(Québec) Les renseignements personnels du ministre de la Famille, Mathieu Lacombe, et de milliers de parents et d’enfants inscrits au guichet unique pour obtenir une place dans un service de garde ont fait l’objet d’une fuite, a appris La Presse. La Sûreté du Québec (SQ) et la Gendarmerie royale du Canada (GRC) ouvrent une enquête criminelle sur ce vol de données qui, au surplus, met en cause la sécurité du ministre et de ses deux enfants.

Tommy Chouinard
Tommy Chouinard La Presse

Les données ont été subtilisées par « quelqu’un dont, visiblement, les objectifs étaient politiques », estime le ministre Lacombe. Il tire cette conclusion à partir d’une première analyse des serveurs de la Place 0-5, le guichet unique géré par la Coopérative Enfance Famille en vertu d’une entente avec Québec.

Cette analyse a été effectuée lundi par la coopérative, en collaboration avec le ministère de la Famille. Les deux organismes ont décidé de la faire à la suite de questions posées par La Presse au sujet de documents intrigants qu’elle a obtenus dimanche. Tout porte à croire que ces documents sont le fruit du vol.

Deux documents sont en cause. Ils émanent de la base de données de la Place 0-5. Une poignée d’employés de la coop et du ministère de la Famille y ont accès. Rien n’indique que la fuite provient d’employés pour le moment. Ce serait plutôt l’œuvre d’un pirate informatique.

Selon nos informations, l’individu est parvenu à avoir accès à des données hébergées par InMedia, fournisseur technologique de la coopérative.

L’individu a créé un accès administrateur à 19 h 32 samedi. Il a consulté des données du guichet unique pendant presque trois heures.

Il a recherché un dossier au nom de Mathieu Lacombe et l’a supprimé à 20 h 42. Le ministre a un enfant qui fréquente un service de garde et l’autre, une école.

Il a téléchargé une liste des dossiers de 5000 parents et de leurs enfants. Il a tenté d’en obtenir davantage, mais un mécanisme de sécurité l’en a empêché. Il a également fait au moins une capture d’écran. Il a quitté la plateforme web à 22 h 22.

« Une affaire préoccupante et sérieuse »

Dans la liste des 5000 dossiers téléchargés, tout comme celui du ministre Lacombe, on retrouve le nom du parent, son numéro de téléphone, son adresse courriel, son nom d’utilisateur et sa date d’inscription à la Place 0-5. Ce n’est pas tout : il y a la date de naissance de l’enfant et son numéro d’inscription au registre de l’état civil (NIREC).

Le NIREC est une information précieuse et hautement confidentielle. Il figure sur le certificat de naissance et il est nécessaire pour s’inscrire à certains services et programmes gouvernementaux. C’est le numéro d’identification de base de toute personne née au Québec.

« Au-delà de mon cas personnel, je pense surtout aux 5000 autres parents dont les données ont été piratées par quelqu’un dont, visiblement, les objectifs étaient politiques », affirme le ministre Lacombe dans une déclaration envoyée lundi soir.

Le centre gouvernemental de cyberdéfense et les autorités policières ont aussitôt été avisés des faits et mèneront l’enquête.

Mathieu Lacombe, ministre de la Famille, dans une déclaration envoyée lundi soir

Il s’agit de la Sûreté du Québec et de la Gendarmerie royale du Canada, a-t-on confirmé à La Presse.

Québec entend également « accompagner » la coopérative, « un organisme qui est indépendant, afin qu’une telle situation ne se reproduise plus ».

De son côté, la Coopérative Enfance Famille dit avoir « agi rapidement », lundi matin, dès que La Presse lui a posé des questions au sujet de documents obtenus la veille. Elle a contacté InMedia pour faire des vérifications et colmater la brèche de sécurité. En fin de soirée, le site web de la Place 0-5 était inaccessible en raison de ces travaux.

