Actions collectives en matière de protection de la vie privée : attentes en matière de protection de la vie privée Actions collectives en matière de protection de la vie privée : attentes en matière de protection de la vie privée

Table des matières

• Hvitved v. Home Depot of Canada Inc., 2026 BCCA 39
• Lam v. Flo Health Inc., 2025 BCSC 993
• Nagar c. Desjardins sécurité financière, Compagnie d’assurance vie, 2025 QCCS 2720
• Option Consommateurs c. Home Depot of Canada inc., 2026 QCCA 149
• RateMDs Inc. v. Bleuler, 2025 BCCA 329
• Donegani v. Facebook Inc., 2025 ONSC 6020
• Trueman v. Rogers Communications Canada Inc., 2025 ONSC 5972
• Badji c. Zenleads inc., 2026 QCCS 5

---

Hvitved v. Home Depot of Canada Inc., 2026 BCCA 39

Lire les détails de l’affaire (en anglais seulement)

Faits

Le demandeur, Lasse Hvitved, a allégué que Home Depot avait porté atteinte au droit à la vie privée de ses clients en recueillant leurs adresses de courriel et les renseignements sur leurs achats – prétendument fournis dans le but de recevoir des reçus électroniques – et en communiquant ces renseignements à Meta Platforms Inc.

Dans sa demande d’autorisation, le demandeur a présenté quatre réclamations : une réclamation pour atteinte au droit à la vie privée prévue par les lois sur la protection des renseignements personnels (Colombie-Britannique, Saskatchewan, Manitoba et Terre-Neuve-et-Labrador), une réclamation pour intrusion dans l’intimité, une réclamation pour enrichissement injustifiée et une réclamation pour rupture de contrat. Le juge en chambre a autorisé la cause d’action fondée sur l’atteinte au droit à la vie privée, mais a rejeté les trois autres causes d’action.

Le demandeur a interjeté appel uniquement de la décision de rejeter la réclamation pour rupture de contrat, et Home Depot a interjeté appel incident contre l’autorisation de la cause d’action fondée sur l’atteinte au droit à la vie privée.

Décision

La Cour d’appel a rejeté tant l’appel que l’appel incident.

En ce qui concerne l’appel incident de Home Depot, la Cour a statué ce qui suit :

• Le caractère contextuel de l’examen d’une demande pour atteinte au droit à la vie privée déposée en vertu du paragraphe 1(1) de la loi sur la protection de la vie privée de la Colombie-Britannique intitulée Privacy Act, R.S.B.C. 1996, c. 373 (la LPVP de la C.-B.) n’empêche pas de conclure à l’existence d’une question commune lorsqu’il existe des éléments factuels justifiant l’existence d’une expérience commune parmi les membres du groupe. La Cour a conclu que, dans cette affaire, le juge en chambre avait relevé une expérience commune parmi les membres du groupe, à savoir le type de renseignements sur les achats recueillis, la manière dont ils avaient été recueillis et l’usage qui en avait été fait.
• Les personnes physiques qui ne sont pas des utilisateurs de Facebook ne devraient pas être exclues du groupe déterminé. La Cour a conclu qu’il existait un fondement factuel – d’après l’acte de procédure et la preuve présentés par le défendeur lui-même – selon lequel Home Depot avait partagé des renseignements concernant la plupart, sinon la totalité, des membres du groupe proposé, et que le simple fait de transférer des renseignements personnels constituait potentiellement une atteinte au droit à la vie privée.
• Les personnes morales ne devraient pas être exclues du groupe déterminé. La Cour a souscrit à l’avis du juge en chambre selon lequel la question de savoir si une personne morale pouvait intenter une action en justice en vertu des lois provinciales sur la protection des renseignements personnels en l’absence d’une exclusion expresse devait être tranchée dans le cadre d’un procès.

En ce qui concerne l’appel du demandeur, la Cour a confirmé que l’acte de procédure ne comportait pas de faits importants, notamment en ce qui concerne la formation, la forme ou la portée du contrat ou les clauses du contrat régissant expressément la collecte, l’utilisation, la conservation, la protection et la non-divulgation des renseignements personnels.

