Règlement proposé de l'action collective relative à l'Incident de cybersécurité de l'OCRI

Le 6 octobre 2025, une action collective nationale a été intentée devant la Cour supérieure du Québec contre l’Organisme canadien de réglementation des investissements (« OCRI ») par M. Ovadia (le « Demandeur »). Le Demandeur demandait à la Cour de déterminer si l’OCRI avait commis des fautes dans la prévention de l’Incident de cybersécurité et dans sa réponse à celui-ci, notamment en ce qui concerne la conservation et la protection des renseignements personnels des Membres du Groupe, le retard allégué dans la notification des Membres du Groupe ainsi que les lacunes alléguées des avis et des renseignements envoyés aux Membres du Groupe à la suite de l’Incident de cybersécurité.

Le 22 septembre 2026, l’honorable juge Martel de la Cour supérieure du Québec a autorisé l’exercice de cette Action collective contre l’OCRI aux seules fins de règlement au nom du groupe national suivant :

Toutes les personnes au Canada dont les renseignements personnels ou financiers étaient détenus par la Défenderesse [OCRI] et ont été compromis lors de l’Incident de cybersécurité qui a commencé le ou vers le 6 août 2025 et qui ont reçu un courriel ou une lettre de la Défenderesse [OCRI] les informant de cet Incident de cybersécurité.

L’OCRI nie toutes les allégations et toute responsabilité à l’égard de la réclamation du Demandeur et de l’Incident de cybersécurité. Les Parties ont convenu de conclure un règlement afin d’éviter les risques, les coûts et les retards liés à la poursuite du litige.

Audience d’approbation du règlement

Une Audience d’approbation du règlement devant la Cour supérieure du Québec aura lieu le 14 janvier 2027 à 9h30, au Palais de justice de Montréal situé au 1, rue Notre-Dame Est, Montréal (Québec), dans la salle 2.08 (ou dans une autre salle à être déterminée par le Tribunal ultérieurement), ou par l’intermédiaire d’un lien Microsoft Teams.

Les Membres du Groupe qui ne s’opposent pas à l’Entente de règlement proposée n’ont pas besoin de comparaître à une audience ni de prendre d’autres mesures pour manifester leur soutien à l’Entente de règlement proposée. Ils devront présenter une réclamation à une date ultérieure, si l’entente est approuvée et entre en vigueur, afin de recevoir une indemnisation. Vous n’avez rien à payer.

Action collective proposée en Colombie-Britannique

Il existe une action collective proposée en Colombie-Britannique qui porte également sur l’Incident de cybersécurité subi par l’OCRI : Harveer Singh et Yvan Silva c. Organisme canadien de réglementation des investissements, Cour suprême de Colombie-Britannique, dossier n° VLC-S-S-261171. Cette action collective proposée, déposée vers le 13 février 2026, n’a pas encore été certifiée en tant qu’action collective et vise un groupe national excluant les résidents du Québec. La quittance découlant de l’Entente de règlement s’applique aux personnes et aux réclamations partout au Canada, y compris celles qui font l’objet de l’action collective en Colombie-Britannique. Les parties au Québec ont l’intention de collaborer afin d’assurer la mise en œuvre de l’Entente de règlement et d’obtenir le rejet, la suspension permanente ou le désistement de l’action collective en Colombie-Britannique afin que l’Entente de règlement puisse entrer en vigueur.

Le Règlement n’a pas encore été approuvé. Les Formulaires de réclamation et les directives pour demander la Surveillance de crédit supplémentaire ne sont pas encore disponibles; ils seront publiés sur ce site Web si le Règlement est approuvé et entre en vigueur.

L’action collective a été autorisée aux seules fins de règlement au nom du groupe national suivant :

Toutes les personnes au Canada dont les renseignements personnels ou financiers étaient détenus par la Défenderesse [OCRI] et ont été compromis lors de l’Incident de cybersécurité qui a commencé le ou vers le 6 août 2025 et qui ont reçu un courriel ou une lettre de la Défenderesse [OCRI] les informant de cet Incident de cybersécurité.

