Action collective contre la CCQ

Une fuite de données motive une action collective contre la Commission de la construction du Québec. Qui sont les avocats?

La réaction de la Commission de la construction du Québec (CCQ) n'a pas été à la hauteur de la fuite de données qu'elle a subi, selon un de ses membres.

Celui-ci a déposé une demande d'autorisation d’une action collective devant la Cour supérieure, pour obtenir réparation.

Le demandeur est François Laberge, un membre de la CCQ. Il est représenté par Me Jimmy Ernst Jr. Laguë Lambert, Me Benjamin W. Polifort et Me Loran-Antuan King du cabinet Lambert Avocats.

Le 24 août 2026, la CCQ est victime d’une cyberattaque majeure: un tiers malveillant a accédé sans autorisation aux renseignements personnels de membres de l’organisme.

Le 11 septembre, le demandeur reçoit un courriel de la CCQ, l'informant que ses renseignements personnels ont été compromis. Depuis, il vérifie quotidiennement son compte bancaire par crainte de fraude.

Le demandeur constate que la seule mesure offerte est un abonnement gratuit de deux ans à Equifax, ce qu'il juge insuffisant. Il doit lui-même souscrire auprès de TransUnion un suivi complet de son dossier de crédit.

La poursuite allègue que la CCQ a fait preuve de lacunes graves en cybersécurité, ce qui a permis l'intrusion et le vol de données hautement confidentielles. D'ailleurs, l'organisme ne connaîtrait toujours pas l'étendue réel des renseignements compromis.

Un seul bureau de crédit

Le demandeur considère également que la mesure corrective offerte est insuffisante. La durée de surveillance de deux ans est jugée trop courte, sans garantie que le risque disparaisse par la suite.

La couverture est limitée à une seule agence de crédit, alors que le recours aux deux principales agences est de mise après une fuite de données. La poursuite relève que « c’est d’ailleurs une recommandation de l’Agence de la consommation en matière financière du Canada de contacter les deux principaux bureaux de crédit en cas de fuite de données ».

La CCQ induirait ses membres en erreur en affirmant, sur son site web, que les services d'Equifax et de TransUnion sont essentiellement les mêmes. En effet, les informations détenues par une agence peuvent être différente de celles enregistrées par l’autre agence, de sorte qu’une demande de crédit frauduleuse traitée par une institution faisant affaire avec TransUnion échapperait entièrement à la détection, explique la demande..

La poursuite en conclut que la CCQ aurait privilégié l'économie de ressources, plutôt que le respect de ses obligations légales.

Or, « le demandeur et les membres du Groupe souffriront de délais dans leurs demandes de crédits futurs, devront vérifier constamment leurs comptes bancaires pour détecter et réagir à toute fraude, devront être plus attentifs aux informations personnelles partagées dans le futur vu les risques maintenant créés par les informations obtenues, devront contacter leur institution financière afin de les informer de la perte d’information et auront l’obligation d’obtenir des rapports de crédits régulièrement », souligne la demande d’autorisation.

De plus, le demandeur avance que « les membres du groupe subissent de l’anxiété, de la peur, des inconvénients et une perte de temps découlant du vol de leurs informations personnelles ».

La poursuite affirme que la CCQ a enfreint l’article 3 du Code civil du Québec en matière de droit à la vie privée, ainsi que son article 1457 en matière de responsabilité civile et de faute. Il y aurait aussi violation de la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels. L’article 5 de la Charte des droits et libertés de la personne serait également violé, par l’atteinte illicite et intentionnelle droit à la vie privée.

Le demandeur souhaite que la Cour supérieure le désigne représentant des membres du groupe composé de « toutes les personnes dont les renseignements personnels ont été compromis à l'occasion de la cyberattaque de la Commission de la construction du Québec du 24 août 2026 ».

En leur nom, le demandeur réclame des dommages-intérêts compensatoires avec intérêt et indemnité additionnelle, ainsi que des dommages-intérêts punitifs d'au moins 1 000 $ par membre.