Des documents policiers qui viennent d’être rendus publics révèlent pour la première fois le nom d’un deuxième ex-employé de Desjardins soupçonné d’être lié au vol massif de données. Ils permettent aussi de comprendre comment les « intérêts divergents » de la Sûreté du Québec (SQ) et du Mouvement Desjardins ont rendu inévitables les perquisitions surprises de février dans ses bureaux.
Ce suspect jusqu’ici inconnu est un ancien directeur de comptes au Centre des entreprises Desjardins de La Pocatière, Julien Ouellet. Son nom figure dans une déclaration sous serment lourdement caviardée que la police a produite pour perquisitionner dans les bureaux de l’institution financière à l’édifice Windsor, rue Peel, au centre-ville de Montréal. Il est possible de dévoiler le contenu non censuré de ce document en raison d’une décision judiciaire rendue lundi.
Les policiers cherchaient notamment à obtenir un signalement anonyme et des notes d’enquête sur l’ex-directeur de comptes. Ils voulaient aussi mettre la main sur « toutes les communications échangées par messages textes » sur son ancien téléphone professionnel avec Mathieu Joncas, Jean-Loup Leullier Masse et Charles Bernier, des courtiers et prêteurs privés visés par l’enquête.
La Sûreté du Québec a présenté cette déclaration sous serment à un juge le 18 février dernier, alors qu’elle était déjà en pleine perquisition au Complexe Desjardins. La police a toutefois dû se rendre également dans les bureaux de la rue Peel après avoir appris qu’une partie des éléments recherchés s’y trouvaient.
L’emplacement de ces locaux de Desjardins est caviardé dans les documents, mais La Presse l’a entendu lors d’une audition en mai dernier au palais de justice de Montréal.
La déclaration sous serment révèle aussi à quel point la résistance du Mouvement a rendu ces perquisitions nécessaires pour la police.
En contact avec des suspects
Selon le document, Desjardins a reçu en juillet 2019 une « dénonciation anonyme » affirmant que le directeur de comptes Julien Ouellet entretenait « une relation inappropriée » avec Mathieu Joncas, prêteur privé et courtier hypothécaire qui a racheté une partie des informations volées.
Julien Ouellet a depuis quitté son emploi, et le Mouvement a récupéré son téléphone professionnel. Les enquêteurs ont alors pu constater qu’il était également en contact avec Charles Bernier, ancien partenaire de Jean-Loup Leullier Masse. Ce prêteur privé est soupçonné d’avoir racheté des données confidentielles directement à l’ex-employé du Mouvement qui les aurait dérobées, Sébastien Boulanger-Dorval.
« Si seulement ils savaient ne seraisse [sic] qu’une infime partie de l’histoire ; )$$$ », avait écrit Julien Ouellet à Charles Bernier, selon la déclaration sous serment.
Il lui avait aussi transmis l’image d’un document confidentiel appartenant à l’institution financière, indique le document.
Lors d’une rencontre avec deux enquêteurs de la SQ en septembre 2019, Julien Ouellet a confirmé avoir travaillé pour Mathieu Joncas pendant « sept ou huit ans ». Quand il s’est ensuite joint à Desjardins, son ancien patron s’est retrouvé dans son portefeuille de clients, tout comme l’entreprise de Jean-Loup Leullier Masse et Charles Bernier, selon la déclaration sous serment.
Julien Ouellet aurait aussi dit aux enquêteurs que « Mathieu Joncas est sur le spot light chez Desjardins concernant du blanchiment d’argent ».
Le document précise que l’ex-directeur de comptes a lui-même accordé une marge de crédit de 50 000 $ à Prêt Argent 500, l’entreprise de Jean-Loup Leullier Masse et Charles Bernier.
Après s’être penchée sur son cas, l’institution financière le soupçonnait d’occuper un « double emploi », à la fois chez Desjardins et dans la firme de courtage hypothécaire de Mathieu Joncas, ProCourtier.
La déclaration sous serment n’indique pas les conclusions du Mouvement sur son ancien employé.
D’autres employés impliqués
Selon le document policier, la SQ cherchait aussi à connaître l’identité de trois autres employés de Desjardins qui auraient extrait des données confidentielles des serveurs et les auraient transférées dans un répertoire auquel Sébastien Boulanger-Dorval avait accès.
