Revue de l’année sur les litiges en matière de vie privée : ce qu’il faut retenir Revue de l’année sur les litiges en matière de vie privée : ce qu’il faut retenir

Le bureau de Montréal d’Osler, Hoskin & Harcourt S.E.N.C.R.L./s.r.l. a accueilli en octobre dernier la 2e Conférence annuelle sur la protection de la vie privée, organisée par le groupe Respect de la vie privée et gestion de l’information. Cette demi-journée, suivie d’un lunch de réseautage, a réuni des experts de l’industrie et des juristes d’entreprise pour explorer les enjeux actuels : mise en œuvre des amendements proposés par la Loi 25, tendances récentes en litige, gouvernance de l’intelligence artificielle (IA), technologies émergentes et cybersécurité.

À l’occasion de cette conférence, Kristian Brabander, Jessica Harding et Julien Morissette, associés du groupe Litiges, ont fait le point sur une année particulièrement dense en décisions, enquêtes et recours liés à la vie privée.

Le constat général : les litiges en matière de renseignements personnels se multiplient, touchent un éventail croissant d’industries et sont fortement influencés par les décisions rendues par les autorités réglementaires.

Voici les principaux enseignements tirés de leur présentation.

Le litige réglementaire, premier indicateur des risques émergents

Selon Julien Morissette, les dossiers portés devant les autorités réglementaires, comme la Commission d’accès à l’information du Québec (CAI), jouent souvent le rôle de « canari dans la mine » : ils révèlent les problématiques qui donneront plus tard naissance à des actions collectives et d’autres poursuites majeures. Deux exemples se sont démarqués récemment, en matière de biométrie et de renseignements personnels associés aux représentants d’une personne morale.

Dans une décision de la Commission d’accès à l’information (CAI) portant sur Imprimeries Transcontinental inc., 1024350-S, la section de surveillance de la CAI rappelle que la collecte de données biométriques doit répondre à un motif légitime, important et démontré, et respecter une stricte proportionnalité. Malgré l’objectif invoqué, soit de protéger l’accès aux locaux en contexte pandémique, la CAI a jugé que l’organisation n’a pas démontré de problèmes de sécurité suffisants pour justifier la reconnaissance faciale. La CAI ordonne donc la cessation du système et la destruction des gabarits biométriques. Veuillez consulter notre bulletin d’actualités consacré à cette décision pour plus de détails.

Dans la décision Centre d’acquisitions gouvernementales c. Teva Canada limitée, 2025 QCCQ 892, la Cour du Québec (siégeant en appel d’une décision de la CAI) confirme que le nom et les coordonnées de représentants d’une personne morale ne sont pas des renseignements personnels confidentiels et qu’une demande d’accès à l’information détenue par un organisme public contenant de tels renseignements doit être divulguée sur demande.

Les points clés :

• une demande d’accès à l’information ne tombe pas automatiquement sous le couvert d’une exemption de divulgation;
• la loi n’exige pas qu’un document soit expressément prévu dans le mandat de l’organisme pour être « détenu » et donc pouvant faire l’objet d’une divulgation;
• le nom d’un représentant d’entreprise n’est pas, en soi, un renseignement personnel confidentiel.

Cette décision marquante confirme que lorsqu’il s’agit des noms et coordonnées de personnes agissant pour une personne morale, l’accès à l’information prime. Veuillez consulter notre bulletin d’actualités consacré à cette décision, intitulé La Cour du Québec rend une décision clé sur l’accès du public aux demandes d’accès à l’information, pour plus de détails.

Les actions collectives découlant d’incidents de cybersécurité : une croissance soutenue

Jessica Harding observe une multiplication soutenue des actions collectives suivant des incidents de sécurité, une tendance illustrée par une série de recours déposés au Québec en 2024–2025, touchant tous les secteurs et industries.

1. L’arrêt Capital One : clarification importante au stade de l’autorisation

Dans Royer c. Capital One Bank, 2025 QCCA 217, la Cour d’appel élargit l’interprétation au stade de l’autorisation :

• le représentant n’a pas à refléter toutes les situations vécues par les membres;
• il n’est pas nécessaire de trancher la nature indemnisable des dommages non pécuniaires à ce stade;
• la réclamation en dommages punitifs est maintenue.

Cette décision renforce la tendance déjà présente depuis Lamoureux : le seuil d’autorisation demeure bas, y compris en matière de recours visant la protection de la vie privée.

 2. Suncor : faute alléguée et valeur des représentations au consommateur

Dans la récente affaire Harguindeguy c. Suncor, 2025 QCCS 3072, la Cour supérieure autorise en partie l’action collective après un incident affectant les membres du programme Petro-Points.

La Cour conclut notamment :

• à une apparence de faute contractuelle;
• à une cause défendable quant aux représentations trompeuses au sens de la Loi sur la protection du consommateur;
• au rejet de la demande injonctive jugée trop large et visant une ordonnance de fournir, de manière permanente, un service de suivi de crédit et de fraude et un équipement anti-localisation aux membres du groupe.

La décision illustre la difficulté pour les entreprises de contester les allégations à ce stade préliminaire.

Tendances en actions collectives : diversification et internationalisation des recours

Kristian Brabander note deux tendances majeures :

• Des actions sont déposées au Canada à la suite de règlements importants aux États-Unis.
• L’explosion des recours portant sur la vie privée et l’IA, y compris pour des allégations de violation de droits d’auteur (ex. scraping sur le web pour entraînement des modèles) et des allégations de collecte non autorisée de renseignements personnels contre des entreprises technologiques.

Conclusion : un environnement plus litigieux, plus rapide et plus complexe

Cette revue annuelle le confirme : la vie privée est désormais un terrain de litige stratégique, où décisions réglementaires, incidents de sécurité et pratiques technologiques interagissent directement. Les avocats plaideurs constatent une montée en créativité des demandeurs, accompagnée d’une intensification du travail des agences de réglementation.