Action collective à 2 milliards $ contre Loblaw

Loblaw est victime d’une fuite de données: une consommatrice lui reproche des mesures déficientes, et lance une action collective. Qui sont les avocats?

Une cliente de Loblaw souhaite représenter les deux millions de Canadiens qui ont été touchés par une fuite de données.

Sa demande d’autorisation d’une action collective demande à la Cour supérieure d’ordonner à l’épicier de verser des dommages compensatoires et punitifs d'au moins 1 000 $ par membre du groupe.

La demanderesse, identifiée par les initiales J.G., est représentée par Me David Assor du cabinet Lex Group.

La consommatrice a passé plusieurs commandes en ligne, en plus d'effectuer des achats en magasin. Elle n'a conservé aucune preuve de ses commandes. C'est le 29 octobre 2026 qu'elle a reçu un avis de Loblaw, l'informant que l'entreprise avait été victime d'une fuite de données entre le 23 février et le 5 mars 2026, « soit 248 jours après le début de la violation de données et 238 jours après que les défendeurs en ont eu connaissance », précise la poursuite.

Or, « le demandeur n’a jamais reçu auparavant de courriel ni aucune autre communication de la part des défendeurs concernant la fuite de données, et n’avait pas connaissance de celle-ci avant de recevoir la notification le 29 octobre 2026 », souligne la demande d’autorisation.

La demanderesse reproche à l'épicier d'avoir avisé individuellement les clients seulement sept à huit mois après la découverte de l’intrusion.

Une affaire minimisée?

Elle allègue également que Loblaw aurait minimisé l'ampleur de la fuite de données, en indiquant qu'il s'agissait d'une atteinte de « faible niveau » sur des renseignements de base comme les noms, les numéros de téléphone et les adresses courriel des consommateurs. En effet, un communiqué, émis le 10 mars 2026, évoque une fuite de données de bas niveau en affirmant que le compte des clients est sécurisé.

Or, la fuite de données aurait également porté sur les adresses postales, les dates de naissance, les numéros de fidélité, les détails de commandes, et des données partielles des cartes de paiement de ses clients.

Plus de sept mois après la découverte de l'incident de sécurité, l'épicier s'était engagé à renforcer la protection des renseignements personnels, auprès du Commissariat à la protection de la vie privée du Canada. Selon la poursuite, il s'agit d'un aveu de l'insuffisance des mesures de protection que Loblaw avait prises jusque-là.

Mais les reproches de la demanderesse ne s'arrêtent pas là. Elle considère également que le service de surveillance de crédit de TransUnion, offert aux clients touchés pour une période de deux ans, est insuffisant pour compenser les préjudices subis.

La consommatrice a souscrit au service de surveillance de crédit d'Equifax, au prix mensuel de 24,95 $ plus taxes.

La demanderesse dit vivre de l'anxiété, du stress, de l'inquiétude, de la nervosité, de la perte de temps et une vigilance accrue face à l’hameçonnage. Elle s'inquiète notamment de ce que contiennent « les détails du bon de commande », qui ont pu être accessibles lors de la fuite de données.

La cliente demande à être désignée représentante des membres du groupe, qui comprendrait environ deux millions de Canadiens, dont les renseignements personnels ou financiers étaient détenus par Loblaw, et qui ont été consultés, compromis ou volés lors de la fuite de données.

La poursuite réclame des dommages compensatoires pour les pertes pécuniaires et les dommages moraux pour le stress et le temps perdu. La demanderesse appelle la Cour supérieure à ordonner le versement de dommages punitifs d’au moins 1 000 $ pour chacun des deux millions de Canadiens qui sont potentiellement membres du groupe, soit un total qui pourrait atteindre 2 milliards de dollars.