Points clés
- Le 21 septembre 2026, le commissaire à la protection de la vie privée Philippe Dufresne a ouvert une enquête sur la fuite de données chez IDScan.net, où un tiers non autorisé a volé des images numériques de permis de conduire et d’autres pièces d’identité délivrées par le gouvernement. L’enquête évaluera les mesures de sécurité de l’entreprise et la qualité de ses avis de fuite en vertu de la LPRPDE.
- Les images de pièces d’identité figurent parmi les pires données à perdre : un numéro de permis de conduire ne peut pas être annulé comme une carte de crédit, et la fraude qu’il permet est lente et difficile à attribuer. C’est exactement pourquoi le CPVP examine la qualité des avis comme un axe d’enquête distinct.
- Si votre entreprise confie la vérification d’identité à un fournisseur, cette enquête touche aussi votre registre des risques. Le CPVP a publié le 10 septembre un projet d’orientations sur l’évaluation des fournisseurs de services tiers, et le message est constant : vous demeurez responsable des renseignements personnels qu’un fournisseur détient pour votre compte. Votre dossier fournisseur doit donc documenter la diligence raisonnable, les clauses contractuelles et une chaîne d’avis de fuite testée.
Le 21 septembre 2026, le Commissariat à la protection de la vie privée du Canada a annoncé que le commissaire Philippe Dufresne a ouvert une enquête sur une fuite de données chez IDScan.net. Un tiers non autorisé a accédé à la base de données de l’entreprise et a volé des renseignements personnels, notamment des images numériques de permis de conduire et d’autres pièces d’identité.
La technologie d’IDScan.net est utilisée par des établissements d’accueil et de vie nocturne, entre autres, pour vérifier les pièces d’identité délivrées par le gouvernement à l’entrée. Mesurez l’ampleur du déploiement : chaque bar, club et salon qui scanne les permis à l’entrée alimente la base de données d’un seul fournisseur, et cette base vient de faire les manchettes comme une fuite. IDScan.net a publié un avis public plus tôt ce mois-ci; le CPVP affirme qu’il dialogue activement avec l’entreprise depuis et qu’il continuera.
L’annonce elle-même est brève. Les deux axes d’enquête qu’elle contient sont ce qui compte.
Ce que le CPVP examine vraiment
L’enquête portera sur deux éléments : les mesures de sécurité qu’IDScan.net avait en place au moment de la fuite, et la qualité de ses avis aux personnes touchées. Les deux alimentent une seule question : la conformité à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), la loi fédérale sur la vie privée dans le secteur privé.
Mesures de sécurité signifie que le CPVP reconstruira ce qui protégeait la base de données à l’arrivée de l’attaquant. Correctifs, contrôles d’accès, chiffrement au repos, surveillance et segmentation font tous partie du périmètre en pratique, même si l’annonce n’en nomme aucun. La question n’est pas de savoir si l’entreprise avait des contrôles après l’incident; c’est ce qui était actif quand les dossiers ont été pris.
Qualité des avis est l’axe le plus subtil. Il demande si les personnes touchées ont été informées, ce qu’on leur a dit, quand on le leur a dit, et si l’avis leur donnait quelque chose d’utile à faire. Le CPVP traite l’avis comme une obligation de conformité à part entière, pas comme une politesse. Un avis public existe, et le régulateur a quand même décidé d’examiner les avis. Cet écart entre « nous avons dit quelque chose » et « l’avis était adéquat » est l’endroit où bien des organisations évaluent mal leur position.
Comme le note le CPVP, il s’agit d’une enquête active, alors ne vous attendez à aucun autre détail de Gatineau pour l’instant.
Pourquoi les images de pièces d’identité sont le pire dossier à perdre
Toutes les données fuitées ne vieillissent pas de la même façon. Comparez les types de dossiers :
| Type de dossier | Peut être réémis | Latence de la fraude | Atténuations typiques |
|---|---|---|---|
| Numéro de carte de crédit | Oui, en quelques jours | Rapide, visible | Remplacement de la carte, alertes de fraude |
| Mot de passe | Oui, par l’utilisateur | Moyenne | Réinitialisation, MFA |
| Image de permis de conduire | Presque jamais | Lente, difficile à attribuer | Limitées : signaler les dossiers, surveiller le crédit |
Au Canada, un numéro de permis de conduire est stable pendant des années et difficile à remplacer. L’image montre votre photo, votre adresse, votre date de naissance et votre signature. C’est la clé maîtresse de la fraude à l’identité synthétique : ouvrir des comptes, contourner la vérification par questions de sécurité et usurper l’identité de la personne dont le visage figure sur la carte. Les victimes découvrent souvent l’abus des mois plus tard, par un avis de recouvrement ou une demande refusée, moment où l’attribution est perdue.
