Décision

Lévy c. Nissan Canada inc.

2019 QCCS 3957

 

JG-1462    COUR SUPÉRIEURE
(Action collective)
CANADA
PROVINCE DE QUÉBEC
DISTRICT DE			MONTRÉAL
N° :		500-06-000907-184
DATE :	19 septembre 2019
______________________________________________________________________
SOUS LA PRÉSIDENCE DE :				L’HONORABLE	PIERRE-C. GAGNON, J.C.S.
______________________________________________________________________
KARINE LÉVY Demanderesse c. NISSAN CANADA INC.
Défenderesse
______________________________________________________________________
JUGEMENT SUR LA DEMANDE D’AUTORISER UNE ACTION COLLECTIVE
______________________________________________________________________

A.           APERÇU DU LITIGE

[1]          La demanderesse Mme Karine Lévy présente sa Re-amended application for authorization to institute a class action (16 mai 2019).

[2]          Mme Lévy demande l’autorisation d’instituer une action collective pour un groupe de résidants du Québec[1] au sujet desquelles Nissan Canada inc. (et ses divisions Nissan Finance Canada et Infiniti Finance Canada) détenaient des renseignements personnels et économiques ciblés par une intrusion informatique ( « data breach » ), le ou vers le 11 décembre 2017[2].

[3]          Ainsi, la demande re-modifiée décrit comme suit le groupe proposé :

All persons in (…) Quebec (…) (including their estates, executors or personal representatives), whose personal and/or financial information was (…) provided to Defendant before (…) the data breach that occurred on or before December 11, 2017, or any other Group(s) or Sub-Group(s) to be determined by the Court;

(hereinafter, both Quebec resident and non-Quebec resident Class Members [sic] are collectively referred to as "Class Member(s)", "Group Member(s)", the  "Group", the  "Class",  "Consumers" or  "Customers");

[4]          Le 11 décembre 2017, trois officiers de Nissan Canada ont reçu une demande de rançon en bitcoins de la part d’un extorqueur dont l’identité n’a pas été démasquée à ce jour (l’ « Extorqueur » )[3].

[5]          Pour appuyer sa menace, l’Extorqueur a indiqué dans son courriel un hyperlien vers un site électronique ( « dropbox » ) sur lequel trouver un échantillon ( « sample » ) des documents obtenus par intrusion, soit un document concernant des clients de Nissan Canada (des acquéreurs ou locataires de véhicules Nissan ou Infiniti)[4]. L’Extorqueur affirmait dans son courriel : « we have all your customers and proprietary information » ).

[6]          Le 21 décembre 2017, Nissan Canada affichait sur son site internet un avis de l’incident du 11 décembre 2017[5].

[7]          L’avis mentionnait que deux agences de notation de crédit (TransUnion et Equifax) offraient aux consommateurs canadiens accès gratuit à leur dossier de crédit. Nissan Canada recommandait à ses clients de surveiller leurs comptes bancaires et leurs relevés de cartes de paiement et de crédit, puis d’aviser leur banque de toute opération douteuse.

[8]          Par le même avis, Nissan Canada offrait à ses clients 12 mois de surveillance du crédit par TransUnion, sans frais pour les clients[6].

[9]          L’avis omettait de mentionner que le document de la dropbox indiquait, pour chaque client, un numéro d’assurance sociale. Il est présentement controversé de déterminer si ces numéros sont exacts ou fictifs.

[10]       En plus de l’avis affiché sur l’internet, Nissan Canada a posté une lettre individuelle à chacun de ses 1 300 000 clients canadiens. Mme Lévy a reçu sa lettre le 30 janvier 2018[7]. Cette lettre reprenait substantiellement la teneur de l’avis affiché électroniquement le 21 décembre 2017.

[11]       La demande d’autorisation met en doute que Nissan Canada n’ait rien su de l’intrusion informatique avant le 11 décembre 2017.

[12]       Nissan Canada (et ses entités affiliées aux États-Unis) ont mené une enquête qui, à une époque indéterminée, s’est conclue comme suit :

·        l’identité de l’Extorqueur demeurait inconnue, mais il s’agissait probablement d’une personne détenant accès interne aux données déposées dans la dropbox (c’est-à-dire un employé de Nissan Canada ou d’un concessionnaire canadien Nissan ou Infiniti);

·        rien n’indiquait que l’Extorqueur s’était approprié quoi que ce soit d’autre que le document déposé dans la dropbox;

·        le document en question était le Point-in-Time Database Extract de décembre 2016, c’est-à-dire la sélection dans une banque de données plus vaste, de renseignements concernant les Canadiens ayant, en décembre 2016, une dette active envers Nissan Canada en raison de l’achat ou la location d’un véhicule Nissan ou Infiniti;

·        rien n’indiquait que l’Extorqueur ait mis ses menaces à exécution et fait quelque usage frauduleux ou inapproprié des données obtenues par intrusion.

[13]       La demande d’autorisation met en doute l’exactitude de ces constats, suspects à son avis parce qu’ils tendent à amenuiser l’ampleur de l’incident.

[14]       Mentionnons immédiatement qu’en décembre 2016, Mme Lévy n’avait plus de dette envers Nissan Canada, de sorte que rien la concernant ne se trouvait dans le document de la dropbox, selon Nissan Canada et selon ce qui appert de la vérification dudit document R-10.

[15]       Le dossier comporte une abondante preuve documentaire[8], dont la déclaration assermentée de M. Robert J. Slencak, II, employé chez Nissan Group of North America[9] à Irving (Texas), à titre de Senior Manager in the Information Security Department.

[16]       Cette initiative de Nissan Canada a donné lieu à l’interrogatoire sous serment de M. Slencak, le 2 mai 2019, par visioconférence et en présence du juge soussigné. La transcription intégrale de cet interrogatoire est produite[10].

[17]       On verra que Nissan Canada conteste deux des quatre critères de l’article 575 du Code de procédure civile (le « C.p.c. » ). Nissan Canada ne conteste pas l’application des paragraphes 1⁰ et 3⁰ de l’article 575 C.p.c., sauf en ce qui concerne la description du groupe.

