Canada : le commissaire à la protection de la vie privée enquête sur la fuite de données de Crime Stoppers et vise Navigate360

Le commissariat à la protection de la vie privée du Canada a annoncé le 27 octobre que le commissaire Philippe Dufresne a ouvert une enquête sur la fuite de données touchant les signalements transmis aux programmes Crime Stoppers partout au Canada, visant Navigate360, l'entreprise commerciale qui fournit et gère la plateforme de gestion des signalements utilisée par les sections canadiennes de Crime Stoppers. L'enquête examinera les mesures de sécurité en place chez Navigate360 au moment de la fuite, afin de déterminer si l'entreprise respectait la loi fédérale sur la protection des renseignements personnels dans le secteur privé.

L'enquête vise l'exploitant commercial, et non les sections sans but lucratif

Le choix de la cible est important : le commissariat avait déjà indiqué que la loi fédérale sur la protection des renseignements personnels dans le secteur privé ne s'applique généralement pas aux organismes sans but lucratif comme l'association Crime Stoppers et ses sections, mais Navigate360 est une entreprise commerciale qui relève de cette loi. Le commissariat a indiqué qu'après avoir appris l'incident, il a contacté Crime Stoppers et Navigate360, en se concentrant sur la maîtrise de la fuite, la réduction des risques pour les personnes possiblement touchées et la prévention d'une récidive.

Contexte : plus de 1,5 million de signalements auraient été exposés, l'anonymat en jeu

Une enquête de CBC News la semaine dernière a rapporté que Navigate360 avait été piraté en mars 2026, compromettant plus de 1,5 million de signalements canadiens transmis sur environ 25 ans, dont plus de 850 000 dossiers contenaient des renseignements permettant d'identifier des personnes. Navigate360 n'a reconnu publiquement que le vendredi 23 octobre que ses systèmes avaient été piratés entre novembre 2025 et mars 2026. Après ces révélations, Crime Stoppers Toronto a suspendu ses activités et a prié le public de ne plus envoyer de signalements tant qu'un canal plus sûr ne sera pas en place — un coup sérieux pour un canal de signalement dont la promesse est l'anonymat.

Le commissariat n'a donné aucun échéancier pour l'enquête et n'a pas indiqué si Navigate360 avait répondu. La question centrale est désormais de savoir quelles mesures de protection un fournisseur commercial appliquait à des données de signalement anonymes hautement sensibles, et si ces mesures respectaient la loi.