Les clients touchés par le piratage de données de l’année dernière impliquant des sociétés de services financiers et le service de transfert de fichiers GoAnywhere sont en droit de se demander quelle sera la suite des choses , étant donné que de nombreuses propositions de recours collectifs ont été déposées dans tout le pays.
La réponse courte ? C’est compliqué.
Quatre recours collectifs ont été déposés contre Placements Mackenzie en relation avec l’incident. La société InvestorCOM, spécialisée dans les technologies de l’information et de la communication, est défenderesse dans trois des quatre recours. Les autres défendeurs sont Edward Jones (deux plaintes) et Franklin Templeton (une).
Une plainte a été déposée en Colombie-Britannique, deux en Saskatchewan et une en Ontario, la plus récente ayant été déposée le 18 décembre et annoncée dans un communiqué de presse le 22 février.
Lorsque des recours collectifs sont introduits dans différentes provinces, « aucun tribunal provincial n’est compétent pour décider de la suite à donner à l’affaire », souligne Garth Myers, associé du cabinet Kalloghlian Myers à Toronto. (Garth Myers, comme les autres avocats interrogés dans le cadre de cet article, n’a pas commenté spécifiquement l’affaire du piratage informatique). « L’ouverture de recours collectifs nationaux qui se chevauchent dans différents tribunaux du pays a posé l’un des plus gros problèmes pour les recours collectifs au Canada ».
En revanche, « le système judiciaire fédéral [américain] a le pouvoir de résoudre ce problème », affirme Daniel Bach, associé, recours collectifs, chez Siskinds à Toronto.
Les cabinets d’avocats peuvent accepter de travailler en coopération pour faire avancer une action. Bien que ce soit « un résultat très fréquent », a déclaré Garth Myers, cela « dépend de la capacité des avocats, ou du plaignant et des membres du groupe, à se mettre d’accord et à conclure une sorte d’arrangement ».
Par ailleurs, les cabinets d’avocats pourraient essayer d’empêcher les affaires des uns et des autres d’avancer en déposant des requêtes dans d’autres provinces, mais « c’est un défi, et il n’y a pas beaucoup de grands précédents en la matière », précise-t-il.
Du point de vue du défendeur, il est inefficace et coûteux d’être poursuivi par les mêmes personnes devant différents tribunaux à travers le pays. Pour cette raison, un défendeur pourrait demander au tribunal de suspendre la procédure de manière temporaire ou permanente afin de permettre à une ou plusieurs autres affaires d’aller de l’avant, explique Garth Myers. Il a ajouté que les provinces diffèrent dans leur réceptivité à ces requêtes, qui sont appelées requêtes de suspension.
« Il n’y a pas de grand plan pour gérer les questions interjuridictionnelles soulevées par l’introduction d’une multiplicité de recours collectifs à travers le Canada », nous apprend Garth Myers.
Selon Daniel Bach, les modifications apportées en 2020 à la loi ontarienne sur les recours collectifs aident à résoudre les cas de chevauchement. Plus précisément, lorsqu’une affaire arrive au stade de la certification, le tribunal peut examiner si une affaire concurrente a été certifiée dans une autre province et si la réclamation en Ontario devrait plutôt être résolue dans une autre procédure. Mais une motion de certification peut intervenir des années après l’introduction d’un recours collectif, précise-t-il.
Lorsque plusieurs plaintes sont déposées dans la même province et que les avocats ne s’entendent pas pour travailler ensemble, le tribunal décide dans une motion de transport quelle action collective concurrente sera poursuivie.
« Le tribunal applique un test multifactoriel qui se résume essentiellement à déterminer lequel de ces recours collectifs est dans le meilleur intérêt du groupe », résume Daniel Bach. Les facteurs pris en compte sont notamment le fondement de l’affaire et l’expérience des avocats. (Le Québec fait exception avec sa règle du premier à déposer).
Affaires de piratage informatique et intrusion dans la vie privée
Par ailleurs, la Cour d’appel de l’Ontario, dans une série de décisions, a « limité l’étendue de la récupération » dans les affaires de piratage de données, souligne Garth Myers.
Quelques-unes des plaintes déposées contre les sociétés de services financiers invoquent la responsabilité pour « intrusion dans la vie privée ». Mais la Cour d’appel a effectivement déclaré qu’un « défendeur de base de données » — qui détient des données personnelles et qui est piraté par un tiers — n’est pas responsable de l’intrusion dans la vie privée, nous informe Garth Myers.
« La responsabilité ne peut s’attacher qu’à une partie qui participe activement à l’accès illicite aux informations privées d’autrui », écrit Ellen Snow, associée du groupe de contentieux commercial de Clyde & Co. à Toronto, dans un article expliquant le point de vue de la Cour.
À la suite des décisions de la Cour d’appel, « je pense que nous avons constaté une diminution significative du nombre d’affaires relatives à la protection de la vie privée déposées au Canada », rapporte Garth Myers, qui qualifie l’approche de la Cour de « régressive » en ce qui concerne les informations personnelles.
« Pour l’instant, c’est la réalité à laquelle nous sommes confrontés, dit-il. Il n’y a pas de plainte automatique pour violation de la vie privée contre le défendeur d’une base de données, qui détient des informations privées, à chaque fois qu’il est piraté. »
Les autres causes contenues dans l’action sont la négligence et la violation des lois provinciales sur la protection de la vie privée.
Jusqu’à ce que les actions collectives proposées se concrétisent, les clients concernés devront se résigner à une approche attentiste.
Dans le rapport de gestion publié avec les résultats du quatrième trimestre, la société mère de Mackenzie, la Société financière IGM, a déclaré qu’elle ne s’attendait pas à ce que ces actions en justice aient un « effet négatif important » sur sa situation financière consolidée.