C’est le contexte derrière l’attention du CPVP à la qualité des avis. Quand les dossiers sont aussi durables, un avis mince qui dit « nous prenons votre vie privée au sérieux » ne suffit pas. Les gens doivent savoir ce qui a été pris, quand cela s’est produit, ce que l’entreprise fait, et quelles mesures concrètes ils peuvent prendre, comme surveiller la fraude à l’identité et savoir quels organismes contacter. Les organisations qui calibrent leurs modèles d’avis de fuite pour le cas facile découvrent trop tard que le cas difficile est celui que le régulateur lit attentivement.
Le fournisseur derrière votre fournisseur
Voici la partie qui touche le bureau de chaque équipe de protection de la vie privée, pas seulement celui d’IDScan.net. Si vos bars, salles ou commerces scannent les pièces d’identité, ces images vivent dans la base de données d’un tiers. Vos clients ont remis leurs pièces d’identité à vous, et vous les avez acheminées vers un fournisseur. En vertu de la LPRPDE, vous demeurez responsable des renseignements personnels sous votre contrôle, y compris ceux qu’un tiers détient ou traite pour votre compte.
Ce calendrier n’est pas une coïncidence. Le 10 septembre 2026, le CPVP a publié un projet d’orientations sur l’évaluation des pratiques de protection de la vie privée des fournisseurs de services tiers, en consultation jusqu’au 4 décembre 2026. Les orientations décrivent l’identification des risques, la décision de retenir un fournisseur, la formulation des clauses contractuelles et la démonstration de la responsabilisation. La formulation du commissaire, selon laquelle « investir dans la protection de la vie privée peut être un avantage concurrentiel », sonne moins comme un langage doux aujourd’hui et davantage comme un avertissement anticipé.
Le motif des deux annonces de septembre est cohérent : resserrez le dossier fournisseur avant la fuite, et attendez-vous à ce que la chaîne d’avis soit auditée après. Le CPVP examine les mesures de sécurité et les avis dans la même enquête. Votre programme devrait les traiter comme un seul système.
Ce que les équipes de protection de la vie privée devraient faire cette semaine
- Inventoriez les fournisseurs de vérification d’identité. Listez chaque outil qui scanne, photographie ou stocke des pièces d’identité délivrées par le gouvernement, aux portes, aux comptoirs et dans les flux d’accueil. Notez où les images sont stockées, combien de temps elles sont conservées et qui peut y accéder.
- Relisez votre chaîne d’avis de fuite dans le contrat. Confirmez que le fournisseur doit vous aviser avant d’aviser qui que ce soit d’autre, avec un délai défini, et que vous recevez assez de détails pour aviser vous-même les personnes touchées. Si le contrat est silencieux, c’est le constat.
- Testez un modèle d’avis pour les fuites de pièces d’identité. Rédigez l’avis que vous enverriez si des images étaient volées, pas des mots de passe. Incluez ce qui a été pris, la fenêtre de temps, ce que vous faites, et des mesures concrètes pour la personne : options de surveillance du crédit, comment signaler la fraude à l’identité auprès de l’autorité émettrice, et où obtenir de l’aide. Un plan qui ne couvre que les identifiants n’est pas un plan.
- La conservation est le contrôle le moins cher. Si le fournisseur conserve les images de pièces d’identité après une vérification réussie, demandez pourquoi et combien de temps. Des données jamais conservées ne peuvent pas être volées. La vérification peut être un événement oui-ou-non; l’archive d’images est un choix de conception distinct.
- Suivez le projet d’orientations. Les orientations du CPVP sur les fournisseurs tiers sont en consultation jusqu’au 4 décembre 2026. Profitez de la fenêtre de commentaires pour valider votre modèle d’évaluation des fournisseurs par rapport à la structure attendue par le régulateur.
Mesure concrète : Sortez cette semaine votre liste de fournisseurs de vérification d’identité et répondez à trois questions pour chacun : où les images sont stockées, qui avise qui dans quel délai, et si votre modèle d’avis est assez précis pour des pièces d’identité qui ne peuvent pas être réémises. Si une réponse est « nous ne sommes pas sûrs », c’est l’écart que le CPVP vient de décider d’enquêter ailleurs.