B.           REPRÉSENTATIONS DE LA DEMANDE

[18]       La demande re-modifiée du 16 mai 2019 allègue principalement ce qui suit pour l’ensemble des membres du groupe :

a)    l’intrusion informatique est survenue le ou avant le 11 décembre 2017, alors que Nissan Canada disposait de bases de données concernant environ 1 300 000 clients canadiens;

b)    Nissan Canada n’avait pas mis en place des mécanismes de protection appropriés pour protéger les renseignements personnels de ses clients contre telle intrusion;

c)    les données que l’Extorqueur a déposées dans la dropbox comportaient :

·        le nom et l’adresse des clients;

·        la description du modèle de véhicule de chaque client;

·        le numéro d’assurance sociale;

·        le montant du crédit accordé par Nissan Canada;

·        le montant des mensualités;

·        la note de crédit.

d)     Nissan Canada a tardé 10 jours (entre le 11 décembre 2017 et le 21 décembre 2017) avant d’aviser ses 1 300 00 clients;

e)    le 21 décembre 2017, Nissan Canada a placé l’avis sur son site internet, mais avec un positionnement inadéquat pour attirer l’attention des clients concernés;

f)     l’avis du 21 décembre 2017 et la lettre personnalisée omettaient de mentionner que l’Extorqueur détenait le numéro d’assurance sociale de certains clients;

g)    Nissan Canada ne s’est jamais engagée à indemniser les clients si jamais une perte financière découlait de l’intrusion informatique;

h)    Nissan Canada a tardé avant d’offrir à ses clients 12 mois gratuits de surveillance de crédit par TransUnion (en excluant Equifax), obligeant chaque client à entreprendre les démarches à cet effet, pour un service inefficace en cas de fraude survenant au-delà de la période de 12 mois;

i)     en plus de s’exposer à des pertes pécuniaires, les membres du groupe ont subi et continuent de subir stress, anxiété, peur, inconvénients et pertes de temps, notamment pour :

·        obtenir d’autres instruments de crédit;

·        surveiller attentivement leurs comptes, bien au-delà de la période de 12 mois payable par Nissan; et obtenir des rapports de crédit à cet effet;

·        prendre des précautions additionnelles au moment de communiquer leurs informations personnelles;

·        s’obliger à divulguer l’incident à leurs institutions financières;

(tout en s’exposant à une note de crédit défavorable).

j)       certains membres ont dû défrayer l’obtention de services de surveillance de crédit supplémentaires ou d’assurance anti-fraude;

k)    Nissan Canada a omis d’informer ses clients de la situation et de son enquête après ses démarches en décembre 2017 et février 2018;

[19]       La demande re-modifiée allègue principalement ce qui suit dans le cas individuel de Karine Lévy :

a)    Mme Lévy ignorait tout de l’incident jusqu’au 30 janvier 2018, quand elle a reçu une lettre personnalisée de Nissan Canada Finance[11];

b)    la teneur de cette lettre a causé à Mme Lévy anxiété, stress, inconvénients, perte de temps et crainte;

c)    dès le 2 février 2018, elle a contacté TransUnion pour activer la démarche de surveillance de crédit;

d)    TransUnion a tardé à lui transmettre le code d’activation, obligeant Mme Lévy à recommencer la démarche à zéro le 5 février 2018. TransUnion ne lui a transmis le code d’activation que le 16 février 2018, code qu’elle a utilisé le 19 février 2018;

e)    quand Mme Lévy a recontacté TransUnion le 2 mars 218 pour obtenir des informations additionnelles, TransUnion lui a indiqué que le contrat conclu avec Nissan Canada ne la protégeait que pour un an;

f)     Mme Lévy a alors contracté avec TransUnion pour une protection de six ans;

g)    Mme Lévy a aussi contacté Equifax et a payé 6,90 $ pour activer un programme d’alertes;

h)    le 5 juin 2018, Mme Lévy a porté plainte au Commissariat à la protection de la vie privée du Canada[12];

i)     la négligence caractérisée de Nissan Canada la rend redevable de dommages-intérêts compensatoires et de dommages punitifs.

C.           REPRÉSENTATIONS DE LA DÉFENSE

[20]       Essentiellement, la demande d’autorisation repose sur la prétention déraisonnable par Mme Lévy qu’elle a subi préjudice du seul fait de recevoir le 30 janvier 2018 la lettre personnalisée de Nissan Canada Finance l’avisant de l’incident.

[21]       Rien au dossier présentement constitué ne valide le syllogisme juridique à l’effet que Nissan Canada aurait commis une faute indemnisable en raison de sa négligence :

·        quant à la conservation des renseignements personnels des clients;

·        quant à sa réaction au courriel de l’Extorqueur reçu le 11 décembre 2017.

[22]       Au moment de l’incident, Nissan Canada était astreinte à une obligation de moyens et non à une obligation de résultat.

[23]       Or, Nissan Canada a promptement avisé les agences canadiennes régissant la protection de la vie privée et l’ensemble de ses clients potentiellement affectés.

[24]       Nissan Canada (et Nissan North America) ont procédé à une vaste enquête de leurs systèmes informatiques, avant de conclure avec assurance :

·        qu’il ne s’agissait pas d’une attaque externe;

·        que le seul document compromis par l’intrusion informatique était le document de la dropbox, soit un document canadien tel qu’existant à une date spécifique (un an avant le courriel de l’Extorqueur).

[25]       Il n’y a pas faute du seul fait de la survenance d’un délai entre la découverte de l’incident et le moment de l’avis aux clients.

[26]       Même si une faute par Nissan Canada était convenablement établie (ce qui est nié), il faudrait ensuite établir de façon défendable l’existence d’un préjudice et non de simples contrariétés.

[27]       Rien au dossier présentement constitué n’indique que Mme Lévy ou un autre membre du groupe aurait été victime de fraude ou d’usurpation d’identité.

[28]       Le document placé par l’Extorqueur dans la dropbox était un extrait de données se limitant aux 278 450 dossiers (canadiens) actifs en décembre 2016, ce qui excluait le dossier de Mme Lévy qui n’avait plus de dette envers Nissan Canada à cette date.

[29]       C’est donc présentement une certitude qu’à l’avenir, Mme Lévy ne s’expose nullement à une fraude ou à une appropriation d’identité.

[30]       L’obtention par Mme Lévy d’une protection additionnelle de TransUnion et d’Equifax ne peut constituer un préjudice indemnisable dans la mesure où, le 19 février 2018, Mme Lévy a activé la protection d’un an que Nissan Canada lui procurait auprès de TransUnion, sans frais pour elle. L’obtention de cette protection additionnelle est suspecte parce que contemporaine au dépôt de la demande d’autorisation et semble une tentative de documenter un préjudice artificiel.

[31]       Concernant le numéro d’assurance sociale indiqué sur la ligne de chaque client (dans le document R-10), Nissan Canada réfère au témoignage de M. Slencak, selon qui il s’agit vraisemblablement de (quelque 280 000) numéros fictifs insérés par l’Extorqueur pour créer l’illusion qu’il détenait plus de renseignements sensibles qu’en réalité.

[32]       De même, les faits allégués ne sauraient donner lieu à l’octroi de dommages punitifs. En l’espèce, ceux-ci ne pourraient en théorie être accordés qu’en vertu de l’article 49 de la Charte (québécoise) des droits et libertés de la personne[13], qui exige de démontrer la violation intentionnelle d’un droit fondamental. La simple négligence ne suffit pas.

