Action collective contre Lusha

Un courtier de données commercialise les données de centaines de milliers de Québécois, sans leur consentement. Une action collective est lancée. Les avocats?

Un résident de Longueuil demande à la Cour supérieure l'autorisation d'exercer une action collective contre Lusha, un courtier de données qu'il accuse de commercialiser une base de données publicitaire construite à partir de renseignements personnels de centaines de milliers de Québécois, sans jamais avoir obtenu leur consentement.

Le demandeur est Pape Seye, un résident de Longueuil. Il est représenté par Me Mike Siméon et Me Arvand Abab, qui exercent chacun à leur propre compte.

Cette année, le demandeur a découvert que Lusha détenait un profil complet à son sujet, incluant : son nom, son titre de poste, son courriel professionnel, son niveau d'ancienneté, son département, sa localisation personnelle, le nom de son employeur, un lien vers son profil LinkedIn.

Le profil indique aussi des informations détaillées sur son employeur, telles que le secteur, les revenus, la taille, les technologies utilisées.

Ce profil est intégré dans une interface permettant aux utilisateurs de Lusha de révéler les coordonnées du demandeur, de l'ajouter à des listes de prospection, de l'exporter vers un logiciel de gestion de clientèle, et de l'intégrer dans une séquence automatisée de courriels.

Toutes ces possibilités sont offertes sans que le demandeur n'ait jamais consenti ni entretenu de relation contractuelle avec Lusha, ni reçu le moindre avis.

La poursuite allègue que le modèle d'affaires de Lusha est basé sur une collecte massive de données, non consentie. Au total, la base de données contiendrait plus de 280 millions de numéros de téléphone et 152 millions d'adresses courriels.

Le courtier en données aurait obtenu ces informations via un soi-disant programme communautaire qui lui permettrait d'accéder aux adresses courriels et aux calendriers d’utilisateurs. La défenderesse pourrait également extraire des données d’extensions de navigateur, en lisant les informations affichées sur les pages visitées, dont LinkedIn, et sur l'historique de navigation. Ce procédé violerait les conditions d'utilisation de LinkedIn.

Lusha procéderait également à du profilage extensif en rangeant les individus par catégories, en suivant de manière continuelle leurs changements d'emplois et leurs promotions professionnelles, en analysant leurs intentions d'achat et les recommandations faites par l'intelligence artificielle. L'ensemble de ce profilage serait effectué sans informer les individus, et sans obtenir leur consentement.

Enfin, puisque les personnes ignorent généralement que leurs informations sont présentes dans la base de données, tout mécanisme de retrait est illusoire, affirme la poursuite.

Ces pratiques violent le Code civil du Québec en matière d'atteinte à la vie privée, d'interception de communications privées, et de constitution de dossiers sans intérêt sérieux et légitime, allègue la demande d’autorisation. La Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP) serait également violée en raison du défaut de déterminer les fins de collecte, de la collecte illicite auprès de tiers sans consentement, du défaut d'aviser des activités de profilage, et de la communication à des tiers sans consentement. La poursuite considère également qu'il y a violation de l'article 5 de la Charte des droits et libertés de la personne, justifiant des dommages punitifs.

Le demandeur souhaite être désigné représentant des membres du groupe composé de toutes les personnes physiques résidant au Québec « dont les renseignements personnels étaient détenus, utilisés, communiqués et/ou autrement commercialisés par la défenderesse sans leur consentement depuis le 6 août 2023, indépendamment de la date de leur collecte initiale »; ainsi que celles « dont les renseignements personnels ont été collectés, utilisés, communiqués et/ou autrement commercialisés par la défenderesse sans leur consentement depuis le 6 août 2023 ».

La poursuite demande à la Cour supérieure de condamner Lusha à payer aux membres du groupe un montant égal à la valeur des renseignements personnels exploités sans consentement, à titre de dommages compensatoires. Elle réclame également la condamnation de la défenderesse à payer des dommages-intérêts punitifs, pour un montant restant à déterminer.