Auteurs(trice)
Associé, Litiges, Montréal
Associé, Litiges, Toronto
Associé, Litiges, Calgary
Associée, Litiges, Montréal
Associé, Litiges, Toronto
Associé, Litiges et Insolvabilité et restructuration, Montréal
Table des matières
- Tucci v. Peoples Trust Company, 2025 BCSC 816
- Harguindeguy c. Suncor Énergie inc. (Petro-Canada), 2025 QCCS 3072
Revue de la jurisprudence sur la protection de la vie privée
Tucci v. Peoples Trust Company, 2025 BCSC 816
Lire les détails de l’affaire (en anglais seulement)
Faits
Cette action collective, autorisée en août 2017, découle d’allégations selon lesquelles Peoples Trust Company (Peoples Trust) n’aurait pas mis en place des mesures permettant de protéger adéquatement les renseignements sensibles des clients recueillis par l’entremise de son portail de demande d’ouverture de compte en ligne.
Dans cette affaire, le demandeur, Gianluca M. Tucci, a déposé une demande de modification de jugement d’autorisation afin d’y ajouter une nouvelle question commune : la question de savoir si les membres du groupe en Colombie-Britannique, en Saskatchewan, au Manitoba et à Terre-Neuve-et-Labrador avaient droit à des dommages-intérêts pour violation des lois sur la protection des renseignements personnels de ces provinces.
M. Tucci s’est appuyé sur l’arrêt G.D. v. South Coast British Columbia Transportation Authority, 2024 BCCA 252 (arrêt G.D.), et l’arrêt Campbell v. Capital One Financial Corporation, 2024 BCCA 253 (arrêt Campbell) de la Cour d’appel, suivant lesquels des pratiques en matière de cybersécurité, intentionnelles ou imprudentes, facilitant l’accès d’un acteur malveillant à une base de données pouvaient justifier une demande en justice pour atteinte à la vie privée à l’encontre d’un dépositaire de données en vertu de la loi sur la protection de la vie privée de la Colombie-Britannique intitulée Privacy Act, R.S.B.C. 1996, c. 373 (la LPVP de la C.-B.).
M. Tucci a fait valoir que les conclusions des arrêts G.D. et Campbell devraient s’appliquer par extension aux lois sur la protection des renseignements personnels en vigueur dans d’autres provinces et territoires.
Peoples Trust s’est opposée à la demande de modification pour plusieurs motifs, notamment les suivants : la demande constituait un abus de procédure; l’acte de procédure ne présentait aucun fait à l’appui de la demande; le délai de prescription avait expiré; M. Tucci n’avait pas modifié son acte de procédure; la demande était irrecevable en raison d’une clause de limitation de responsabilité; le nombre de questions individuelles était excessif; et la demande nécessitait l’interprétation de lois d’autres provinces.
Décision
Faisant droit à la demande de modification de M. Tucci, la Cour a modifié le jugement d’autorisation afin d’y inclure la question commune du droit à des dommages-intérêts malgré l’absence de preuve individuelle en vertu des lois provinciales sur la protection des renseignements personnels et a créé un sous-groupe pour les membres du groupe résidant dans les autres territoires visés par l’action collective.
Estimant que les dépositaires de données victimes de cyberattaques menées par des acteurs malveillants avaient, en vertu de la LPVP de la C.-B., une étendue de responsabilité que les arrêts G.D. et Campbell venaient clarifier, la Cour a conclu à l’absence d’abus de procédure. Elle a estimé que l’acte de procédure, dans lequel le demandeur alléguait que Peoples Trust avait fait preuve d’une imprudence délibérée dans le traitement des renseignements personnels des membres du groupe, était suffisant comme fondement à une demande en justice en vertu de la LPVP de la C.-B.et des lois sur la protection des renseignements personnels en vigueur dans les autres provinces et territoires.
En ce qui a trait à l’argument relatif au délai de prescription, la Cour a estimé que, puisque l’acte de procédure initial avait établi les faits constitutifs du délit civil pour cause d’infraction, le délai de prescription avait été suspendu. Elle a rejeté les arguments relatifs au forum non conveniens et à l’absence de questions communes, notant que la décision antérieure relative à l’autorisation avait autorisé une action collective à l’échelle du Canada et que l’arrêt Campbell avait établi que la Colombie-Britannique était compétente pour statuer sur tous les délits civils pour cause d’infraction.
Principaux points à retenir
La Cour suprême a confirmé que les décisions judiciaires rendues alors qu’une action collective est en cours peuvent servir à élargir la portée de l’instance, et ce, comme on l’a vu, même après l’autorisation. Si, après cette décision, il est encore possible, pour les défendeurs, de faire valoir que le moment choisi par le demandeur pour déposer sa demande de modification leur est préjudiciable, les critères à remplir pour faire modifier un jugement d’autorisation restent peu exigeants en Colombie-Britannique.