[33]       Selon Nissan Canada, ce qui précède doit amener à conclure que Mme Lévy ne démontre pas l’existence d’une cause défendable, tel que l’exige le paragraphe 575 (2⁰) C.p.c.

[34]       Par voie de conséquence, Mme Lévy ne démontre pas qu’elle détient un recours personnel valable contre Nissan Canada. Ceci entraîne l’échec également quant au critère du paragraphe 575 (4⁰) C.p.c.

[35]       Finalement, Nissan Canada plaide le caractère beaucoup trop vaste de la description du groupe proposée par la demande.

[36]       Ainsi, le groupe ne saurait valablement englober tous les clients québécois de Nissan Canada ayant fourni des renseignements personnels ou économiques à celle-ci avant la faille informatique du 11 décembre 2017, étant donné que la majorité de ceux-ci n’ont pu subir préjudice de l’intrusion informatique.

[37]       Bien que le juge d’autorisation puisse, selon les circonstances, détenir la discrétion de remodeler la composition du groupe, Nissan Canada considère que cette option n’est pas ouverte dans le présent cas.

D.           RÈGLES GÉNÉRALES D’OCTROI DE L’AUTORISATION

[38]       Le 7 juin 2019, la Cour suprême rendait son arrêt dans l’affaire de l’Oratoire Saint-Joseph[14], confirmant la stabilité des règles régissant l’octroi de l’autorisation d’instituer une action collective au Québec.

[39]       Ainsi, dans cet arrêt, la Cour suprême réitère que le juge d’autorisation doit se confiner à un rôle de filtrage[15] et doit écarter uniquement les actions collectives qui sont frivoles et celles qui ne présentent aucune chance de succès, ou autrement dit, qui sont manifestement mal fondées en fait ou en droit[16].

[40]       Le demandeur n’est pas tenu de démontrer la probabilité que sa demande sera accueillie au fond. Il n’a qu’à proposer un syllogisme soutenable et défendable, auquel seul un obstacle évident et insurmontable pourra faire échec[17].

[41]       Les allégations de la demande et les pièces invoquées à leur soutien sont tenues pour avérées, à moins de contradiction par une preuve sommaire et évidente[18]. Il est trop tôt pour tenir compte des éventuels moyens de défense.

[42]       Le juge d’autorisation doit accorder telle autorisation s’il est démontré que toutes et chacune des quatre conditions de l’article 575 C.p.c. sont respectées :

575. Le tribunal autorise l’exercice de l’action collective et attribue le statut de représentant au membre qu’il désigne s’il est d’avis que:

1°  les demandes des membres soulèvent des questions de droit ou de fait identiques, similaires ou connexes;

2°  les faits allégués paraissent justifier les conclusions recherchées;

3°  la composition du groupe rend difficile ou peu pratique l’application des règles sur le mandat d’ester en justice pour le compte d’autrui ou sur la jonction d’instance;

4°  le membre auquel il entend attribuer le statut de représentant est en mesure d’assurer une représentation adéquate des membres.

[43]       Les critères de l’article 575 C.p.c. sont exhaustifs. Le principe directeur de la proportionnalité (art. 18 C.p.c.) imprègne l’analyse de ces critères mais ne constitue pas un cinquième critère autonome[19].

[44]       Si un doute persiste au terme de l’analyse des quatre critères de l’article 575 C.p.c., le doute doit bénéficier à la demande. Il incombera au juge du fond de trancher définitivement[20].

[45]       Par contre, l’échec d’un seul des quatre critères suffit à entraîner le refus de l’autorisation[21].

[46]       La norme de « preferability » ne s’applique pas au Québec. Le juge d’autorisation n’a pas à vérifier si l’action collective est le véhicule procédural le plus adéquat pour solutionner le litige (par opposition à une multitude d’actions individuelles).

E.           RÈGLES PARTICULIÈRES CONCERNANT LA PROTECTION DE RENSEIGNEMENTS PERSONNELS

[47]       Les avocats de part et d’autre réfèrent tant à la législation fédérale qu’à la législation québécoise. Ils ne proposent pas de hiérarchie entre les deux régimes.

[48]       Le Parlement du Canada a édicté la Loi sur la protection des renseignements personnels et les documents électroniques[22]. Même chez les francophones, l’habitude s’est développée d’y référer par son acronyme anglaise « PIPEDA ». Ce jugement réfère désormais à la « Loi PIPEDA ».

[49]       L’Assemblée nationale du Québec a édicté la Loi sur la protection des renseignements personnels dans le secteur privé[23] (la « Loi québécoise » ).

[50]       En novembre 2003, le Gouvernement du Canada a adopté le Décret d’exclusion visant des organisations de la province de Québec[24]. Ce décret donne préséance à la loi québécoise dans le sens suivant : si la loi québécoise s’applique à une organisation, celle-ci est exemptée de la partie 1 de la Loi PIPEDA à l’égard de la collecte, de l’utilisation et de la communication de renseignements personnels qui s’effectuent à l’intérieur de la province de Québec.

[51]       S’agissant de renseignements personnels concernant des personnes résidant au Québec, mais qui ont été communiqués hors du territoire québécois (en Ontario et au Colorado), il y a lieu de référer prioritairement aux normes fédérales, édictées à la Loi PIPEDA.

[52]       Cette loi a été amendée et tels amendements ont pris effet le 1^er novembre 2018[25], de sorte qu’ils n’étaient pas en vigueur le 11 décembre 2017 ou le 30 janvier 2018, notamment.

[53]       Cependant, en 2017, l’article 5 de la Loi PIPEDA s’appliquait, en référant aux obligations de l’Annexe 1 (de la loi), auxquelles toutes organisations étaient tenues de se conformer.

[54]       L’Annexe 1 s’intitule « Principes énoncés dans la norme nationale du Canada intitulée Code type sur la protection des renseignements personnels, CAN/CSA-Q830-96 ».

[55]       Dix principes sont ainsi articulés, dont voici l’énumération sommaire :

·        premier principe - responsabilité;

·        deuxième principe - détermination des fins de la collecte de renseignements;

·        troisième principe - consentement;

·        quatrième principe - limitation de la collecte;

·        cinquième principe - limitation de l’utilisation, de la communication et de la conservation;

·        sixième principe - exactitude;

·        septième principe - mesures de sécurité;

·        huitième principe - transparence;

·        neuvième principe - accès aux renseignements personnels;

·        dixième principe - possibilité de porter plainte à l’égard du non-respect des principes.

[56]            A priori, la Loi québécoise s’applique quant à la façon dont Nissan Canada a     « exporté » hors du Québec les renseignements personnels de ses clients québécois.

