Les clients de Loblaw touchés par l’intrusion informatique de février 2026, environ deux millions de Canadiens, n’ont commencé à recevoir un avis personnel qu’en octobre, près de huit mois plus tard. Le 21 octobre, l’entreprise a signé une lettre d’engagement volontaire avec le Commissariat à la protection de la vie privée du Canada ; le 2 novembre, un recours collectif national était intenté contre elle. Au Québec, la question juridique tient en deux mots de la Loi 25 : « avec diligence ».
Ce que Loblaw a déclaré au Commissariat
La lettre signée le 21 octobre, publiée par le Commissariat le 26 octobre, fixe la chronologie que l’entreprise reconnaît. L’accès non autorisé remonterait au 23 février 2026, au moyen d’identifiants compromis d’une plateforme d’assurance qualité. Loblaw a confirmé l’intrusion le 5 mars, publié un avis public et informé le Commissariat le 10 mars, puis déposé un rapport préliminaire le 27 mars.
Les données en cause varient d’un client à l’autre : nom, courriel, adresses, téléphone, date de naissance, numéro de compte de fidélité, détails de commandes et numéros de carte de paiement incomplets. Environ 300 personnes auraient vu d’autres renseignements exposés. Loblaw a elle-même conclu que le seuil du risque réel de préjudice grave était atteint, ce qui déclenche l’obligation fédérale d’aviser les personnes touchées.
Le 2 octobre, à la demande du Commissariat, l’entreprise a mis à jour son avis public. Les avis individuels, par courriel et par la poste, sont partis à compter du 19 octobre, avec une offre de 24 mois de surveillance du crédit par TransUnion. Dans son avis aux clients, rapporté par iPhone in Canada, Loblaw attribue le délai à un long processus de validation visant à établir qui était touché et quelles données s’appliquaient à chaque personne.
Une lettre volontaire, pas un constat d’infraction
Le document n’est ni une conclusion d’enquête ni un accord de conformité au sens de l’article 17.1 de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE). Loblaw y consent à des engagements, et le texte précise qu’il ne constitue pas une admission de responsabilité ou de faute. L’enquête lancée par le commissaire Philippe Dufresne reste ouverte jusqu’à ce qu’il juge ces engagements remplis.
Loblaw doit confirmer au plus tard le 16 novembre 2026 que toutes les personnes touchées ont été avisées. Elle doit décrire d’ici le 31 janvier 2027 sa méthode de repérage et de dédoublonnage des données, ainsi que sa grille d’évaluation du risque. Une firme indépendante approuvée par le Commissariat doit évaluer ses mesures de sécurité d’ici le 31 octobre 2027. Que le régulateur exige le détail de la méthode d’identification indique que cette étape est elle-même sous examen, sans qu’aucun constat n’ait été posé.
« Avec diligence » : ce que la Loi 25 exige au Québec
Pour les renseignements personnels détenus au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25, impose sa propre mécanique. Son article 3.5 oblige l’entreprise à prendre des mesures raisonnables pour réduire le risque de préjudice, puis, si l’incident présente un risque de préjudice sérieux, à aviser « avec diligence » la Commission d’accès à l’information et les personnes concernées. L’article 3.7 encadre l’évaluation : sensibilité du renseignement, conséquences appréhendées, probabilité d’utilisation préjudiciable.
La loi ne chiffre pas cette diligence. Aucune loi canadienne applicable au secteur privé ne fixe de délai en jours : la loi fédérale exige un avis aussitôt que possible après le constat de l’atteinte, et celle de l’Alberta, sans délai déraisonnable. Le seul report expressément prévu par l’article 3.5 vise l’avis qui pourrait entraver une enquête policière. Rien de public n’indique que ce motif ait été invoqué dans le dossier Loblaw.
L’omission de déclarer un incident lorsqu’on y est tenu peut entraîner une sanction administrative pécuniaire allant jusqu’à 10 millions de dollars ou 2 % du chiffre d’affaires mondial (article 90.12) et, au pénal, une amende pouvant atteindre 25 millions de dollars ou 4 % de ce chiffre pour une personne morale (article 91).
Un angle mort demeure. Loblaw affirme avoir informé les autorités de protection de la vie privée, au pluriel, sans les nommer. Il est impossible de vérifier si la Commission d’accès à l’information a été avisée, ni quand : depuis le 27 mai 2025, celle-ci ne publie plus la liste des organisations qui lui déclarent un incident. Elle a reçu 514 avis en 2024-2025, dont 80 % du secteur privé, selon son rapport annuel.
| Date | Étape | Source |
|---|---|---|
| 23 février 2026 | Accès non autorisé le plus ancien probable | Lettre au Commissariat |
| 5 mars 2026 | Intrusion confirmée | Lettre au Commissariat |
| 10 mars 2026 | Avis public ; Commissariat informé | Lettre au Commissariat |
| 2 octobre 2026 | Avis public mis à jour à la demande du Commissariat | Lettre au Commissariat |
| 19 octobre 2026 | Début des avis individuels | Lettre au Commissariat |
| 21 octobre 2026 | Lettre d’engagement signée | Commissariat |
| Vers le 29 octobre 2026 | Avis aux consommateurs, selon les demandeurs | Consumer Law Group |
| 2 novembre 2026 | Déclaration introductive du recours collectif | Consumer Law Group |
| 16 novembre 2026 | Échéance : confirmer que tous ont été avisés | Lettre au Commissariat |
Un recours collectif aux allégations non prouvées
La déclaration du 2 novembre, déposée par Consumer Law Group en association avec le cabinet Arias Sanguinetti Stahle & Torrijos, vise Loblaw Companies Limited et Loblaws Inc. au nom des personnes dont les renseignements ont été compromis. Selon Daily Hive, elle a été déposée devant la Cour supérieure de justice de l’Ontario. Les demandeurs soutiennent que Loblaw aurait enfreint plusieurs lois sur la vie privée et sur la protection du consommateur, et que sa conduite aurait été intentionnelle, insouciante ou, à tout le moins, négligente. Aucun montant n’est réclamé publiquement, le recours n’est pas autorisé et ses allégations n’ont pas été éprouvées en cour.
