Action collective contre un CIUSSS

Une demande d’autorisation d’une action collective vise le CIUSSS Centre-sud-de-l’Île-de-Montréal, pour avoir partagé un fichier de paie à des employés qui ne devaient pas y avoir accès.

Le demandeur, Kevin St-Arnaud, est représenté par Me Amal Sebti, avocate au cabinet Twin Lisbet.

Le CIUSSS est représenté par Me Laurence Massicotte, Me Jany Tessier et Me Haia Baraz du cabinet Bélanger Longtin, ainsi que par Me Marie Audren du cabinet Audren Rolland.

Le 14 janvier 2026, à la suite d’un incident de confidentialité, le CIUSSS du Centre-Sud-de-l’Île-de-Montréal a avisé des employés actuels et anciens qu’un fichier Excel du service de la paie avait été transmis par erreur à des employés internes non autorisés.

Ce fichier contenait des renseignements personnels des employés, tels que le numéro d’employé, le nom et le prénom, ainsi que des renseignements bancaires, en plus de certaines informations liées à l’emploi et de codes internes.

Environ 40 000 employés et ex-employés pourraient être concernés, estime le demandeur, qui a été employé du CIUSSS au printemps 2020.

« Le CIUSSS reconnaît qu’il s’agit d’un manquement à l’obligation de confidentialité. Il tente toutefois d’en minimiser la portée en le qualifiant d’« erreur humaine », alors que l’exposition non autorisée aurait perduré pendant plus de six ans, soit du 29 avril 2019 au 11 décembre 2025 », pointe la demande d’action collective.

Le fichier aurait été transmis à moins de 100 employés au cours des six années. Chacun se serait vu demander de détruire le fichier.

Pourtant, « le nombre total de personnes ayant eu accès au fichier au fil des ans n’a pas été clairement communiqué aux personnes concernées, pas davantage que l’historique de circulation du document, ce qui empêche d’évaluer la portée réelle de l’atteinte et d’en retracer la diffusion effective », affirme la demande.

La défenderesse a manqué à son obligation d'agir avec prudence et diligence, et à celle d'assurer la confidentialité des renseignements personnels qu'elle détient, affirme la demande. Le CIUSSS a été gravement négligent et a manqué à son obligation de gouvernance et de contrôle, poursuit le document, en invoquant le Code civil du Québec et la Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels.

Pour sa part, le demandeur a dû entreprendre des démarches de protection, en communiquant avec ses institutions financières et les agences d'évaluation du crédit. Il « doit désormais surveiller de façon accrue ses transactions et relevés bancaires, vérifier régulièrement ses opérations et demeurer vigilant face aux tentatives d’hameçonnage et d’ingénierie sociale », indique la demande, ce qui lui occasionne « un stress réel et persistant ». Kevin St-Arnaud éprouve de l'anxiété et une inquiétude constante quant à l'usage possible de ses renseignements personnels et bancaires.

Le demandeur souhaite être désigné représentant du groupe composé de « tous les employés actuels et anciens du Centre intégré universitaire de santé et de services sociaux du Centre-Sud-de-l’Île-de-Montréal dont les renseignements personnels et/ou financiers ont été contenus dans le fichier Excel partagé par erreur à du personnel interne non autorisé entre le 29 avril 2019 et le 11 décembre 2025 ».

Le demandeur souhaite que la Cour supérieure condamne le CIUSSS à payer des dommages-intérêts compensatoires pour les pertes pécunaires causées par ses fautes alléguées, en plus de 1 000 $ pour chaque membre à titre de dommages-intérêts moraux, pour troubles, inconvénients, stress et anxiété. Un autre 1 000 $ est réclamé pour chaque membre, à titre de dommages-intérêts compensatoires, notamment en raison de la durée anormale de l’incident, de son caractère répétitif ou persistant, et de l’atteinte prolongée découlant de l’impossibilité de retracer la circulation réelle du fichier. Enfin, des dommages-intérêts punitifs sont demandés, la défenderesse ayant porté atteinte au droit à la vie privée des membres, conclut la demande.