2016 QCCA 554, 2016 QCCA 554

Aldo Group Inc. c. Chubb Insurance Company of Canada 2016 QCCA 554 COUR D’APPEL CANADA PROVINCE DE QUÉBEC GREFFE DE MONTRÉAL N° : 500-09-023602-139 (500-17-072661-120) DATE : LE 4 AVRIL 2016 CORAM : LES HONORABLES YVES-MARIE MORISSETTE, J.C.A. MARIE-FRANCE BICH, J.C.A. MARIE ST-PIERRE, J.C.A. THE ALDO GROUP INC. APPELANTE / INTIMÉE INCIDENTE – demanderesse c.

CHUBB INSURANCE COMPANY OF CANADA INTIMÉE / APPELANTE INCIDENTE – défenderesse ARRÊT [ 1 ] L'appelante se pourvoit contre un jugement de la Cour supérieure, district de Montréal (l'honorable Marie-Anne Paquette), portant la date du 6 mai 2013, jugement qui rejette sa requête introductive d'instance. L'intimée interjette de son côté un appel incident. [ 2 ] Pour les motifs de la juge Bich, auxquels souscrivent les juges Morissette et St-Pierre, LA COUR : [ 3 ] REJETTE l'appel, avec les frais de justice en faveur de l'intimée. [ 4 ] REJETTE l'appel incident, avec les frais de justice en faveur de l'appelante.

YVES-MARIE MORISSETTE, J.C.A. MARIE-FRANCE BICH, J.C.A. MARIE ST-PIERRE, J.C.A. M e George J. Pollack M e Alexander Steinhouse DAVIES WARD PHILLIPS & VINEBERG Pour l’appelante – intimée incidente M e John Nicholl M e Emma Siemiatycki CLYDE & CIE CANADA Pour l’intimée – appelante incidente Date d’audience : 16 décembre 2014 MOTIFS DE LA JUGE BICH

[ 5 ] Disons-le d'entrée de jeu : la présente affaire, qui met en cause l'obligation de défendre incombant à l'assureur, est singulière et n'est pas destinée à faire école. Elle découle des relations dédaléennes qui unissent les émetteurs de cartes de crédit, les banques et autres institutions financières, les entreprises de traitement de paiement, les commerçants et leurs clients.

Mais elle procède aussi, pour partie, du lexique et de la sémantique caractéristiques des polices d'assurance, qui mettent parfois l'interprète au défi. * * [ 6 ] Voici l'essentiel des faits. [ 7 ] En vue de permettre à ses clients de régler leurs achats avec la carte de crédit MasterCard, l'appelante Groupe Aldo inc. (Aldo), en janvier 2008, conclut (ou, plus exactement, renouvelle) une série de contrats avec Moneris Solutions Corporation (Moneris), dont un « Moneris MasterCard National Account Merchant Agreement » [1] (Contrat), régi par les lois ontariennes [2] . Moneris signe cette entente à un double

titre : elle agit personnellement mais aussi comme mandataire de la Banque de Montréal (BMO). [ 8 ] Le Contrat comporte plusieurs parties. On y trouve ainsi un engagement général, une

annexe A précisant les « Moneris National Account Merchant Credit Card Agreement Terms and Conditions », une

annexe B énonçant les « MasterCard Fees and Floor Limits » et une

annexe C reproduisant un « Certificate of Compliance » de Moneris à certaines exigences de l'industrie du paiement. Seule l'annexe A nous intéresse ici. [ 9 ]

Le paragraphe 3.6 de cette

annexe oblige Aldo à respecter certaines normes de sécurité informatique destinées à assurer le bon fonctionnement du système de traitement des paiements ainsi que la protection des renseignements personnels des clients. Voici quelques extraits de cette disposition : 3.6 Data Security, Protection of Cardholder Information and Card Association Rules and Regulations You are responsible for complying with the Data Security Standards and all applicable laws related to Cardholder and Transaction Information.

It is your responsibility to ensure that you obtain and are in compliance with the most recent version of the PCI DSS available at https://www. pcisecuritystandards.org, or such other publicly available website as we may advise you of from time to time. In addition, you agree to follow the procedures that we provide you dealing with Transactions and Cardholder information.

We or the Card Association may change the Data Security Standards and/or procedures from time to time and you agree to implement these charges as required by the Card Association or the manner in which we advise. […] You and your third party service providers will adhere to the Card Association Rules and Regulations from time to time in effect. You must obtain all publicly available Card Association Rules and Regulations.

In the event that certain Card Association Rules and Regulations are not publicly available, we will advise you of these certain Card Association Rules and Regulations. […] You agree to use best efforts to provide us with assistance in the investigation of any suspicious activity, including, without limitation, suspected, potential or actual fraud, Card compromises or Card skimming incidents.