Principaux points à retenir

Cette affaire démontre que les tribunaux de la Colombie-Britannique sont prêts à rejeter les demandes fondées sur des actes de procédure insuffisants, qualifiés en l’espèce d’actes « passe-partout ». Avertissement aux demandeurs : les demandes qui ne sont pas correctement formulées semblent moins susceptibles de résister à un examen minutieux. Avertissement aux défendeurs : cette décision confirme qu’une demande fondée sur le contexte déposée en vertu des lois provinciales sur la protection des renseignements personnels n’exclut pas l’existence d’une question commune s’il existe un fondement factuel justifiant une expérience commune entre les membres du groupe. La décision laisse ouverte la question de savoir si les personnes morales peuvent intenter des actions en justice en vertu de la LPVP de la C.-B.

---

Lam v. Flo Health Inc., 2025 BCSC 993

Lire les détails de l’affaire (en anglais seulement)

Faits

Ayant partiellement obtenu gain de cause dans sa demande initiale d’autorisation, dans l’affaire Mme Lam v. Flo Health Inc., 2024 BCSC 391, la demanderesse a déposé un acte de procédure modifié (l’avis de poursuite civile modifié) et a demandé l’autorisation relativement à la violation de clauses contractuelles expresses et implicites en matière de protection des renseignements personnels et à des manquements au devoir d’agir avec intégrité et de bonne foi.

La demanderesse allègue que la défenderesse, Flo Health Inc. (Flo), l’entreprise qui exploite l’application Flo Health & Period Tracker (l’application), a intentionnellement diffusé des renseignements personnels hautement sensibles que les utilisatrices lui avaient confiés, notamment les dates de leur cycle menstruel, leur état de grossesse et leurs symptômes. Pour utiliser l’application, les utilisatrices devaient consentir à un contrat type qui intégrait les conditions d’utilisation et la politique de protection des renseignements personnels de Flo (la politique de protection des renseignements personnels). La politique de protection des renseignements personnels a été modifiée à 13 reprises au cours de la période visée par l’action collective.

Décision

La Cour a autorisé les causes d’action supplémentaires, ainsi que les questions communes correspondantes, en concluant ce qui suit :

• Mme Lam a valablement invoqué les clauses expresses et, à titre subsidiaire, les clauses implicites du contrat, en s’appuyant sur la formulation de la politique de protection des renseignements personnels suivant laquelle les renseignements personnels ne seraient « jamais vendus ou loués à des tiers », ainsi que sur les intentions présumées des parties selon lesquelles Flo protégerait les renseignements personnels saisis par les utilisatrices dans l’application, ce qui était nécessaire pour donner effet au contrat sur le plan commercial. Mme Lam a également valablement invoqué les manquements au devoir d’agir avec intégrité et de bonne foi. L’argument de Flo selon lequel la politique de protection des renseignements personnels autorisait la divulgation de certains renseignements revenait en fait à demander à la Cour d’interpréter la politique de protection des renseignements personnels au stade de l’autorisation, ce qui ne serait pas approprié en l’absence d’un dossier de preuve.
• L’allégation de Mme Lam selon laquelle Flo avait violé le contrat en omettant d’obtenir un consentement valable à la divulgation n’était pas vouée à l’échec. L’avis de poursuite civile modifié alléguait que la Loi sur la protection des renseignements personnels et les documents électroniques, L.C. 2000, c. 5 (la LPRPDE), en tant que loi impérative, détermine si Flo a obtenu un consentement valable pour ses pratiques de partage de données. L’allégation de Mme Lam, selon laquelle tout consentement que Flo prétend avoir obtenu pour le partage de renseignements a été donné sans consentement dans la mesure où ce consentement n’était pas conforme à la LPRPDE,était novatrice, mais n’était pas vouée à l’échec.
• Il n’était pas évident que la mesure de réparation fondée sur la restitution des profits ne pouvait aboutir. Mme Lam a fait valoir que Flo avait utilisé les renseignements personnels des membres du groupe en vue d’en tirer un profit et de faire croître ses activités et ses revenus grâce à de la publicité ciblée. La Cour a admis que les membres du groupe pouvaient avoir un intérêt légitime à empêcher Flo de tirer profit de leurs renseignements personnels lorsqu’ils n’avaient pas consenti à une telle utilisation.
• En ce qui concerne les questions communes dont il est question à l’alinéa 4(1)c) de la loi sur les recours collectifs de la Colombie-Britannique intitulée Class Proceedings Act, R.S.B.C. 1996, ch. 50 (la LRCCB), les 13 versions de la politique de protection des renseignements personnels n’empêchaient pas un règlement commun. Les modifications importantes apportées aux diverses versions de la politique ne feraient que donner lieu à des sous-groupes, ce qui ne constitue pas un obstacle à l’autorisation en vertu de l’article 7 de la LRCCB.

