Cyberattaque cabinets d'avocats : au Barreau d'enquêter

Le 22 octobre, tard en soirée, McCarthy Tétrault a détecté une intrusion dans ses systèmes. Le mode opératoire tient en une phrase : un faux technicien appelle, se présente comme le soutien informatique interne et dirige l’employé vers une page de connexion qui imite celle du cabinet. Dans les jours suivants, Davies, Bennett Jones et Borden Ladner Gervais ont à leur tour reconnu un accès non autorisé. La cyberattaque des cabinets d’avocats, parmi les plus grands du pays et dont deux tiennent bureau à Montréal, se lit d’abord comme une affaire de sécurité informatique. Je crois que c’est une erreur de lecture.

Ce qui sort d’un cabinet d’avocats, ce n’est pas seulement une donnée. C’est une confidence. Et le droit québécois ne confie pas les confidences et les données au même gardien.

Deux régimes qui ne posent pas la même question

La Loi sur la protection des renseignements personnels dans le secteur privé, remaniée par la Loi 25, pose une question étroite. Un renseignement personnel, au sens de son article 2, est un renseignement qui concerne une personne physique et permet de l’identifier. L’incident se mesure ensuite au risque de préjudice sérieux qu’il présente pour cette personne : sensibilité du renseignement, conséquences appréhendées, probabilité d’un usage malveillant (art. 3.7).

Le secret professionnel pose une question plus large et plus ancienne. L’article 9 de la Charte québécoise est d’une concision redoutable : « Chacun a droit au respect du secret professionnel. » Ce droit appartient au client, qu’il soit une personne ou une société. Or les fichiers exposés cet automne ne sont pas des listes de numéros d’assurance sociale. Bennett Jones a reconnu que des rapports de revenus par client et des descriptions générales de certains mandats avaient été touchés. La description d’un mandat confié par une entreprise, voilà précisément ce que la Loi 25 ne voit pas : une société n’est pas une personne physique.

Autrement dit, le cœur du dommage, celui qui révèle qui consulte quel cabinet et pour quelle opération, peut échapper entièrement au régime de la Commission d’accès à l’information.

Un canal confidentiel par construction

Admettons que des renseignements personnels soient en cause, ce qui est probable. L’article 3.5 n’oblige à aviser la Commission et les personnes concernées que si le risque de préjudice est jugé sérieux, et c’est l’entreprise elle-même qui en juge. Tous les incidents vont au registre prévu à l’article 3.8, mais ce registre n’est transmis à la Commission que sur demande.

Le public, lui, n’apprend plus rien par cette voie. Depuis le 27 mai 2025, la Commission ne diffuse plus la liste des entreprises qui lui déclarent un incident, pour des raisons défendables : ne pas exposer une vulnérabilité, ne pas nuire à la gestion de l’incident ni à ses propres enquêtes. Elle publie encore des statistiques. Son rapport annuel 2024-2025 fait état de 514 avis d’incidents reçus, en hausse de 16 %, dont 80 % proviennent du secteur privé.

Je ne reproche pas ce silence à la Commission. Il est cohérent avec sa mission, qui est de protéger des personnes, pas de surveiller une profession. Mais il en résulte qu’un incident touchant des dossiers d’avocats peut se régler entièrement entre le cabinet et un organisme qui ne contrôle pas la déontologie, sans que l’ordre en ait la moindre connaissance obligatoire.

Ce que l’ordre peut voir et que la Commission ne voit pas

Le Code de déontologie des avocats ne parle pas de préjudice sérieux. Son article 60 impose d’assurer la confidentialité de tous les renseignements relatifs aux affaires d’un client. Son article 61 exige de prendre « les moyens raisonnables pour assurer la protection des renseignements confidentiels », et l’avocat qui exerce au sein d’une société doit veiller à ce qu’elle lui en fournisse les moyens. L’article 21 inclut dans la compétence la connaissance des technologies de l’information utilisées dans la pratique.

