Data governance and Canada’s c-suite: are directors and officers liable for cybersecurity failures?
The world has gone digital, with the global pandemic accelerating the pace of transition.
As online business and the data companies collect or generate become more central to organizational value, cybersecurity is, now more than ever, a critical enterprise issue. For senior management, cybersecurity planning, governance and resourcing now require dedicated attention; for boards, appropriate oversight and input into cyber risk assessment and mitigation must be given.
The crucial role of cybersecurity to an organization’s investors, customers and regulators—as well as to the organization’s profitability—is well demonstrated in both public company disclosure of data security risks and class action litigation following breaches. While officers and directors need to play a role in cybersecurity risk management to fulfill their obligations to the company, their potential personal liability for security failures is a developing area in Canadian law. A recent trend of investor class actions in the United States gives us insight into the question of liability that Canadian officers and directors may face when a company experiences a cybersecurity incident.
Current landscape in Canada
Directors and officers can be liable for regulatory penalties under Canadian federal and provincial privacy legislation. In Québec, directors and officers who authorize a corporate act or omission which violates privacy law may be named as parties and liable to penalties.
The scope of civil liability for directors and officers in the context of cybersecurity class actions, however, is untested in Canada.
So far, Canadian class actions have focused on effects experienced by consumers after an organization suffers a data breach. Examples include Home Depot customers whose financial information was stolen when cybercriminals hacked into that company’s payment systems, and individuals whose personal information was stolen when hackers broke into Yahoo’s databases1.
Absent intentional misconduct by an insider, few cases alleging cybersecurity or privacy failures are likely to present the facts required to pierce the corporate veil.
Directors and officers owe statutory and common law obligations to exercise reasonable care and diligence in running the company. In Québec, directors and officers also remain subject to general rules of civil liability under article 1457 of the Civil Code of Québec (C.C.Q.). Claims could be advanced by customers against directors and officers for failing to protect against known cybersecurity vulnerabilities, or for approving a product that is not compliant with privacy law requirements. To be successful on claims like these, however, plaintiffs who are customers would need to overcome fundamental corporate law principles of separate legal personality. Absent intentional misconduct by an insider, few cases alleging cybersecurity or privacy failures are likely to present the facts required to pierce the corporate veil.
Probably for this reason, cybersecurity class actions in Canada have focused on the liability of organizations for failing to prevent data breaches.
Looking ahead: Investor class actions in the U.S.
In the U.S., however, a new trend of class actions has emerged: investor lawsuits against officers and directors when cybersecurity incidents cause a public company’s share price to drop. Unlike a company’s customers, investors may have special statutory remedies against directors and officers. Two recent cases illustrate the point.
In Drieu v Zoom, shareholders of the video platform sued the company and two of its officers after encryption flaws in the company’s flagship product were revealed earlier this year. The claim alleges the officers breached U.S. securities laws by knowingly withholding information about cybersecurity vulnerabilities from the public market.
New penalties and private right of action proposed under federal privacy law following a finding of non-compliance may raise director and officer exposure if they do not fulfill obligations to manage cybersecurity risk.
In Laboratory Corporation of America Holdings v Berberian, shareholders of a clinical laboratory company brought a derivative class action on behalf of the company against its officers and directors. The claim alleges the officers and directors neglected their fiduciary duties by failing to prevent data breaches, including a breach at a third-party service provider to the company.
Drieu is a good example of the types of cybersecurity claims directors and officers may face for alleged misrepresentations in securities law filings. However, as the Berberian case illustrates, directors’ and officers’ liability to investors is not confined to disclosure issues and may encompass allegations related to oversight of cybersecurity in the company’s day-to-day operations.
Similar statutory remedies are available to shareholders in Canada. In Québec, recent case law in the securities context suggests an expansion of directors’ civil liability to shareholders under the C.C.Q.2 Moreover, proposed amendments to Québec’s private sector privacy legislation would expand the scope of corporate liability for privacy violations. Those amendments include a new cause of action with no-fault liability where prejudice ensues from the violation of the legislation or of articles 35 to 40 of the C.C.Q., which explicitly protect persons’ reputations and privacy. And new penalties and private right of action proposed under federal privacy law following a finding of non-compliance may increase director and officer exposure if they do not fulfill their obligations to manage cybersecurity risk.