[57]            Les articles 10 et 17 de la Loi québécoise se lisent :

10.  Toute personne qui exploite une entreprise doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels collectés, utilisés, communiqués, conservés ou détruits qui sont raisonnables compte tenu, notamment, de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support.

[soulignement ajouté]

17.  La personne qui exploite une entreprise au Québec et qui communique à l’extérieur du Québec des renseignements personnels ou qui confie à une personne à l’extérieur du Québec la tâche de détenir, d’utiliser ou de communiquer pour son compte de tels renseignements doit au préalable prendre tous les moyens raisonnables pour s’assurer :

1^o que les renseignements ne seront pas utilisés à des fins non pertinentes à l’objet du dossier ni communiqués à des tiers sans le consentement des personnes concernées sauf dans des cas similaires à ceux prévus par les articles 18 et 23;

2^o  dans le cas de listes nominatives, que les personnes concernées aient une occasion valable de refuser l’utilisation des renseignements personnels les concernant à des fins de prospection commerciale ou philanthropique et de faire retrancher, le cas échéant, ces renseignements de la liste.

Si la personne qui exploite une entreprise estime que les renseignements visés au premier alinéa ne bénéficieront pas des conditions prévues aux paragraphes 1^o et 2^o, elle doit refuser de communiquer ces renseignements ou refuser de confier à une personne ou à un organisme à l’extérieur du Québec la tâche de les détenir, de les utiliser ou de les communiquer pour son compte.

[soulignements ajoutés]

 

[58]            Voici comment on résume l’application de cet article 17 :

The Quebec Private Sector Act requires that if an organization communicates personal information outside Quebec or entrusts a person outside Quebec with the task of holding, using or communicating such information on its behalf, it must first take all reasonable steps to ensure that the personal information will not be used for purposes other than the purposes for which the information was collected or communicated to third parties without the consent of the person concerned. In addition, the Quebec Private Sector Act requires that if a person cannot ensure that the third requirement listed above will be met, then the person must refuse to communicate the information or refuse to entrust the person or body outside Quebec with the task of holding, using or communicating the information.

Therefore, prior to transferring personal information from individuals in Quebec to organizations located outside of Quebec, an organization should enter into a contract with the organization located outside of Quebec which will include the appropriate provisions necessary for the protection of such information in accordance with this provincial privacy legislation. The agreement should further address or prohibit any re-transfer or re-exportation[26].

F.            LE CRITÈRE DU PARAGRAPHE 575 (2⁰) C.P.C.

[59]       Il s’agit de vérifier si les faits allégués paraissent justifier les conclusions recherchées.

[60]       En l’espèce, Nissan Canada fait face à quatre reproches fondamentaux :

a)    d’avoir mal protégé les renseignements personnels de ses clients contre l’intrusion de l’Extorqueur a fait état le 11 décembre 2017;

b)    d’avoir tardé à prévenir ses 1 300 000 clients canadiens qu’une personne malveillante prétendait détenir tous les renseignements personnels de tous les clients;

c)    d’avoir éventuellement prévenu ses clients, mais de façon incomplète et inadéquate;

d)    d’avoir omis d’effectuer un suivi adéquat en informant les clients de la teneur et des conclusions de l’enquête sur l’incident du 11 décembre 2017.

[61]       En plus d’allégations de faute, il faut vérifier si un préjudice et un lien de causalité sont suffisamment allégués.

F.1       Une protection inadéquate des renseignements personnels?

[62]       Il n’y a pas lieu, à ce stade, de mettre en doute la véracité des explications de l’affiant Slencak, dans le cadre de son interrogatoire du 2 mai 2019. Il suffit de constater que la portée de cet interrogatoire était limitée[27] et que plusieurs aspects du litige demeurent à être approfondis.

[63]       Cela dit, M. Slencak explique que Nissan North American entrepose ses données informatiques à Denver, au Colorado, mais que le document de la dropbox fait partie des extraits spécifiques aux activités canadiennes, qui sont entreposés à Mississauga, en Ontario. M. Slencak est porté à croire que l’Extorqueur a accédé aux données de Mississauga mais ajoute que l’enquête n’est pas concluante à cet effet. M. Slencak ne sait pas comment l’Extorqueur s’y est pris pour accaparer le document de la dropbox.

[64]       Bien que peu probable, on ne peut éliminer la possibilité que l’Extorqueur ait accédé aux données à partir de l’extérieur de l’entreprise.

[65]       S’il s’agit d’une intrusion interne (par un employé de Nissan ou d’un concessionnaire canadien Nissan ou Infiniti), M. Slencak ne détient pas d’explication sur la possibilité de ce faire sans laisser de trace informatique d’accès à la banque de données.

[66]       M. Slencak considère que l’Extorqueur a ajouté pour chacun des quelque 280 000 clients mentionnés dans le document de la dropbox, un numéro d’assurance sociale qui n’y était pas initialement, mais fictif, uniquement pour créer l’illusion de détenir cette information particulièrement confidentielle (vu le risque d’utilisation du numéro d’assurance sociale à des fins frauduleuses). Il estime que certains numéros pourraient être véridiquement attribués au détenteur. Mais ce n’est pas quelque chose que l’enquête a pu confirmer ou infirmer.

[67]       M. Slencak affirme que, depuis le 11 décembre 2017, Nissan n’a eu aucune indication que l’Extorqueur s’était emparé d’autres documents que celui de la dropbox, mais il ne peut éliminer cette possibilité.

[68]       La demande d’autorisation soulève que Nissan Canada aurait contrevenu au premier principe (responsabilité) et au septième principe (mesures de sécurité), en faisant défaut de mettre en place des mesures de sécurité correspondant au degré de sensibilité des renseignements personnels en cause.

[69]       Cette prétention de la demande requiert une analyse contextuelle (qu’il serait prématuré d’effectuer à ce stade) compte tenu de l’article 4.7.2 de l’Annexe 1 :

 

4.7.2  La nature des mesures de sécurité variera en fonction du degré de sensibilité des renseignements personnels recueillis, de la quantité, de la répartition et du format des renseignements personnels ainsi que des méthodes de conservation. Les renseignements plus sensibles devraient être mieux protégés. La notion de sensibilité est présentée à l’article 4.3.4.

4.7.2  The nature of the safeguards will vary depending on the sensitivity of the information that has been collected, the amount, distribution, and format of the information, and the method of storage. More sensitive information should be safeguarded by a higher level of protection. The concept of sensitivity is discussed in Clause 4.3.4.

[70]       Aussi, le transfert de renseignements personnels hors du Québec paraît être survenu en contravention des articles 10 et 17 de la Loi québécoise.

[71]       Il se peut que certains renseignements aient perdu leur confidentialité du fait de leur publication au Registre (québécois) des droits personnels et réels mobiliers. Mais il faudra recueillir des éléments de preuve pour tirer cet aspect au clair.

