D'anciens employés déposent une plainte collective contre Interior Health pour vol d'identité

Deux anciens employés ont déposé une demande de recours collectif contre Interior Health devant la Cour suprême de la Colombie-Britannique.

La plainte, déposée le 22 mai, allègue que l'employeur a été imprudent et a tenté de dissimuler toute l'étendue de la violation de données qui a entraîné le vol des informations personnelles de milliers d'employés puis leur vente sur le dark web.

En conséquence, les personnes touchées n’ont pas eu la possibilité de se protéger pleinement et vivent encore avec les conséquences.

« Les conséquences de cette fuite de données ont bouleversé des vies », a déclaré Justin Giovanetti, l'avocat représentant les deux anciens employés. « Des identités ont été usurpées et utilisées pour commettre des fraudes. »

La plainte n’a pas encore été certifiée et aucune des allégations n’a été prouvée devant le tribunal.

CBC News a contacté Interior Health plus tôt cette semaine pour obtenir une réponse et a été informée qu'elle n'était pas au courant de la poursuite. Aucune réponse n'a été déposée au tribunal.

Des milliers de personnes touchées

La violation s'est produite vers décembre 2009, indique la plainte, affectant les employés qui ont travaillé pour Interior Health entre 2003 et 2009.

Mais il est dit que, même en mai 2025, l’ampleur réelle de ce qui s’est passé n’a pas encore été communiquée.

L'un des employés concernés par le procès, Rae Fergus, affirme qu'ils n'ont pris connaissance de la violation qu'après en avoir été informés par un ancien collègue.

L'autre, Susan Shaw, dit en avoir été informée le 15 avril 2025, après avoir lu un article de presse. Elle précise ensuite avoir contacté Interior Health, qui lui a annoncé qu'elle avait été touchée.

Le 15 avril est le jour où une enquête de CBC The Fifth Estate a révélé que plus de 28 000 personnes qui avaient travaillé pour Interior Health avaient été touchées par la violation, des informations personnelles, notamment des numéros d'assurance sociale, des dates de naissance et des adresses personnelles, ayant été publiées en ligne, pour être vendues sur le dark web.

Les victimes identifiées par The Fifth Estate étaient victimes de fraude, allant de fausses déclarations de revenus déposées à leur nom à une personne répertoriée comme l'unique directeur de deux sociétés écrans enregistrées au niveau fédéral.

Les plaignants dans cette affaire affirment avoir fait l'objet de demandes frauduleuses de prêts automobiles et de cartes de crédit en leur nom et décrivent le stress qu'ils ont ressenti en essayant de régler le problème.

La poursuite allègue également que, tout au long de la procédure, Interior Health n'a pas divulgué de manière proactive l'étendue complète de la violation, y compris sa gravité, tant publiquement qu'aux employés concernés, la qualifiant de « dissimulation frauduleuse ».

Interior Health propose une surveillance du crédit

Suite aux informations des médias faisant état de la violation en avril, Interior Health a publié une déclaration publique décrivant les mesures qu'elle avait prises pour contacter les employés concernés.

Elle a déclaré avoir été informée de la violation potentielle en janvier 2025 après avoir reçu des informations de la GRC selon lesquelles les renseignements personnels d'un employé avaient été volés.

En mars, l'entreprise a publié un communiqué de presse demandant à toute personne ayant travaillé pour elle entre 2003 et 2009 de contacter un numéro sans frais pour déterminer si elle avait été touchée, sur la base de la documentation fournie par la GRC.

Le communiqué indique que même si Interior Health s'efforçait de contacter directement tous les employés actuels, il n'était pas en mesure de le faire pour les anciens employés car il ne disposait plus de leurs coordonnées.

Elle a également déclaré qu'elle offrirait deux ans de surveillance du crédit à toute personne concernée.

Le procès doit être certifié pour avancer

Giovanetti affirme qu'une partie de l'espoir derrière ce procès est d'étendre la surveillance du crédit en raison de la possibilité que les informations divulguées aient un impact sur les individus pendant des années à venir.

Si la poursuite est certifiée, les personnes affectées par la violation auront la possibilité de se retirer, mais seront par ailleurs représentées dans l’affaire.

Il a encouragé toute personne ayant travaillé pour l’autorité sanitaire entre 2003 et 2009 à vérifier si elle avait été affectée par la violation et, si tel était le cas, à prendre des mesures pour se protéger.

« Cela concerne 28 000 personnes qui pourraient avoir été touchées au cours des 15 dernières années », a-t-il déclaré. « Cela représente un coût financier, mais aussi un coût psychologique. »