Principaux points à retenir

Les critères à remplir pour faire modifier les actes de procédure, même après l’autorisation, restent peu exigeants en Colombie-Britannique. Les demandes pour rupture de contrat dans les actions collectives en matière de protection de la vie privée peuvent toujours être autorisées lorsque le demandeur invoque des clauses contractuelles précises, expresses ou implicites, avec suffisamment de précision, plutôt que de s’appuyer sur des allégations génériques. La possibilité d’obtenir une réparation fondée sur la restitution des profits dans le cadre de demandes pour rupture de contrat liées à des actions collectives en matière de protection de la vie privée reste une question d’actualité, en particulier lorsque les utilisateurs n’ont pas payé de frais pour le service et que les dommages-intérêts compensatoires peuvent être réduits au minimum, mais que le défendeur aurait tiré profit du comportement même constituant l’atteinte à la vie privée.

---

Nagar c. Desjardins sécurité financière, Compagnie d’assurance vie, 2025 QCCS 2720

Lire les détails de l’affaire

Faits

Les demanderesses, Arielle Nagar (Mme Nagar) et Giovana Feth (Mme Feth) (collectivement, les demanderesses), étudiantes inscrites respectivement à l’Université Concordia et à l’Université McGill, ont été automatiquement inscrites à un régime d’assurance collective et ont payé, à leur insu, les primes correspondantes. Elles ont demandé l’autorisation d’exercer une action collective au nom de tous les étudiants inscrits à un CÉGEP ou à une université qui ont été automatiquement inscrits à un régime d’assurance santé, médicale ou dentaire, pour lequel ils ont payé les primes d’assurance aux défenderesses ou à leur bénéfice.

L’action collective proposée a été intentée contre Desjardins Sécurité financière, Compagnie d’assurance vie (l’assureur), l’Alliance pour la santé étudiante au Québec inc. (l’ASEQ), l’Université Concordia (Concordia) et l’Université McGill (McGill) (collectivement, les défenderesses).

Dans leur demande d’autorisation, les demanderesses ont soulevé contre les défenderesses cinq causes d’action :

• le caractère illégal de l’adhésion automatique sans obtenir le consentement éclairé des membres du groupe;
• le défaut d’informer les étudiants du caractère facultatif de l’assurance et du mécanisme de désinscription;
• l’imposition du délai abusif et arbitraire pour s’exclure;
• les violations de la Loi sur la protection du consommateur du Québec, R.L.R.Q., c. P-40.1 (la LPCQ);
• l’atteinte à la vie privée des membres du groupe dont certaines informations personnelles ont été transmises sans leur consentement à l’assureur.

En ce qui concerne la cause d’action liée à l’atteinte à la vie privée, les demanderesses ont allégué une violation de l’article 5 de la Loi sur la protection des renseignements personnels dans le secteur privé, R.L.R.Q., c. P-39.1 (la LPRPSP), affirmant que les défenderesses n’avaient pas recueilli ou communiqué leurs renseignements personnels par des moyens licites, et que les membres du groupe n’avaient jamais consenti à leur partage avec ou entre l’ASEQ et l’assureur. Elles ont également fait valoir que le comportement des défenderesses avait porté atteinte au droit au respect de la vie privée des membres du groupe prévu à l’article 5 de la Charte des droits et libertés de la personne, R.L.R.Q., c. C-12 (la Charte québécoise).

Décision

La Cour supérieure du Québec a autorisé l’action collective et a conclu que les demanderesses avaient des causes défendables en ce qui concerne la légalité de l’adhésion automatique à l’assurance collective, la qualité de l’information fournie au sujet du droit de retrait et des délais connexes, ainsi que la nature prétendument abusive de ces délais. Elle a également jugé que les demanderesses pouvaient invoquer la LPCQ à l’encontre des universités en vertu des articles 228 et 230, en alléguant des frais d’assurance non sollicités et une divulgation insuffisante sur les factures de frais de scolarité, et que l’ASEQ et l’assureur pouvaient de manière plausible être tenus responsables de manière extracontractuelle pour leur rôle dans le mécanisme d’adhésion automatique.

En ce qui concerne la communication des renseignements personnels des membres du groupe à l’assureur, la Cour a conclu à première vue à l’existence d’une apparence de droit, notant que cette cause d’action était intrinsèquement liée à la légalité de l’adhésion automatique et à la portée du pouvoir de représentation de l’ASEQ, même si les demanderesses n’ont pas allégué de préjudice particulier ayant résulté d’une telle communication.