[72]       Pour chaque résidant du Canada (et donc du Québec), le numéro d’assurance sociale est un renseignement personnel particulièrement sensible. Plusieurs types de fraude sont rendus possibles quand le fraudeur se procure et utilise le numéro d’assurance sociale de sa victime.

[73]       M. Slencak témoigne que le document de la dropbox lui paraît altéré par l’insertion en lien avec chaque client sur la liste, d’un numéro d’assurance sociale fictif. M. Slencak n’est pas catégorique, et la demande conteste sa position.

[74]       Les réponses à ce sujet de M. Slencak ne lient pas le Tribunal. Ici encore, il faudra des éléments de preuve pour déterminer dans quelle mesure les numéros affichés sont fictifs ou véridiques.

[75]       Au moment de récapituler, il demeure que l’Extorqueur s’est procuré frauduleusement le document de la dropbox, et que Nissan Canada se dit incapable d’expliquer comment l’Extorqueur a procédé.

[76]       Il se peut qu’en fin de compte Nissan Canada ne mérite aucun reproche pour la gestion des renseignements personnels de ses clients canadiens. Cependant, la demande expose une cause défendable.

 

 

F.2       Le retard à aviser les clients de l’intrusion informatique?

[77]       Il n’est pas controversé que :

·        le 11 décembre 2017, Nissan Canada savait que l’Extorqueur détenait le document de la dropbox;

·        un avis a paru sur le site internet de Nissan Canada le 21 décembre 2017;

·        les lettres personnalisées n’ont été livrées qu’à la fin de janvier 2018. Mme Lévy a reçu la sienne le 30 janvier 2018.

[78]       À la section traitant de l’Atteinte aux mesures de sécurité, la Loi PIPEDA édicte :

10.1 (6)  L’avis est donné le plus tôt possible après que l’organisation a conclu qu’il y a atteinte.

[79]       Cette règle reflète que la diligence est requise pour réduire la période de temps durant laquelle des renseignements personnels pourront être utilisés par autrui avant que les personnes concernées le sachent et puissent tenter de se protéger adéquatement.

[80]       Ici encore, la règle du paragraphe 10.1 (6) fait appel à une analyse contextuelle.

[81]       Nissan Canada entend faire valoir qu’une organisation responsable doit disposer d’un délai de réaction convenable pour analyser la situation et éviter d’alarmer indûment ou exagérément les clients dont les renseignements personnels ont pu être (ou ne pas être) appropriés.

[82]       Mais, a priori, il est soutenable qu’un délai de 50 jours était excessif avant que Mme Lévy reçoive la lettre R-3 et soit mise en garde.

[83]       L’analyse des circonstances relève du juge du fond.

F.3       Un avis incomplet ou inadéquat?

[84]       La demande soutient que :

·        Nissan Canada aurait dû préciser que parmi les renseignements personnels appropriés, il y avait également le numéro d’assurance sociale de chaque client concerné;

·        Nissan Canada aurait dû offrir une indemnisation beaucoup plus adéquate qu’un programme de surveillance de crédit par TransUnion durant 12 mois.

[85]       Nissan Canada dispose possiblement de moyens de défense valables face à un deuxième reproche. Pour l’instant, on cherche en vain une obligation statutaire pour l’organisation d’agir en tant qu’assureur tous risques de ses clients.

[86]       Mais tel que déjà dit, on est à ce stade face à une controverse quant à savoir si les 280 000 numéros d’assurance sociale indiqués au document de la dropbox étaient véridiques ou fictifs.

[87]       La lettre R-3 qu’a reçue Mme Lévy prend soin d’énumérer quels sont les renseignements personnels touchés, mais en omettant la mention du numéro d’assurance sociale.

[88]       Le procès au fond devrait permettre de vérifier s’il y a eu ou non contravention aux paragraphes 10.1 (3) et 10.1 (4) de la Loi PIPEDA :

10.1 (1) […]

Avis à l’intéressé

(3) À moins qu’une règle de droit ne l’interdise, l’organisation est tenue d’aviser l’intéressé de toute atteinte aux mesures de sécurité qui a trait à des renseignements personnels le concernant et dont elle a la gestion, s’il est raisonnable de croire, dans les circonstances, que l’atteinte présente un risque réel de préjudice grave à son endroit.

Contenu de l’avis

(4) L’avis contient suffisamment d’information pour permettre à l’intéressé de comprendre l’importance, pour lui, de l’atteinte et de prendre, si cela est possible, des mesures pour réduire le risque de préjudice qui pourrait en résulter ou pour atténuer un tel préjudice. Il contient aussi tout autre renseignement réglementaire.

            F.4       Une reddition de compte inadéquate?

[89]            La demande invoque qu’il y a eu faute par Nissan Canada de n’effectuer aucun suivi auprès des 1 300 000 clients ayant reçu une lettre semblable à celle de Mme Lévy (pièce R-3).

[90]            Bien que la demande d’autorisation soit lacunaire sur ce volet précis, on peut inférer que Mme Lévy et d’autres membres ont continué d’éprouver de l’insécurité, sans que Nissan Canada veille à les rassurer ou du moins à donner l’heure juste quant aux résultats de l’enquête interne.

[91]            On peut anticiper un débat sur la nécessité ou l’utilité de fournir aux clients tout ou une partie des informations communiquées au Tribunal par l’affiant Slencak. N’est-il pas plus prudent de rester discret, notamment pour ne pas renseigner indûment tous les hackers et extorqueurs du cyberespace? Sujet intéressant, mais qui, ici encore, relève du juge du fond.

[92]            Au stade de l’autorisation, la demande propose une cause défendable, en ce qu’elle amène à vérifier l’application possible des paragraphes 10.1 (3) et 10.1 (4) de la Loi PIPEDA (cités à la section F-3 ci-haut).

F.5       Un préjudice indemnisable?

[93]            Nissan Canada plaide que les inconvénients dont se plaint Mme Lévy sont insuffisants pour constituer un préjudice indemnisable.

[94]            Dans l’arrêt Sofio[28], la Cour d’appel rappelle qu’une faute ne cause pas ipso facto un préjudice, même moral.

[95]            Mme Lévy ne prétend pas avoir été victime de fraude ou de vol d’identité. Tout au plus, elle craint que cette situation se manifeste dans le futur.

[96]            À ce stade, on peut tenir pour certitude que le document de la dropbox ne contenait aucun renseignement personnel la concernant.

[97]            Cependant, il demeure possible que l’Extorqueur se soit approprié d’autres documents en surplus de celui de la dropbox. C’est ce qu’il prétend dans sa demande d’extorsion R-9. Bien sûr, la crédibilité de l’Extorqueur est sujette à débat.

