Entente à 8,3 millions $ dans l’action collective contre l’OCRI

Quelques semaines après avoir été autorisée, l'action collective menée contre l’OCRI parvient à un règlement national. Qui sont les avocats?

L'Organisme canadien de réglementation des investissements (OCRI) a trouvé une entente pour mettre fin à une action collective qui la visait.

Le régulateur pancanadien accepte de verser un montant total de 8,3 millions de dollars aux membres du groupe qui le poursuivaient pour l'incident de cybersécurité survenu le 6 août 2025.

L’entente de règlement est survenue à l’issue d’une médiation de deux journées complètes devant François Rolland, ancien juge en chef de la Cour supérieure.

L’entente doit encore être approuvée par la Cour supérieure du Québec. Ce règlement national est conditionné à l'arrêt de l'action collective putative qui est intentée devant la Cour suprême de la Colombie-Britannique, par Harveer Singh et Yvan Silva.

Le demandeur, Ovadia, est représenté par Me David Assor du cabinet Lex Group. L’entente prévoit que l’avocat du groupe recevra des honoraires de 1,35 million de dollars.

Ovadia est le représentant toutes les personnes au Canada dont les renseignements personnels ou financiers étaient détenues par la défenderesse et ont été compromis lors de l’incident de cybersécurité survenu le ou vers le 6 août 2025, et qui ont reçu un courriel ou une lettre de la défenderesse les informant de incident de cybersécurité.

Déposée le 5 novembre 2025, l’action collective a reçu l’approbation de la juge Catherine Martel de la Cour supérieure le 22 septembre dernier.

Un incident de cybersécurité

Jusqu’en 2012, le demandeur a été courtier au sein d'une firme de valeurs mobilières réglementée par l’Organisme canadien de réglementation du commerce des valeurs mobilières (OCRCVM), remplacée depuis par l’OCRI. Quand il était courtier, le demandeur a fourni de nombreuses informations personnelles, requises par le régulateur.

Alors que l’incident de cybersécurité a eu lieu vers le 6 août 2025, l’OCRI a envoyé une notification au demandeur autour du 9 septembre 2025. Celui-ci l’a reçue dans la semaine du 22 septembre 2025.

Or, l’OCRI était consciente de la brèche de sécurité dès le jour de l'intrusion dans ses systèmes, allègue l’action collective.

La liste des données détenues par l’OCRI au sujet du demandeur est longue, allègue la poursuite: son nom, son adresse résidentielle, sa date de naissance, son pays de naissance, son adresse électronique, son sexe, la couleur de ses yeux et de ses cheveux, sa taille, son poids, toute infraction civile ou pénale éventuelle, ainsi que l'enquête complète menée par l’OCRI sur le demandeur, ainsi que toute information fournie par le demandeur lors de son inscription auprès de l’OCRI, à savoir le numéro de passeport, les informations relatives aux investissements et aux bénéficiaires, les informations financières, les informations concernant d'autres activités externes, les numéros d'étudiant et les numéros de licence non liés à la sécurité.

L’engagement de l’OCRI à fournir deux ans de service de surveillance du crédit au demandeur représente une admission de la gravité de la violation des données et de la menace qui pèse sur le dossier de crédit et l'identité du demandeur, selon l’action collective.

Selon le demandeur, l’incident de cybersécurité « constitue une violation illégale des droits fondamentaux des membres du groupe, ce qui rend le défendeur responsable du paiement de dommages-intérêts compensatoires, moraux et punitifs ».

Pas de fuite de données

En préambule de l'entente de règlement, l’OCRI mentionne que, « dès la découverte de l'Incident de cybersécurité, elle a immédiatement mis en œuvre son protocole d'intervention en cas d'incident, a fait appel à des experts tiers et a rapidement maîtrisé l'Incident de cybersécurité ».

Le régulateur affirme également que « les données des Membres du Groupe n'ont pas fait l'objet de fuites ni n'ont été utilisées à des fins malveillantes à la suite de l'Incident de cybersécurité, et que la Défenderesse a de fortes raisons de croire que cela n'arrivera pas dans le futur non plus. »

Le demandeur réclamait des dommages-intérêts compensatoires pour toutes les pertes financières et les préjudices moraux causés par la perte des informations relatives aux membres. Il demandait aussi 1 000 $ pour chaque membre du groupe, à titre de dommages-intérêts punitifs pour l'atteinte illégale et intentionnelle à leur droit à la vie privée.

Une fois l’entente approuvée, l’OCRI déboursera un total de 8,3 millions de dollars.

Les membres du groupe pourront demander à la défenderesse deux années supplémentaires de surveillance de crédit, de services de protection de l'identité, et d'assurance contre le vol d'identité fournis soit par Equifax Canada, soit par TransUnion, soit par les deux.

Les membres du groupe pourront également réclamer le remboursement de dépenses ou de pertes documentées jusqu'à concurrence de 10 000 $. Ils pourront aussi recevoir une part égale du montant réservé aux réclamations qui ne nécessite aucune pièce justificative.