LifeLabs fait face à de multiples recours collectifs après une cyberattaque

En juin dernier, les commissaires de la vie privée de la Colombie-Britannique et de l’Ontario ont publié leurs conclusions d’une enquête selon lesquelles LifeLabs a violé la vie privée de millions de Canadiens en ne mettant pas en place des mesures de protection adéquates pour protéger leurs données de santé personnelles.

LifeLabs, une entreprise de laboratoire, a été frappée par une cyberattaque en octobre 2019, qui a touché jusqu’à 15 millions de Canadiens. Les données qui auraient été dérobées lors de l’attaque comprenaient les noms d’utilisateur, mots de passe, numéros de carte d’assurance maladie ainsi que des résultats de certains examens en laboratoire des clients de LifeLabs.

Plus d’un tiers de tous les tests de laboratoire en Colombie-Britannique sont effectués par LifeLabs. La société recueille des informations très privées et identifiables sur les clients, ainsi que des renseignements sur la santé et les services de santé reçus par le patient.

En décembre, LifeLabs a reconnu la cyberattaque et a annoncé dans une lettre ouverte que les données de santé privées des clients avaient été violées. Dans cette lettre, LifeLabs a admis que non seulement les pirates informatiques avaient récupéré les données personnelles des clients, mais qu’ils avaient également payé une rançon aux pirates informatiques.

Les commissaires à la protection de la vie privée ont estimé que LifeLabs avait négligé de prendre des mesures appropriées pour protéger les données de santé personnelles des clients, qu’elle n’avait pas de politiques de sécurité acceptables et qu’elle stockait plus de données de santé personnelles des patients que nécessaire.

Un certain nombre de recours collectifs ont été lancés contre LifeLabs pour les nombreuses indiscrétions commises par la société.

L’une de ces réclamations récentes concerne le demandeur principal, Vincent Gogolek, qui intente le recours collectif contre LifeLabs en son nom et au nom des membres du recours collectif, défini comme « toutes les personnes résidant au Canada dont les renseignements personnels ont été stockés sur les systèmes informatiques sous le contrôle du groupe LifeLabs qui ont été compromis ou auxquels des personnes non autorisées ont eu accès avant le 17 décembre 2019 ».

La demande de recours collectif déposée contre LifeLabs indique que celui-ci a reconnu que la protection de la vie privée et la sécurité des données personnelles étaient essentielles, que l’entreprise était responsable de la protection des données et que ses normes exigent des mesures de sécurité qui protègent contre le vol et l’accès non autorisé.

Toutefois, la demande de recours collectif allègue que LifeLabs n’a pas respecté les normes et exigences suivantes, ce qui a entraîné la faille de sécurité :

• stockage de données personnelles non cryptées
• stockage des noms d’utilisateur et des mots de passe sans salage ni hachage (salting and hashing)
• manque d’utilisation de la segmentation et de la ségrégation des réseaux
• manque flagrant de sauvegardes cohérentes
• la non-installation de correctifs de sécurité et d’autres mises à jour de logiciels
• manque de formation des employés pour lutter contre le phishing et les autres cyberattaques
• défaut de suppression et d’éradication des données personnelles stockées après qu’il n’y a plus de raison de les conserver

Au-delà de ces manquements procéduraux, le recours collectif intenté contre LifeLabs allègue que la société n’a pas informé Vincent à la suite de la violation des données. Selon la plainte contre LifeLabs, Vincent n’a pas été informé par Lifelabs de la cyberattaque, ni par la poste, ni par un service de messagerie, ni par courriel, alors qu’il avait la même adresse depuis juillet 2012 et la même adresse de courriel depuis plus de 20 ans. Vincent n’a appris l’existence de la faille de sécurité et de la lettre ouverte que par les médias. Il affirme ensuite avoir contacté l’entreprise et avoir obtenu des informations sur la possibilité de bénéficier de services de surveillance du crédit.

La demande de recours collectif contre LifeLabs allègue également que LifeLabs a déjà subi une cyberattaque, qui n’a pas donné lieu à la prise de précautions pour les prévenir à l’avenir. En janvier 2013, Lifelabs a subi une brèche de sécurité qui a violé les données personnelles de 16 000 de ses clients à Kamloops, en Colombie-Britannique. Suite à cet incident, Lifelabs savait qu’il était susceptible d’être piraté, mais il n’a pas pris les mesures nécessaires pour protéger les renseignements personnels de ses clients.

Vincent était un client de LifeLabs, ayant reçu des services de diagnostics médicaux en laboratoire depuis 2002. Il a également fait appel aux services de Lifelabs en mai 2019.

Le recours collectif pour atteinte à la vie privée affirme que Vincent et d’autres membres du groupe cherchent à être dédommagés en raison des méfaits suivants commis par LifeLabs :

• les défendeurs avaient un devoir de diligence envers le demandeur et les membres du groupe dans le cadre de la collecte et de la protection de leurs renseignements personnels
• la défaillance de la sécurité est due au fait que les accusés ont violé le niveau de diligence exigé d’eux
• la faille dans la sécurité découle de la rupture des contrats conclus avec le demandeur et les membres du groupe
• les défendeurs ont violé la vie privée du demandeur et des membres du groupe
• les défendeurs ont violé la confiance du demandeur et des membres du groupe
• les défendeurs ont induit en erreur le demandeur et les membres du groupe
• les défendeurs se sont injustement enrichis, au détriment du demandeur et des membres du groupe

En raison de la négligence présumée de LifeLabs, Vincent et les membres du groupe demandent des dommages-intérêts pour détresse mentale, perte de temps, désagrément et dépenses.

Faites-vous partie des 15 millions de Canadiens dont les données personnelles ont été violées ? Avez-vous l’intention de vous joindre à un recours collectif ? Pourquoi ou pourquoi pas ? Racontez-nous votre histoire dans la section des commentaires ci-dessous !

Le demandeur est représenté par Me Jamie Thornback du cabinet Camp Fiorante Matthews Mogerman LLP.

La demande de recours collectif pour atteinte à la vie privée contre LifeLabs est : Vincent Gogolek v. LifeLabs Inc., et al., Case No. VLC-S-S-203526, devant la Cour suprême de la Colombie-Britannique.

Lisez plus sur les recours collectifs et les règlements :

Enquête: recours collectif canadien contre l’herbicide Roundup

Avocat en invalidité de longue durée | Aide en cas de refus d’une demande d’assurance

Navigation pas si privée : recours collectif contre Google

Que devez-vous savoir sur l’assurance invalidité de longue durée de l’Ontario ?

[legal_notice_french]