« C’est une affaire préoccupante et sérieuse », a affirmé la directrice des communications de la coopérative, Fannie Couture. Elle a ajouté que la coop écrira un courriel à tous les parents dont les dossiers ont « potentiellement été visionnés » par le pirate — peut-être jusqu’à 87 000, selon elle. Elle informera les 5000 parents dont les dossiers ont été téléchargés du vol de leurs données personnelles.

Ni la coopérative ni le Ministère n’étaient au courant de la fuite avant qu’on les contacte lundi. La veille, La Presse a obtenu deux documents qui, de toute évidence, émanent de la base de données de la Place 0-5.

Renseignements personnels

Ces documents proviennent à l’origine d’un individu se présentant en quelque sorte comme un lanceur d’alerte et dont l’identité exacte est inconnue. Ce dernier a créé une adresse courriel pour les transmettre à au moins une personne. C’est cette personne qui a appelé La Presse par la suite et qui lui a envoyé les deux documents. Elle a demandé de rester anonyme. Elle a appelé la Sûreté du Québec dimanche pour l’informer de la fuite. On lui a suggéré de se tourner vers le ministère de la Famille, selon ses explications.

Le premier document en cause est cette fameuse liste des dossiers de 5000 parents. Avant d’obtenir des réponses de la coopérative et du Ministère, La Presse a fait ses propres vérifications auprès de parents afin de confirmer que le document contient des informations véridiques et n’est pas pure fabrication.

Le second document est une capture d’écran de données de la Place 0-5. Il montre une liste de 10 parents et leurs enfants, avec leurs renseignements personnels (adresse, courriel, numéro de téléphone, date de naissance de l’enfant). On y retrouve même la réponse à la question d’identification permettant d’accéder à la plateforme web du guichet unique.

Or, on constate au bas de cette capture d’écran qu’un total de 86 948 enfants sont en attente d’une place. Le ministre Lacombe martèle pourtant depuis des jours que 51 000 bambins se trouvent sur la liste.

Les partis de l’opposition l’ont talonné au sujet de cette liste en commission parlementaire la semaine dernière.

Le Ministère maintient que son décompte est bon. Il explique que la donnée « brute » du guichet unique « fait l’objet d’un traitement pour en extraire une donnée fiable représentant de manière plus fidèle le nombre réel d’enfants en attente d’une place ». « L’idée est de retirer, par exemple, le nom d’un enfant qui occupe déjà une place dans un service de garde mais pour lequel le parent souhaite un autre type de service », comme un CPE. Il ne retient également que « les enfants en attente qui sont nés ». C’est pourquoi il arrive à 51 000.

La Place 0-5 sur la sellette

Le vol de données survient au moment même où la Place 0-5 de la Coopérative Enfance Famille est sur la sellette. Le gouvernement Legault envisage de rapatrier le guichet unique au sein du Ministère. L’enjeu fait partie des consultations en vue de la réforme des services de garde que compte faire Mathieu Lacombe.

L’automne dernier, la vérificatrice générale du Québec, Guylaine Leclerc, a révélé que des garderies ont violé la loi en donnant une place à des enfants alors qu’ils n’étaient pas inscrits à la Place 0-5. Entre septembre 2018 et novembre 2019, « environ 30 000 enfants (dont environ 5000 dans le cas des CPE) ont obtenu une place alors qu’ils n’étaient pas inscrits au guichet unique, ce qui n’est pas conforme à la Loi sur les services de garde éducatifs à l’enfance », a-t-elle révélé. Elle a ajouté que la Place 0-5 n’offre pas aux parents des informations de base — comme le nombre de places disponibles dans les services de garde, le nombre d’enfants inscrits et le positionnement des enfants sur les listes d’attente. Elle a également fait des reproches aux services de garde. « Ces derniers ont la liberté de sélectionner les enfants en fonction de leur politique d’admission et de leurs besoins, sans tenir compte de l’ordre proposé par le guichet unique dans leur liste d’attente », a-t-elle souligné. Le Ministère a fait l’objet de blâmes pour son piètre encadrement des services de garde.