Publié par Un tribunal québécois rendait récemment une décision concernant Equifax, dans laquelle on apporte certaines précisions quant à la mesure dans laquelle notre droit permet à un individu qui s’estime lésé (par les pratiques trop laxistes de cybersécurité d’une entreprise) de déclencher une action collective contre elle.
La décision en question, Li c. Equifax (20419 QCCS 4340), survient suite à la conclusion par le Commissariat à la protection de la vie privée du Canada qu’Equifax a violé la loi canadienne en matière de renseignements personnels. En l’occurrence, le Commissariat s’était exprimé dans son rapport d’enquête pour affirmer qu’Equifax avait mis en place des mesures de protection déficientes et inadéquates pour protéger les renseignements clés (c.-à-d. sensibles) qu’elle avait en sa possession, en tant qu’agence de crédit. En principe, Equifax aurait donc été fautive, ce qui ne laisse qu’un pas à faire pour conclure à sa responsabilité, non?
La décision en question de la Cour supérieure découle d’une demande déposée il y a déjà deux ans, devant nos tribunaux, afin d’autoriser la réclamation de dommages-intérêts à Equifax, au nom de tous les Québécois victimes de l’intrusion informatique chez Equifax au printemps 2017. Dans ce cas précis, ce qui s’avère pertinent pour le tribunal, c’est que le demandeur (représentant du groupe) prétend avoir subi des dommages incluant des pertes économiques, des troubles et inconvénients et de la souffrance morale. Ce qu’il faut comprendre à ce sujet, c’est que Li présente sa demande en la fondant sur le droit civil et certains droits protégés par la Charte québécoise des droits et libertés. En l’occurrence, Li formule sa demande comme une réclamation extracontractuelle, en cherchant à être indemnisé pour son préjudice allégué, comme n’importe quel citoyen lésé par le comportement d’un autre.
Pour le tribunal qui a entendu ce requérant, cependant, il s’avère difficile ici de conclure à l’existence d’un réel préjudice, notamment parce que Li n’a subi aucun vol d’identité, ni encouru de réelles dépenses pour se protéger ou composer avec la fuite chez Equifax. Pour le juge Bisson, en effet, simplement témoigner d’une certaine inquiétude ne s’avère pas suffisant, en droit québécois, pour prétendre atteindre le seuil de ce que devrait indemniser le droit civil en matière de responsabilité extracontractuelle. Ce qui a été présenté ici à ce sujet ne permet tout simplement pas de supporter la prétention du requérant voulant qu’il ait ici une apparence de droit susceptible d’indemnisation par nos tribunaux.
Rappelons ici qu’en matière d’action collective, au stade initial comme c’était ici le cas, le critère à appliquer est celui de la cause défendable ou de l’apparence sérieuse de quelque chose qui mérite que le système judiciaire (et les parties) y consacrent toutes les ressources qu’impliquerait une action collective éventuelle. Une telle cause doit avoir un minimum de sérieux pour mériter qu’on permette d’invoquer les règles en matière d’actions collectives.
Ici, le tribunal conclut que le seuil critique n’a pas été atteint, en grande partie parce que tout ce dont pouvait se plaindre Li, de réel ou de quantifiable, visait un préjudicie purement éventuel. Qu’on se le tienne pour dit, mis à part un vrai préjudice psychologique, à défaut de pouvoir démontrer qu’on a dépensé quelque chose ou été forcé de faire quelque chose qui a eu un véritable coût pour nous, il est peu probable que le droit québécois voie d’un très bon œil votre recours. Le droit québécois a généralement peu de sympathie pour les cas de préjudices simplement appréhendés. Cette décision vient confirmer que les réclamations en matière de renseignements mis en péril par la sécurité déficiente d’entreprises ne font pas exception. Oui, notre droit exige bien qu’on présente devant nos tribunaux la preuve d’un préjudice réel, lequel doit dépasser le simple préjudice un peu théorique de souffrances psychologiques ou autre chef de dommage quelque peu évanescent. Il doit y avoir plus pour mériter l’attention de nos tribunaux.
Pouvoir se plaindre du fait qu’une agence de crédit ou qu’une banque a mal protégé nos renseignements, c’est une chose, pouvoir les traîner devant les tribunaux québécois pour cette seule raison en est une toute autre. Nos tribunaux continuent donc de considérer que le fait de vivre des inconvénients (relativement) mineurs, comme du stress, de l’inquiétude ou même de l’angoisse, s’avérera généralement insuffisant pour ouvrir la voie à un recours en droit civil (particulièrement une action collective), puisque simplement partie de la vie moderne.
DES SOURIS, DU DROIT ET DES HOMMES 