[98]            On applique au Québec l’arrêt Mustapha[29], une affaire ontarienne qui a établi une ligne de démarcation entre les troubles psychologiques, qui constituent un préjudice indemnisable, et les simples contrariétés, qui n’en sont pas.

[99]            Selon cet arrêt,

[…] le préjudice doit être grave et de longue durée, et (il) ne doit pas s’agir simplement des désagréments, angoisses et craintes ordinaires que toute personne vivant en société doit régulièrement accepter, fut-ce à contrecoeur[30].

[100]         Cette position doit se lire dans le contexte où M. Mustapha avait acheté de Culligan une bouteille d’eau remplie et scellée dans laquelle il avait vu flotter des mouches mortes.

 

[101]         Ainsi, dans l’affaire Mazzona[31], le juge Lacoursière a appliqué l’arrêt Mustapha pour statuer que Mme Mazzona n’alléguait pas avoir subi de préjudice indemnisable, malgré la réception d’un avis par DaimlerChrysler l’avisant de la disparation d’un ruban électronique compilant des renseignements personnels (dont le numéro d’assurance sociale) de plusieurs clients, dont Mme Mazzona.

[102]         Le juge Lacoursière constatait que cet avis avait occasionné de l’anxiété à Mme Mazzona, mais que le remède choisi par celle-ci se limitait à vérifier deux fois plus souvent qu’auparavant, via l’internet, qu’il n’y avait pas d’opérations suspectes sur son compte bancaire[32].

[103]         Par contre, dans l’affaire Zuckerman c. Target Corporation[33], le juge Hamilton (alors de la Cour supérieure) relevait que M. Zucherman avait déboursé 19,95 $ pour se procurer un programme de surveillance de crédit offert par Equifax. Ceci suffisait pour identifier un préjudice donnant ouverture à des dommages-intérêts. Pourtant, M. Zuckerman n’avait subi aucune fraude ni usurpation d’identité.

[104]         Dans la présente affaire, Nissan Canada insiste que Mme Lévy a su dès le 30 janvier 2018 qu’on lui offrait, sans frais, un programme de surveillance de crédit durant un an, par TransUnion. Ses initiatives additionnelles étaient superflues et tactiques (en vue d’engendrer artificiellement une réclamation pécuniaire).

[105]         Ici encore, le contexte entrera vraisemblablement en ligne de compte. L’analyse à cet effet incombera au juge du fond.

[106]         En effet, la demande allègue que :

·        les démarches entreprises auprès de TransUnion dès le 2 février 2019 ont été compliquées de sorte qu’elle n’a obtenu son code d’activation que le 16 février 2018; et qu’elle a pu s’en servir avec succès le 19 février 2019[34];

·        le 2 mars 2019, en discutant avec un préposé de TransUnion, Mme Lévy a convenu d’extensionner à six ans le programme de surveillance de crédit (dont la première année payée par Nissan Canada) et d’adhérer aussi à un programme d’un an pour surveiller la possible utilisation de son numéro d’assurance sociale;

·        vers la même date, Mme Lévy s’est procuré d’Equifax des protections analogues, ce qui lui a coûté 6,90 $.

[107]         Ces circonstances seront éclaircies devant le juge du fond, mais au stade de l’autorisation, le doute doit bénéficier à la demande[35].

[108]         Mme Lévy allègue un préjudice indemnisable, semblable à celui reconnu dans l’affaire Zuckerman[36].

F.6       Possibilité de réclamer des dommages punitifs

[109]         La demande réclame des dommages punitifs. Elle invoque à l’appui :

·        les articles 3, 35, 36, 37 et 1621 du Code civil du Québec ( « C.c.Q. » );

·        les articles 5 et 49 de la Charte (québécoise) des droits et libertés de la personne[37];

·        les articles 1.2, 10, 13 et 17 de la Loi québécoise;

·        les articles 2, 3, 5 et 11 de la Loi PIPEDA et les articles 4.1, 4.3 et 4.7 de son Annexe 1.

[110]         De toutes ces dispositions, les seules qui donnent expressément ouverture à l’octroi de dommages punitifs sont l’article 1621 C.c.Q. et les articles 5 et 49 de la Charte québécoise :

Art. 1621.  Lorsque la loi prévoit l’attribution de dommages-intérêts punitifs, ceux-ci ne peuvent excéder, en valeur, ce qui est suffisant pour assurer leur fonction préventive.

Ils s’apprécient en tenant compte de toutes les circonstances appropriées, notamment de la gravité de la faute du débiteur, de sa situation patrimoniale ou de l’étendue de la réparation à laquelle il est déjà tenu envers le créancier, ainsi que, le cas échéant, du fait que la prise en charge du paiement réparateur est, en tout ou en partie, assumée par un tiers.

5.  Toute personne a droit au respect de sa vie privée.

49.  Une atteinte illicite à un droit ou à une liberté reconnue par la présente Charte confère à la victime le droit d’obtenir la cessation de cette atteinte et la réparation du préjudice moral ou matériel qui en résulte.

En cas d’atteinte illicite et intentionnelle, le tribunal peut en outre condamner son auteur à des dommages-intérêts punitifs.

[111]         Ainsi, il y a ouverture à l’octroi de dommages punitifs si Nissan Canada a porté atteinte, de façon illicite et intentionnelle, au droit au respect de la vie privée de ses clients.

[112]         Voici ce qu’énonce la demande d’autorisation quant à la réclamation de dommages punitifs :

 Punitive Damages:

49. For ail of the reasons more fully detailed above, which are reiterated as though recited at length in the présent section, Plaintiff respectfully submits that Défendant was grossly and/or intentionally negligent and is liable to pay punitive damages to the Class Members;

50.  In fact, without limiting the generality of the forgoing, Défendant was grossly négligent and/or intentionally negligent when it:

a. did not follow or properly implement an effective data security industry standard to protect the Class Members' Personal information;

b.   failed to promptly notify the Class Members of the Data Breach;

c.  decided to only notify the Class Members more than six (6) weeks after it became aware of the Data Breach;

d.   failed to notify many Class Members;

e.  failed to properly ensure that Plaintiff and Class Members are protected by credit monitoring services by both Equifax Canada and TransUnion and failing to post fraud alerts on the Class Members’ credit files;

f.   failed to properly and promptly sending the credit monitoring activation code to Plaintiff as detailed above, and surely other Class Members;

g. failed to inform the Class Members of the fact that the extortionist had provided Defendant with a sample document of the stolen information, which contained valid Social Insurance Numbers ;

51. Considering the above and considering the fact that Defendant has violated various laws which have been enacted in order to protect the Class Members' personal and/or financial information, Defendant is liable to pay punitive damages to ail of the Class Members due to the loss of private information itself, aside from any other compensatory and moral damages suffered by the Class Members;

52. Defendant's above detailed actions quaiify its fault as intentional which is a resuit of wild and foolhardy recklessness in disregard for the rights of the Class Members, with full knowledge of the immediate and natural or at least extremely probable consequences that its action would cause to the Class Members, seeing as how this had happened before;

53.  Defendant’s négligence has shown a malicious, oppressive and high-handed conduct that represents a marked departure from ordinary standards of decency. In that event, punitive damages should be awarded to Class Members:

[113]         Ce long segment n’allègue pas de faits précis, mais rassemble de l’argumentation juridique, de l’opinion et des inférences qui ne peuvent pas servir à vérifier le syllogisme juridique mis de l’avant[38].

