Aux États-Unis, une action dérivée découlant d’une atteinte à la protection des données est réglée à l’amiable pour 29 M$

Même si cette tendance n’a pas encore cours au Canada, plusieurs actions dérivées ont été intentées par les actionnaires contre les conseils d’administration au sud de la frontière, à la suite de piratages de données à grande échelle. Toutefois, les demandeurs n’ont finalement pas obtenu de sanction pécuniaire majeure dans aucun de ces cas. La plupart des cas ont été déboutés, tandis que d’autres ont été réglés à l’amiable pour le seul montant des honoraires des avocats des demandeurs. Une affaire récente a pourtant abouti à une autre conclusion, quand le demandeur a obtenu un règlement substantiel.

En septembre 2016, Yahoo! Inc. (Yahoo) a publiquement révélé une atteinte à la protection des données survenue deux ans plus tôt, qui concernait les données personnelles identifiables de près de 500 millions d’utilisateurs. En décembre de la même année, la société a révélé une deuxième atteinte à la protection des données, survenue trois ans plus tôt, en 2013, qui avait compromis les données personnelles identifiables de la plupart des 3 milliards d’utilisateurs de Yahoo. De nombreuses actions ont alors été intentées, au Canada et aux États-Unis. Aux États-Unis, les actionnaires ont intenté un recours collectif en valeurs mobilières ainsi qu’une action dérivée. Les deux actions ont finalement été regroupées dans une même poursuite pour manquement présumé à l’obligation fiduciaire, enrichissement injustifié, délit d’initiés et gaspillage contre divers défendeurs, notamment Yahoo, le conseil d’administration de Yahoo et certains administrateurs et membres de la haute direction. Les demandeurs ont allégué que les dirigeants et les membres du conseil d’administration de Yahoo étaient au courant de l’atteinte à la vie privée avant la divulgation publique et, qui plus est, que les défendeurs individuels avaient cherché à couvrir les infractions. Dans la plainte, il était également stipulé que plusieurs défendeurs individuels avaient vendu leurs actions personnelles après la violation des données, mais avant que le public n’en ait été informé. Verizon, qui a finalement acquis les actifs de Yahoo, était également citée dans la poursuite dans le cadre d’allégations de complicité. À l’origine, Verizon avait prévu d’acquérir Yahoo en juillet 2016. À la suite de la divulgation du piratage des données de Yahoo, Verizon a négocié une réduction de 350 millions de dollars sur le prix d’acquisition.

Récemment, en janvier 2019, la Cour supérieure de l’État de Californie a approuvé un règlement à l’amiable de 29 millions de dollars relativement à la poursuite. Il a été stipulé que cette somme serait financée par les assureurs des défendeurs individuels et de Verizon, comme convenu et réparti entre les deux parties. Seul l’avenir nous dira si ce récent règlement attestera d’un revirement de la tendance en matière de recouvrement des actions dérivées liées à une violation des données ou s’il fera figure d’exception en tant que règlement substantiel. Une assurance responsabilité civile des administrateurs et des dirigeants peut offrir une protection aux membres du conseil d’administration et aux cadres supérieurs individuels lorsque ces derniers font face à des réclamations fondées sur la responsabilité de la direction, y compris les réclamations intentées par les actionnaires. Une assurance des administrateurs et des dirigeants peut également couvrir une personne morale citée dans un procès portant sur des valeurs mobilières. La couverture des entités pour les poursuites liées à des valeurs mobilières se limitait habituellement aux poursuites portant sur les valeurs mobilières appartenant en nom propre aux assurés désignés. Toutefois, certains assurés peuvent désormais, dans certains cas très précis, obtenir une forme de couverture pour « complicité », qui étend la couverture aux poursuites intentées par les actionnaires d’une société cible dans le contexte d’une acquisition.