Fitness Depot et Northern Lights Fitness Products Inc. font l’objet d’un projet de recours collectif après une violation de données qui aurait exposé les données personnelles et privées de consommateurs ayant acheté des articles sur www.fitnessdepot.ca.
Le demandeur principal, P. Garito, de l’Ontario, affirme que lui et d’autres personnes ont été informés que leurs informations de paiement pourraient avoir été piratées par des pirates informatiques, ou « hackers » en anglais. Le demandeur affirme que les défendeurs ont fait valoir que ces personnes non autorisées ont pu accéder à ces informations parce que Fitness Depot et le fournisseur d’accès Internet (FAI) de Northern Lights n’avaient pas activé de logiciel anti-virus. Cependant, la demande de recours collectif pour violation de données allègue que les défendeurs n’ont pas pris les mesures appropriées pour protéger leurs données.
« Ce recours collectif concerne une atteinte importante à la vie privée qui a touché des milliers de consommateurs canadiens dont les données personnelles et privées sensibles ont été compromises et placées entre les mains de criminels », affirme la plainte.
Le demandeur affirme avoir acheté des appareils de conditionnement physique par l’intermédiaire du site Web de Fitness Depot pour les récupérer en magasin le 4 mai 2020. Fitness Depot est immatriculé à Cornwall, dans l’Ontario, avec l’autre défendeur, Northern Lights Fitness Products, affirme la demande de recours collectif pour violation de données. Ils commercialisent et vendent tous deux des équipements de conditionnement physique au Canada par l’intermédiaire du site Web de Fitness Depot.
Selon la plainte contre Fitness Depot, la société possède 40 magasins au Canada et deux aux États-Unis. Il se décrit comme « le plus grand détaillant d’équipements de conditionnement physique spécialisés au Canada, avec les prix les plus bas garantis en Amérique du Nord ».
Malgré la violation de leurs données sensibles et financières, le demandeur affirme que les sociétés ne lui ont offert, ainsi qu’aux autres membres du groupe, aucun service de surveillance du crédit ou de protection contre le vol d’identité.
« Les défendeurs n’ont pas pris les mesures appropriées pour protéger les données personnelles et privées de leurs propres clients, un devoir qu’ils sont juridiquement tenus de respecter, et en violation de leurs propres promesses expresses aux membres du groupe », allègue la demande de recours collectif contre la violation des données de Fitness Depot.
Selon un communiqué de presse publié par les avocats représentant le demandeur, la violation des données de Fitness Depot a affecté les personnes qui ont acheté des produits de conditionnement physique en ligne pour livraison à domicile entre le 18 février 2020 et le 22 mai 2020, ainsi que celles qui ont acheté des produits sur le site Web pour livraison à domicile ou en magasin entre le 28 février 2020 et le 22 mai 2020. Les données accessibles dans le cadre de la violation peuvent inclure des noms, des adresses, des adresses électroniques, des numéros de téléphone, des numéros de carte de crédit et éventuellement d’autres informations.
Le recours collectif contre la violation des données de Fitness Depot allègue que les pirates ont pu accéder à la boutique en ligne de Fitness Depot par le biais d’une « attaque Magecart ».
« L’attaque Magecart est une forme d’écrémage de données par laquelle les attaquants implantent un code malveillant dans les sites de commerce électronique qui leur permet de saisir des informations sensibles à partir de formulaires de paiement en ligne sur les pages de paiement », selon la plainte.
La demande de recours collectif contre la violation des données précise que pour que les pirates informatiques puissent utiliser avec succès une attaque pour accéder à des données sur les consommateurs, ils doivent disposer de trois éléments : l’accès au site Web de commerce électronique, la possibilité d’extraire des informations d’un formulaire et de renvoyer ces informations à leur serveur. Le demandeur soutient que le site Web de Fitness Depot n’a pas protégé les données personnelles des consommateurs et a donné aux pirates informatiques les outils dont ils avaient besoin pour perpétrer l’attaque.
Selon la demande de recours collectif contre la violation des données de Fitness Depot, en ne protégeant pas de manière appropriée les informations sensibles des consommateurs, Fitness Depot a violé un certain nombre de lois canadiennes, notamment la Loi sur la protection des renseignements personnels et les documents électroniques, la Loi sur la protection des renseignements personnels et la Loi sur l’accès à l’information. En outre, l’entreprise aurait violé des lois provinciales promulguées pour protéger la vie privée numérique des consommateurs.
« Pour aggraver les choses, même après la découverte tardive (il a fallu plus de 3 mois aux défendeurs pour découvrir la violation) et la divulgation tardive (il a fallu aux défendeurs environ deux semaines pour informer les consommateurs) de la violation des données, les défendeurs ont montré peu de remords et ont tenté de faire porter la responsabilité de leurs propres manquements à leur fournisseur d’accès Internet et ont laissé leurs clients seuls pour faire face aux retombées en matière de sécurité, en ne leur apportant aucune assistance (comme par exemple en leur offrant un service gratuit de surveillance du crédit et de protection contre le vol d’identité) », affirme la demande de recours collectif pour violation de données.
La demande de recours collectif contre la violation des données de Fitness Depot vise à représenter les personnes au Canada auxquelles des pirates informatiques ont accédé à leurs informations personnelles et privées lors de la violation des données.
Le demandeur demande des dommages-intérêts punitifs et/ou majorés, ainsi qu’une ordonnance du tribunal déclarant que Fitness Depot a violé diverses lois sur la protection des renseignements personnels.
Avez-vous été touché par la violation des données de Fitness Depot ? Dites-nous ce qui s’est passé dans la section « Commentaires » ci-dessous !
Le demandeur principal et les membres proposés du groupe sont représentés par Me Jeff Orenstein et Me Andrea Grass du cabinet Groupe de Droit des Consommateurs.
La demande de recours collectif contre la violation des données de Fitness Depot est : Garito v. Fitness Depot Inc., et al., Case No. CV-20-00083728-00CP, devant la Cour supérieure de justice de l’Ontario.
Lisez plus sur les procès et les règlements :
[legal_notice_french]