Si vous souhaitez être inclus(e) dans l’action collective, vous n’avez aucune démarche à effectuer à ce stade et rien à payer.

Conservez votre n° d’identification unique. L’avis envoyé aux Membres du Groupe par la poste ou par courriel contient un n° d’identification unique, dont vous aurez besoin pour soumettre une réclamation lorsque le Formulaire de réclamation sera disponible.

Les Parties à la présente Action collective sont parvenues à un règlement national proposé (l’« Entente de règlement »), qui s’applique aux Membres du Groupe partout au Canada, sous réserve de l’approbation de la Cour supérieure du Québec et du rejet, de la suspension permanente ou d’un désistement de l’action collective putative au nom d’un groupe non national qui a été intentée contre l’OCRI par Harveer Singh et Yvan Silva devant la Cour suprême de la Colombie-Britannique, dossier n° VLC-S-S-261171. L’Entente de règlement vise à constituer le recours exclusif au Canada pour toutes les réclamations des Membres du Groupe partout au Canada relativement à l’Incident de cybersécurité.

Aux termes de l’Entente de règlement, l’OCRI a accepté de verser un montant total de huit millions trois cent mille dollars canadiens (8 300 000 $ CA) (le « Montant du règlement »). Après déduction des honoraires des avocats du groupe, des débours, des frais d’administration et des coûts liés aux avis, le montant total alloué pour la Contrepartie pour le Groupe (4 437 500 $ CA) sera réparti conformément à la structure décrite ci-dessous :

a) Surveillance de crédit supplémentaire

Premièrement (et en plus des services de surveillance de crédit, de protection contre le vol d’identité et d’assurance contre le vol d’identité d’une durée de deux ans déjà offerts par Équifax et TransUnion à tous les Membres du Groupe dans la lettre de l’OCRI les informant de l’Incident de cybersécurité), un montant de sept cent mille dollars canadiens (700 000 $ CA) est réservé en priorité aux Membres du Groupe qui soumettent une demande directement à l’OCRI afin d’obtenir un code d’activation leur donnant droit à deux années supplémentaires de services de surveillance de crédit, de protection contre le vol d’identité et d’assurance contre le vol d’identité auprès d’Équifax ou de TransUnion (ou des deux), selon le principe du premier arrivé, premier servi, en plus des services de surveillance de crédit déjà offerts par l’OCRI dans les notifications relatives à l’Incident de cybersécurité. Le Site web du règlement fournira les directives sur la manière de demander une Surveillance de crédit supplémentaire auprès de l’OCRI dans les 90 jours suivant la Date de prise d’effet.

b) Réclamations documentées

Deuxièmement, un montant minimum d’un million quatre cent quatre-vingt-dix-sept mille dollars canadiens (1 497 000 $ CA) est réservé aux Réclamations documentées (montant auquel s’ajoutent les montants non utilisés du montant alloué à la Surveillance de crédit supplémentaire mentionné ci-dessus) afin de permettre aux Membres du Groupe de demander le remboursement des dépenses documentées engagées personnellement ou des pertes documentées subies directement à la suite de la réception de la ou des lettres de notification de l’OCRI concernant l’Incident de cybersécurité, et/ou de l’Incident de cybersécurité lui-même, et qui sont étayées par des relevés, des reçus, des factures ou toute autre preuve documentée de Dépenses indemnisables (définies comme celles liées aux mesures prises par les Membres du Groupe pour se protéger après avoir pris connaissance de l’Incident de cybersécurité), jusqu’à concurrence de 10 000 $ CA par Réclamant.