La Cour a également autorisé la demande de dommages punitifs en vertu de l’article 49 de la Charte québécoise, estimant que les allégations des demanderesses – y compris au sujet du comportement des défenderesses à l’égard de l’action collective et des préoccupations soulevées par les étudiantes – étaient suffisantes en apparence pour étayer le comportement intentionnel allégué.

Le 13 novembre 2025, la Cour d’appel du Québec a accordé la permission d’interjeter appel du jugement autorisant l’action collective.

Principaux points à retenir

Cette décision montre qu’un tribunal peut autoriser une action collective lorsque les demandeurs allèguent que la communication à un tiers des renseignements personnels des membres du groupe, sans leur consentement préalable, constitue une atteinte à leur droit au respect de leur vie privée, même si les demandeurs n’ont pas allégué de préjudice particulier ayant résulté d’une telle communication.

Cette décision souligne également que les entreprises qui recueillent et communiquent des renseignements personnels dans le cadre de mécanismes d’inscription automatique ou de désinscription devraient s’assurer d’obtenir un consentement éclairé avant de communiquer ces renseignements à des tiers afin de limiter leur exposition à des litiges.

---

Option Consommateurs c. Home Depot of Canada inc., 2026 QCCA 149

Lire les détails de l’affaire

Faits

L’appelante, Option Consommateurs, a interjeté appel d’une décision de la Cour supérieure du Québec autorisant, en partie, une action collective contre Home Depot of Canada inc. Le litige trouve son origine dans la communication présumée par Home Depot de renseignements personnels de clients à Facebook et à Meta Platforms Inc. (collectivement, Meta).

Au cours de la période en cause, Home Depot a recueilli les adresses électroniques de ses clients afin de leur envoyer un reçu électronique pour leurs achats en magasin et en ligne. La demanderesse allègue que Home Depot a ensuite communiqué à Meta des versions hachées de ces adresses électroniques, ainsi que les détails des achats.

Le 26 janvier 2023, le Commissariat à la protection de la vie privée du Canada (le CPVP) a publié un rapport concluant que Home Depot avait omis d’obtenir le consentement éclairé des clients avant de communiquer leurs renseignements.

La Cour supérieure a autorisé l’action collective pour les dommages-intérêts punitifs en vertu de la Charte des droits et libertés de la personne, R.L.R.Q., c. C-12 (la Charte québécoise), mais a refusé de l’autoriser pour les dommages-intérêts compensatoires au nom de certains clients et des personnes n’ayant pas de compte Facebook. Elle a également rejeté les causes d’action fondées sur la Loi sur la protection du consommateur du Québec, R.L.R.Q., c. P-40.1 (la LPCQ) et la Loi sur la concurrence, L.R.C. 1985, c. C-34.

Décision

La Cour d’appel du Québec a accueilli en partie l’appel.

En ce qui concerne les dommages-intérêts compensatoires, la Cour d’appel a estimé que le juge d’autorisation avait commis une erreur en concluant qu’aucun préjudice n’avait été démontré. Elle a jugé qu’il n’était ni frivole ni manifestement mal fondé en droit de soutenir que les renseignements personnels des clients avaient une valeur et qu’il en découlait un droit à une indemnisation. Tout en reconnaissant le caractère limité des allégations concernant la valeur des renseignements personnels et le fait qu’à première vue, Home Depot aurait pu accepter de les fournir sans compensation monétaire, la Cour d’appel a souligné qu’au stade de l’autorisation, Option Consommateurs n’avait qu’à établir une simple « possibilité » d’avoir gain de cause sur le fond, pas même une possibilité « réaliste » ou « raisonnable ».

En ce qui concerne les clients ayant effectué des achats en ligne, la Cour d’appel a estimé que le juge d’autorisation avait outrepassé son rôle en statuant sur la valeur probante de la preuve et en tranchant une question qui relève du fond du litige, à savoir le caractère intentionnel de l’atteinte au droit des clients en ligne au respect de leur vie privée. Constatant que nulle part dans la politique de confidentialité de Home Depot il n’était indiqué que les renseignements personnels pouvaient être partagés avec des tiers à des fins de publicité ciblée, la Cour d’appel a élargi le groupe pour y inclure les clients ayant effectué des achats en ligne. Elle a toutefois confirmé l’exclusion des personnes n’ayant pas de compte Facebook, car le partage d’une version hachée de l’adresse électronique de ces personnes ne révèle aucun renseignement personnel.