Conclusion
It is likely only a matter of time before class actions similar to those we have seen in the U.S. against directors and officers begin to emerge on this side of the border. To mitigate the risk of these claims, directors and officers should consider the appropriate level of oversight required for cybersecurity issues, and how this due diligence is documented in the event it is needed for litigation defence in the future.
_________________________
1 Lozanski v The Home Depot, Inc., 2016 ONSC 5447; Bourbonnière c. Yahoo! Inc., 2019 QCCS 2624.
2 See Catucci v. Valeant Pharmaceuticals International Inc., 2020 QCCS 1413 where the Superior Court rejected an application to dismiss a shareholder class action invoking directors’ liability for misrepresentations. The directors argued that there was no cause of action under civil law (as opposed to securities legislation) because directors only have obligations towards the company. The Court found that directors can have extracontractual obligations toward shareholders under article 1457 C.C.Q., and that shareholders did not have to demonstrate a distinct prejudice from that which was suffered by the company.
Le mois dernier, le Canada a publié sa première Stratégie industrielle de défense (la Stratégie), qui souligne l’engagement du Canada à développer une base industrielle de défense solide et à stimuler la croissance économique. Ces efforts pourraient aussi comprendre le renforcement de l’état de préparation à la biodéfense et aux contre-mesures médicales, ce qui pourrait constituer des débouchés pour le secteur canadien des sciences de la vie en raison de l’importance accordée aux capacités nationales en ce sens et de la nécessité d’atténuer les risques d’urgences sanitaires.
Développement de contre-mesures médicales au Canada
Comme indiqué dans les bulletins précédents, le quatrième pilier de la Stratégie est axé sur la « sécurisation des chaînes d’approvisionnement pour les intrants et les biens clés » par le renforcement de la production nationale et le stockage de ressources. L’accent est mis tout particulièrement sur les contre-mesures médicales, en précisant que nos « alliés ont établi un lien explicite entre l’état de préparation à la biodéfense et aux contre-mesures médicales et leur sécurité économique et nationale, en élaborant de nouvelles stratégies et de nouveaux mécanismes pour faire progresser ces travaux ». Les contre-mesures médicales désignent divers produits réglementés pouvant être utilisés pour protéger la population lors d’une situation d’urgence de grande ampleur, comme l’éclosion d’une maladie ou une attaque impliquant des armes chimiques, biologiques ou nucléaires. Il peut s’agir de vaccins, de médicaments thérapeutiques et produits biologiques, de dispositifs de tests diagnostiques, des équipements de protection individuelle ou industrielle, et d’autres dispositifs médicaux. Les contre-mesures médicales sont essentielles à la réduction et à l’atténuation des dommages lors d’une urgence de santé publique.
Exploiter les voies réglementaires mises en place lors de la pandémie de COVID-19
Pendant et après la pandémie de COVID-19, le Canada a mis en place plusieurs nouvelles voies réglementaires comme mécanismes d’accélération des approbations de produits médicaux, ce qui pourrait offrir au gouvernement des options pour déployer des contre-mesures médicales afin de faire face aux risques pour la santé publique. Au début de la pandémie, Santé Canada a émis diverses ordonnances provisoires pour permettre l’importation et la vente de médicaments et de dispositifs médicaux qui n’avaient pas eu l’approbation des voies réglementaires traditionnelles. Or, Santé Canada a plutôt fait confiance aux voies d’approbation réglementaire et de l’exemption de certaines exigences en homologation de produits des pays impliqués dans la transaction. Beaucoup de ces règles provisoires ont depuis été officiellement intégrées à la réglementation en vertu de la Loi sur les aliments et drogues et ont été appliquées bien après la COVID-19. Conformément au Règlement sur les aliments et drogues, Santé Canada tient à jour la Liste des maladies qui menacent la santé publique et utilisera une procédure d’autorisation modifiée pour les médicaments d’urgence de santé publique pouvant traiter les affections figurant sur la liste. De même, le Règlement sur les instruments médicaux a établi une liste d’instruments médicaux répondant à un besoin urgent de santé publique, ce qui permet à Santé Canada d’autoriser la commercialisation de ces instruments de manière accélérée. Ces outils réglementaires sont utilisés automatiquement quand une situation médicale présente un grand risque pour la santé publique au Canada et nécessite une action immédiate pour contrer ce risque.