[114]         Des faits sont allégués ailleurs dans l’acte de procédure, mais on ne trouve nulle part d’allégations factuelles comme quoi Nissan Canada aurait intentionnellement voulu exposer ses clients à une intrusion informatique.

[115]         Si Nissan Canada a été négligente, et potentiellement grossièrement négligente (il est trop tôt pour en décider), il serait invraisemblable qu’elle ait agi de façon délibérée pour porter préjudice à ses clients. Nul ne prétend que les gestionnaires de Nissan Canada sont suicidaires (sur le plan commercial).

[116]         Il faut respecter la distinction élaborée par la Cour suprême dans l’arrêt Hôpital St-Ferdinand[39].

[117]         Des allégations précises étaient nécessaires[40]. Il n’y en a pas en l’espèce.

[118]         Le présent cas se distingue de celui traité par le juge Lacoursière dans l’affaire Belley[41], alors que TD admettait la disparition d’un ruban électronique non encrypté compilant les renseignements personnels de clients, pendant son transport confié à United Parcel Service, un mode de transfert déficient (UPS n’était pas informée du contenu de l’enveloppe, dont la valeur déclarée était de 5 $).

[119]         Ici, les allégations contre Nissan Canada sont insuffisantes pour que la demande ait droit au bénéfice du doute.

[120]         Le Tribunal refuse d’autoriser la réclamation de dommages punitifs.

 

 

G.           LA CAPACITÉ DE MME LÉVY D’AGIR À TITRE DE REPRÉSENTANTE

[121]         Nissan Canada conteste la capacité de Mme Lévy d’agir à titre de représentante du groupe.

[122]         Essentiellement, ce serait parce que Mme Lévy n’a pas subi de préjudice indemnisable et ne démontre pas son droit au paiement de dommages punitifs.

[123]         Les motifs énoncés à la section F ci-haut démontrent que Mme Lévy établit de façon défendable son droit à des dommages-intérêts compensatoires.

[124]         Même en retenant que le document de la dropbox ne contient aucun renseignement personnel concernant Mme Lévy, il demeure qu’elle est parmi les 1 300 000 Canadiens qui ont reçu une lettre semblable à la pièce R-3, et qu’elle a réagi par crainte des conséquences préjudiciables qu’évoquait cette lettre.

[125]         On verra que le groupe doit regrouper, non seulement les Québécois et Québécoises identifié(e)s au document de la dropbox, mais tous ceux qui ont reçu la lettre en question.

[126]         Mme Lévy satisfait aux critères souples de l’arrêt Infineon[42]. Rien ne s’oppose à ce qu’elle représente les membres.

H.           AUTRES CRITÈRES DE L’ARTICLE 575 C.P.C.

[127]         Nissan Canada ne conteste pas l’application des paragraphes 1⁰ et 3⁰ de l’article 575 C.p.c.

[128]         Le Tribunal est du même avis.

[129]         Il existe des questions communes auxquelles la réponse fera progresser le traitement du litige[43].

[130]         Il est incontestable que le groupe est formé de milliers de membres disséminés partout sur le territoire du Québec, dont Mme Lévy ne peut connaître l’identité présentement.

I.              DESCRIPTION DU GROUPE

[131]         La demande d’autorisation propose de former un groupe de tous les résidants du Québec ayant, précédemment au 11 décembre 2017, confié de l’information personnelle ou financière à Nissan Canada.

 

[132]         Ce groupe est beaucoup trop vaste, un écueil à éviter autant que possible[44].

[133]         En plus de ne comporter aucune limite temporelle, le groupe proposé inclurait des personnes qui n’ont rien à voir avec l’intrusion informatique et ses répercussions.

[134]         À l’opposé, il serait trop restrictif de limiter le groupe aux résidants du Québec identifiés sur le document de la dropbox. Les motifs énoncés précédemment indiquent que tous ceux qui ont reçu de Nissan Canada semblable à la lettre R-3 ont été exposés à un préjudice indemnisable.

[135]         Le Tribunal autorise une action collective pour un groupe composé de tous les clients québécois de Nissan Canada ayant reçu de celle-ci en janvier 2018 ou approximativement, une lettre semblable à la lettre R-3. Si des acquéreurs ou locataires de véhicules Mitsubishi ont reçu telle lettre, ils font partie du groupe.

[136]         Cette description est objective. Elle n’est pas circulaire.

[137]         Il n’y a aucune utilité que la description du groupe mentionne les liquidateurs et mandataires de tels clients, ce qui serait superfétatoire.

J.            QUESTIONS COMMUNES ET CONCLUSIONS RECHERCHÉES

[138]         Le Tribunal use de sa discrétion pour reformuler les questions communes, de façon plus claire et compréhensible, en reflétant les quatre reproches fondamentaux retenus contre Nissan Canada :

·        une protection inadéquate des renseignements personnels;

·        le retard à aviser les clients de l’intrusion informatique;

·        les déficiences de l’avis aux clients;

·        le défaut d’informer les clients du dénouement de son enquête.

[139]         Il n’y a pas lieu de distinguer entre dommages-intérêts compensatoires et dommages-intérêts moraux. Ces derniers constituent une catégorie de dommages-intérêts compensatoires.

[140]         Les questions communes et les conclusions recherchées ne mentionnent rien des dommages punitifs, que l’action collective autorisée ne pourra réclamer.

 

 

K.           PROTECTION DES RENSEIGNEMENTS PERSONNELS

[141]         Telles que le permettent les exceptions à l’article 12 C.p.c., le Tribunal ordonne la mise sous scellés de documents contenant des renseignements personnels au sujet de personnes identifiables, à savoir, les pièces R-4, R-4A, R-5 et R-10.

[142]         Il serait illogique que l’accès au présent dossier judiciaire expose des personnes aux types de fraude et d’usurpation d’identité à l’origine du litige.

[143]         Par contre, rien dans la teneur de la liasse R-8 ne justifie sa mise sous scellés. Il est dévoilé publiquement que Mme Lévy a, le 5 juin 2018, porté plainte contre Nissan Canada auprès du Commissariat à la protection de la vie privée du Canada. Mme Lévy a renoncé à l’anonymat.