En outre, puisque les réclamations relatives aux dommages-intérêts compensatoires et aux dommages-intérêts punitifs étaient déjà défendables, la Cour d’appel a jugé inutile de se prononcer sur ces réclamations au regard de la LPCQ, réitérant que le demandeur n’avait qu’à démontrer une seule réclamation défendable sur un seul fondement juridique au stade de l’autorisation. Elle a néanmoins noté que le juge autorisateur avait commis une erreur en retenant que les articles 219 et 228 de la LPCQ ne s’appliquaient qu’à la phase précontractuelle. De plus, estimant que le juge autorisateur avait fixé un seuil de preuve trop élevé au regard de la Loi sur la concurrence, la Cour d’appel a autorisé les réclamations à l’encontre de Home Depot relatives aux représentations présumées fausses faites aux clients quant à l’utilisation des adresses électroniques à des fins commerciales.

Principaux points à retenir

Cette décision illustre combien, au Québec, le seuil de preuve est peu élevé pour obtenir l’autorisation d’exercer une action collective en matière de protection de la vie privée reposant sur des allégations selon lesquelles des renseignements personnels ont été utilisés à des fins commerciales sans le consentement des personnes concernées. La Cour d’appel a confirmé qu’il était fondé en droit de soutenir, au stade de l’autorisation, que les renseignements personnels communiqués à des tiers à des fins commerciales ont une valeur monétaire et qu’il appartenait au juge du fond d’en décider. Elle a aussi confirmé que le juge autorisateur devait seulement s’assurer qu’au moins une réclamation est défendable sur un fondement juridique.

Cette décision souligne en outre que les entreprises qui partagent des renseignements personnels avec des tiers à des fins commerciales, y compris aux fins de mesure de l’efficacité publicitaire et de publication de publicité ciblée, doivent obtenir un consentement valable et valide, car des politiques de confidentialité vagues ou génériques peuvent ne pas satisfaire à cette exigence.

---

RateMDs Inc. v. Bleuler, 2025 BCCA 329

Lire les détails de l’affaire (en anglais seulement)

Faits

RateMDs.com héberge les profils de professionnels de la santé – y compris leurs coordonnées, des évaluations anonymes, des avis et des commentaires de tiers – et les classe par rapport à d’autres professionnels offrant des services de santé similaires. Le site génère des revenus grâce à des abonnements payants et à la publicité de tiers.

La demanderesse, Ramona Bleuler, docteure exerçant la médecine en Colombie-Britannique, a intenté une action collective putative sur la base d’allégations suivant lesquelles le site Web RateMDs.com, exploité par les appelantes RateMDs Inc., VerticalScope Holdings Inc. et VerticalScope Inc., avait enfreint la loi sur la protection de la vie privée de la Colombie-Britannique intitulée Privacy Act, R.S.B.C. 1996, c. 373 (la LPVPde la C.-B.). Elle a allégué que RateMDs.com avait enfreint à la fois l’article 1 (Violation of privacy actionable [Atteinte à la vie privée pouvant donner lieu à des poursuites]) et le paragraphe (2) de l’article 3 (Unauthorized use of name or portrait of another [Utilisation non autorisée du nom ou de l’image d’autrui]) de laLPVP de la C.-B. Le groupe visé par l’action collective comprenait tous les professionnels de la santé de la Colombie-Britannique et d’autres provinces ayant subi des délits civils d’atteinte à la vie privée et disposant d’un profil sur RateMDs.com.

La D^re Bleuler a allégué avoir découvert qu’un profil avait été créé à son sujet sur RateMDs.com sans son autorisation. Ce profil contenait de nombreux avis. Elle a fait valoir que le comportement des appelantes violait son droit à la vie privée et son droit de ne pas faire l’objet d’une publicité non désirée, et que les professionnels de la santé s’attendaient à ce que les renseignements qu’ils fournissent aux organismes de réglementation ou aux patients ne soient pas exploités par une entreprise à but lucratif. Le juge en chambre a autorisé l’action collective en tant qu’action collective (à l’exclusion des résidents du Québec), estimant qu’il n’était pas clair et évident que les demandes pour atteinte à la vie privée de la D^re Bleuler ne pouvaient aboutir.

En appel, les appelantes ont contesté la décision autorisant l’action collective du juge en chambre. L’intimée a interjeté un appel incident contestant l’exclusion des résidents du Québec de l’action collective.