Les demandeurs situent les avis vers le 29 octobre ; la lettre au Commissariat fait commencer leur envoi le 19 octobre, en prévoyant qu’il s’étale sur plusieurs semaines.
Le préjudice, verrou du droit québécois
Le recours étant intenté en Ontario, ses réclamations relèvent de la common law. En droit civil québécois, un retard d’avis, même démontré, ne se convertit pas automatiquement en indemnité. Dans Lamoureux c. OCRCVM, 2022 QCCA 685, la Cour d’appel du Québec a confirmé le rejet au fond d’une action collective visant la perte d’un ordinateur contenant les renseignements de plus de 50 000 investisseurs : malgré la faute admise, l’inquiétude et les tracas allégués relevaient d’inconvénients ordinaires, suivant l’arrêt Mustapha de la Cour suprême. L’article 93.1 de la loi québécoise prévoit toutefois des dommages-intérêts punitifs d’au moins 1 000 $ en cas d’atteinte illicite intentionnelle ou de faute lourde.
Le dossier Loblaw pose donc deux questions distinctes : plus de sept mois de validation relèvent-ils encore de la diligence, et un tel délai a-t-il causé un préjudice indemnisable ? La première trouvera un début de réponse dans la méthode que Loblaw doit exposer en janvier. Pour la seconde, et pour la Commission d’accès à l’information, rien ne permet encore de savoir qui s’en saisira au Québec.
Note sur ce contenu. Cet article a été rédigé par un(e) journaliste IA du Juridhic. Il reflète ses recherches et son point de vue, sous la supervision et la responsabilité éditoriale de la rédaction humaine du Juridhic. Nous visons la plus grande rigueur, mais des erreurs peuvent subsister. Votre vigilance compte : signalez-nous toute correction à corrections-lejuridhic@protonmail.ch.
Références
- Burnet, Duckworth & Palmer. (s.d.). How to handle mandatory breach notifications under Canadian privacy law. https://www.bdplaw.com/insights/how-to-handle-mandatory-breach-notifications-under-canadian-privacy-law
- Clyde & Co. (2022, juin). The Court of Appeal of Quebec upholds dismissal of class action on the merits for loss of personal information. https://www.clydeco.com/en/insights/2022/06/quebec-court-of-appeal-upholds-dismissal
- Commissariat à la protection de la vie privée du Canada. (2026, 26 octobre). Communiqué sur les engagements de Loblaw à la suite d’une atteinte à la vie privée. https://www.priv.gc.ca/en/opc-news/news-and-announcements/2026/nr-c_261026/
- Commissariat à la protection de la vie privée du Canada. (2026, 26 octobre). Compliance letter to the Office of the Privacy Commissioner of Canada by Loblaw Companies Limited [lettre signée le 21 octobre 2026]. https://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2026/2026-loblaw-cl/
- Commission d’accès à l’information du Québec. (2025). Rapport annuel de gestion 2024-2025. https://www.cai.gouv.qc.ca/uploads/pdfs/CAI_RAAG-2024-2025.pdf
- Commission d’accès à l’information du Québec. (2025, 27 mai). Arrêt de la diffusion de la liste des déclarations d’incidents de confidentialité. https://www.cai.gouv.qc.ca/actualites/arret-diffusion-liste-declarations-incidents-de-confidentialite
- Consumer Law Group. (2026, 9 novembre). Loblaws Data Breach Canadian Class Action. https://clg.org/Class-Action/List-of-Class-Actions/Loblaws-Data-Breach-Canadian-Class-Action
- Daily Hive. (2026, 9 novembre). Canadians could be part of class-action lawsuit filed against Loblaw. https://dailyhive.com/canada/loblaw-class-action-data-breach-2026
- iPhone in Canada. (2026, 28 octobre). Got a Loblaw breach email? Here’s what hackers took from you. https://www.iphoneincanada.ca/2026/10/28/loblaw-hack-customer-info-breach-notices/
- Justice Canada. (2026). Loi sur la protection des renseignements personnels et les documents électroniques, L.C. 2000, ch. 5, art. 10.1. https://laws-lois.justice.gc.ca/eng/acts/P-8.6/section-10.1.html
- La Presse Canadienne. (2026, 23 octobre). Loblaw says March data breach affected about two million Canadians. CP24. https://www.cp24.com/news/money/2026/10/23/loblaw-says-march-data-breach-affected-about-two-million-canadians/
- Légis Québec. (2026). Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ, c. P-39.1, art. 3.5 à 3.8, 90.1, 90.12, 91 et 93.1. https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1
