Dans la décision Centre intégré universitaire de santé et de services sociaux du Nord-de-l’Île-de-Montréal et FIQ — Syndicat des professionnelles en soins du Nord-de-l’Île-de-Montréal (grief syndical et grief collectif), 2026 QCTA 37 (a. Serge Brault), la FIQ – Syndicat des professionnelles en soins du Nord‑de‑l’Île‑de‑Montréal (ci-après, le « syndicat »), a déposé deux griefs — un syndical et un collectif — reprochant au Centre intégré universitaire de santé et de services sociaux du Nord‑de‑l’Île‑de‑Montréal (ci-après, l’ « employeur »)  un manquement à ses obligations légales et conventionnelles en matière de protection de la vie privée et des renseignements personnels.

Les faits sont brièvement les suivants. Dans le contexte de la pandémie de COVID‑19, l’employeur transmettait quotidiennement, par voie électronique, des listes de résultats de dépistage au ministère de la Santé et à divers employés autorisés. Le 18 septembre 2020, une gestionnaire a transmis par erreur, à 59 employés non autorisés, un fichier contenant des renseignements personnels concernant 37 408 usagers et employés, dont 977 professionnelles en soins représentées par le syndicat. Ces renseignements incluaient notamment le nom, la date de naissance, le numéro d’assurance maladie, l’adresse, le numéro de téléphone et le résultat de test de dépistage COVID‑19. L’employeur a reconnu la survenance de la fuite de données en médiation.

Le syndicat prétend que l’employeur est responsable des préjudices moraux et matériels conséquents au bris de confidentialité survenu. Il reproche à l’employeur son omission de se doter de politiques efficientes et de mesures de prévention adéquates. Il réclame notamment des dommages moraux et punitifs.

Le tribunal confirme d’abord qu’il possède la compétence requise pour se saisir du grief du syndicat. Contrairement à ce que plaide l’employeur, l’objet des griefs est une matière implicitement intégrée à la convention collective.

Puisqu’un grief collectif constitue « un cumul de griefs individuels », l’arbitre rappelle la nécessité pour le syndicat de prouver la présence d’un préjudice subi par l’ensemble des salariés concernés. Le tribunal ne retient pas l’argument du syndicat selon lequel la violation de la confidentialité entraînerait nécessairement un sentiment généralisé d’inquiétude et de stress susceptible de causer des inconvénients donnant lieu à des dommages. Puisque la preuve à ce sujet était très sommaire, voire inexistante, l’arbitre refuse la réclamation relative à des dommages moraux subis par des salariés victimes du bris de confidentialité.

La demande d’octroi de dommages punitifs est également rejetée. La preuve a notamment montré que l’employeur a rapidement pris des mesures correctives, dont la demande de destruction du fichier, la signature d’engagements de confidentialité, l’envoi d’une lettre de divulgation aux personnes concernées et la mise en place de mesures organisationnelles et technologiques additionnelles. En conséquence, les éléments de preuve présentés ne permettent pas à l’arbitre d’établir l’existence d’un manquement intentionnel justifiant l’attribution de dommages-intérêts punitifs.

Les griefs sont accueillis en partie. L’arbitre déclare que l’employeur a contrevenu à ses obligations en matière de protection du droit à la vie privée et à la protection des renseignements personnels. Cependant, il refuse d’accorder au syndicat les dommages réclamés.