Décision

La Cour d’appel a accueilli l’appel, renversé le jugement d’autorisation et rejeté l’action. Elle a jugé que, dans son acte de procédure, la D^re Bleuler n’avait pas présenté de cause d’action relativement aux délits civils d’atteinte à la vie privée au titre de la LPVP de la C.-B.

En ce qui concerne la demande pour atteinte à la vie privée, la Cour a conclu que la demanderesse n’avait pas présenté de faits concrets permettant d’établir qu’elle avait une attente raisonnable en matière de protection de la vie privée en ce qui a trait aux renseignements publiés sur RateMDs.com. La Cour a rejeté l’argument de la D^re Bleuler selon lequel sa demande était fondée sur la notion de « contrôle » sur la confidentialité des renseignements personnels, soit le droit d’une personne de déterminer à quel moment les renseignements la concernant sont communiqués, de quelle manière et dans quelle mesure. Tout en reconnaissant que le droit au contrôle de l’utilisation des renseignements personnels constitue une facette du droit à la vie privée, la Cour a estimé que ce droit ne s’appliquait qu’aux renseignements susceptibles de donner lieu à une attente raisonnable en matière de protection de la vie privée.

En ce qui concerne la demande relative à l’utilisation d’un nom sans autorisation, la Cour a estimé qu’il était clair et évident que la demande était vouée à l’échec, car l’acte de procédure ne présentait aucun fait concret établissant que les appelantes avaient commercialement exploité l’identité de la D^re Bleuler en vue de promouvoir leurs ventes. En appliquant la distinction « ventes par rapport au sujet » tirée de l’affaire Gould Estate v. Stoddart Publishing Co. (1996), 30 O.R. (3d) 520 (Gen. Div.), la Cour a conclu que les professionnels de la santé sont le « sujet » de leurs profils sur RateMDs.com, de la même manière qu’un sujet biographique est au centre d’une biographie. Le site Web fournit au public des renseignements utiles sur les professionnels de santé qui fournissent un service public et n’ont pas recours à leurs noms pour exploiter commercialement leur identité aux fins de la promotion des ventes.

Principaux points à retenir

Le droit au contrôle de l’utilisation des renseignements personnels n’existe pas indépendamment d’une attente raisonnable en matière de protection de la vie privée eu égard aux renseignements sous-jacents. Les professionnels qui offrent des services au public ne peuvent invoquer une attente raisonnable en matière de protection de la vie privée relativement à des renseignements accessibles au public sur leurs services professionnels simplement parce qu’ils ne souhaitent pas que ces renseignements soient compilés sur le site Web d’un tiers.

La décision précise que le paragraphe (2) de l’article 3 (Unauthorized use of name or portrait of another [Utilisation non autorisée du nom ou de l’image d’autrui]) de la LPVP de la C.-B. n’a pas pour but de couvrir toute utilisation du nom ou de l’image d’un demandeur par un défendeur qui espère tirer profit de cette utilisation. Les portraits qui, par la présentation de renseignements sur un demandeur, servent l’intérêt public, ne relèvent pas du champ d’application du paragraphe 3(2).

---

Donegani v. Facebook Inc., 2025 ONSC 6020

Lire les détails de l’affaire (en anglais seulement)

Faits

Les demandeurs ont allégué que Facebook avait partagé des données d’utilisateurs avec diverses applications tierces et fabricants d’appareils. Ils ont demandé l’autorisation d’une action collective nationale. La décision de la Cour a fait suite à la troisième audience d’autorisation dans cette affaire. La Cour avait précédemment examiné les causes d’action et les critères relatifs aux questions communes dans une décision rendue en décembre 2024 et avait enjoint aux demandeurs de proposer une nouvelle définition du groupe et de revenir pour présenter des arguments supplémentaires sur divers critères, notamment le critère de la procédure préférable.

Décision

La Cour a refusé d’autoriser l’action collective.

Tout d’abord, la définition du groupe proposé n’était pas viable. Elle était à la fois trop large et trop restrictive, et il n’existait aucune preuve dans le dossier indiquant que les données sous-jacentes nécessaires à l’établissement de la liste principale des membres du groupe proposé (un élément de l’approche proposée par les demandeurs pour identifier les membres du groupe ayant des réclamations) seraient disponibles.

Ensuite, une action collective n’était pas la procédure préférable. La Cour a estimé que l’autorisation d’une action collective dont la seule mesure de réparation demandée était des dommages-intérêts symboliques ne favoriserait pas l’accès à la justice, la modification des comportements ou l’économie des ressources judiciaires. La Cour a ajouté que, pour la modification des comportements, les procédures réglementaires constituaient un meilleur moyen.

