Lundi 14 septembre 2026

Le présent avis public s'adresse aux personnes touchées par un incident

de confidentialité survenu vers le 25 août 2025 et que le Centre de services
scolaire des Appalaches n'a pas été en mesure d'aviser par lettre.

Toutes les personnes qui ont déjà reçu une lettre du Centre de services
scolaire des Appalaches les avisant d'un incident de confidentialité n'ont
pas à tenir compte du présent avis public.

Le Centre de services scolaires des Appalaches (« CSS des Appalaches »)
souhaite vous informer d'un incident de confidentialité survenu le ou vers le
25 août 2025. Cet incident a entraîné l'exfiltration non autorisée de données
dont des renseignements personnels et leur publication sur le Web caché
(« Dark Web »).

Au cours des derniers mois, le CSS des Appalaches a avisé individuellement
les personnes touchées en conformité de ses obligations légales. Toutefois,
certaines personnes n'ont pu être identifiées ou rejointes.

Que s'est-il passé?
Le ou vers le 25 août 2025, les infrastructures informatiques du CSS des
Appalaches ont fait l'objet d'une cyberattaque par un tiers non autorisé qui
a réussi à exfiltrer des données, incluant des renseignements personnels. Le
20 septembre 2025, l'ensemble des données exfiltrées a été publié sur le Web
caché (« Dark Web »).

Quelles sont les actions entreprises?
Dès le 25 août 2025, le CSS des Appalaches a travaillé en étroite collaboration
avec le Centre opérationnel de cyberdéfense du ministère de l'Éducation et
le ministère de la Cybersécurité et du Numérique pour identifier et contrer la
cyberattaque et prendre toutes les mesures nécessaires pour protéger ses
installations informatiques et les données qu'elles contiennent.

Au cours des semaines qui ont suivi, le CSS des Appalaches a porté plainte
auprès du service de police concernant cette cyberattaque et a avisé la
Commission d'accès à l'information, conformément à ses obligations légales.
D'autres mesures ont été mises en place pour réduire les risques qu'un tel
événement se reproduise.

Depuis la cyberattaque, les équipes du CSS des Appalaches ont mis tous
les efforts pour identifier les renseignements personnels et les personnes
concernées par la cyberattaque.

Qui est concerné?
Les personnes suivantes peuvent être concernées :
• Les élèves et les parents d'élèves ayant fréquenté une école, un centre ou
reçu des services du CSS des Appalaches pendant les années scolaires 2003-
2004 jusqu'à l'année scolaire 2025-2026;
• Les employés et les prestataires de services (aussi désignés « honoraires
et contrats ») qui ont travaillé ou offert leurs services au CSS des Appalaches
entre l'année scolaire 2005-2006 et août 2025.

Même pendant cette période, ce ne sont pas tous les élèves et parents
d'élèves, employés ou prestataires de services qui sont concernés par
l'incident de confidentialité.

Quels sont les renseignements personnels concernés?
Différents renseignements personnels ont été exfiltrés lors de la cyberattaque et
publiés sur le Web caché (« Dark Web ») :
• Des renseignements d'identification, tels que : nom et prénom de la personne
concernée, nom et prénom des parents de l'élève, numéro de téléphone,
adresse civique, adresse courriel, date de naissance, lieu de naissance, âge,
sexe/genre, langue(s) parlée(s), origine ethnique, numéro d'assurance sociale,
numéro d'assurance maladie, numéro de permis de conduire ou numéro de
passeport, incluant des photocopies de carte d'assurance maladie, de permis
de conduire, de passeport ou des certificats de naissance ou de décès et les
informations que ces documents contiennent;
• Des renseignements scolaires, tels que : école fréquentée, niveau scolaire,
classe fréquentée, code permanent, résultats scolaires (ex. : des bulletins et
des relevés de notes), commentaires/avis sur l'évolution de l'élève, difficultés
observées, moyens pour atteindre les objectifs, services offerts, incluant des
plans d'intervention et les renseignements qu'ils contiennent;
• Des renseignements financiers, tels que : numéro de carte de crédit, incluant,
dans certains cas, la date d'expiration et le code de sécurité, coordonnées
bancaires, relevés fiscaux liés à une prestation de travail ou aux frais de garde
et les renseignements qu'ils contiennent, état de compte, documents de
faillite, avis de recouvrement;
• Des renseignements relatifs au travail, tels que : l'occupation, le salaire,
les motifs d'une convocation ou d'une mesure disciplinaire, incluant des
insatisfactions liées à l'exécution des fonctions, des notes de rencontres
d'observations, des analyses et des commentaires sur des interventions
effectuées, des pistes d'amélioration et des orientations;
• Des renseignements de santé (ou autres), tels que : des compétences
intellectuelles et sociales, un code de difficulté, l'histoire médicale ou sociale,
des diagnostics, des évaluations, des traitements, des recommandations
sociales ou médicales;
• D'autres renseignements, tels que des photographies scolaires individuelles
ou de groupe, des documents d'immigration (ex. : permis de travail, visa,
permis de séjour), la description de situations conflictuelles, d'incident ou
d'accident (ex. : personnes impliquées, contexte et circonstances, description
des faits, des conséquences et du suivi).

