Cyberattaque CCQ : que vaut la surveillance Equifax ?

Une demande d’autorisation d’exercer une action collective a été déposée le 17 septembre 2026 en Cour supérieure contre la Commission de la construction du Québec, après la cyberattaque du 24 août qui aurait exposé les renseignements d’environ 350 000 personnes. Elle conteste notamment la seule mesure offerte aux victimes, une surveillance Equifax de deux ans, et rappelle ce que la Loi sur l’accès exige d’un organisme public après une fuite.

La demande n’est pas encore autorisée. Elle devra d’abord franchir le filtre de la Cour supérieure, qui vérifiera notamment si les faits allégués paraissent justifier les conclusions recherchées. Mais elle pose, dès maintenant, une question que beaucoup de personnes touchées se posent : une mesure offerte par l’organisme fautif suffit-elle à réparer une fuite ?

Ce que l’on sait de l’incident

La Commission de la construction du Québec (CCQ) a détecté l’incident tôt le 24 août 2026 et fermé ses systèmes. Ses services ont ensuite été rétablis. Sur sa page consacrée à l’incident, consultée le 26 septembre, elle confirme que des renseignements de clients et d’employés ont été volés. Elle ne précise ni le nombre de personnes touchées ni la nature exacte des données.

Le chiffre d’environ 350 000 personnes circule dans plusieurs médias, dont CTV, qui le rapportait le 17 septembre. Le groupe de rançongiciel Qilin a revendiqué l’attaque ; le site de veille GalaxyWarden qualifie toutefois cette revendication de non vérifiée. Selon La Presse, des renseignements sensibles auraient été diffusés sur le web caché à la mi-septembre, notamment des pièces d’identité et des données bancaires. La CCQ affirme pour sa part, sur la même page, ne pas avoir d’indication que les informations bancaires, les passeports ou les permis de conduire soient concernés. Les deux versions ne concordent pas, et la Cour devra le cas échéant trancher sur la preuve.

La réponse de la CCQ : une surveillance de deux ans

La mesure offerte par la CCQ est un abonnement gratuit de 24 mois au service de protection d’Equifax. Il comprend une surveillance du dossier de crédit et du web clandestin, des alertes, un accompagnement en cas de fraude et une assurance contre le vol d’identité, jusqu’à un million de dollars.

Ce que demande l’action collective

La demande a été déposée par un travailleur membre de la CCQ et est pilotée par le cabinet Lambert Avocats. Selon Droit-inc, elle invoque le Code civil (art. 3 et 1457), la Loi sur l’accès et l’article 5 de la Charte des droits et libertés de la personne, qui protège la vie privée. Elle réclame des dommages compensatoires et des dommages punitifs d’au moins 1 000 $ par membre. Rapporté à 350 000 personnes, ce plancher représenterait 350 millions de dollars.

Elle conteste aussi la réponse de la CCQ, sur deux plans. D’abord, la durée de la surveillance offerte serait insuffisante. Ensuite, la couverture se limiterait à une seule agence, alors que TransUnion devrait aussi être visée.

La critique de l’agence unique a une base concrète. Au Québec, l’Autorité des marchés financiers a désigné deux agents d’évaluation du crédit en 2021 : Equifax Canada et TransUnion. La loi québécoise sur ces agents permet notamment au consommateur de faire inscrire une alerte de sécurité à son dossier. Comme un prêteur peut consulter l’une ou l’autre de ces agences, une surveillance limitée à Equifax risque de ne pas voir une demande de crédit frauduleuse inscrite seulement chez TransUnion.

Ce que la loi impose à un organisme public

La CCQ est un organisme public. Elle relève donc de la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels, modifiée par la Loi 25, et non de la loi applicable aux entreprises privées.

Depuis le 22 septembre 2022, l’article 63.8 impose à l’organisme qui a des motifs de croire à un incident de confidentialité de prendre les mesures raisonnables pour diminuer les risques de préjudice. Si l’incident présente un risque de préjudice sérieux, l’organisme doit aviser la Commission d’accès à l’information et les personnes concernées. L’article 63.10 précise les facteurs à considérer : la sensibilité du renseignement, les conséquences appréhendées de son utilisation et la probabilité d’une utilisation préjudiciable. Tout incident doit en outre être inscrit à un registre.

La loi ne dit pas quelles mesures sont raisonnables. Elle ne prescrit ni surveillance de crédit, ni durée, ni nombre de bureaux. C’est précisément ce vide que la demande entend faire combler par un juge. La page de la CCQ ne mentionne pas d’avis à la Commission d’accès à l’information ; la rédaction n’a pas pu vérifier si cet avis a été transmis.

Le volet public de la Loi 25 comporte une autre particularité. Selon la Commission d’accès à l’information, les organismes publics s’exposent à des amendes pénales, jusqu’à 150 000 $ pour un organisme dans la catégorie la plus grave, qui vise notamment les manquements aux mesures de sécurité. La page de la Commission consacrée aux organismes publics ne mentionne pas de sanctions administratives pécuniaires, ces pénalités que la loi prévoit pour les entreprises privées.

Question	Ce que dit la loi	Ce que conteste la demande
Mesures après l’incident	Mesures « raisonnables » pour diminuer les risques (art. 63.8)	Une seule agence, deux ans seulement
Avis	À la Commission et aux personnes, si le risque de préjudice est sérieux	Non abordé dans le compte rendu consulté
Réparation	Aucune indemnité prévue par la Loi sur l’accès	Dommages compensatoires et au moins 1 000 $ de dommages punitifs par membre

Ce que la demande devra prouver

Pour obtenir réparation, la demande devra franchir une barre que la jurisprudence québécoise place haut. Dans Lamoureux c. OCRCVM (2022 QCCA 685), la Cour d’appel a confirmé que les craintes, le stress et la surveillance de ses comptes après une perte de données constituent des « inconvénients normaux que toute personne vivant en société subit ». Elle a aussi refusé les dommages punitifs, l’organisme ayant agi avec diligence après l’incident. Plus récemment, la Cour d’appel a rappelé, dans Royer c. Capital One (2025 QCCA 217), que l’indemnisation dépend de la nature des renseignements divulgués.

C’est ici que la divergence sur les données, relevée plus haut, devient décisive. Si des numéros de passeport ou des données bancaires circulent réellement sur le web caché, le préjudice s’éloigne du simple désagrément. Si la CCQ a raison, sa surveillance de deux ans pourrait être jugée comme une diligence raisonnable. Dans les deux cas, une surveillance limitée à un seul bureau restera une mesure partielle, et c’est peut-être sur ce point précis que la demande est la plus solide.

Article à jour au 26 septembre 2026.

Note sur ce contenu. Cet article a été rédigé par un(e) journaliste IA du Juridhic. Il reflète ses recherches et son point de vue, sous la supervision et la responsabilité éditoriale de la rédaction humaine du Juridhic. Nous visons la plus grande rigueur, mais des erreurs peuvent subsister. Votre vigilance compte : signalez-nous toute correction à corrections-lejuridhic@protonmail.ch.