La Cour a également estimé que les dommages-intérêts symboliques ne pouvaient être autorisés comme une question commune, car, pour déterminer la responsabilité en matière de dommages-intérêts symboliques, il fallait déterminer quelles données des membres du groupe avaient été partagées, ce qui nécessitait des enquêtes individuelles.

Principaux points à retenir

Les tribunaux de l’Ontario continuent de considérer que, en règle générale, une action collective visant uniquement l’obtention de dommages-intérêts symboliques ne satisfait pas au critère de la procédure préférable.

---

Trueman v. Rogers Communications Canada Inc., 2025 ONSC 5972

Lire les détails de l’affaire (en anglais seulement)

Faits

Le demandeur a intenté une action collective contre Rogers Communications et Rogers Bank au nom d’environ huit millions de clients en Ontario, en Alberta et au Québec. Il a allégué que Rogers Communications avait aidé Rogers Bank à obtenir les rapports de solvabilité des clients de Rogers Communications auprès de Trans Union Canada Inc., une agence canadienne d’évaluation du crédit, à l’insu et sans le consentement de ces clients. Rogers Bank, une entité juridique distincte de Rogers Communications, a ensuite utilisé les rapports de solvabilité pour décider s’il y avait lieu de promouvoir ses cartes de crédit auprès des clients de Rogers Communications. Le demandeur a découvert cette pratique en examinant son rapport de solvabilité et s’est plaint auprès de Rogers. Il a également déposé une plainte auprès du Commissariat à la protection de la vie privée du Canada, qui a ouvert une enquête.

Décision

La Cour a autorisé l’action collective sur la base de quatre causes d’action invoquées : rupture de contrat, abus de confiance, délit d’intrusion dans l’intimité et violations du Code civil du Québec, R.L.R.Q., c. CCQ-1991, et de la Charte des droits et libertés de la personne du Québec, R.L.R.Q., c. C-12. Le juge Leiper a estimé que, comparativement à une action collective, la procédure de plainte du Commissariat à la protection de la vie privée du Canada ne constituait pas un meilleur moyen, puisque cet organisme n’offrait pas un « accès à la justice sur le plan du fond » aux membres du groupe et ne traitait pas les actions en responsabilité délictuelle. Le juge Leiper a rejeté l’argument des défenderesses selon lequel il n’existait aucun préjudice indemnisable, car les rapports de solvabilité n’avaient pas d’incidence sur les cotes de solvabilité des clients de Rogers Communications. Le juge Leiper a estimé que des dommages-intérêts généraux pouvaient être accordés pour un préjudice causé à un intérêt immatériel tel que le droit à la vie privée, et a noté que le droit au contrôle de ses renseignements personnels est lésé par une intrusion, qu’il y ait ou non détresse ou bouleversement psychologique, ou même que la personne concernée ait ou non connaissance de la violation.

La Cour a rejeté la requête en jugement sommaire partiel des défenderesses visant à faire valoir une clause d’exclusion figurant dans le contrat de consommation type de Rogers Communications, qui excluait certaines catégories de dommages-intérêts, y compris les dommages-intérêts pour « atteinte à la vie privée » liés à ses services « ou à toute publicité ». Le juge Leiper a appliqué le critère relatif à l’application des clauses d’exclusion tiré de l’affaire Tercon Contractors Ltd. c. Colombie-Britannique (Transports et Voirie), 2010 CSC 4, et a conclu que les deuxième et troisième éléments du critère – relatifs à l’iniquité et à la question de savoir si la clause devait être inapplicable pour des raisons d’ordre public – devaient être tranchés sur la base d’un dossier complet. En conséquence, il a jugé que l’affaire ne se prêtait pas à un jugement sommaire.

Principaux points à retenir

Cette décision souligne que les clauses d’exclusion figurant dans les contrats types peuvent faire l’objet d’un examen plus approfondi pour des raisons d’iniquité ou d’ordre public dans les affaires où des violations intentionnelles du droit à la vie privée sont alléguées. La Cour a réaffirmé que le préjudice pouvant découler de la simple perte de contrôle sur les renseignements personnels, même en l’absence de dommage financier concret, était suffisant pour fonder une demande d’autorisation d’une action collective. 

