Une enquête de la CBC a révélé une fuite massive de signalements transmis à Échec au crime, et les suites soulèvent une question dérangeante. Lorsqu'un organisme promet l'anonymat puis échoue à le protéger, qui répond de cet échec ? L'affaire de la fuite de données d'Échec au crime a pris une tournure inquiétante après que les autorités fédérales et provinciales de protection de la vie privée ont laissé entendre que leurs mains étaient liées.

Ce que la fuite d'Échec au crime a exposé

L'enquête de la CBC a mis au jour une fuite à grande échelle de signalements soumis à Échec au crime. Un expert juridique cité dans le reportage a déclaré qu'il pourrait s'agir de « l'une des pires violations de données de l'histoire du Canada ». C'est une affirmation forte, et elle reflète la nature des données concernées : des signalements de personnes à qui l'on avait dit qu'elles pouvaient parler sans être identifiées.

D'autres articles sur l'affaire ont cité des chiffres tels que plus de 1,5 million de signalements soumis au cours des 25 dernières années, et certains reportages mentionnent qu'Échec au crime Toronto a suspendu sa ligne de signalement. Les chiffres varient d'un média à l'autre, nous ne traitons donc aucun chiffre unique comme définitif ici. Le reportage de la CBC est le meilleur endroit pour vérifier les détails à mesure qu'ils évoluent.

Ce qui importe pour les lecteurs, c'est le type d'informations en jeu. Les lignes de signalement peuvent contenir des détails sur des voisins, des proches, des lieux de travail et parfois sur la situation personnelle du dénonciateur. Même lorsqu'un signalement ne contient pas de nom, son contenu peut indiquer qui l'a rédigé.

Pourquoi les autorités canadiennes de protection de la vie privée affirment avoir les mains liées

Selon le résumé que la CBC fait de son reportage, les autorités fédérales et provinciales de protection de la vie privée ont toutes deux laissé entendre qu'elles avaient une capacité d'action limitée. En termes simples, les bureaux dont les Canadiens attendent normalement qu'ils enquêtent sur les violations de données majeures et y réagissent signalent qu'ils pourraient ne pas être en mesure de tenir Échec au crime responsable.

Nous ne spéculerons pas sur le raisonnement juridique précis, car les détails appartiennent au reportage complet de la CBC. Le point principal est toutefois facile à saisir. Les autorités de régulation de la vie privée ne peuvent agir que dans les limites des pouvoirs que leur confèrent leurs lois. Lorsqu'un organisme tombe dans une lacune de ces lois, une violation grave peut se produire sans voie claire vers l'application de la loi.

Cette lacune n'est pas propre à ce cas. Nous avons couvert des préoccupations similaires dans la fuite de données des électeurs de l'Alberta, où l'exposition des renseignements personnels d'environ trois millions d'électeurs a mis en évidence la façon dont les partis politiques se trouvent dans une zone grise de la protection de la vie privée. Des organismes différents, un même schéma : des données sensibles détenues par des groupes dont la responsabilité est floue.

Ce que cela signifie pour les dénonciateurs anonymes

Pour quiconque a utilisé une ligne de signalement, ou pourrait le faire à l'avenir, les conclusions pratiques sont sobres mais gérables.

L'anonymat est une promesse, pas une garantie. Une ligne de signalement peut sincèrement avoir l'intention de protéger votre identité et tout de même stocker vos informations dans un système qui sera compromis. La promesse ne vaut que ce que valent la sécurité qui la sous-tend et les conséquences juridiques en cas de manquement.

Les recours peuvent être limités. Si les autorités de régulation affirment ne pas pouvoir agir, les personnes touchées par une fuite ont moins d'endroits évidents vers lesquels se tourner. Cela réduit la pression sur les organismes pour qu'ils investissent dans la sécurité, et laisse les individus porter le risque.

Les détails peuvent vous identifier même sans nom. Le style d'écriture, le moment, des événements précis et des références personnelles peuvent tous réduire le nombre de personnes susceptibles d'avoir soumis un signalement. Si une base de données est exposée, ces détails deviennent le point faible.

Rien de tout cela ne signifie que les lignes de signalement sont inutiles ou que les gens devraient cesser de signaler des crimes graves. Cela signifie que vous devriez aborder la chose avec une vision réaliste de la protection dont vous disposez réellement, et réfléchir à ce que vous incluez dans un signalement.

Ce que cela signifie pour vous

La plupart des lecteurs ne soumettront jamais de signalement à Échec au crime, mais la leçon sous-jacente s'applique largement. Les organismes qui promettent l'anonymat ou la confidentialité, des lignes de signalement aux plateformes de sondage en passant par les groupes de défense, stockent des données qui peuvent être compromises comme n'importe quelles autres. La capacité d'un régulateur à intervenir par la suite dépend de lois que vous n'avez probablement pas lues.

La même préoccupation apparaît dans d'autres débats politiques. Notre couverture du projet de loi d'Ottawa sur la sécurité en ligne et ses vérifications d'âge reflète une tension similaire : les systèmes qui collectent plus de renseignements personnels créent davantage à protéger, et les critiques se demandent si les garanties sont suffisamment solides.

Comment limiter votre propre exposition des données

Vous ne pouvez pas contrôler la façon dont un organisme sécurise ses serveurs, mais vous pouvez contrôler ce que vous lui confiez.

  • Partagez le minimum. Avant de soumettre un rapport, un formulaire ou un signalement, demandez-vous si chaque détail est nécessaire. Omettez les informations qui pourraient mener à vous si elles ne sont pas essentielles.
  • Séparez votre identité de votre signalement. Évitez d'utiliser des comptes de courriel personnels, des appareils professionnels ou des réseaux d'entreprise pour des signalements sensibles. Un VPN peut masquer votre adresse IP au service destinataire, mais il ne protège pas le contenu que vous soumettez une fois qu'il est stocké.
  • Lisez les conditions de confidentialité. Cherchez combien de temps les données sont conservées, qui peut y accéder et si l'organisme affirme être couvert par la loi sur la protection de la vie privée. Des réponses vagues sont un signal d'être plus prudent.
  • Envisagez d'autres canaux. Pour des questions graves, demandez-vous si un avocat, un professionnel de confiance ou un signalement direct à l'autorité compétente convient mieux à votre situation qu'un formulaire web anonyme.
  • Surveillez les avis officiels. Si vous avez utilisé un service nommé dans une fuite, suivez les mises à jour de l'organisme et des médias tels que la CBC sur ce qui a été exposé.

À retenir

Le débat sur la protection de la vie privée dans la fuite de données d'Échec au crime rappelle qu'une promesse d'anonymat ne vaut que ce que valent les garanties et les lois qui la sous-tendent. Alors que les autorités de régulation canadiennes laissent entendre que leurs mains sont liées, le fardeau se déplace vers les individus, qui doivent réfléchir soigneusement à ce qu'ils partagent. Prenez quelques minutes cette semaine pour passer en revue quels organismes détiennent des informations sensibles à votre sujet, et ce qu'ils ont promis en retour. Pour un autre exemple de lacunes dans la protection des données au Canada, lisez notre rapport sur la fuite de données des électeurs de l'Alberta.