Appareils, courriel des élus et séances à distance

Capsules

1. 1

   Votre appareil, les données de la municipalité

   3 min
   Capsule vidéo en tournage

   Votre appareil, les données de la municipalité

   Un appareil personnel n’est pas un coffre-fort : on y garde le minimum et on prévoit comment le vider à la fin du mandat.

   Lire la capsule (transcription)

   Solange est conseillère dans une municipalité de 900 habitants, en Gaspésie. Elle lit les documents du conseil sur la tablette de la maison. Le dimanche, ses petits-enfants s’en servent pour jouer. Un soir, l’un d’eux installe un jeu gratuit. Personne n’a rien fait de mal. Pourtant, des documents de la municipalité dorment maintenant à côté d’une application que personne n’a vérifiée. Voici l’idée centrale : un appareil personnel n’est pas un coffre-fort. On y garde le moins possible de ce qui appartient à la municipalité.

   Premier élément : les risques. Le Centre canadien pour la cybersécurité, le CCC, en nomme plusieurs. Des applications non vérifiées. Des fuites de données. Un appareil partagé avec la famille. Un appareil débloqué, c’est-à-dire modifié pour contourner ses protections. Et des mises à jour que la municipalité ne peut pas vous imposer. Il ne s’agit pas de douter de vous. Sur un appareil personnel, personne d’autre que vous ne décide de ce qui s’y installe, et c’est justement le problème.

   Deuxième élément : le bon réflexe. Le CCC recommande de préférer des appareils fournis par l’organisation et de garder les données sensibles hors des appareils personnels. Si la municipalité peut vous prêter une tablette, même pour un seul usage, comme lire les documents du conseil, demandez-la à la direction générale. Sinon, gardez sur le vôtre le strict minimum, installez les mises à jour dès qu’elles arrivent et ne le prêtez pas.

   Troisième élément : la fin de l’usage. Un mandat se termine, mais l’appareil reste dans la famille. Le CCC recommande de prévoir, dès le départ, le retrait des données de l’organisation quand l’usage de l’appareil prend fin. Cet effacement est sélectif et se fait avec le consentement de la personne : seules les données de la municipalité partent, pas les photos. Posez la question au début du mandat, pas à la dernière séance.

   Le piège, c’est la gêne. Dans une petite municipalité où tout le monde se connaît, demander un appareil fait lourd. On se dit : « C’est mon téléphone, c’est mon affaire. » Mais la question ne porte pas sur vous. Elle porte sur les renseignements des citoyens et citoyennes qui passent par cet appareil.

   À retenir : sur un appareil personnel, on garde le minimum, et on prévoit comment le vider à la fin du mandat.

   • Sur un appareil personnel, personne d’autre que vous ne décide de ce qui s’y installe.
   • Le Centre canadien pour la cybersécurité (CCC) conseille des appareils fournis par l’organisation et des données sensibles hors des appareils personnels.
   • Les risques courants : applications non vérifiées, appareil partagé avec la famille, appareil débloqué, mises à jour non imposables.
   • À la fin de l’usage, les données de la municipalité se retirent, avec le consentement de la personne.
2. 2

   Courriel personnel et documents du conseil

   2 min
   Capsule vidéo en tournage

   Courriel personnel et documents du conseil

   Les documents du conseil restent dans les moyens que la municipalité contrôle, et un message inhabituel se confirme par un second canal.

   Lire la capsule (transcription)

   Malik est maire d’une petite municipalité de l’Estrie. La veille de la séance, la greffière lui envoie le dossier du conseil. Il le transfère à son adresse personnelle pour l’imprimer chez lui. Le dossier contient une plainte de citoyen, avec nom et adresse. Le transfert prend trois secondes. Voici l’idée centrale : les documents du conseil voyagent dans des moyens que la municipalité peut contrôler, pas dans les boîtes personnelles de chacun.

   Premier élément : le compte. Le CCC conseille de préférer des appareils fournis par l’organisation. Le même raisonnement vaut pour le courriel. Une boîte personnelle sert aussi aux achats, aux infolettres, parfois à toute la famille. Les risques s’additionnent. Ce que la loi prévoit précisément pour le courriel des élus, ce cours ne le tranche pas. Posez la question au greffe ou à la direction générale.

