Un litige sur la rétention en cyberassurance tranché en Ontario

Un litige visant à déterminer quelle rétention s’appliquait à une réclamation liée à un rançongiciel — 1,5 M$ US en vertu de la police de base ou 3 M$ US en vertu d’un avenant spécialisé — a été tranché par la Cour d’appel de l’Ontario en faveur de l’assureur. Dans une décision disponible en anglais seulement accueillant l’appel de la Compagnie d’assurance XL Spécialité, la Cour a déclaré que la rétention de 3 M$ US prévue à l’avenant no 023 s’appliquait à la réclamation de Panasonic Canada Inc., laissant l’entreprise assumer entièrement le sinistre.

L’attaque par rançongiciel

L’appel découle d’un jugement déclaratoire rendu dans une affaire d’assurance devant la Cour supérieure de justice de l’Ontario. Panasonic Canada Inc. était assurée auprès de Compagnie d’assurance XL Spécialité en vertu d’une police d’assurance contre les cyberrisques (la police de base), en vigueur du 1er avril 2021 au 1er avril 2022. La police de base prévoyait une rétention de 1,5 M$ US pour chaque garantie distincte.

En février 2022, des personnes étrangères à l’entreprise ont obtenu un accès non autorisé au réseau de Panasonic après qu’un employé de Panasonic eut téléchargé et ouvert un fichier infecté par un logiciel malveillant. Les attaquants ont téléchargé des fichiers confidentiels et sensibles et les ont publiés en ligne. Ils ont également publié un message indiquant que des données avaient été chiffrées et laissant entendre qu’une rançon était exigée pour obtenir la divulgation du reste des données. Panasonic n’a pas répondu à la demande, n’a pas payé de rançon et n’a pas demandé d’indemnité pour des frais liés à la cyberextorsion.

Panasonic a demandé une indemnité en vertu des garanties de la police de base couvrant les pertes de l’assuré, la responsabilité envers les tiers ainsi que l’intervention en cas d’atteinte aux données et la gestion de crise. Les parties ont convenu que la réclamation de Panasonic s’élevait à environ 2 M$ US.

L’avenant no 023, intitulé « Ransomware Sublimit Endorsement » (avenant relatif à la sous-limite applicable aux rançongiciels), modifiait la police de base en ce qui concerne la garantie visant le remboursement des frais de cyberextorsion et les événements liés à un rançongiciel, en prévoyant une rétention de 3 M$ US pour chacun. La garantie comprenait également les « pertes découlant d’un événement lié à un rançongiciel » ( Ransomware Event Loss en anglais), définies comme « toute perte découlant d’une menace de cyberextorsion, liée à une telle menace ou mettant en cause de quelque façon que ce soit une telle menace ».

Panasonic n’a pas demandé de garantie en vertu de l’avenant no 023, et le montant convenu de sa réclamation était inférieur à la rétention de 3 M$ US. XL a reconnu que Panasonic n’avait présenté aucune réclamation directement liée à la menace de cyberextorsion.

La juge Janet Leiper, de la Cour supérieure de justice, a donné raison à Panasonic dans un jugement daté du 30 juillet 2025. Elle a déclaré que la rétention applicable était de 1,5 M$ US et a ordonné à XL de verser à Panasonic le montant convenu excédant cette rétention. Elle a interprété la clause relative aux « pertes découlant d’un événement lié à un rançongiciel » de l’avenant no 023 comme signifiant que les définitions qui y figuraient ne s’appliquaient qu’aux réclamations présentées en vertu de l’avenant lui-même. XL a porté la décision en appel devant la Cour d’appel de l’Ontario.

Quelle rétention s’applique?

Panasonic soutenait que sa réclamation était assujettie à la rétention de 1,5 M$ US, au motif qu’elle avait établi son droit à indemnisation en vertu des dispositions de la police de base et que seul l’avenant no 023 de cette police faisait référence à une rétention de 3 M$ US. Panasonic soutenait que la juge de première instance avait correctement interprété la clause relative aux « pertes découlant d’un événement lié à un rançongiciel », à savoir qu’elle ne s’appliquait que si l’assuré présentait une réclamation en vertu de l’avenant no 023.

XL soutenait que l’avenant no 023 régissait les événements liés aux rançongiciels, que la réclamation était liée à un tel événement et que, par conséquent, la rétention de 3 M$ US s’appliquait.

Pourquoi l’avenant l’a emporté

Sur le fond, la Cour a conclu que la juge de première instance avait commis une erreur en interprétant la clause relative aux « pertes découlant d’un événement lié à un rançongiciel » sans tenir compte du sens clair et non ambigu des autres clauses de l’avenant no 023. Lues ensemble, ces clauses étaient sans ambiguïté : l’avenant no 023 régit toutes les réclamations relatives à la cyberextorsion et aux événements liés aux rançongiciels. La définition de « pertes découlant d’un événement lié à un rançongiciel » devait être lue conjointement avec les clauses précédentes. La juge de première instance a également commis une erreur en omettant de tenir compte de la clause 15, qui prévoit que les dispositions de l’avenant l’emportent sur toute disposition incompatible de la police.

La Cour d’appel a conclu que les dispositions relatives aux événements liés aux rançongiciels figurant dans l’avenant no 023 s’appliquaient à la réclamation de Panasonic. La réclamation constitue une « perte découlant d’un événement lié à un rançongiciel » au sens de l’avenant no 023, et la rétention applicable est de 3 M$ US. Comme le montant convenu de la réclamation était inférieur à 3 M$ US, Panasonic devait assumer entièrement le sinistre.

L’appel a été accueilli, et les dépens en faveur de XL ont été fixés à la somme convenue de 21 000 $, tous frais compris. La demande a été rejetée, avec dépens en faveur de XL fixés à la somme convenue de 88 000 $, tous frais compris.