You must inform us immediately if you have or suspect you have, or any third party or third party software we have authorized you to use pursuant to this Agreement, has or you suspect has suffered, a security breach or security compromise involving Cardholder or Transaction information or data. You authorize an audit by a security firm approved by the Card Association if the Card Association requires the audit in connection with the actual or suspected security breach or compromise.

For greater certainty, the security firm shall be selected from an approved list of auditors issued by the Card Association as of the date of the audit request (provided such list exists as of the date of the audit request). You agree to implement all recommendations set forth by the audit. You are responsible for all costs and fees related to the audit, including the implementation of any recommendations.

You are responsible for any fines, fees, assessments, costs, including Card re-issuing costs and charges levied by the Card Association, the Bank and/or us as a result of your non-compliance with the Data Security Standards and all other Card Association Rules and Regulations applicable to you . You are relying on the PCI certificate attached hereto as

Schedule "C" as evidence of us being PCI compliant on the date hereof, a requirement of us under this agreement. [Je souligne.] [ 10 ] Signalons immédiatement que ni les « Card Association Rules and Regulations », émanant en l'occurrence de MasterCard Worlwide (MasterCard), ni les « Data Security Standards » ou le « Payment Card Industry Data Security Standard » (PCI DSS) dont il est question ci-dessus n'ont été produits en première instance, ce qui explique, bien sûr, qu'ils ne figurent pas non plus dans le dossier d'appel. L'on ne connaît de ces règles et normes que ce qui transpire – et c'est peu – de la correspondance entre les parties ainsi qu'entre MasterCard et BMO. [ 11 ]

L'article 4 de l'annexe A du Contrat, sous la rubrique générale « Processing your Transactions », décrit par le menu les diverses étapes d'un paiement par le titulaire d'une carte MasterCard désireux d'acquitter par ce moyen un achat auprès d'Aldo.

Le paragraphe 4.7, sous la rubrique « What each Sales Slip represents », se termine par la phrase suivante : You also agree to indemnify us and the Bank against all claims made against us by a Cardholder or Card issuer that arise, or are alleged

to arise directly or indirectly from any Transaction in which you are involved. [Je souligne.] [ 12 ]

L'article 5, qui concerne les « Banking Arrangements », stipule de son côté que : 5.8 Settlement and Adjustments […] (ii) You agree that we and the Bank may debit or set off from any of your bank accounts (or combinations thereto), the Reserve or any hold back under

Section 10.3, the amount of any: (

a) fees and charges , including MDR, transaction fees, Card Association assessments, fees or fines ; […] You agree to pay us or the Bank, as applicable, any sum owing under this Agreement that is not, or cannot be fully or permanently satisfied by debit or set off . If you process Transaction Records through a third party service provider, the settlement amount will be reduced by any Transaction Records we reject.

If you use a magnetic tape to deliver Transaction Records and the number of rejected Transactions on a single tape is excessive in our reasonable opinion, the Bank may refuse to credit your bank account with any of the Transactions listed on that tape until we receive an acceptable replacement tape. [Je souligne.] [ 13 ] Un contrat unit par ailleurs BMO à MasterCard [3] , qui permet à la première de fournir à ses clients les cartes de crédit de la seconde et de conclure avec les marchands les ententes nécessaires à leur utilisation [4] .

Selon ce qu'on comprend des termes de ce contrat – dont copie n'a pas, elle non plus, été produite en première instance et qui ne se trouve donc pas au dossier d'appel –, BMO se rend responsable envers MasterCard du défaut d'un marchand de respecter les règles de sécurité informatique qui s'imposent à lui.

C'est ainsi qu'en vertu de la clause 10.2.4.3 d'un certain manuel dont, ici encore, aucun exemplaire n'a été produit au procès [5] , MasterCard, lorsque survient un tel défaut, réclame de BMO des « ADC Operational Reimbursement » (c'est-à-dire des frais de surveillance et de remplacement des cartes compromises par un manquement aux règles de sécurité informatique) de même que des « ADC Fraud Recovery » (qui visent les pertes résultant de cette compromission).

Il appert cependant que les frais ainsi facturés ne correspondent pas nécessairement à des coûts réels et à un préjudice véritable, mais résultent plutôt de clauses pénales. [ 14 ] En plus de ces coûts d' Operational Reimbursement et de Fraud Recovery , MasterCard, cette fois en vertu de la clause 10.2.4.1 du même manuel, se réserve également le droit d'imposer à BMO une pénalité (dite « assessment ») de 100 000 $ par infraction aux règles de sécurité informatique. [ 15 ] Il appert que les sommes ainsi dues à MasterCard par BMO peuvent être débitées du compte de celle-ci auprès de celle-là.