   Deuxième élément : le contenu. Les documents du conseil peuvent contenir des renseignements personnels : une plainte, une demande de permis, une adresse. La politique de la Fédération québécoise des municipalités, la FQM, sur la protection des renseignements personnels demande des moyens technologiques sécurisés pour les communiquer. Concrètement, on évite la pièce jointe envoyée à une adresse personnelle, et on utilise le moyen de partage que la municipalité a choisi.

   Une séance est publique, mais tout n’est pas public pour autant. Un élu ou une élue n’a pas accès à n’importe quel dossier personnel du seul fait d’être élu : l’accès aux documents est encadré par la loi. En cas de doute, c’est le greffe qui répond.

   Troisième élément : l’expéditeur. Une ville canadienne a versé 558 233 $ au mauvais compte. Le courriel d’un directeur d’organisme avait été piraté, et un faux domaine très ressemblant servait à écrire à la Ville. Les coordonnées bancaires avaient changé. Après avoir avisé la police et la banque, la Ville a récupéré plus de 90 % de la somme en trois semaines, puis la totalité. Un changement de coordonnées se confirme par un second canal, par exemple un appel à un numéro déjà connu.

   À retenir : les documents du conseil restent dans les moyens de la municipalité, et un message inhabituel se confirme autrement qu’en répondant au message.

   • Le CCC conseille des appareils fournis; une boîte de courriel personnelle ajoute des risques que la municipalité ne contrôle pas.
   • Les documents du conseil peuvent contenir des renseignements de citoyens et citoyennes : on les partage par un moyen sécurisé.
   • Une adresse piratée peut paraître habituelle : un changement de coordonnées bancaires se confirme par un second canal.
   • Un doute sur ce qu’un élu ou une élue peut consulter ou envoyer se pose au greffe.
3. 3

   Séances et rencontres en ligne

   2 min
   Capsule vidéo en tournage

   Séances et rencontres en ligne

   Une rencontre de travail en ligne se protège avec un mot de passe ou une salle d’attente, un lien non publié et des fichiers sensibles envoyés autrement.

   Lire la capsule (transcription)

   Dans une MRC de l’Abitibi, la préfète organise une rencontre en ligne avec les maires pour discuter d’un dossier délicat. Pour faciliter les choses, la greffière publie le lien sur la page de la MRC sur les réseaux sociaux. Une heure plus tard, un nom inconnu apparaît dans la liste des participants. Voici l’idée centrale : une rencontre en ligne a une porte d’entrée, et c’est le lien. Il faut décider qui peut passer.

   Premier élément : la porte. Le CCC conseille d’exiger un mot de passe de réunion et, à défaut, d’utiliser la salle d’attente, où l’animation admet chaque personne. Ne publiez pas le lien dans un endroit public, comme une page ouverte. Envoyez-le seulement aux personnes invitées. Ces conseils du CCC datent de 2020 : vérifiez les fonctions de votre outil, elles ont pu changer.

   Deuxième élément : les fichiers. Pendant la rencontre, quelqu’un dit : « Je mets le rapport dans le clavardage. » Le CCC recommande plutôt d’envoyer les fichiers sensibles par courriel sécurisé. Le clavardage d’une rencontre est difficile à contrôler, et il est difficile de savoir qui en garde une copie. Pensez aussi aux correctifs : installez les mises à jour de l’application de visioconférence.

   Troisième élément : la séance publique. Le Code municipal du Québec prévoit que les séances du conseil sont publiques, et que les délibérations se font à haute et intelligible voix. Comment une séance peut se tenir ou se diffuser à distance, ce cours ne le tranche pas : posez la question au greffe, à la direction générale ou à une personne juriste. Retenez ceci : public ne veut pas dire ouvert à tout. Une discussion de travail et les documents qui contiennent des renseignements de citoyens se protègent comme avant.

   Le piège ici, c’est l’urgence. Cinq minutes avant le début, tout le monde veut seulement que ça marche. On désactive la salle d’attente, on envoie le lien à la volée. C’est exactement ce moment-là qui laisse entrer la personne qu’on n’attendait pas.

