Les consommateurs canadiens auraient été maintenus dans le noir suite à la brèche de données de Drive DeVilbiss

Les brèches de données et les cyberattaques ont augmenté cette année au Canada. Le coût moyen des infractions aux données personnelles au Canada aurait augmenté de 6,7 % depuis 2019. En effet, une série récente de cyberattaques a touché les Canadiens de nombreuses façons. Non seulement ces attaques ont mis en danger les données privées des Canadiens, y compris les informations sur la santé, mais elles ont même ralenti la communications des résultats des tests COVID-19 dans certaines régions. Le dernier recours collectif intenté au Canada pour violation massive de données a été déposé contre Drive DeVilbiss, un fabricant et distributeur de matériel médical.

Si vous avez acheté des produits de mobilité, des lits, des fauteuils roulants, des appareils respiratoires, des produits d’auto-assistance, des produits de soins de longue durée et de réadaptation, ou d’autres dispositifs auprès de Drive DeVilbiss, vos données personnelles peuvent avoir été piratées.

Brèche de données chez Drive DeVilbiss

Drive DeVilbiss est une société américaine qui fabrique et distribue du matériel médical directement à ses clients, et indirectement par l’intermédiaire de sociétés médicales tierces.

Selon la demande de recours collectif contre Drive DeVilbiss pour atteinte à la protection des données, en septembre de cette année, Drive DeVilbiss a informé ses clients canadiens qu’une partie non autorisée avait eu accès aux informations personnelles des consommateurs et en avait pris possession. Les données piratées comprennent, entre autres, les noms des clients, des renseignements sur le diagnostic médical, des renseignements sur l’état de santé, d’autres renseignements médicaux et/ou d’assurance maladie, des numéros de sécurité sociale, des numéros de compte bancaire et des numéros d’identification fiscale.

La demande de recours collectif pour atteinte aux données fait valoir que la cyberattaque a violé les droits à la vie privée et les attentes raisonnables des membres du groupe.

Drive DeVilbiss n’a pas publiquement identifié les cybercriminels. De plus, la demande de recours collectif soutient que le fondement de l’assurance publique de Drive DeVilbiss selon laquelle les cybercriminels non nommés n’ont que « brièvement possédé les informations personnelles des membres du groupe » n’a jamais été expliqué aux consommateurs, ni garanti.

Les données médicales de milliers de personnes piratées

La demande de recours collectif contre Drive DeVilbiss pour violation de données affirme que « l’accès étendu de la société, la réception, la collecte, l’utilisation, le stockage, le transfert ou la transmission des informations personnelles ont rendu prévisible à Drive DeVilbiss que ses bases de données électroniques sont une cible principale pour les activités criminelles, y compris les tentatives de piratage et de vol des informations personnelles ».

En effet, les données relatives à la santé entrent dans la catégorie des informations personnelles sensibles, nécessitant une protection et des précautions maximales. En tant que telle, Drive DeVilbiss avait l’obligation de protéger les informations des utilisateurs contre tout accès non autorisé par des tiers, affirme la plainte.

Ces allégations contre Drive DeVilbiss sont fondées sur les exigences législatives énoncées dans la loi provinciale sur la protection des renseignements personnels (Personal Information Protection Act) et la Loi fédérale sur la protection des renseignements personnels et les documents électroniques (LPRPDE).

La législation sur la protection de la vie privée oblige les organisations détenant des informations personnelles à mettre en place des mesures de protection ou des procédures de contrôle physiques, organisationnelles et technologiques pour prévenir la perte, le vol et l’accès, la collecte, l’utilisation, la divulgation, la reproduction, la modification ou la destruction non autorisés des informations personnelles, ce que Drive DeVilbiss n’aurait pas fait.

De plus, Drive DeVilbiss est accusée de ne pas avoir embauché des employés compétents, de ne pas avoir supervisé correctement les employés ou de ne pas leur avoir donné une formation adéquate, autant d’éléments qui ont contribué à la brèche de données de 2020.

Drive DeVilbiss dissimule des informations aux consommateurs canadiens

Selon la demande de recours collectif contre Drive DeVilbiss pour brèche de données, la défenderesse a omis d’informer immédiatement les membres du groupe que leurs renseignements personnels avaient été laissés sans protection et avaient fait l’objet de perte, de vol, d’accès non autorisé, de collecte, d’utilisation, de divulgation, de reproduction, de modification ou de destruction, à la suite du bris de données. « Drive DeVilbiss a fait ce choix pour retarder la divulgation aux clients canadiens volontairement et délibérément, malgré le fait qu’elle ait informé les clients et les autorités américaines plus tôt que les Canadiens », souligne la plainte.

À la suite de la brèche de données, les consommateurs canadiens auraient subi des pertes et des dommages, notamment, mais pas exclusivement :

• Violation de la vie privée ;
• Détresse psychologique ;
• Coûts liés à la prévention du vol d’identité ;
• Coûts encourus pour payer les services de surveillance du crédit ; et
• Dépenses effectuées.

Les clients de Drive DeVilbiss peuvent également être exposés à la possibilité d’un futur faux marketing par des cybercriminels se présentant fictivement comme des organisations tierces avec lesquelles les membres du groupe ont réellement une relation. Cela pourrait les exposer à d’autres vols d’identité et d’informations à l’avenir, affirme la demande de recours collectif pour brèche de données.

Le 17 novembre, le gouvernement canadien a publié un communiqué de presse annonçant la présentation par le ministre de l’Innovation, de la Science et de l’Industrie du projet de loi intitulé Loi de 2020 sur la mise en œuvre de la Charte du numérique pour moderniser le cadre de protection des renseignements personnels détenus par le secteur privé. Cette loi vise à moderniser le cadre de la protection des informations personnelles dans le secteur privé. Le projet de loi prévoit les amendes les plus élevées parmi les pays du G7 pour les lois sur la protection de la vie privée, avec des amendes pouvant atteindre 5 % des recettes ou 25 millions de dollars, selon le montant le plus élevé, pour les infractions les plus graves.

Vos informations privées ont-elles déjà été piratées sur Internet ? Partagez votre histoire avec nous dans les commentaires ci-dessous !

Les membres du groupe sont représentés par les cabinets Slater Vecchio LLP et Mathew P Good Law Corp.

La demande de recours collectif contre la brèche de données chez Drive DeVilbiss est : Janet Symmonds v. Medical Depot inc d.b.a. Drive DeVilbiss Healthcare, Case No. S2011681, devant la Cour suprême de la Colombie-Britannique.

Lisez plus sur les recours collectifs et les règlements :

• Règlement de recours collectif contre Microsoft
• Recours collectif contre Hershey pour le travail forcé des enfants et l’esclavage
• Avocat en invalidité de longue durée | Aide en cas de refus d’une demande d’assurance
• Assurance contre les pertes d’exploitation en cas de pandémie – poursuite canadienne potentielle

[legal_notice_french]