Renseignements sur les dossiers

Procédure civile — Recours collectifs — Certification des questions en litige — Responsabilité délictuelle — Contrat — Une entreprise a recueilli des renseignements personnels fournis par ses clients à des fins lucratives — De tierces parties criminelles ont réussi à accéder aux renseignements et les ont téléchargés — Est-il évident que les actes de criminels ne peuvent équivaloir à un préjudice indemnisable contre l’entreprise en question ? — Une demande valable fondée sur la négligence ou sollicitant des dommages-intérêts symboliques pour rupture de contrat exige-t-elle des clients, dont les renseignements ont été volés, qu’ils démontrent que ces renseignements ont été utilisés à leur détriment ?

Les sommaires de dossiers sont préparés par le Bureau du registraire de la Cour suprême du Canada (Direction générale du droit). Veuillez noter qu’ils ne sont pas transmis aux juges de la Cour; ils sont plutôt versés au dossier de la Cour et affichés sur son site Web uniquement à titre d’information.

(ORDONNANCE DE MISE SOUS SCELLÉS) (LE PUBLIC N’EST PAS AUTORISÉ À PRENDRE CONNAISSANCE DE CERTAINS RENSEIGNEMENTS)

En octobre 2016, Uber B.V. et les autres sociétés intimées (« Uber ») ont été victimes d’une atteinte à leurs données visant les renseignements personnels de millions de conducteurs et d’usagers. Uber a reçu une demande de rançon et a payé les pirates informatiques en contrepartie d’une garantie que les données seraient détruites, et non rendues publiques. Uber a communiqué l’incident en novembre 2017 et a indiqué qu’elle prendrait des démarches pour surveiller les personnes touchées. Elle a signalé l’incident et a fait l’objet d’enquêtes et de pénalités dans de nombreux pays, dont le Canada. Mme Setoguchi, qui était une usagère d’Uber au moment de l’atteinte, a intenté une action qu’elle a voulu faire certifier au nom des personnes au Canada dont les renseignements avaient fait l’objet de l’atteinte non autorisée aux données d’Uber à cette date ou autour de celle-ci, à l’exception des personnes au Québec, dont les droits faisaient l’objet d’une action distincte. Mme Setoguchi a allégué qu’il y avait eu rupture de contrat et négligence. Elle soutenait qu’en vertu des ententes d’utilisation et de confidentialité, Uber avait manqué à son obligation envers les membres du groupe de protéger leurs renseignements, en transférant ceux-ci à un service en nuage d’une tierce partie sans leur consentement, en dissimulant l’atteinte aux données auprès des usagers et des autorités, en divulguant les renseignements à la tierce partie, et en omettant de prendre des mesures de sécurité adéquate pour protéger les renseignements.

Le juge saisi de la demande de certification a conclu qu’un recours collectif n’était pas le meilleur moyen de procéder parce qu’il n’était pas évident qu’un préjudice pouvait être démontré à l’échelle du groupe et que le fait de procéder par recours collectif n’aurait pas pour effet d’améliorer l’accès à la justice, car les dommages-intérêts seraient symboliques, dans le meilleur des cas. La Cour d’appel a rejeté l’appel interjeté par Mme Setoguchi.