C'est du moins ce qu'on infère d'une lettre dont il sera question plus loin. [ 16 ] En l'espèce, en septembre 2008, Aldo est la cible d'une intrusion informatique qui, semble-t-il, met en péril les données relatives à ceux et celles de ses clients qui ont utilisé dans ses boutiques leurs cartes de crédit MasterCard/BMO [6] . [ 17 ] Une enquête est menée [7] .

Selon le rapport qui s'ensuit, l'intrusion s'expliquerait par le manquement d'Aldo aux protocoles de sécurité que, selon le Contrat, elle s'est engagée à respecter afin de permettre l'usage des cartes MasterCard/BMO dans ses établissements. [ 18 ] Informée de la chose, MasterCard, par lettre datée du 31 mars 2011 [8] et conformément au contrat qui les lie [9] , réclame 4 891 628,13 $ US à BMO, somme ventilée comme suit : ADC Operational Reimbursement : 1 432 619,68 $ US ADC Fraud Recovery : 4 884 128,13 $ US Sous-total : 3 451 508,45 $ US Case management fee : 7 500,00 $ US TOTAL : 4 891 628,13 $ US [ 19 ] MasterCard annonce du même souffle à BMO que le compte de cette dernière sera, le 17 avril 2011, débité de la somme en question.

La lettre indique également que, pour le moment, MasterCard n'imposera pas la pénalité de 100 000 $ à BMO, à condition que celle-ci lui fasse parvenir certains documents dans un délai précis, documents qui attesteront que « the compromised entity [en l'occurrence Aldo] has achieved full compliance » [10] avec les règles de sécurité informatique applicables. [ 20 ] Par lettre du 4 avril 2011, Moneris (agissant pour BMO) avise Aldo qu'en vertu du sous-paragraphe 5.8(ii)(

a) de l'annexe A du Contrat [11] , elle effectuera à son tour sur les comptes de cette dernière, la ponction des 4 891 628,13 $ US réclamés par MasterCard à BMO [12] . Ce qui fut fait le 19 avril 2011, après que MasterCard, le 17 du même mois, eut elle-même prélevé le montant du compte de BMO. [ 21 ] Mais comment l'intimée Chubb du Canada Compagnie d'Assurance (Chubb) se trouve-t-elle mêlée à l'affaire? [ 22 ] C'est qu'Aldo détient auprès d'elle une assurance de responsabilité [13] qui la couvre notamment contre les réclamations suivantes, décrites dans l'avenant 15 de la police : Insuring Clause 5

October 22, 1998 5. The following is added to the Policy as subsection 4.1, Insuring Clause 5, Entity Liability Coverage & Security Holder Derivative Demand Coverage Insuring Clause 5 Entity Liability & Security Holder Derivative Demand Coverage 4.1 The Company [Chubb] shall pay on behalf of the Insured Organization [Aldo] all Loss which the Insured Organization becomes legally obligated to pay on account of any Entity Claim or any Security Holder Derivative Demand first made against such insured Organization during the Policy Period , or, if exercised, during the Extended Reporting Period, for: (

a) in respect of any Entity Claim , any Wrongful Act , committed, attempted or allegedly committed or attempted before or during the Policy Period . [ 23 ] La clause 11 de l'avenant 15 décrit ainsi les termes « Claim », « Entity Claim » et « Wrongful Act » qu'emploient les dispositions conventionnelles ci-dessus : 11. Subsection 38,

Definitions , is amended by adding the following: Claim means: (

d) For purposes of coverage under Insuring Clause 5 Entity Liability Coverage & Security Holder Derivative Demand Coverage : any Entity Claim or any Security Holder Derivative Demand . […] Entity Claim means: (

a) a written demand for monetary damages, (

b) a civil proceeding commenced by the service of a statement of claim, notice of application or similar pleading, or (

c) a formal administrative or regulatory proceeding commenced by the filing of a notice of charges, formal investigative order or similar document, against an Insured Organization for a Wrongful Act , including any appeal therefrom. […] Wrongful Act means solely for the purposes of coverage of an Entity Claim under Insuring Clause 5, Entity Liability Coverage & Security Holder Derivative Demand Coverage , any error, misstatement, misleading statement, act, omission, neglect, or breach of duty committed, attempted, or allegedly committed or attempted by the Insured Organization. [ 24 ] La clause 12 du même avenant définit pour sa

part le terme « Loss ». En voici l'extrait pertinent : 12. Subsection 38,

Definitions, Loss , is deleted and replaced by the following: Loss means the total amount covered under this policy which any Insured becomes legally obligated to pay on account of any Claim made against any Insured for Wrongful Acts , including, but not limited to, damages, judgments, settlements, costs and Defence Costs . Loss does not include […] (