• Pour être valides, les Réclamations documentées doivent être soumises par un Membre du Groupe dans les 90 jours suivant la Date de prise d’effet, au moyen du Formulaire de réclamation documentée disponible sur le Site web du règlement, et être accompagnées d’une déclaration solennelle et d’une signature. Une Réclamation documentée valide rend automatiquement le Réclamant admissible à recevoir une part du montant disponible pour les Réclamations non documentées en plus. Toutefois, afin d’obtenir le remboursement de dépenses engagées personnellement ou des pertes subies, des pièces justificatives de la dépense ou de la perte réclamée doivent être fournies et approuvées par l’Administrateur du règlement.
• Des pièces justificatives sont requises (relevés, reçus, factures ou autres preuves documentées). Pour plus de clarté, le(s) courriel(s) ou lettre(s) de l’OCRI vous informant de l’Incident de cybersécurité ne constituent pas des pièces justificatives acceptables.
• Les dépenses doivent avoir été engagées entre le 18 août 2025 et le 10 novembre 2026. Les dépenses futures ou prévues ne peuvent pas faire l’objet d’une réclamation.
• Si la valeur totale de toutes les Réclamations documentées approuvées dépasse le montant disponible pour les Réclamations documentées, les paiements seront réduits proportionnellement, au prorata.
• La décision de l’Administrateur du règlement concernant les réclamations (qu’elles soient approuvées ou rejetées, en totalité ou en partie) et leurs montants sera définitive et sans appel.

c) Réclamations non documentées

Troisièmement, un montant minimal de deux millions deux cent quarante mille cinq cents dollars canadiens (2 240 500 $ CA) est réservé aux Réclamations non documentées ne nécessitant aucune pièce justificative (montant auquel s’ajoutent les montants non utilisés provenant du montant alloué aux Réclamations documentées mentionné ci-dessus). Le montant disponible pour les Réclamations non documentées sera réparti en parts égales entre tous les Membres du Groupe qui auront présenté une Réclamation valide et dans les délais fixés à l’Administrateur du règlement.

• Pour être valides, les Réclamations non documentées doivent être soumises par un Membre du Groupe dans les 90 jours suivant la Date de prise d’effet, au moyen du Formulaire de réclamation non documentée disponible sur le Site web du règlement, et être accompagnées d’une déclaration solennelle et d’une signature.
• Les Membres du Groupe qui ont soumis une Réclamation documentée valide telle que décrite ci-dessus, qu’elle ait été approuvée ou non, en totalité ou en partie, recevront également une part du montant relatif aux Réclamations non documentées, en plus du montant de leur Réclamation documentée approuvée, le cas échéant.
• Le montant de l’indemnité forfaitaire pour les Réclamations non documentées sera calculé par l’Administrateur du règlement à la fin du processus de réclamation en divisant le montant résiduel du Règlement.
• Une fois ce calcul effectué, si le montant de l’indemnité forfaitaire est inférieur à 3,00 $ CA, aucun paiement individuel ne sera versé aux Membres du Groupe au titre des Réclamations non documentées. Le montant résiduel du règlement sera plutôt versé à l’organisme de bienfaisance Prospérité Canada, après paiement de la part due au Fonds d’aide aux actions collectives (« FAAC »), le cas échéant. Le FAAC a légalement droit à un pourcentage de la part québécoise de tout reliquat du Montant du règlement, conformément au Règlement sur le pourcentage prélevé par le Fonds d’aide aux actions collectives.

Les Formulaires de réclamation pour les Réclamations documentées et non documentées, disponibles sur le Site web du règlement, contiennent toutes les instructions et les renseignements qui doivent être fournis à l’Administrateur du règlement pour présenter une Réclamation documentée ou non documentée.

Honoraires et frais

L’Entente de règlement prévoit le paiement des frais d’administration et coûts liés aux avis (jusqu’à concurrence de 2 300 000 $ CA), ainsi que le paiement des Honoraires des Avocats du Groupe d’un million trois cent cinquante mille dollars canadiens (1 350 000 $ CA), majorés des taxes et des débours ne dépassant pas dix mille dollars canadiens (10 000 $ CA), incluant les taxes. Ces montants seront prélevés sur le Montant du règlement.

Le Règlement doit être approuvé par la Cour avant de pouvoir être mis en œuvre. Les Formulaires de réclamation et les directives pour demander la Surveillance de crédit supplémentaire ne sont pas encore disponibles; ils seront publiés sur ce site Web si le Règlement est approuvé et entre en vigueur.