Le Mouvement n’aurait révélé cette information à la police qu’en septembre 2020, sans donner les noms des employés en question.
Par ailleurs, la déclaration sous serment indique une perquisition jusqu’ici inconnue du public, réalisée en septembre 2019 dans un immeuble de l’avenue Saint-Sacrement, à Québec. Les policiers y ont découvert un coffre-fort où se trouvait une clé USB contenant des listes de noms.
La SQ a voulu savoir si ces données portaient sur des clients de Desjardins, mais elle a dû obtenir une ordonnance de communication pour que le Mouvement lui dise si c’était bien le cas.
L’immeuble commercial où a eu lieu la perquisition appartient notamment à un certain Khaled Bassoussi, mentionné dans la déclaration sous serment de la SQ, sans explications en clair. Il abrite aussi une société à numéro enregistrée à son nom, censée faire dans la publicité, selon le registre des entreprises.
D’après la police, les bureaux de l’avenue Saint-Sacrement sont aussi liés à trois autres personnes mentionnées dans le document : Nicolas Doiron, Patrick Richard et Nicole Duchaîne. Le rôle qu’ils ont pu jouer dans l’affaire n’est pas expliqué dans les parties non caviardées.
Rappelons qu’aucune accusation n’a été déposée dans cette affaire.
Desjardins a envoyé les informations au compte-gouttes à la SQ
Vingt mois après le début de son enquête sur le vol massif de données confidentielles chez Desjardins, la Sûreté du Québec attendait toujours en février dernier que le Mouvement lui fasse parvenir « plusieurs documents » issus de son enquête interne. La déclaration sous serment que la police a déposée en cour permet de comprendre à quel point elle a eu du mal à obtenir la collaboration de l’institution financière, avant de débarquer sans prévenir pour perquisitionner dans ses bureaux.
En juin 2020, le Mouvement semblait déjà s’inquiéter de la tournure des évènements.
« Nous serions reconnaissants si vous pouviez considérer le présent envoi comme une preuve additionnelle de l’importance que Desjardins accorde à sa coopération avec votre enquête », disait une note envoyée à la police. Elle accompagnait des déclarations de ses employés que la SQ attendait depuis des mois.
Pour les autorités, la situation commandait pourtant d’agir rapidement. Tout indiquait que « des listes de données nominatives des membres de Desjardins [étaient] toujours en circulation », selon l’enquêtrice Karine Lachance. Elle disait avoir des « motifs raisonnables » de croire que des infractions criminelles « seront commises ».
Les « intérêts divergents » entre l’institution financière et les autorités ne leur ont guère laissé le choix, selon la police. La SQ s’est donc adressée à la Cour du Québec pour obtenir non seulement des mandats de perquisition, mais aussi une ordonnance d’assistance pour obliger l’institution financière à l’aider.
« Sans inférer de mauvaises intentions à Desjardins, on ne peut présumer des actions qu’elle entreprendra lors de l’exécution de la perquisition », précise le document.
La déclaration sous serment permet de faire le récit détaillé des nombreux écueils que les autorités ont rencontrés dans leurs discussions avec l’institution financière qui, encore aujourd’hui, invoque notamment le privilège avocat-client pour contrôler les informations transmises.
Desjardins et la SQ : Le récit détaillé
Octobre 2018
La direction Enquête et gestion des fraudes de Desjardins est informée de certains retraits frauduleux.
Décembre 2018
L’institution financière porte plainte à la police de Laval concernant une transaction dans un centre d’encaissement de son territoire.
23 mai 2019
Le Mouvement découvre l’identité de l’employé qui aurait volé les données de millions de Québécois, Sébastien Boulanger-Dorval. « Le Service de police de Laval s’est objecté à toute action de la part de Desjardins pour ne pas nuire à l’enquête en cours », rappelle le document.
24 et 27 mai 2019
Malgré cette mise en garde, des employés des technologies de l’information de Desjardins récupèrent une clé USB et des documents au bureau de Sébastien Boulanger-Dorval à Lévis.
31 mai et 3 juin 2019
Desjardins remet volontairement certains objets à la police de Laval.
6 juin 2019
La police de Laval arrête Sébastien Boulanger-Dorval pour utilisation non autorisée d’un ordinateur, trafic et possession de renseignements identificateurs, utilisation non autorisée de données relatives à des cartes de crédit et fraude, mais aussi pour possession d’une arme prohibée. Son téléphone est saisi sans mandat.