e) fines or penalties imposed by law, including punitive damages, or the multiple portion of any multiplied damage award, […]. [ 25 ] Finalement, l'expression « Defence Costs », telle qu'on la retrouve dans les dispositions précitées, est définie par la clause 38 des conditions générales de la police : 38. […] Defence Costs mean that part of Loss consisting of reasonable costs, charges, fees (including but not limited to attorneys’ fees and experts' fees) and expenses (other than regular or overtime wages, salaries or fees of the directors, officers or employees of the Insured Organization ) incurred in defending any Claim and the premium for appeal, attachment or similar bonds. [ 26 ] Estimant que la réclamation qu'on lui adresse en avril 2011 et la ponction effectuée en conséquence dans ses comptes sont injustifiées, Aldo, en mai 2011, poursuit en justice Moneris et MasterCard (dont la réclamation contre BMO, soutient-elle, serait elle aussi injustifiée).

Elle intente son action en Ontario, et ce, en raison de la clause d'élection de loi et de for que stipule le Contrat [14] . Il ressort de sa demande introductive que son recours contre Moneris est de nature contractuelle alors que son recours contre MasterCard est de nature extracontractuelle. Aldo, qui n'a pas de lien contractuel avec cette dernière, lui reproche divers « torts » de « negligence » , « interference with contractual relations and conspiracy » et « unlawful interference with economic relations » .

Elle lui fait également grief d'un enrichissement injustifié [15] . [ 27 ] Parallèlement, Aldo, qui a promptement dénoncé le « sinistre » à Chubb, demande à celle-ci d'assumer sa défense dans l'action ainsi entreprise. Elle estime en effet que la réclamation que lui a adressée Moneris/BMO est tout à la fois une « Claim » et une « Entity

Claim » au sens de sa police d'assurance de responsabilité [16] , ce qui enclenche la couverture prévue par la clause 5-4.1 de l'avenant 15 [17] et enclenche aussi l'obligation de défendre que prévoit en ces termes la clause 16 des conditions générales de la police : 16. The Company shall have the right and duty to defend any Claim covered by this policy. Coverage shall apply even if any of the allegations are groundless, false or fraudulent. The Company's duty to defend shall cease upon exhaustion of the Company's applicable Limit of Liability set forth in Item 4 of the Declarations.

An Insured shall have the right to associate with the Company in the defence of any Claim , including but not limited to negotiating a settlement subject to the provisions of this section. The Company may make any investigation it deems necessary and may, with the consent of the Insured , make any settlement of any Claim it deems expedient.

If such Insured withholds consent to such settlement the Company's liability for all Loss on account of such Claim shall not exceed the amount for which the Company could have settled such Claim plus costs, charges and expenses accrued as of the date such settlement was proposed in writing by the Company to such Insured . No Insured shall settle any Claim , incur any Defence Costs , or otherwise assume any contractual obligation or admit any liability with respect to any Claim without the Company's written consent, which shall not be unreasonably withheld.

The Company shall not be liable for any settlement, Defence Costs , assumed obligation or admission to which it has not consented. All Insureds agree to provide the Company with all information, assistance and cooperation which the Company reasonably requests and agree they will do nothing that may prejudice the Company's position or its potential or actual rights of recovery.

Except when the insurance laws of the Province of Quebec apply to this policy, Defence Costs are part of and not in addition to the applicable Limit of Liability set forth in Item 4 of the Declarations, and the payment by the Company of Defence Costs reduces such applicable Limit of Liability. Only when the insurance laws of the Province of Quebec apply to this policy, Defence Costs are in addition to the applicable Limit of Liability set forth in Item 4 of the Declarations, and the payment by the Company of Defence Costs shall not reduce the applicable Limit of Liability.

Only when the insurance laws of the Province of Quebec apply to this policy, that part of Loss which is interest on a settlement or judgement is in addition to the applicable Limit of Liability set fort in Item 4 of the Declarations, and the payment by the Company of such interest shall not reduce the applicable Limit of Liability. [ 28 ] Selon Aldo, le fait que Chubb soit appelée à défendre une action entreprise par son assurée n'empêche pas l'application de cette disposition, l'action en question étant, vu les circonstances, l'équivalent d'une défense à la réclamation (« Claim ») faite contre elle par Moneris/BMO. [ 29 ] Par lettre du 3 juin 2011, tout en reconnaissant que « the letters from MasterCard dated March 31, 2011, when combined with Moneris' letter of April 4, 2011, constitute a written demand for monetary damages and hence an Entity Claim within the meaning of Endorsement No. 15 to the Policy » [18] , Chubb refuse néanmoins la demande d'Aldo.