L.            FRAIS DE JUSTICE

[144]         La demande requiert que Nissan Canada acquitte les frais de justice, incluant les frais de préparation et de publication des avis aux membres.

[145]         Nissan Canada ayant contesté la demande d’autorisation, il va de soi qu’elle doit acquitter les frais de justice que la partie demanderesse a encourus jusqu’à maintenant.

[146]         Il en est de même de toutes les dépenses qui entourent les avis aux membres et qui incombent à ce stade à la partie demanderesse[45]. Ces dépenses feront éventuellement partie des frais de justice sur lesquels le juge du fond aura à statuer.

M.           DÉLAI D’EXCLUSION

[147]         Si un membre désire s’exclure du groupe, le Tribunal lui accorde un délai de 60 jours (plutôt que 30 jours) pour le faire.

POUR CES MOTIFS, LE TRIBUNAL :	FOR THESE REASONS, THE COURT:
[148]   ACCUEILLE en partie la présente demande;	[148] GRANTS in part the present Application;
[149]   AUTORISE l’institution d’une action collective de la nature d’une action en dommages-intérêts dans le district de Montréal ;	[149]  AUTHORIZES the bringing of a class action in the form of an Application to institute proceedings in damages, in the District of Montréal;
[150]  ATTRIBUE à la demanderesse le statut de représentante de toutes les personnes incluses dans le groupe décrit ainsi :     Toutes personnes au Québec ayant reçu de Nissan Canada inc. une lettre en janvier 2018 ou vers cette époque, informant d’une intrusion informatique et d’une possible appropriation de leurs renseignements personnes et/ou économiques;	[150] APPOINTS the Plaintiff as the Representative Plaintiff representing all persons included in the Class described as:   All persons in Québec who received from Nissan Canada Inc. a letter in or about January 2018, informing that a data breach had occured and that their personal and/or financial information might have been compromised;
[151] IDENTIFIE comme suit les principales questions de droit et de fait à être déterminées collectivement : a)  Nissan Canada inc. a-t-elle commis une faute relativement à l’entreposage et à la conservation des renseignements personnels et/ou économiques des membres du groupe? b)  Nissan Canada inc. a-t-elle commis une faute en tardant à aviser les membres du groupe de la survenance d’une intrusion informatique? c)  Nissan Canada inc. a-t-elle commis une faute en raison des déficiences dans les avis aux membres du groupe concernant l’intrusion informatique?   d)  Nissan Canada inc. a-t-elle commis une faute en raison de son omission d’aviser les membres du groupe des résultats de son enquête ? e)  comme résultat, Nissan Canada inc. est-elle obligée de payer des dommages-intérêts compensatoires aux membres du groupe ? Et si oui, de quels montants ?	[151]  IDENTIFIES the main issues of law and fact to be treated collectively as the following: (a) Did Nissan Canada Inc. commit a fault regarding the storage and the safe- keeping of the financial and/or personal information of the Class Members?   (b)  Did Nissan Canada Inc. commit a fault by delaying the notification to Class Members that a data breach had occured?   (c) Did Nissan Canada Inc. commit a fault due to the deficiencies of the notices given to Class Members about the data breach?   (d) Did Nissan Canada Inc. commit a fault due to its failure to inform the Class Members of the outcome of its investigation? (e) Is Nissan Canada Inc. liable to pay compensatory damages to the Class Members, as a result ? And if so, in what amounts?
[152] IDENTIFIE comme suit les conclusions de l’action collective à être instituée, comme suit : ACCUEILLIR l’action collective de la demanderesse au nom de tous les membres du groupe, contre la défenderesse; CONDAMNER la défenderesse à payer aux membres du groupe des dommages-intérêts pour toutes pertes économiques et tout préjudice moral résultant de la perte par la défenderesse des renseignements des membres du groupe, et ORDONNER leur recouvrement collectif; LE TOUT avec intérêt plus l’indemnité additionnelle édictée au Code civil du Québec, plus tous les frais de justice incluant les honoraires des experts et des frais d’avis aux membres du groupe;	[152] IDENTIFIES the conclusions sought by the class action to be instituted as being the following: GRANT the Class Action of Plaintiff on behalf of all the Class Members against Defendant;   CONDEMN Defendant to pay to the Class Members compensatory damages for all monetary losses and moral damages caused as a result of Defendant’s loss of Class Members’ information, and ORDER collective recovery of these sums;   THE WHOLE with interest and additional indemnity provided for in the Civil Code of Quebec and with full costs and expenses including experts’ fees and publication fees to advise Class Members;
[153]  DÉCLARE que tous les membres du groupe qui n’auront pas demandé d’être exclus du groupe dans le délai prescrit, seront liés par tout jugement rendu dans le cadre de l’action collective à être instituée;	[153] DECLARES that all Class Mem-bers who have not requested their exclusion from the Class in the prescribed delay to be bound by any Judgment to be rendered on the class action to be instituted;
[154]  FIXE le délai pour s’exclure à 60 jours calculés à partir de la date de publication de l’avis aux membres du groupe;	[154]  FIXES the delay of exclusion at 60 days from the date of the publication of the notice to the Class Members;
[155] ORDONNE la publication et la dissémination d’avis aux membres du groupe conformément à l’article 579 C.p.c. en exécution d’une ordonnance à venir du tribunal; et ORDONNE à la défenderesse de payer tous les frais de telle publication;	[155] ORDERS the publication and notification of notices to the Class Members in accordance with Article 579 C.C.P. pursuant to a further order of the Court and ORDERS Defendant to pay for all said publication costs;
[156]  ORDONNE que les pièces R-4,     R-4A, R-5 et R-10 soient conservés sous scellés au dossier; et que tout accès à ces pièces soit assujetti à une ordonnance spécifique à cet effet par un juge de la Cour;	[156]  ORDERS that Exhibits R-4, R-4A, R-5 and R-10 be kept in the record under seal; and that any access to said exhibits shall be upon specific order to that effect by a judge of the Court;
[157]  CONSERVE saisine du présent dossier en vue d’approuver les avis aux membres et le plan de dissémination des avis, dans les 45 jours de la date du présent jugement;	[157]  REMAINS seized of the case in order to approve the notices to the members and the distribution plan of same, within 45 days from the date of this judgment;
[158]  AVEC FRAIS de justice incluant les frais concernant la publication des avis aux membres du groupe.	[158] THE WHOLE with costs and including the costs related to the publication of the notices to Class Members.

		__________________________________ PIERRE-C. GAGNON, j.c.s.
Me David Assor
LEX GROUP INC.
Avocats pour la demanderesse
Me Margaret  Weltrowska
Me Erica Shadeed
DENTONS CANADA
Avocats pour la défenderesse
Dates d’audience :	21 et 22 mai 2019