La Cour d’appel de l’Ontario a confirmé que l’analyse de la couverture d’assurance repose sur la nature réelle du sinistre pour lequel on demande une indemnité, et pas simplement sur la garantie que l’assuré choisit d’invoquer. Bien qu’elle se rapporte à une attaque par rançongiciel, cette décision rappelle de manière plus générale que, si une police d’assurance contient des dispositions sur une catégorie particulière de sinistre, ces dispositions peuvent s’appliquer même si l’assuré tente de faire valoir sa réclamation en invoquant une autre garantie. Cette analyse est cruciale pour les titulaires de polices d’assurance commerciale, les gestionnaires de risques et les avocat·es-conseils spécialisé·s en couverture qui évaluent les stratégies de recouvrement des indemnités ou qui négocient le renouvellement des polices.
Dans l’affaire Panasonic Canada Inc. v. XL Specialty Insurance Company, 2026 ONCA 633, la Cour d’appel de l’Ontario a statué qu’un avenant sur les rançongiciels s’appliquait aux sinistres découlant d’une attaque par rançongiciel, malgré le fait que l’assurée n’avait pas versé de rançon et qu’elle s’appuyait sur d’autres garanties de la police de base pour demander une indemnité.
Cette décision montre que le libellé d’un avenant peut régir les sinistres causés par les rançongiciels en fonction de la nature du sinistre, quelle que soit la garantie précise invoquée par l’entité assurée.
Les faits
Panasonic a déboursé environ 2 millions de dollars américains pour réagir à une attaque par rançongiciel, lors de laquelle des pirates ont accédé à son réseau sans autorisation et volé des renseignements confidentiels.
Panasonic a refusé de payer la rançon. Elle a ensuite demandé une indemnisation au titre de sa police d’assurance contre les cyberrisques, s’appuyant sur des garanties couvrant les dommages subis par l’assurée et par les tiers, ainsi que les mesures d’intervention en cas d’atteinte à la sécurité des données. Un litige est survenu entre les parties à propos de la franchise applicable à la réclamation. En effet, Panasonic estimait que la réclamation était assujettie à la franchise de 1,5 million de dollars américains prévue par la police de base. L’assureur voulait plutôt appliquer la franchise de trois millions de dollars américains prévue par l’avenant n° 023, relatif à la sous-limite de garantie en cas de rançongiciel (l’« avenant »).
La décision du tribunal de première instance
La juge saisie de la demande a estimé que la réclamation de Panasonic faisait intervenir la franchise de 1,5 million de dollars américains prévue dans la police de base.
La juge de première instance a conclu que le sinistre était couvert par la police de base et que Panasonic ne se fondait pas sur l’avenant pour justifier la couverture. Elle a jugé que l’avenant ne s’appliquait qu’aux réclamations faites au titre de cet avenant lui-même, concluant ainsi que la franchise plus élevée ne s’appliquait pas. Panasonic avait donc le droit à une indemnité correspondant au montant qui excédait la franchise de 1,5 million de dollars américains.
La décision de la Cour d’appel
La norme de contrôle
La Cour d’appel a jugé que l’interprétation de l’avenant pouvait faire l’objet d’un contrôle selon la norme de la décision correcte, d’après la décision Ledcor Construction Ltd. v. Northbridge Indemnity Insurance Co., pour ces raisons : 1) l’avenant faisait partie intégrante d’un contrat d’assurance type; 2) son interprétation avait valeur de précédent; et 3) il n’existait aucun contexte factuel significatif propre aux parties. La Cour a donc procédé à une nouvelle interprétation du libellé de la police.
L’application de l’avenant
La Cour d’appel a souligné qu’il fallait interpréter les avenants à la lumière de l’ensemble de la police. Comme l’avenant stipulait expressément qu’il [TRADUCTION] « modifie la police », la Cour a rejeté la conclusion de la juge de première instance, selon laquelle les définitions contenues dans l’avenant entraient en ligne de compte seulement si l’assurée demandait une indemnité au titre de l’avenant lui-même.
La Cour d’appel a plutôt estimé que l’avenant régissait tout sinistre qui répondait à la définition d’un [TRADUCTION] « sinistre lié à un incident de rançongiciel », lequel englobe tout sinistre [TRADUCTION] « découlant d’une menace de cyberextorsion, étant liée à celle-ci ou impliquant une telle menace de quelque manière que ce soit ».
La Cour d’appel a conclu que le sinistre que Panasonic avait subi découlait effectivement d’une menace de cyberextorsion ou y était lié, qu’il constituait donc un [TRADUCTION] « sinistre lié à un incident de rançongiciel » et que les dispositions de franchise prévues dans l’avenant s’appliquaient à ce sinistre.
Comme le montant convenu du sinistre de Panasonic ne dépassait pas le seuil de la franchise de trois millions de dollars américains, la réclamation était entièrement autoassurée. La Cour a accueilli l’appel, statuant que la franchise de trois millions de dollars américains trouvait application, puis a rejeté la demande.
Les points à retenir
Cette décision souligne l’importance d’analyser une police d’assurance dans son ensemble, y compris tous les avenants qui modifient ou restreignent la couverture. Même lorsqu’une entité assurée réclame une indemnité au titre des dispositions de la police de base, il est possible qu’un sinistre relève plutôt d’un avenant, et que cet avenant détermine les franchises, les sous-limites de garantie ou toute autre restriction applicable. Il est donc nécessaire de déterminer si un sinistre relève du champ d’application d’un avenant particulier, quelle que soit la garantie au titre de laquelle on demande une indemnisation.
Dans le contexte de l’assurance contre les cyberrisques, cela signifie que les sous-limites de garantie liées aux actes d’extorsion peuvent s’appliquer à des coûts qui ne sont pas liés à l’extorsion, comme les honoraires extrajudiciaires en cas d’atteinte à la sécurité des données, les enquêtes judiciaires, la restauration des données, le contrôle du crédit ou même l’interruption des activités.