Elle soutient que la réclamation est en effet exclue de la couverture d'assurance en raison des dispositions suivantes de la clause 6 de l'avenant 15 de la police : 6. The following is added to the Policy as subsections 13.1 and 13.2, respectively, Exclusions Applicable to Insuring Clause 5 Entity Liability Coverage & Security Holder Derivative Demand Coverage , and 13.2, Exclusions Applicable to Insuring Clause 5 Entity Liability Coverage & Security Holder Derivative Demand Coverage : […] 13.2 The Company shall not be liable under Insuring Clause 5 for Loss on account of any Entity Claim : […] (

b) based upon, arising from or in consequence of any actual or alleged liability assumed under or as a result of any oral or written contract or agreement with the Insured Organization . Provided, however, that this exclusion shall not apply to Loss for which the Insured Organization would be liable in the absence of such a contract or agreement. (

c) based upon, arising from or in consequence of bodily injury, mental anguish, emotional distress, sickness, disease or death of any person or damage to or destruction of any tangible property, whether or not it is damaged or destroyed, including loss of use thereof. Provided, however, that this exclusion shall not apply to Loss arising from humiliation or mental anguish on account of any Entity Claim brought within the geographic boundaries of Canada, pursuant to the provisions of the Personal Information Protection and Electronic Documents Act , S.C. 2000, Ch.

C.5, as amended, or pursuant to the same or similar provisions of any provincial or territorial statute, including any regulations promulgated thereunder. […] [ 30 ] Selon Chubb, la couverture étant ainsi exclue, il ne saurait y avoir d'obligation de défendre. Elle soutient également que, dans le cadre du Contrat, Aldo « [ has ] surrendered important rights to MasterCard and Moneris by contract, in particular the right to have its liability determined according to law by a court or independent adjudicator before any payment of loss was made » [19] .

Cela enfreindrait cette fois la clause 16 des conditions générales de la police [20] et priverait Aldo de la possibilité d'être défendue par Chubb. De toute façon, ajoute-t-elle, les frais qu'Aldo encourt aux fins de son action ontarienne ne constituent pas un « Loss » et n'engendrent pas non plus de « Defence Costs » au sens de la police. * * [ 31 ] À la suite du refus de Chubb, Aldo intente contre celle-ci une action en jugement déclaratoire. Cette action, variante d'une

requête de type Wellington, réclame ce qui suit : DECLARE that, under the terms of the Policy, Chubb owes a duty to defend Aldo in the Ontario Action; DECLARE that Chubb breached its duty to defend Aldo under the Policy in the Ontario Action, and, as a result of that breach, Aldo has no additional obligations to Chubb under the Policy; ORDER Chubb to pay Aldo all reasonable attorneys' fees and costs that Aldo has incurred and will incur in the Ontario Action that are in excess of the relevant deductible amount; and RESERVE Aldo's right to recover from Chubb the sum of USD$4.9 million.

THE WHOLE WITH COSTS. [ 32 ] Dans sa défense, reprenant essentiellement les moyens évoqués plus haut, Chubb fait valoir qu'elle n'a aucune obligation de défendre Aldo, puisque : 1° aucune action en justice n'a été intentée contre Aldo alors que l'obligation de défendre prévue par la clause 16 des conditions générales de la police suppose l'existence d'une telle action, sans laquelle il ne peut y avoir ni « Loss » ni « Defence Costs » au sens de ladite police; 2° la police d'assurance ne saurait s'appliquer à la réclamation de Moneris/BMO, s'agissant d'une réclamation contractuelle qui enclenche l'exclusion de couverture prévue par la clause 6-13.2(

b) de l'avenant 15 de la police, d'où s'ensuit l'absence d'une obligation de défendre; 3° par le Contrat qui la lie à Moneris/BMO, Aldo s'est engagée à respecter les déterminations de MasterCard et a renoncé à de nombreux droits (dont le droit de faire déterminer sa responsabilité par une cour de justice ou un décideur indépendant), tout cela sans la connaissance ou le consentement de Chubb, ce qui, aux termes de la police, entraîne la non-application de l'obligation de défendre. [ 33 ] Notons que la défense écrite de Chubb invoque également l'exclusion prévue par la clause 6-13.2(

c) de l'avenant 15 de la police, allégation qui paraît avoir été abandonnée, puisqu'il n'en sera pas question dans le jugement de la Cour supérieure (voir infra ) et qu'il n'en est pas non plus question en appel. Je n'en traiterai donc pas. * * [ 34 ] L'affaire est entendue par la Cour supérieure en mars 2013.

