Crime Stoppers visé par une action collective après la fuite de 1,5 million de signalements

Un cabinet d'avocats canadien a proposé une action collective contre l'Association canadienne d'Échec au crime (Crime Stoppers) et son prestataire américain Navigate360, après un piratage qui a exposé plus de 1,5 million de signalements envoyés par des Canadiens à cette ligne anonyme. Consumer Law Group a annoncé la procédure le 30 octobre, rapporte Daily Hive. Le demandeur principal habite Dunnville, en Ontario : il avait donné à Crime Stoppers son nom, son adresse, son téléphone et son courriel en signalant une maison soupçonnée de trafic de drogue près de chez lui.

Ce qui a fuité et comment on l'a appris

Crime Stoppers est un réseau d'organismes sans but lucratif qui transmet à la police des signalements de crimes en promettant l'anonymat à leurs auteurs. Les sections stockent ces signalements sur P3, une plateforme gérée par Navigate360. Un groupe d'hacktivistes se faisant appeler Internet Yiff Machine a volé les données en mars, disant vouloir prouver que la plateforme n'était pas aussi « anonyme » et « sécurisée » que promis. L'organisme Distributed Denial of Secrets en a ensuite remis une copie à des journalistes et des chercheurs.

Le 21 octobre, CBC News a publié son analyse de la partie canadienne : plus de 1,5 million de signalements provenant de plus de 60 sections sur 25 ans, dont plus de 850 000 contenant des informations personnelles. CBC n'a pas toujours pu déterminer si ces informations concernaient un informateur, une victime ou un suspect. Elles ont suffi pour joindre plus d'une douzaine d'informateurs, dont certains ont dit craindre des représailles. La GRC a déclaré que la fuite pouvait mettre en danger les informateurs, les personnes citées et des policiers, en ajoutant qu'on lui avait d'abord assuré qu'aucune donnée canadienne ou personnelle n'était concernée.

Navigate360 a confirmé publiquement l'intrusion le 23 octobre. Selon l'entreprise, un tiers non autorisé a copié des données de l'un de ses systèmes entre le 21 novembre 2025 et le 5 mars 2026, et rien n'indique qu'elles aient servi à des fraudes ou à des usurpations d'identité. Échec au crime Toronto affirme que l'entreprise l'a prévenue de la fuite le 18 mars, a qualifié le système de « sûr et pleinement opérationnel » une semaine plus tard, puis a changé plusieurs fois de version sur ce qui avait été volé.

Ce que soutient l'action

Selon la demande, Crime Stoppers et Navigate360 conservaient les données personnelles sans les caviarder ni les chiffrer, et gardaient des dossiers pendant des décennies alors qu'ils n'étaient plus utiles. Les données exposées comprendraient des adresses, des numéros de téléphone, des plaques d'immatriculation, des coordonnées bancaires et des numéros d'assurance sociale, ainsi que des informations sur des personnes citées, des employés et des policiers. Navigate360 est aussi accusée d'avoir eu connaissance de l'activité suspecte dès le 18 mars sans prévenir les personnes concernées ni le public avant octobre. Aucune de ces allégations n'a été examinée par un tribunal, et l'action n'est pas encore autorisée.

La police recule, les régulateurs ont les mains liées

Au 27 octobre, CBC recensait au moins 11 programmes Crime Stoppers ayant cessé de recevoir des signalements, dont les cinq de la Saskatchewan, et 24 services de police ayant suspendu leur partenariat. D'autres continuent : la police de Calgary a dit à Global News le 30 octobre être satisfaite des mesures de sécurité supplémentaires, et certains détachements de la GRC ont continué de promouvoir le programme.

Le 27 octobre, le commissaire à la protection de la vie privée du Canada, Philippe Dufresne, a ouvert une enquête sur les mesures de sécurité de Navigate360. Il ne peut pas enquêter sur Crime Stoppers : la loi fédérale sur le secteur privé ne s'applique généralement pas aux organismes sans but lucratif, et le commissaire de l'Ontario ne supervise que le secteur public. CBC a aussi obtenu une note de juin dans laquelle le président de l'association conseillait aux sections de ne pas contacter les commissaires à la vie privée. Michael Geist, professeur de droit à l'Université d'Ottawa, a dit à CBC que ceux qui veulent une indemnisation devront compter sur les actions collectives, car la loi actuelle leur offre peu.