Un terreau fertile pour les recours civils et actions collectives en matière de renseignements personnels

Déposé à l'Assemblée nationale du Québec, le Projet de loi n° 64 Loi modernisant des dispositions législatives en matière de protection des renseignements personnels modifie les règles de droit civil en introduisant une nouvelle cause d'action à l'endroit d'une personne qui conserve un renseignement personnel et en prévoyant une nouvelle catégorie de dommages-intérêts punitifs applicable en cas d'atteinte à un droit protégé par la Loi sur la protection des renseignements personnels dans le secteur privé (la « Loi sur le secteur privé ») ou par les articles 35 à 40 du Code civil du Québec.

Les mesures proposées

Par l'ajout d'un seul article à la Loi sur le secteur privé, le Projet de loi n° 64 a potentiellement la capacité de modifier profondément le régime de responsabilité applicable à une contravention à certains droits protégés par la Loi sur le secteur privé et le Code civil du Québec. Nous reproduisons ci-après l'article proposé :

93.1. À moins que le préjudice ne résulte d'une force majeure, la personne qui exploite une entreprise qui conserve un renseignement personnel est tenue de la réparation du préjudice résultant d'une atteinte illicite à un droit conféré par la présente loi ou par les articles 35 à 40 du Code civil.

En outre, lorsque l'atteinte est intentionnelle ou résulte d'une faute lourde, le tribunal accorde des dommages-intérêts punitifs d'au moins 1 000 $.

Nouvelle cause d'action prévoyant une responsabilité sans faute

Le premier paragraphe du nouvel article établirait une nouvelle cause d'action à responsabilité sans faute à l'endroit d'une personne qui conserve un renseignement personnel en cas de préjudice résultant d'une atteinte illicite à un droit conféré par la loi ou par les articles 35 à 40 du Code civil.

Le texte de l'article renverse le fardeau de preuve applicable et prévoit une responsabilité automatique à moins qu'une preuve de force majeure ne soit administrée. Rappelons qu'il est nécessaire d'établir qu'un événement et irrésistible et imprévisible afin qu'une défense de force majeure soit retenue, ce qui constitue un critère particulièrement difficile à remplir. Ainsi, en pratique, une personne qui conserve un renseignement personnel ne pourra s'exonérer en établissant simplement l'absence d'une faute de sa part en cas d'atteinte illicite à la confidentialité d'un renseignement dont elle a la garde, même si l'atteinte illicite est le fait d'un tiers.

Introduction d'une nouvelle catégorie de dommages-intérêts punitifs

Le second paragraphe du nouvel article 93.1 prévoit l'octroi, en cas d'atteinte illicite intentionnelle ou résultant d'une faute lourde, de dommages-intérêts punitifs d'au moins 1 000 $. Ainsi, non seulement la Loi sur le secteur privé rejoindrait les rares lois québécoises à prévoir des dommages-intérêts punitifs, mais ferait partie des cas exceptionnels où des dommages minimaux sont prévus.

Commentaires

Le nouvel article 93.1 de la Loi sur le secteur privé soulève plusieurs questions importantes que devront considérer les entreprises qui conservent des renseignements personnels :

• Comment se prémunir contre un risque d'atteinte illicite dans un contexte de responsabilité sans faute ?
• Comment concilier l'article 93.1 avec les articles 35 à 40 du Code civil qui prévoient des protections pour la « vie privée » et la possibilité de demander la correction de renseignements inexacts dans un dossier ? Un refus de permettre une correction pourrait-il être assimilé à une atteinte illicite et intentionnelle donnant droit aux dommages-intérêts punitifs automatiques de 1 000 $ ?
• Quel sera l'impact de la modification proposée sur les demandes d'autorisation des actions collectives portant sur des fuites de données et sur le montant des dommages réclamés ?

Chose certaine, avec un seuil déjà bas à l'étape de l'autorisation d'une action collective au Québec, la modification proposée entraînera sans aucun doute une forte augmentation des demandes découlant de fuites de données et alimentera la course au palais de justice parmi les avocats représentants les requérants pour faire estampiller en premier leur demande d'autorisation. Il sera intéressant de suivre l'impact d'un tel ajout législatif sur les arguments que pourront invoquer les défendeurs pour contester une demande fondée sur cette nouvelle cause d'action et la stratégie globale à adopter face à une telle demande.