Jugement est rendu en date du 6 mai 2013, rejetant l'action d'Aldo [21] . [ 35 ] La juge de première instance estime tout d'abord que si ce n'était de l'application de la clause d'exclusion 6-13.2(b), la situation, malgré son caractère certainement inusité, serait de nature à enclencher l'obligation de défendre incombant à Chubb, qui devrait alors assumer les coûts de l'action entreprise par Aldo contre Moneris et MasterCard.

En effet, cette action a, en réalité, les attributs d'une défense à la réclamation de 4 891 628,13 $ US faite à Aldo, réclamation qui est elle-même une « Entity Claim » et, donc, une « Claim » au sens de la police et, en particulier, au sens de la clause 16 de celle-ci, qui régit l'obligation de défendre. [ 36 ] Cependant, si le fait qu'Aldo poursuive Moneris et MasterCard, plutôt que d'être poursuivie par elles, ne libère pas Chubb de son obligation d'assumer la défense et les coûts de cette action, il en va autrement, selon la juge, de la clause 6-13.2(

b) de l'avenant 15 de la police. Cette disposition, dont le libellé figure au paragraphe [28] supra , exclut en effet de la couverture d'assurance les sinistres rattachés à la responsabilité contractuelle de l'assurée.

Or, estime la juge de première instance, c'est précisément d'une telle responsabilité contractuelle qu'il s'agirait en l'espèce : si ce n'était du Contrat, Aldo n'encourrait et n'aurait pu encourir aucune responsabilité envers Moneris ou MasterCard. [ 37 ] Aldo soutient cependant que s'applique ici l'exception à l'exclusion formulée par la clause 6-13.2(b) (« this exclusion shall not apply to Loss for which the Insured Organization would be liable in the absence of such a contract or agreement »).

Elle fait valoir en effet que sa responsabilité extracontractuelle pourrait être engagée envers les titulaires de cartes MasterCard dont les informations personnelles auraient été compromises par l'intrusion informatique de 2008. La juge rejette cet argument : [57] Aldo deploys impressive efforts to tack on the Ontario Action to its extra contractual liability to its customers, and bypass the Contractual Liability Exclusion of the Policy. Aldo begs the Tribunal to read into the Ontario Action issues which do not arise from it.

Aldo hammers that its extra contractual liability to its customers is at stake. [58] With all due respect, such is not the case. [59] Although interesting, Aldo’s references to its potential extra contractual liability to its customers have no connection to the reality of the Ontario Action, for which Aldo seeks its insurer's support. In view of the parties’ respective positions in the current proceedings and of the alleged supporting documents, there is no real possibility of a debate on this issue.

Unsubstantiated speculations are not sufficient to overcome the Contractual Liability Exclusion. [60] More particularly, there is no proof or allegation that the alleged ADC Event resulted in any claim by a cardholder or in any reimbursement to a cardholder. The claim is only about Moneris/Mastercard taking money from Aldo. [61] The Assessment was neither made by cardholders nor on their behalf. It was entirely done, as Moneris alleges, pursuant to the Agreement, which incorporates by reference PCIDSS, and all other Card Association Rules and Regulations applicable.

Hence, the bulk of the attention in the Ontario Action is on compliance with the Agreement and with these conventional rules.

[ 38 ] Finalement, la juge décide qu'Aldo a contractuellement renoncé à certains des droits qu'elle aurait pu faire valoir en l'espèce contre MasterCard et Moneris, notamment en acceptant que ses comptes soient débités des sommes réclamées, et ce, sans jugement préalable, sans preuve que des transactions frauduleuses sont survenues par suite de l'intrusion informatique ou que des dommages ont été causés aux titulaires de cartes.

Aldo aurait aussi, en adhérant aux règles de sécurité prévues par le Contrat, renoncé à contester les déterminations de MasterCard quant à la survenance de l'incident informatique ou à ses causes. De l'avis de la juge, ces renonciations, qui ont été faites sans l'aval de Chubb, qui n'en avait pas connaissance, enfreignent la clause 16 des conditions générales de la police et font perdre à Aldo le bénéfice de la couverture d'assurance tout autant que celui de l'obligation de défendre. * * [ 39 ] Aldo se pourvoit.

Elle reprend essentiellement les arguments présentés en première instance : l'exclusion prévue par la clause 6- 13.2(

b) de l'avenant 15 ne s'applique pas à sa situation; le Contrat ne comporte aucune renonciation qui lui ferait perdre le bénéfice de la couverture décrite par la clause 5-4.1 de l'avenant 15 et celui de l'obligation de défendre qu'énonce la clause 16 des conditions générales de la police. [ 40 ] Chubb se pourvoit également par voie d'appel incident. Quoiqu'elle soit satisfaite du dispositif du jugement, elle soutient néanmoins que la juge a erré en considérant que la situation se prêtait à l'obligation de défendre, Aldo n'ayant pas été poursuivie en justice et n'étant pas défenderesse à une action en justice.

