Mesures injonctives contre des personnes inconnues – L’édition Ransomware – informations sur les cyber/données/confidentialité

Le 11 juillet 2023, la Haute Cour anglaise a rendu sa décision sur la demande du demandeur en Armstrong Watson LLP c. Personnes inconnues, accordant un jugement par défaut et une injonction définitive. Plus précisément, le tribunal a accordé au demandeur une injonction permanente contre des personnes inconnues – un groupe de pirates non identifiés – dans le but de restreindre l’utilisation et la divulgation d’informations confidentielles acquises par les pirates via une attaque de ransomware et d’exiger la suppression ou la remise de ces informations. Les questions centrales traitées par le tribunal étaient les suivantes :

• Si le demandeur pouvait procéder à sa demande sur papier sans audience, conformément aux Règles de procédure civile (RPC).
• Si le demandeur avait droit à un jugement par défaut.
• Quels étaient les recours appropriés pour l’allégation d’abus de confiance.

Arrière-plan

Le demandeur était une société à responsabilité limitée basée au Royaume-Uni fournissant des services comptables, fiscaux et financiers professionnels. Il avait été victime d’une attaque de ransomware entreprise par des pirates non identifiés qui menaçaient de divulguer ou de vendre les informations électroniques confidentielles obtenues – qui concernaient le personnel, les clients et l’entreprise du demandeur – sur le dark web ou dans le monde entier à moins qu’une rançon ne soit payé en bitcoin.

Le demandeur a déposé une demande urgente et sans préavis d’injonction provisoire en mars 2023, à la suite de l’attaque par rançongiciel. La plainte a été déposée contre des “inconnus”, qui auraient piraté le système informatique du demandeur.

Le des mesures provisoires ont été accordées par un jugement par l’honorable juge Ritchie dans les termes demandés par le demandeur, avec une disposition pour une date de retour et l’achèvement de diverses étapes par chaque partie à des dates spécifiées. A la date de retour, le tribunal a procédé en l’absence des prévenus, ceux-ci n’ayant pas réussi à s’identifier et à livrer ou supprimer les informations confidentielles faisant l’objet de la demande.

Le tribunal a jugé qu’il était convaincu que le demandeur s’était conformé à ses exigences procédurales, y compris le dépôt et la signification du formulaire de demande et des détails de la demande aux personnes inconnues. Dans les circonstances, le tribunal a autorisé d’autres méthodes de signification, à savoir la signification par courrier électronique en combinaison avec des messages texte pour alerter les défendeurs de l’existence des courriels, compte tenu des difficultés associées aux méthodes de signification plus traditionnelles. Cependant, aucune des démarches exigées des prévenus par le tribunal n’a été entreprise. Par conséquent, étant donné que les défendeurs n’ont pas respecté leurs obligations, le demandeur a demandé un jugement par défaut et une injonction définitive, qui a été accordée par l’honorable Mme la juge Collins Rice.

Questions examinées par le tribunal

Traiter la demande sur papier sans audience

• CPR r.23.8 prévoit qu’un tribunal peut traiter une demande sur papier sans audience si les parties sont d’accord ou si le tribunal ne considère pas qu’une audience serait appropriée dans les circonstances.
• En l’absence de tout développement matériel depuis l’ordonnance de référé accordant l’injonction, et étant donné que les défendeurs n’avaient aucunement participé à la procédure, le tribunal a appliqué la décision du Clarkson Plc c. Personnes inconnues pour conclure qu’une audience n’était pas appropriée.

Jugement par défaut

• CPR r.12.3 énonce les conditions de base à remplir avant de prononcer un jugement par défaut, notamment que le demandeur ait dûment déposé et signifié un formulaire de réclamation et les détails de la réclamation.
• Cette affaire concernait une plainte pour abus de confiance. Dans les détails de la demande, le demandeur a énoncé les éléments juridiques corrects de la cause d’action :
  • Que les défendeurs ont obtenu les informations sans consentement ni autorisation, et dans des circonstances dans lesquelles ils savaient ou auraient dû savoir que le demandeur s’attendait raisonnablement à ce que les informations soient et restent privées et confidentielles.
  • Que les défendeurs devaient au demandeur une obligation de confidentialité en conséquence.
  • Qu’en accédant aux informations et en menaçant de les divulguer, les défendeurs ont agi en violation de cette obligation de confidentialité.
• Les détails de la demande énoncent également des allégations de fait concernant chacun des éléments ci-dessus, y compris l’identité et la nature des informations, les circonstances dans lesquelles elles ont été obtenues et la ligne de conduite ultérieure des défendeurs – y compris les menaces de divulgation ou vente à moins que les demandes de paiement n’aient été satisfaites.
• Les conditions procédurales préalables au jugement par défaut ont également été remplies dans cette affaire, car les défendeurs n’avaient pas déposé et signifié une défense dans le délai imparti, et n’avaient fourni aucune réponse démontrant leur volonté d’engager la procédure.
• Le tribunal a donc jugé que le demandeur avait droit à un jugement par défaut.

Remède

• Le tribunal a estimé que le demandeur avait droit à une injonction permanente pour restreindre l’utilisation et la divulgation des informations et pour exiger la suppression ou la remise des informations.
• Les principales considérations du tribunal comprenaient la ligne de conduite des accusés associée à l’attaque par rançongiciel, leur incapacité à s’engager dans le litige et leurs violations des ordonnances précédentes.
• Le tribunal a estimé qu’il existait un risque élevé que les prévenus persistent dans leur ligne de conduite en mettant à exécution des menaces de divulgation illicite, à moins d’être clairement retenus par une décision de justice passible de sanctions.

Points clés à retenir

Les entreprises doivent prendre note de cet arrêt, car la procédure contentieuse déployée ici dans des circonstances où les accusés étaient des inconnus représente un outil stratégique dans la boîte à outils d’une victime d’une cyberattaque et constitue une ligne de défense supplémentaire pour empêcher la revente ou la divulgation d’informations confidentielles. Informations sur la société. La volonté du tribunal de rendre une ordonnance d’injonction définitive dans de telles circonstances est révélatrice des recours que le tribunal est prêt à imposer contre les acteurs de la menace non identifiés qui cherchent à causer du tort aux entreprises par le biais de cyberattaques.

Enfin, l’arrêt est utile d’un point de vue procédural, car il réaffirme les facteurs pertinents que le tribunal est susceptible de prendre en considération lorsqu’il évalue si une demande peut être tranchée sur papier sans audience et les conditions préalables procédurales en faveur d’un jugement par défaut.

Auteur

Joanne Elieli

En rapport