Harguindeguy c. Suncor Énergie inc. (Petro-Canada), 2025 QCCS 3072
Faits
Le demandeur, Esteben Harguindeguy (M. Harguindeguy), un participant au programme de fidélité de Petro-Canada connu sous le nom de « Petro-Points » (le programme), a demandé l’autorisation d’exercer une action collective au nom de toutes les personnes résidant au Québec dont les renseignements personnels détenus par les défenderesses Suncor Énergie inc. et Produits Suncor Énergie, S.E.N.C. (collectivement, Petro-Canada) ont été compromis lors d’un incident de cybersécurité survenu le ou vers le 21 juin 2023.
À cette occasion, un tiers non autorisé aurait accédé au réseau TI de Petro-Canada pour y extraire des informations personnelles des titulaires de compte, notamment leur nom, leur adresse courriel, leur numéro de téléphone, leur date de naissance et, dans certains cas, leurs informations de crédit ou de comptes bancaires. Petro-Canada a rendu l’incident public le 24 juin 2023 et a fourni des détails supplémentaires le 6 juillet 2023, décrivant les informations exposées comme des informations « de base ».
M. Harguindeguy a allégué que Petro-Canada n’avait pas protégé de manière adéquate les informations personnelles des membres du programme, avait fait preuve de négligence dans la sécurisation de son réseau TI et avait tardé à aviser les personnes concernées de l’incident de cybersécurité. Il a également affirmé que Petro-Canada n’avait pas proposé de services de suivi de crédit et avait minimisé la gravité de l’incident.
Les demandes de M. Harguindeguy reposaient sur plusieurs motifs, notamment la responsabilité contractuelle prévue par le Code civil du Québec, R.L.R.Q., c. CCQ-1991 (le CCQ), des violations présumées de la Loi sur la protection des renseignements personnels dans le secteur privé, R.L.R.Q., c. P-39.1 (la LPRPSP), des représentations fausses ou trompeuses en contravention de la Loi sur la protection du consommateur du Québec, R.L.R.Q., c. P-40.1 (la LPCQ), et une atteinte illégale au droit au respect de sa vie privée prévu à l’article 5 de la Charte des droits et libertés de la personne du Québec, R.L.R.Q., c. C-12 (la Charte québécoise). Outre des dommages-intérêts compensatoires, M. Harguindeguy a demandé une injonction ordonnant à Petro-Canada de fournir, de manière permanente, des services de suivi de crédit et de protection contre la fraude aux membres du groupe.
Décision
La Cour supérieure du Québec a autorisé l’action collective pour toutes les demandes relatives aux dommages-intérêts, mais a rejeté la demande d’injonction.
En ce qui concerne la responsabilité contractuelle, la Cour a conclu que les allégations de négligence dans la protection des informations personnelles, combinées à l’acquisition non autorisée de données par des tiers, semblaient suffisantes même en l’absence d’allégations précises concernant les actes ou omissions ayant permis l’incident de cybersécurité.
La Cour a également jugé que les allégations de représentations fausses ou trompeuses en contravention de l’article 219 de la LPCQ semblaient suffisantes, notant que les communications de Petro-Canada semblaient minimiser la gravité de l’incident et l’existence d’une ligne téléphonique hors service.
En ce qui concerne les dommages-intérêts punitifs, la Cour a conclu à une apparence de droit en vertu de l’article 49 de la Charte québécoise, de l’article 272 de la LPCQ et de l’article 93.1 de la LPRPSP.
Toutefois, la Cour a rejeté la demande d’injonction permanente de M. Harguindeguy visant la fourniture d’un service permanent de suivi de crédit et de fraude, ainsi qu’un équipement anti-localisation pour leur appareil électronique associé aux informations compromises. Elle a conclu que, en raison de l’insuffisance des allégations, M. Harguindeguy ne pouvait pas satisfaire à son fardeau de faire la preuve requise en vertu de l’article 509 du Code de procédure civile, R.L.R.Q., c. C-25.01 (le CPC).
Principaux points à retenir
Cette décision confirme que, dans les actions collectives en matière de protection de la vie privée découlant d’incidents de cybersécurité, des allégations vagues de négligence combinées à des preuves de données compromises peuvent satisfaire aux critères d’autorisation.
La décision souligne également l’importance de réagir rapidement aux incidents de cybersécurité. En vertu de la LPCQ, des allégations de représentations fausses ou trompeuses peuvent être soulevées si les entreprises donnent l’impression qu’elles minimisent la gravité d’un incident de cybersécurité, omettent de communiquer toute l’étendue des données compromises ou ne fournissent pas un soutien adéquat aux personnes concernées.
Bien que cette affaire n’ait pas encore été tranchée sur le fond, cette décision rappelle aux entreprises l’importance de mettre en œuvre de solides mesures de protection des données, d’établir des plans d’intervention complets en cas d’incident et de privilégier une communication transparente et rapide avec les parties prenantes à la suite de tels incidents.
