CarePartners visé dans un recours collectif après une brèche de données

Une demande de recours collectif de 110 millions de dollars a été déposée contre CarePartners, une société de services infirmiers communautaires, après qu’une prétendue brèche de données ait exposé les renseignements personnels et de santé de patients et d’employés.

Le demandeur principal, Arthur Redublo, affirme que les pirates informatiques ont réussi à accéder à des informations personnelles et de santé sur les patients, ainsi qu’à des informations sur les employés à partir du réseau informatique de CarePartners en 2018. La demande de recours collectif allègue que ces informations ont été « exfiltrées » le 18 juin 2018 ou autour de cette date.

Selon la plainte, Arthur, un résident de Pickering en Ontario, était un patient de CarePartners en 2013 alors qu’il se remettait d’une blessure. Il pense que ses données personnelles et de santé ont été exposées lors de la fuite de données de 2018.

CarePartners aurait refusé de payer une rançon

La demande de recours collectif pour brèche de données allègue que le réseau informatique de CarePartners a été accédé par des pirates informatiques en 2018. Selon la plainte, après la violation, les pirates ont rançonné les données, exigeant de l’argent de la société de soins de santé pour éviter que les données soient vendues ou mises en ligne.

Le demandeur affirme que CarePartners a refusé de payer la rançon et que, par conséquent, ses données sur les patients et les employés, ainsi que celles d’autres, ont été mises en ligne. Non seulement les données ont été mises en ligne, mais CarePartners aurait omis d’informer ses employés ou les patients concernés par la violation jusqu’à plusieurs mois plus tard.

La brèche de données de CarePartners risque d’affecter des centaines de milliers de personnes

Le recours collectif pour brèche de données note que CarePartners est l’un des plus grands fournisseurs privés de services de santé en Ontario. Les services de CarePartners comprennent les soins ambulatoires à domicile, à l’école et au bureau. Selon la plainte, l’entreprise fournit des services de soins infirmiers, de soutien personnel, de soutien aux soignants, de réadaptation et de soins palliatifs.

CarePartners emploie environ 4 500 personnes, selon le demandeur, et a fourni des soins à environ 237 000 patients. En conséquence, la société aurait recueilli et utilisé « des quantités substantielles » d’informations sensibles sur les deux groupes.

« CarePartners était, et est toujours, tenue de sécuriser et de protéger les informations personnelles des employés et des patients sous sa garde ou son contrôle, dont une grande partie était stockée électroniquement sur le réseau informatique de CarePartners, soutient la plainte. Elle était et est toujours tenue de prendre des mesures raisonnables pour garantir que les informations personnelles sur la santé sous sa garde ou son contrôle ne soient pas consultées ou divulguées sans autorisation, y compris en étant protégée contre le vol ou la perte, et pour garantir que les dossiers contenant des informations personnelles sur la santé soient protégés contre la copie, la modification ou l’élimination non autorisées. »

Échec des mesures de cybersécurité

Selon le demandeur, en raison de l’étendue des données personnelles et de santé détenues par la société, CarePartners était « obligée de mettre en place des mesures de protection de la cybersécurité efficaces, actuelles et solides ». Le recours collectif pour fuite de données soutient que la facilité avec laquelle les pirates informatiques ont pu accéder aux données de CarePartners était la preuve de ses mesures de sécurité totalement inadéquates.

« Les mesures de protection de la cybersécurité [de CarePartners], si elles existent, étaient archaïques, inadéquates, déraisonnables et facilement pénétrables par des tiers, indique la plainte. CarePartners a même omis de crypter les informations personnelles stockées sur son réseau informatique, ce qui constituait une violation flagrante de la norme de diligence pertinente qu’elle était tenue de respecter pour protéger la vie privée des membres du groupe. »

CarePartners n’informe pas les patients et les employés de la fuite

En plus de ne pas protéger les informations personnelles et de santé dont elle a la charge, CarePartners n’aurait pas non plus empêché les pirates informatiques de mettre ces données en ligne. Selon le demandeur, les pirates ont exigé une rançon en échange de la non publication des données des patients et des employés de CarePartners en ligne. CarePartners a refusé de payer la rançon.

Selon la plainte contre CarePartners, le demandeur et les autres personnes dont les informations ont été exposées n’ont été informés que plusieurs mois plus tard que leurs données personnelles et celles de leurs patients avaient été mises en ligne.

« Plutôt que de fournir aux personnes concernées une divulgation opportune des faits pertinents de la violation, CarePartners n’a pas informé le groupe de la violation jusqu’à des mois après que la violation ait eu lieu, et pas avant que des parties des données de la violation, y compris les dossiers médicaux du demandeur, aient été divulguées aux médias, allègue la plainte. Le fait de ne pas avoir informé le groupe en temps utile de l’infraction a exacerbé les risques et les dangers pour le groupe, qui a été victime d’une atteinte à la vie privée. »

La demande de recours collectif vise à représenter deux sous-groupes : En premier lieu, les patients de CarePartners dont les informations ont été divulguées dans le cadre de la violation. En outre, le demandeur souhaite représenter les employés qui auraient été exposés dans le cadre de la violation.

En plus des 110 millions de dollars de dommages-intérêts, le recours collectif contre la violation des données de CarePartners vise à obtenir des déclarations de la cour selon lesquelles la société a violé les droits à la vie privée des membres du recours collectif en vertu des lois sur la protection de la santé et a enfreint la Loi sur la protection du consommateur.

Ransomware, les brèches de données flétrissent le Canada

CarePartners est loin d’être la première entreprise au Canada à être ciblée par une cyberattaque et à être accusée de ne pas protéger les données des utilisateurs. Récemment, une société américaine de logiciels financiers a été frappée par une action en justice après avoir été ciblée par des cybercriminels lors d’une violation de données en 2020.

Même la GRC a été visée par des pirates informatiques. Un groupe d’activistes aurait accédé à des courriels internes, des mémos et d’autres données de l’agence de police.

Vos informations personnelles et/ou de santé ont-elles été exposées dans la brèche de données de CarePartners ? Nous voulons savoir ce que vous pensez des allégations du recours collectif ! Faites-le nous savoir dans les commentaires ci-dessous.

Les demandeurs principaux et les membres du groupe sont représentés par Me Margaret L. Waddell et Me Tina Q. Yang du cabinet Waddell Phillips Professional Corporation, Me Paul Miller et Me Christine Sesek du cabinet Howie, Sacks & Henry LLP, et Cary Schneider et Me Adam Warner du cabinet d’avocats Schneider.

La demande de recours collectif pour brèche de données de CareParters est : Redublo v. CarePartners/Community Nursing Services Foundation, Case No. CV-20-00647324-00CP, devant la Cour supérieure de justice de l’Ontario.

Lisez plus sur les recours collectifs et les règlements :

La santé mentale et la COVID-19 | Le Dr Gilles Chamberland répond à vos questions

Avocat en invalidité de longue durée | Aide en cas de refus d’une demande d’assurance

Règlement du recours collectif contre ReproMed

Enquête: recours collectif canadien contre l’herbicide Roundup

[legal_notice_french]