20 juin 2019
Le Mouvement révèle au grand public qu’un employé a volé les renseignements personnels de 2,9 millions de membres et clients.
26 juin 2019
La Division des crimes économiques de la SQ prend la relève de la police de Laval et commence l’opération Portier.
Juillet 2019
Desjardins reçoit une lettre anonyme au sujet d’un autre employé, le directeur de comptes Julien Ouellet du Centre des entreprises de La Pocatière. Il serait en relation avec des courtiers et prêteurs privés aujourd’hui soupçonnés d’avoir racheté une partie des données volées.
Août 2019
Le Mouvement porte plainte à la SQ concernant Julien Ouellet.
Septembre 2019
Les enquêteurs Simon Drouin et François Bonneau interrogent Julien Ouellet.
Novembre 2019
Nouveau mandat de perquisition. L’endroit où a lieu la saisie est caviardé dans la déclaration sous serment. Desjardins reconnaît finalement que tous les particuliers membres du Mouvement sont touchés, soit 4,2 millions de personnes.
Avril 2020
La sergente-détective Geneviève Guérin demande à Desjardins de lui transmettre le détail de ses interventions dans le bureau de Sébastien Boulanger-Dorval. Elle demande à un employé de Desjardins, Carl Pelletier, la liste des fichiers informatiques retrouvés.
Mai 2020
Près d’un an après la fouille du bureau de Sébastien Boulanger-Dorval par Desjardins, la détective Guérin reçoit finalement la déclaration sous serment d’un employé qui y a participé et les photos prises à cette occasion. La détective insiste auprès de Desjardins pour obtenir les déclarations sous serment des autres intervenants impliqués dans la fouille du bureau de l’ex-employé.
Juin 2020
Desjardins fait parvenir à la SQ les déclarations sous serment de six employés impliqués dans la fouille du bureau de Sébastien Boulanger-Dorval, un an plus tôt. « Plusieurs éléments sont manquants », lui fait savoir la détective Guérin.
8 septembre 2020
La SQ rencontre des représentants de Desjardins « afin de clarifier certains éléments en lien avec l’enquête policière et les intérêts divergents des deux parties, notamment des intérêts corporatifs qui divergent des intérêts des policiers dans l’enquête criminelle en cours ».
9 septembre 2020
Quinze mois après l’annonce de la fuite et le début de l’enquête de la SQ, le Mouvement lui remet « un rapport expliquant le stratagème » utilisé pour voler ses données. Il dévoile finalement comment trois employés de Desjardins ont transféré des données confidentielles dans un répertoire partagé du service du marketing de 2016 à 2018. Sébastien Boulanger-Dorval a pu accéder à ces renseignements. La SQ note cependant que le rapport « ne contient pas les noms des témoins ayant participé à l’enquête interne » ni ceux des trois employés concernés.
11 septembre 2020
Les sergentes Nadia Aref et Geneviève Guérin communiquent avec une personne au nom caviardé au sujet de la présence d’avocats lors de rencontres avec des témoins chez Desjardins. Cette personne explique que le Mouvement souhaite ainsi protéger des informations privilégiées, incluant le nombre de victimes qu’a fait la fuite et les informations qui s’y trouvent.
Décembre 2020
Selon la Commission d’accès à l’information du Québec et le Commissaire à la vie privée du Canada, la fuite de données touche finalement 9,7 millions de personnes. Les deux organismes critiquent sévèrement Desjardins, qui « a manqué à son obligation de limiter l’accès aux renseignements personnels ».
Février 2021
« À ce jour, les représentants de l’institution financière n’ont pas fourni à la SQ plusieurs documents en lien avec l’enquête interne », indique la déclaration sous serment jointe au mandat de perquisition. Les enquêtrices rencontrent un représentant de Desjardins dont le nom est caviardé. Selon cette personne, le Mouvement est « toujours en réflexion » quant à l’opportunité de fournir à la police certains éléments qu’elle lui réclame aux fins de l’enquête.
Août 2021
La SQ attend toujours de pouvoir consulter les objets saisis dans les bureaux de Desjardins en février. Les avocats du gouvernement et ceux de McCarthy Tétrault, qui représentent le Mouvement, ont convenu d’un protocole pour en prendre connaissance à partir de la mi-août.