Or, selon Chubb, ce serait là la seule circonstance susceptible d'engendrer des « Defence Costs » et un « Loss » au sens de la police. [ 41 ] On notera que, avant l'audition de ces appels, la Cour a fait parvenir aux avocats des parties une lettre les invitant à considérer la question suivante : l'absence de lien contractuel direct entre Aldo et MasterCard est-elle susceptible d'influencer l'application de la clause 6-13.2(

b) de l'avenant 15 de la police? À l'audience, Aldo souligne le caractère non contractuel, en effet, de la réclamation de MasterCard et de sa propre réclamation à l'égard de celle-ci, ce qui entraînerait l'application de l'exception à l'exclusion que stipule la clause 6-13.2(b).

Chubb affirme de son côté que cela n'a aucune importance aux fins de l'interprétation de la clause d'exclusion, qui doit être appliquée comme la juge de première instance en a décidé. * * [ 42 ] Une observation préliminaire s'impose avant que d'analyser les prétentions des parties. [ 43 ] J'ai fait allusion plus tôt à la minceur de la preuve documentaire sur certains points. On peut noter tout aussi bien la pauvreté de la preuve produite par les parties au soutien de l'exercice de détermination du sens et des effets des diverses dispositions pertinentes de la police.

En l'absence de toute indication sur les circonstances dans lesquelles ce contrat d'assurance a été discuté, négocié (le cas échéant) et conclu ou sur la manière dont les parties l'ont appliqué dans le passé, éléments qui auraient pu, conformément à l'

article 1426 C.c.Q. , nous renseigner sur l'intention commune des parties ( art. 1425 C.c.Q. ), il faut s'en remettre au seul texte du contrat, à la lumière des règles énoncées par les articles 1427 et s. C.c.Q. et autres règles jurisprudentielles. * * [ 44 ] Il conviendra de statuer d'abord sur l'appel incident : la juge de première instance a-t-elle erré, comme le prétend Chubb, en concluant que la situation d'Aldo était propre à enclencher l'obligation de défendre prévue à la clause 16 des conditions générales de la police?

Il y a lieu de répondre à cette question par la négative. [ 45 ] Constatons d'abord, à l'instar de la juge, que la réclamation de Moneris/BMO à l'endroit d'Aldo est une « Entity Claim » et, partant, une « Claim » aux fins de l'avenant 15 de la police et, en particulier de sa clause 5-4.1.

Cette clause, on l'a vu plus tôt, définit la couverture d'assurance de responsabilité sur laquelle se sont entendues les parties et prévoit que Chubb doit indemniser Aldo de toute perte « which the Insured Organization becomes legally obligated to pay on account of any Entity Claim ». [ 46 ] Aux termes de la clause 11 du même avenant [22] , qui modifie la clause 38 des conditions générales de la police (disposition qui définit les termes employés par celles-ci), est une « Claim » assurée toute « Entity Claim », laquelle se décline en trois variations reprises ci-dessous par commodité : (

a) a written demand for monetary damages, (

b) a civil proceeding commenced by the service of a statement of claim, notice of application or similar pleading, or (

c) a formal administrative or regulatory proceeding commenced by the filing of a notice of charges, formal investigative order or similar document, […]. [ 47 ] Chubb reconnaît explicitement [23] que la réclamation que Moneris adresse à Aldo en avril 2011, pour le compte de BMO, est une « written demand for monetary damages », et qu'elle constitue de ce fait une « Entity Claim » au sens de l'avenant 15 de la police. On comprend donc que la juge ait conclu en ce sens et rien ne justifie que l'on infirme cette interprétation, que Chubb ne conteste du reste pas.

Or, une « Entity Claim » est une « Claim » au sens de la clause 11 de l'avenant 15, « Claim » faite ici à l'encontre d'Aldo et de nature à engendrer une perte indemnisable au sens de la clause 5-4.1 du même avenant. [ 48 ] On aurait pu être tenté de donner aux termes « written demand for monetary damages », en rapport avec l'idée d'« Entity Claim », une signification plus étroite, qui, par exemple, aurait coïncidé avec l'idée de la mise en demeure précédant un recours en justice à être institué contre l'assuré, mais l'acception que retient la juge de première instance est conforme à la lettre du texte de la police, un texte large et général, et conforme aussi à l'interprétation que Chubb elle-même en fait.