L’ordre dispose surtout d’un outil que la Commission n’a pas face au secret. Selon le deuxième alinéa de l’article 192 du Code des professions, l’avocat ne peut opposer le secret professionnel au syndic de son ordre, lequel est lui-même tenu à la confidentialité par l’article 124. Le syndic peut donc examiner ce qui a fui sans le divulguer davantage. C’est l’instance la mieux placée pour répondre à la seule question qui compte du point de vue du client : les moyens raisonnables étaient-ils en place ?

Or rien n’oblige l’ordre à se la poser. Le guide du Barreau sur la protection des renseignements personnels détaille les avis à la Commission et aux personnes touchées, sans prévoir d’avis à l’ordre ou au syndic. Son guide des technologies de l’information, dans sa version PDF, porte une dernière mise à jour de janvier 2016. McCarthy Tétrault dit avoir avisé les « organismes de réglementation professionnelle » compétents, sans les nommer. C’est un geste à porter à son crédit. C’est aussi un geste volontaire.

Ailleurs au Canada, on déclare à l’ordre

La Colombie-Britannique a tranché la question depuis longtemps. La règle 10-4 de son barreau oblige l’avocat qui perd la possession ou la maîtrise de ses dossiers, y compris par piratage ou rançongiciel, à en aviser immédiatement et par écrit la Law Society, qui assigne un avocat de son personnel au suivi. En février 2026, le barreau de l’Alberta rappelait à ses membres que ses propres services figurent parmi les destinataires possibles d’une déclaration, avec les clients, l’assureur et le commissaire à la vie privée.

À New York, l’avis 2024-3 du comité d’éthique du barreau de la ville pose la distinction que je défends ici : l’avocat doit en principe informer le client actuel dont les renseignements confidentiels ont été compromis, et l’incident ne vaut pas faute en soi. Ce qui compte, ce sont les efforts raisonnables déployés avant, et la diligence après.

L’objection : on ne sanctionne pas la victime d’un vol

L’objection est sérieuse et je la prends dans sa version forte. Le Centre canadien pour la cybersécurité décrit, dans son alerte AL26-028 du 28 octobre, une campagne organisée qui relaie en temps réel identifiants et codes d’authentification multifacteur, avec des domaines qui changent sans cesse. Des cabinets parmi les mieux outillés du pays y ont cédé. Faire comparaître la victime devant son ordre, c’est l’inciter à se taire la prochaine fois.

Le précédent américain donne du poids à cette crainte. Quand la Securities and Exchange Commission a exigé de Covington & Burling le nom de clients touchés par une attaque, 83 cabinets ont appuyé le refus du cabinet. En juillet 2023, le juge Amit Mehta a limité l’ordonnance à sept sociétés sur près de 300 clients touchés, en prévenant que cette approche pourrait dissuader les cabinets de signaler les attaques.

La réponse tient dans une distinction. Examiner n’est pas sanctionner. L’ordre n’a pas à se demander si le cabinet a été volé, mais si les moyens raisonnables étaient en place, et ces moyens évoluent : le Centre recommande désormais une authentification multifacteur résistante à l’hameçonnage, par clés matérielles. Une enquête du syndic est confidentielle. Aucun élément public ne permet aujourd’hui d’affirmer qu’un des cabinets touchés a manqué à ses devoirs, et un examen pourrait fort bien conclure le contraire. C’est justement pourquoi il faut que quelqu’un, tenu au secret, ait le droit et le devoir de le vérifier.

La question posée au Barreau

Le client dont le mandat a fui n’a que faire de savoir si la fuite franchissait le seuil du préjudice sérieux au sens de la Loi 25. Il veut savoir si son avocat a tenu sa promesse la plus ancienne. Le Barreau du Québec adoptera-t-il, comme la Colombie-Britannique, une obligation de déclarer à l’ordre toute perte de maîtrise des dossiers, ou laissera-t-il le secret professionnel se gérer comme un simple incident informatique, à huis clos et à la discrétion du cabinet ?

Note sur ce contenu. Cette chronique a été rédigée par un(e) chroniqueur·euse IA du Juridhic. Elle reflète ses recherches et son point de vue, sous la supervision et la responsabilité éditoriale de la rédaction humaine du Juridhic. Nous visons la plus grande rigueur, mais des erreurs peuvent subsister. Votre vigilance compte : signalez-nous toute correction à corrections-lejuridhic@protonmail.ch.