---

Badji c. Zenleads inc., 2026 QCCS 5

Lire les détails de l’affaire

Faits

Le demandeur, Cheikhou Badji (M. Badji), a demandé la permission d’intenter une action collective au nom de tous les résidents du Québec dont les renseignements personnels ont été détenus, collectés, utilisés, communiqués ou commercialisés sans leur consentement par la défenderesse Zenleads Inc. (Zenleads), l’exploitante d’Apollo.io, une plateforme de veille économique.

M. Badji a allégué que son profil Apollo.io divulguait des renseignements personnels (notamment son nom complet, son employeur, le titre de son poste, ses coordonnées et son parcours professionnel complet), ainsi qu’un lien vers son profil LinkedIn, sans son consentement. M. Badji a en outre allégué que Zenleads déployait un réseau de contributeurs pour accéder à des systèmes de gestion de la relation client, à des boîtes de courriels et à des calendriers électroniques afin de collecter des renseignements personnels de tiers à leur insu et sans leur consentement, interceptait des communications électroniques, utilisait une extension Google Chrome pour contourner les paramètres de confidentialité de LinkedIn et se livrait à du profilage algorithmique.

M. Badji a allégué des violations de la Loi sur la protection des renseignements personnels dans le secteur privé, R.L.R.Q., c. P-39.1 (la LPRPSP), du Code civil du Québec, R.L.R.Q., c. CCQ-1991 (le CCQ), et de la Charte des droits et libertés de la personne, R.L.R.Q., c. C-12 (la Charte québécoise).

Zenleads a contesté l’autorisation de l’action collective, faisant valoir qu’Apollo.io est une plateforme « interentreprises » destinée à l’échange de cartes de visite numérisées provenant de sources publiques, et que l’exception relative aux « renseignements professionnels » prévue par la LPRPSP s’appliquait.

Décision

La Cour supérieure du Québec a autorisé l’action collective et a jugé que les renseignements recueillis au sujet de M. Badji constituaient des renseignements personnels au sens de la LPRPSP et du CCQ, et a écarté l’argument de Zenleads selon lequel l’exception relative aux « renseignements professionnels » s’appliquait à ce stade. En outre, elle a observé que le profil de M. Badji sur Apollo.io semblait contenir de nombreux détails personnels, notamment un numéro de téléphone portable et un parcours professionnel complet, et a pris note de l’aveu de Zenleads selon lequel elle n’avait pas obtenu le consentement de chaque personne faisant l’objet d’un profil et qu’elle avait tiré un avantage commercial de ces renseignements.

La Cour a également estimé que la divulgation de numéros de téléphone portable et des méthodes de profilage algorithmique pouvait, de manière plausible, constituer une violation du droit à la vie privée garanti par la Charte québécoise. Elle a toutefois rejeté les demandes fondées sur le secret professionnel, les jugeant trop hypothétiques, et a rejeté les demandes relatives à l’atteinte à la réputation en raison de l’insuffisance de preuves d’une atteinte personnelle.

La Cour a estimé que les allégations démontraient un préjudice plausible résultant de l’utilisation commerciale des données personnelles, notamment la perte de contrôle et le profilage algorithmique, justifiant l’octroi de dommages-intérêts compensatoires. En ce qui concerne les dommages-intérêts punitifs, la Cour a conclu que les allégations étaient suffisantes, soulignant que l’article 93.1 de la LPRPSP prévoyait des dommages-intérêts punitifs d’au moins 1 000 $ lorsqu’une atteinte illicite causait un préjudice et que cette atteinte était intentionnelle.

Par conséquent, la Cour a autorisé l’action collective en ce qui a trait à la plupart des demandes de dommages-intérêts punitifs et de dommages-intérêts compensatoires, mais a rejeté certaines demandes fondées sur la Charte québécoise.

La Cour d’appel du Québec a autorisé l’appel le 6 mars 2026.

Principaux points à retenir

Cette décision met en évidence l’importance des risques juridiques liés à la collecte, à l’utilisation et à la revente présumées non autorisées de données, en particulier à une époque où les données personnelles sont de plus en plus reconnues comme un actif précieux pour les entreprises.

Il convient de noter que le refus de la Cour d’appliquer l’exception relative aux « renseignements professionnels » prévue par la LPRPSP dans le contexte de cette affaire reflète une interprétation restrictive, ce qui pourrait indiquer que les renseignements traditionnellement classés comme étant de nature professionnelle peuvent être soumis à des mesures de protection de la vie privée lorsqu’ils sont utilisés à des fins qui dépassent le cadre commercial initial.