La perte de renseignements personnels est-elle suffisante pour justifier le succès d'une action collective au fond?

Dans une chronique publiée par Thomson Reuters[1], notre associé Shaun E. Finn et notre étudiante en droit Camille Rivard commentent un important arrêt de la Cour d’appel du Québec qui confirme le premier rejet au fond d’une action collective au Canada en matière de vie privée.

La Cour d’appel du Québec a récemment donné raison au raisonnement de la Cour supérieure du Québec dans l’arrêt Lamoureux c. Organisme canadien de réglementation du commerce des valeurs mobilières (OCRCVM).

En première instance, la Cour supérieure avait rejeté sur le fond une action collective pour atteinte à la vie privée sur la base que les « sentiments négatifs généraux ressentis » à la suite de la perte de l’ordinateur et des renseignements personnels qu’il contenait ne franchissaient pas le seuil des « désagréments, angoisses et craintes ordinaires de toute personne vivant en société doit régulièrement accepter, fût-ce à contrecœur ».

Ainsi, la Cour d’appel confirme que, pour qu’une fuite de renseignements personnels puisse justifier le succès d'une action collective au fond, la demande doit prouver, entre autres, que les membres du groupe ont subi un préjudice indemnisable. Il n'est pas suffisant de plaider des inconvénients avec lesquels des gens vivant en société doivent composer. De plus, la présence d'une faute reconnue par la partie défenderesse elle-même n'est pas nécessairement fatale.

Un défendeur peut minimiser les chances qu'une action collective soit autorisée – ou accueillie – à son encontre, notamment en :

• instaurant une culture institutionnelle qui valorise les renseignements personnels et la vie privée de ses consommateurs, clients et/ou employés;
• adoptant des politiques et protections technologiques et humaines appropriées et en s’assurant que celles-ci sont mises en œuvre diligemment;
• suivant les étapes indiquées à la suite d'une perte ou fuite de renseignements ou d’une cyberattaque; et,
• prenant des mesures afin d'éviter ou minimiser tout préjudice qui pourrait résulter d'un tel incident.

Cette décision de la Cour d’appel du Québec constitue un important précédent en ce qu’elle confirme le premier rejet au fond d'une action collective en matière de vie privée au Canada et donne aux entreprises et institutions une carte de route afin de mieux se protéger contre une telle procédure.

[1] Shaun E. FINN et Camille RIVARD, « Commentaire sur la décision Lamoureux c. Organisme canadien de réglementation du commerce des valeurs mobilières (OCRCVM) – La Cour d'appel confirme que les gens vivants en société doivent accepter certains désagréments à contrecœur », dans Repères, septembre 2022, La référence, EYB2022REP3504.