La liste précédente couvre toutes les catégories de renseignements personnels
qui ont pu être touchées par l'incident de confidentialité. Notez que ces types
de renseignements ne concernent pas systématiquement chaque personne
concernée. Néanmoins, il est possible qu'une même personne soit affectée par
la compromission de plusieurs renseignements ou catégories de renseignements
personnels.

Que pouvez-vous faire?
Nous vous encourageons à rester en tout temps vigilants face aux menaces qui
peuvent peser sur votre identité et vos renseignements personnels et/ou sur
ceux de vos enfants mineurs, en adoptant notamment les mesures suivantes :
• Soyez prudents lorsque vous partagez des renseignements personnels, que ce
soit par téléphone, par courriel ou sur un site Web et sur les réseaux sociaux.
• Ne répondez jamais à des demandes non sollicitées concernant des
renseignements personnels.
• Évitez de consulter les liens ou de télécharger les pièces jointes qui se trouvent
dans les courriels suspects.
• Changez vos mots de passe régulièrement et assurez-vous qu'ils sont
sécuritaires et n'utilisez jamais les mêmes mots de passe.
• Examinez régulièrement vos renseignements personnels auprès des
organismes qui vous offrent des services et surveillez les comptes bancaires
ou de crédit. Si vous avez des doutes ou si vous repérez des activités
suspectes, rapportez l'incident aux autorités appropriées.

Pour en savoir davantage sur la fraude et le vol d'identité, nous vous invitons à
consulter le site du Commissariat à la protection de la vie privée du Canada,
de la Commission d'accès à l'information du Québec et du Centre antifraude du
Canada aux adresses suivantes :
https://www.priv.gc.ca/fr/sujets-lies-a-la-protection-de-la-vie-privee/identites/
vol-d-identite/guide_idt/
https://www.cai.gouv.qc.ca/protection-renseignements-personnels/sujets-etdomaines-
dinteret/vol-identite
https://antifraudcentre-centreantifraude.ca/scams-fraudes/victim-victime-fra.
htm

Si vous constatez des activités irrégulières relativement à vos renseignements
personnels, nous vous invitons à signaler cette situation à l'organisme concerné
sans délai et à suivre leurs recommandations.

Le cas échéant, vous pouvez placer une note de vol d'identité ou de fraude
gratuitement dans votre dossier de crédit en communiquant avec Equifax :
1-800-465-7166 ou TransUnion : 1-800-663-9980. Vous pouvez également
vérifier avec votre institution financière si elle offre un tel service.

Si vous constatez des activités irrégulières relativement à vos renseignements
personnels, nous vous invitons à consulter les ressources suivantes selon le
type de renseignements concernés :
• Pour de l'information sur la carte d'assurance sociale, vous pouvez
consulter le site d'Emploi et Développement social Canada à l'adresse
suivante : https://www.canada.ca/fr/emploi-developpement-social/services/
numero-assurance-sociale/fraude-fuite-donnees.html
• Pour de l'information sur le permis de conduire, vous pouvez consulter le site
de la Société d'assurance automobile du Québec (SAAQ) à l'adresse suivante :
https://saaq.gouv.qc.ca/permis-conduire/remplacer-permis-de-conduire
• Pour de l'information sur le code permanent, vous pouvez consulter le site
du ministère de l'Éducation à l'adresse suivante : https://www.quebec.ca/
education/code-permanent
• Pour de l'information sur les passeports, vous pouvez consulter le site
de Passeport Canada à l'adresse suivante : https://www.canada.ca/
fr/immigration-refugies-citoyennete/services/passeports-canadiens/
proteger-fraude.html#que-faire
• Pour de l'information sur le certificat de naissance, vous pouvez consulter
le site du Directeur de l'État civil du Québec à l'adresse suivante :
https://www.etatcivil.gouv.qc.ca/fr/certificats-copies/DCCA_Perte_Vol.html
• Pour plus d'informations sur la carte d'assurance maladie, vous pouvez
consulter le site de la RAMQ à l'adresse suivante :
https://www.ramq.gouv.qc.ca/fr/citoyens/assurance-maladie
Vous pouvez également consulter régulièrement votre « Carnet santé » tenu
par le gouvernement du Québec et surveiller, entre autres, l'utilisation de votre
numéro d'assurance maladie à l'adresse suivante :
https://carnetsante.gouv.qc.ca/portail

Contactez-nous
Si vous désirez obtenir des informations complémentaires ou croyez avoir été
concerné par l'incident de confidentialité sans avoir reçu d'avis, nous vous
invitons à communiquer avec le CSS des Appalaches au : info@cssa.gouv.qc.ca
ou au (418) 338-7800, poste 1384.

Le CSS des Appalaches vous remercie à l'avance de votre compréhension, et
vous assure de son entière collaboration.