Action collective contre une compagnie « d’après sinistre »

L’avocat Joey Zukran du cabinet LPC Avocats a déposé une action collective contre le Groupe Qualinet. Ce recours résulte d'une importante fuite de données affectant les informations personnelles et sensibles de leurs clients.

Le ou vers le 10 janvier 2025, un groupe de pirates ransomware opérant sous le nom « Rhysida » aurait informé Groupe Qualinet qu'une importante fuite de données affectait les informations personnelles et sensibles des clients dans les bases de données de Qualinet.

Selon le demandeur, Qualinet savait pertinemment qu'une grave fuite de données s'était produite et n'a informé aucune des « victimes », pas plus qu'elle n'a offert aux victimes une quelconque forme d'indemnisation ou des services de surveillance de crédit .

Non seulement Qualinet aurait été informé de la fuite de données le ou autour du 10 janvier 2025 par courriel, mais la fuite de données aurait été annoncée publiquement sur « X », indiquant que Rhysida vendait une base de données de pièces d'identité canadiennes et d'autres informations personnelles privées/sensibles pour un prix de départ de 7 bitcoins (environ 855 258 $ CAD).

Il s'agirait du deuxième incident majeur de fuite de données chez Qualinet, qui a subi une cyberattaque en février 2021 et « n'a jamais informé les victimes ou le Commissariat à la protection de la vie privée du Canada ou la Commission d'accès à l'information du Québec, contrairement à ses obligations légales ».

En 2021, Qualinet aurait nié toute existence d’une fuite de données ou intrusion, mais les pirates, qui prétendaient avoir volé 100 Go de données sensibles (y compris des informations sur les employés), ont publié des captures d'écran des données piratées et menacé de les divulguer si leurs demandes n'étaient pas satisfaites.

Les membres du groupe sont: « Toutes les personnes qui ont fourni à Qualinet (y compris via ses franchisés) des renseignements personnels qui ont été recueillis, détenus, stockés et utilisés par Qualinet sans nécessité, et dont les renseignements personnels et/ou financiers ont été compromis dans des incidents de fuites de données en 2021 et 2025 ».

La demanderesse réclame donc à Qualinet de payer aux membres du groupe des

dommages-intérêts et des dommages punitifs pour toutes pertes pécuniaires ou non pécuniaires causées par leurs fautes.