un tiers indépendant, sans attendre. Les 2 lettres l'exigent après coup. L'avoir fait avant vous donne le même rapport, sur votre calendrier, comme notre évaluation de la posture de cybersécurité.

La prochaine étape

Prenez vos 3 systèmes les plus sensibles et vos 3 fournisseurs qui détiennent le plus de renseignements personnels. Pour chacun, notez le niveau de sensibilité, les mesures en place et qui fait quoi en cas d'atteinte. Ce qui manque est votre plan des prochaines semaines. Si vous voulez faire cet exercice avec nous, contactez-nous.