Le rôle de la Stratégie dans le renforcement du régime réglementaire de la santé au Canada
La stratégie prévoit que le Canada adoptera une approche proactive en matière de planification en amont des crises sanitaires. Le gouvernement entend s’assurer que les produits médicaux sont déjà disponibles au Canada afin qu’ils puissent être distribués rapidement en cas d’urgence. D’autres modifications récentes au Règlement sur les aliments et drogues permettent de prépositionner au Canada tous les médicaments d’urgence en santé publique, ce qui signifie qu’ils peuvent être importés dans des installations d’entreposage canadiennes avant que leur mise sur le marché n’ait été autorisée. La Stratégie s’appuie sur ces fondements, en faisant référence à l’organisme existant Préparation aux crises sanitaires Canada (PCSC), un organisme opérationnel spécial au sein d’Innovation, Sciences et Développement économique Canada (ISDE), et à un nouveau Fonds des sciences de la vie, lesquels « collaborent avec des partenaires internationaux et de soutenir l’élaboration et la production de contre-mesures médicales ». PCSC supervise la Stratégie en matière de biofabrication et de sciences de la vie du Canada, qui vise à développer un secteur national des sciences de la vie fort et compétitif doté de capacités de biofabrication de pointe, en mettant l’accent sur la capacité à se préparer et à faire face aux futures priorités et crises sanitaires. Dans cette optique, il y aura des occasions pour les fabricants de nouer des collaborations de recherche et des accords commerciaux ou d’approvisionnement liés aux contre-mesures médicales financées par des programmes fédéraux.
Étroitement lié aux capacités nationales, le pilier III de la stratégie implique « Investissement ciblé pour renforcer un secteur canadien de la défense novateur », avec la promesse que le gouvernement fédéral « soutiendr[a] la recherche et le développement, protéger[a] la propriété intellectuelle, soutiendr[a] les petites et moyennes entreprises, investir[a] dans les compétences et la formation, et encourager[a] les exportations afin de créer un secteur de la défense agile et concurrentiel à l’échelle mondiale ». La nécessité de favoriser le développement de la propriété intellectuelle (PI) et la conservation des droits du Canada est mentionnée à plusieurs reprises dans la Stratégie. Par exemple, la Stratégie prévoit l’établissement de partenariats officiels avec l’industrie canadienne qui « [assureront] la propriété et le contrôle nationaux de la propriété intellectuelle (PI) et des capacités essentielles. » La Stratégie reconnaît l’immense talent des établissements canadiens et la précieuse recherche qui y est menée actuellement et qui est déjà financée par des subventions de recherche d’organismes tels que le Conseil de recherches en sciences naturelles et en génie et les Instituts de recherche en santé du Canada, et fait aussi référence à l’engagement de 1,6 milliard de dollars pour de nouveaux fonds de recherche dans le budget de 2025. Cette prise de conscience de la nécessité de promouvoir et de soutenir l’innovation au Canada laisse présager des possibilités de financement, notamment dans les domaines où le Canada accuse un retard en matière de production nationale et où des engagements d’investissement et de fabrication au Canada peuvent être pris.
Prochaines étapes
Dans les prochains mois, nous prévoyons que le gouvernement du Canada publiera d’autres directives et des mesures de suivi. L’équipe de défense des conservateurs poursuivra sa couverture de perspectives sur la défense au Canada en publiant une analyse supplémentaire pour donner des précisions sur l’incidence de la Stratégie sur de multiples secteurs.