Recours collectif contre la violation des données de carte de crédit Capital One révèle que des millions de personnes ont été touchées

Selon la demande de recours collectif déposée devant la Cour supérieure du Québec, Capital One et Amazon ont manqué à leur obligation de protéger adéquatement les données personnelles des détenteurs de cartes de crédit, permettant ainsi une violation de données en 2019.

Les défendeurs n’ont pas seulement manqué à leur obligation de protéger les données des cartes de crédit Capital One, ils ont également retardé la notification aux membres du groupe, selon le recours collectif contre Capital One. Le vol de données se serait produit les 22 et 23 mars 2019 et aurait été découvert le 17 juillet 2019. Cependant, la violation de données n’a pas été divulguée au public avant le 29 juillet 2019.

« Cette affaire implique l’une des plus grandes violations des données personnelles de l’histoire », déclare la demande de recours collectif contre la violation des données.

Capital One a recueilli des quantités considérables de données sur ses clients depuis 2005. Afin de conserver et d’exploiter ces données, Capital One et Amazon ont orchestré une migration massive de données hautement sensibles du nuage privé de Capital One vers un nuage public (cloud AWS) en 2015.

« Les membres du groupe ont confié leurs données les plus sensibles – des données qui pourraient être utilisées par un malveillant pour usurper l’identité de ces clients – à une banque et à une société d’informatique en nuage en se basant sur leur croyance raisonnable qu’elles seraient sûres et sécurisées », allègue la demande de recours collectif pour violation des données contre Capital One.

« Capital One et Amazon ont monétisé (et continuent à monétiser) les données sensibles des clients de Capital One, en les exploitant au maximum et en cherchant à connaître leurs comportements. »

Le système cloud AWS a permis à Capital One de n’acheter que la puissance de calcul et de stockage dont elle avait besoin. Il a également permis à l’institution financière de profiter des outils d’apprentissage automatique et des scientifiques d’Amazon.

« Malheureusement, l’utilisation d’AWS pour extraire les données des clients a posé de problèmes sérieux, indique le recours collectif contre la violation des données. Plus important encore, les modèles d’apprentissage nécessitaient des quantités massives de données historiques et si les données étaient insuffisantes, les modèles ne seraient pas précis. »

Selon la plainte, Capital One a créé des dépôts massifs de données de clients qui comprenaient « des données conservées bien au-delà des attentes des clients ».

Contrairement à d’autres grandes institutions financières qui accordent la priorité à la sécurité des données des clients, Capital One a choisi de fournir les données sensibles des clients à un fournisseur de nuages public. Parallèlement, Amazon recherchait une grande institution financière pour se connecter à l’écosystème AWS afin de signaler aux autres institutions financières qu’il était sûr de mettre leurs données dans le nuage public.

Étant donné qu’il était largement connu que le système AWS souffrait d’une faille de sécurité, Capital One a créé un logiciel commercialisé en collaboration avec Amazon afin de rassurer de manière trompeuse les clients, les autorités et le public sur la protection des données. Cependant, ce logiciel n’aurait pas réussi à protéger les données comme promis.

La violation des données aurait touché des données collectées au moment où des clients et des petites entreprises ont demandé une carte de crédit à Capital One entre 2005 et 2019. Les informations compromises lors de la violation des données peuvent inclure : les noms, adresses, codes postaux, numéros de téléphone, adresses de courriel, dates de naissance, données de demande de carte de crédit et autres données sur les clients.

Selon la demande de recours collectif contre la violation des données, Capital One et Amazon ont ensemble « pendant plusieurs années, orchestré une migration massive de données hautement sensibles du cloud privé de Capital One vers un cloud public (cloud AWS) sous le couvert de déclarations trompeuses et d’un logiciel de sécurité que Capital One et Amazon ont conjointement créé et commercialisés auprès des clients, des régulateurs et du public afin de garantir la sécurité des données ».

Les détenteurs de cartes de crédit Capital One et les demandeurs qui résident au Québec et dont les renseignements personnels ont été compromis dans le cadre de l’incident de violation de données qui s’est produit les 22 et 23 mars 2019 sont visés par ce recours collectif.

Environ 100 millions de résidents américains et 6 millions de Canadiens ont probablement été touchés par la violation des données. De plus, environ 1 million de numéros d’assurance sociale ont été compromis.

La demande de recours collectif concernant la violation de données contre Capital One demande au juge d’ordonner aux défendeurs de mettre en place des mesures de protection pour prévenir et détecter l’accès non autorisé à des données personnelles, et d’offrir des dommages-intérêts compensatoires et punitifs aux membres du recours collectif.

Un recours collectif similaire a été intenté à Calgary pour violation de données de cartes de crédit.

Avez-vous une carte de crédit Capital One ? Craignez-vous que vos données personnelles soient exposées dans le cadre de cette violation de données ? Dites-nous ce que vous en pensez dans la section « Commentaires »  ci-dessous !

Les demandeurs sont représentés par Me Jeff Orenstein du cabinet Groupe de Droit des Consommateurs Inc.

Le recours collectif contre la violation des données de Capital One est : M. Royer, et al. v. Capital One Bank (Canada Branch), et al., Case No. 500-06-001010-194, devant la Cour supérieure du Québec.

Lisez plus sur les procès et les règlements :

Poursuite pour excès de force contre le SPVM

Demande de recours collectif contre les frais de service des centres d’entraînement déposée après les fermetures

Détaillants de meubles visés par un recours collectif

Des skieurs blessés dans un accident de télécabines lancent un deuxième recours collectif

[legal_notice_french]