L’assureur en responsabilité de l’ordre professionnel refuse de défendre la firme et son représentant qui a mordu à l’hameçon des pirates informatiques, ce qui leur a permis de dérober près de 121 000 $ à la cliente. Le tribunal accorde la requête de type Wellington et force la compagnie d’assurance à prendre fait et cause pour les défendeurs en garantie.

La requête a été entendue le 30 juin dernier à Montréal par le juge Patrick Ferland, de la Cour supérieure du Québec. La demanderesse dans le litige au fond est la société RX-V, qui a vendu un système de vérification des piluliers à la Pharmacie Lisa Gaudreault et Suzie Desmarais. Le paiement, d’une somme de 120 896 $, a été intercepté par une personne décrite comme une cyber-fraudeuse.

Faute d’avoir été payé, le fournisseur dépose une demande introductive d’instance contre la pharmacie. Celle-ci se retourne à son tour vers la firme Les Services comptables BDGL et le comptable Simon Dufresne-Tremblay, qui sont défendeurs en arrière-garantie. Le comptable avait suggéré à sa cliente d’effectuer le paiement au fournisseur par virement bancaire, au lieu de le faire par chèque.

Le commerçant accepte et transmet à la firme comptable un courriel contenant les documents nécessaires pour que cette dernière se charge de payer le fournisseur. Il apparaît toutefois que BDGL aurait plutôt utilisé les coordonnées bancaires contenues dans un autre message reçu d’un pirate informatique.

Selon les allégations de la pharmacie, son courriel aurait été intercepté par les fraudeurs. Le virement a été effectué par BDGL dans le compte bancaire de la cyber-fraudeuse avant que le montant soit transféré ailleurs. La pharmacie se retourne vers la firme comptable et demande qu’elle soit condamnée à l’indemniser si elle est elle-même condamnée à rembourser RX-V.

BDGL dépose une demande d’intervention forcée pour appel en arrière-garantie et demande de type Wellington au Fonds d’assurance de la responsabilité professionnelle de l’Ordre des comptables professionnels agréés du Québec. Le Fonds conteste la demande, car il considère que la réclamation est visée par une des exclusions à la police.

Exclusion à la police

Selon le Fonds, « les faits à la base de la réclamation contre BDGL viseraient l’octroi de dommages découlant d’une atteinte à l’intégrité des actifs informationnels de BDGL, laquelle découlerait d’un accès non autorisé de son système informatique et d’un acte d’ingénierie sociale ».

L’exclusion relative à cette mention d’ingénierie sociale est exclue de la garantie. Le Fonds estime qu’il ne peut être tenu d’indemniser la firme comptable ni être contraint d’assurer sa défense.

Dans sa décision rendue le 3 juillet 2026, le juge Ferland rappelle les principes de la demande de type Wellington, qui découlent de l’application de l’obligation de défendre prévue à l’article 2503 du Code civil du Québec. La simple possibilité que la demande relève de la police d’assurance enclenche l’obligation imposée à l’assureur à prendre fait et cause pour son assuré.

Dans le présent dossier, l’enjeu du débat est bien circonscrit, souligne le tribunal. Il s’agit d’une stricte question d’interprétation des termes de la police. Comme l’assureur invoque une exclusion, il lui incombe de prouver que la protection est écartée « clairement et sans équivoque ». Les clauses d’exclusion doivent être interprétées de façon restrictive.

Le Fonds prétend que l’exclusion vise la réclamation contre BDGL, ce que conteste la firme comptable. Pour cette dernière, l’exclusion ne vise que les dommages découlant de l’atteinte à l’intégrité de l’actif informationnel, et non les dommages qui découlent de la faute ou de la négligence de l’assuré.

Analyse et motifs

Le tribunal ne peut se résoudre à conclure qu’il n’y a aucune possibilité de couverture de la réclamation par la police, car les termes du contrat sont ambigus et susceptibles de plus d’une interprétation.

Suivant les termes de la clause de l’exclusion, il faut que cet accès non autorisé du système informatique de BDGL et cet acte d’ingénierie sociale aient entraîné une atteinte à l’intégrité d’un actif informationnel et que cette atteinte ait à son tour entraîné les dommages réclamés par la pharmacie. L’ambiguïté est à cet endroit, souligne le tribunal.

Le tribunal donne l’exemple d’un fraudeur qui aurait utilisé son accès au système informatique de la firme comptable, obtenu à la suite d’un courriel d’hameçonnage, pour modifier les déclarations fiscales préparées pour les clients, ce qui leur cause un préjudice. L’acte d’ingénierie sociale a permis l’accès au système informatique et l’atteinte à l’intégrité des données détenues par les comptables. Les dommages découlent directement de l’atteinte, laquelle a suivi la fraude par ingénierie sociale.

Selon BDGL, l’allégation du Fonds est différente dans la présente affaire. La suppression du courriel initial et son remplacement par un courriel frauduleux n’ont entraîné aucun dommage et n’en sont pas la cause. Ces actes n’ont fait que créer « l’occasion des dommages » ou une circonstance augmentant le risque qu’un dommage survienne.

Sans cette faute, aucun dommage ne serait survenu, note le tribunal. Mais il lui semble possible de conclure que le manque de vérification adéquate de BDGL a entraîné les dommages, et non l’atteinte à la sécurité informatique. La lecture de la police faite par la firme comptable est « loin d’être farfelue », écrit le juge Ferland.

On peut concevoir des situations où une atteinte à la vie privée d’un client résulterait directement d’un accès non autorisé ou d’un acte d’ingénierie sociale. Si un tiers s’introduit dans le système informatique de BDGL et publie les données personnelles de ses clients, il semble logique de conclure que le dommage subi par les clients « découle directement de l’atteinte à leur droit à la vie privée, et ce, peu importe qu’une faute d’un employé de BDGL ait facilité l’intrusion ».

Le sens premier des termes de la clause d’exclusion suggère que celle-ci « vise les dommages résultant directement de cette perte, de cette privation ou de cette inaccessibilité ». Le Fonds aurait pu exclure toutes les conséquences dommageables des actes d’ingénierie sociale ou des accès non autorisés, mais ce n’est pas ce qui est prévu par la police.

La preuve reste à faire

À l’audience, le Fonds fait valoir que les risques liés à la cybersécurité font l’objet de couvertures d’assurance spécifiques dont les primes sont très élevées. Selon lui, il faudrait interpréter la police en fonction des attentes des parties qui signent un contrat d’assurance responsabilité générale (CGL), et non une couverture spécialisée.

L’argument du Fonds est valable, mais à cette étape de la procédure, le tribunal ne peut comparer une police CGL et une police en cyberrisques. La preuve des attentes des parties n’a pas été faite et celle-ci ne peut être faite que devant le juge au fond.

En 2017 dans un litige impliquant une chaîne de détaillants en pharmacie, la Cour suprême du Canada avait rappelé que le tribunal devait tenir compte du contexte dans lequel le contrat a été conclu et exécuté « pour confirmer la clarté de ses termes » et éviter que des termes en apparence limpides viennent « contredire l’économie du contrat, la véritable intention des parties ».

Comme il existe une réelle possibilité que le Fonds soit tenu d’indemniser BDGL, cela suffit pour octroyer la demande Wellington. Le Fonds doit prendre fait et cause pour les défendeurs en garantie et il doit assumer les coûts de la défense. Il devra aussi rembourser les honoraires professionnels engagés jusqu’à maintenant par BDGL et le comptable Dufresne-Tremblay.