   À retenir : je décide qui entre, je ne publie pas le lien, et les fichiers sensibles passent par un autre chemin que le clavardage.

   • Exiger un mot de passe de réunion; sinon, utiliser la salle d’attente.
   • Ne pas publier publiquement le lien d’une rencontre qui n’est pas ouverte au public.
   • Envoyer les fichiers sensibles par courriel sécurisé, pas dans le clavardage.
   • Les séances du conseil sont publiques (Code municipal, art. 149), mais la discussion de travail et les renseignements de citoyens se protègent.
4. 4

   Clés USB, travail à distance et terrain

   2 min
   Capsule vidéo en tournage

   Clés USB, travail à distance et terrain

   Ce qui se branche, ce qui se connecte de loin et ce qui commande les équipements suit les règles de la municipalité, et un doute se signale tout de suite.

   Lire la capsule (transcription)

   Samuel travaille aux travaux publics, en Estrie. Au congrès de son association, un exposant lui remet une clé USB gratuite, avec un logo. De retour au garage, il la branche sur l’ordinateur qui sert à suivre les pompes. Personne ne l’a vu. Voici l’idée centrale : ce qui se branche, ce qui se connecte de loin et ce qui commande les équipements du terrain suit les règles de la municipalité, pas la commodité du moment.

   Premier élément : les clés USB. Le CCC signale trois risques : la perte, la propagation de logiciels malveillants et les clés gratuites possiblement infectées. Sa recommandation : une politique, du chiffrement et l’examen des supports inconnus. Pour Samuel, le bon geste est simple : ne pas brancher la clé et la remettre à la personne qui s’occupe des TI. Une clé trouvée dans un stationnement se traite de la même manière.

   Deuxième élément : le travail à distance. Quand vous travaillez de la maison, passez par les moyens que la municipalité vous fournit, comme un réseau privé virtuel, un RPV, et l’authentification multifacteur, qui demande une deuxième preuve que vous êtes bien vous. Évitez de transférer des dossiers vers votre ordinateur de la maison pour « aller plus vite ». C’est le même risque que le courriel personnel.

   Troisième élément : le terrain. Pour les systèmes industriels, comme une station d’eau potable, les organismes fédéraux de cybersécurité recommandent de faire l’inventaire des appareils, de retirer les connexions Internet inutiles, de changer les mots de passe par défaut et de protéger l’accès à distance. Le 23 juillet 2026, à Saint-Noël, au Bas-Saint-Laurent, c’est un employé qui a détecté l’intrusion dans une station d’eau potable, vers 7 h 30. Le retour à la normale a été rapide.

   Le piège ici, c’est la peur de déranger. Un équipement qui se comporte bizarrement, une clé perdue dans le camion : on attend de voir. Signalez tout de suite, sans blâme. À Saint-Noël, c’est la détection rapide d’un employé qui a compté.

   À retenir : je ne branche pas ce que je ne connais pas, je me connecte par les moyens de la municipalité, et je signale vite.

   • Une clé USB trouvée, offerte ou prêtée peut contenir un maliciel : on la fait examiner avant de la brancher.
   • L’accès à distance passe par les moyens fournis par la municipalité, avec l’authentification multifacteur.
   • Sur le terrain : changer les mots de passe par défaut et retirer les connexions Internet inutiles des équipements.
   • Un équipement qui agit bizarrement ou un appareil perdu se signale tout de suite, sans blâme.

Le dossier du conseil, la veille de la séance

Appareils, courriel et séances à distance : l’essentiel

Je garde les documents de la municipalité dans ses moyens, je décide qui entre dans une rencontre, et je ne branche pas ce que je ne connais pas.

En cas de doute : Posez la question au greffe, à la direction générale ou à une personne juriste. Si un appareil est perdu ou qu’un doute surgit, signalez-le tout de suite, sans blâme.

Astuces de terrain

Ressources

• Centre canadien pour la cybersécurité : mesures de base pour les petites organisations
• Centre canadien pour la cybersécurité : visioconférence, facteurs à considérer
• Centre canadien pour la cybersécurité : supports amovibles sécurisés
• Fédération québécoise des municipalités : politique de protection des renseignements personnels (2026)

Quiz