Il n'est donc pas nécessaire d'aller plus loin. [ 49 ] Or, s'il y a « Claim » au sens de l'avenant 15, l'obligation de défendre que la clause 16 des conditions générales impose à Chubb

ne doit-elle pas s'enclencher? Cette clause prévoit en effet que Chubb « shall have the right and duty to defend any Claim covered by this policy » (je souligne). Elle ne fait aucune distinction entre les diverses sortes de réclamations visées par l'avenant 15 (dont les trois variétés d'« Entity Claims » décrites plus tô

t) et elle ne réserve pas l'obligation de défendre aux seuls cas où la réclamation se manifeste par une « civil proceeding commenced by the service of a statement of claim, notice of application or similar pleading » (ce qui correspond au paragr. (

b) de la définition d'« Entity Claim »). Chubb a donc l'obligation de défendre « any Claim », quelle qu'elle soit, et de le faire « even if any of the allegations are groundless, false or fraudulent ». [ 50 ] Certes, la clause 16 est rédigée d'une manière et dans une langue qui s'accordent avec la réclamation prenant la forme de l'action en justice. Cela n'étonne pas, puisque c'est le cas de figure habituel de l'obligation de défendre. Mais il ne s'ensuit pas que l'obligation de défendre ainsi prévue soit réservée à ce seul cas.

Aux termes de cette disposition, Chubb a en effet l'obligation de défendre « any Claim » – ce qui inclut les trois formes d'« Entity Claim » prévues par l'avenant 15. Il ne paraît donc pas déraisonnable, au contraire, d'adapter le langage employé par les parties au type de réclamation en cause, sans quoi cette obligation serait indûment réduite à celle de défendre uniquement les actions civiles intentées en justice contre l'assuré, c'est-à-dire les « Entity Claim » de la catégorie (

b) ci-dessus [24] . Une telle conclusion serait contraire à la clause 16, qui, répétons-le, parle de défendre « any Claim » et pas seulement les « civil proceeding commenced by the service of a statement of claim, notice of application or similar pleading ». [ 51 ] Peut-être est-ce là, comme le soutient Chubb dans son mémoire d'appel [25] , une lecture à laquelle se prête l'

article 2503 C.c.Q. , qui établit le droit commun en matière d'obligation de défendre (droit commun auquel on peut ajouter, bien qu'on ne puisse y déroger vu l' art. 2414 C.c.Q. ). On peut cependant ajouter au droit commun. Or, les termes de la clause 16, qui doivent être lus en conjonction avec ceux des clauses 5-4.1 et 11 de l'avenant 15, sont plus larges et sont par ailleurs conciliables avec l'idée d'une obligation de défendre plus étendue.

Du moins est-ce là une acception qui s'arrime au texte et au contexte de la clause 16. [ 52 ] Dans son mémoire, Chubb soutient que l'extension de l'obligation de défendre à une situation telle celle de l'espèce est sans précédent et qu'elle n'est pas non plus désirable, puisqu'elle aurait pour effet de révolutionner l'obligation de défendre et d'en faire autre chose que ce que conçoivent le droit des assurances et les praticiens de cette discipline [26] . [ 53 ] On ne peut pas nier le caractère atypique de la situation, qui ne relève certainement pas de l'ordinaire.

Mais il faut voir aussi que l'interprétation retenue par la juge de première instance ne se veut pas un postulat général destiné à transformer l'obligation de défendre. Il s'agit d'une solution particulière, fondée sur les termes particuliers d'un contrat particulier.

Qu'on s'écarte de l'usuel ne peut, en soi (et sous réserve d'une erreur manifeste et dominante), justifier que l'on substitue à l'interprétation donnée par la juge au texte de la police une lecture qui serait conforme à la conception que s'en fait Chubb. [ 54 ] La défense qu'envisage la clause 16 n'est donc pas limitée à la contestation d'une action en justice intentée contre l'assurée .

Cela, d'ailleurs, n'a rien d'incompatible avec le sens que les dictionnaires courants donnent au verbe « défendre »/« to defend », qui ne se limite pas à la défense contre une action en justice en bonne et due forme, mais renvoie plus généralement aux notions de protéger, soutenir, secourir, intercéder ou appuyer [27] . [ 55 ] Cela dit, la manière de défendre une réclamation différera selon que l'on a affaire à une « written demand for monetary damages », une action en justice ou une procédure administrative ou réglementaire.

Elle donnera toutefois lieu dans les trois cas à des « Defence Costs » qui seront à la charge de Chubb.

Notons à cet égard que, contrairement à ce qu'affirme cette dernière dans le cadre de son appel incident, la définition, elle aussi très large, donnée par la police à l'expression « Defence Costs » n'exclut aucunement la possibilité que l'obligation de défendre de Chubb s'étende à autre chose que la défense, au sens strict, à l'action en justice entreprise contre l'assuré. [ 56 ] Tout cela étant, et pour résumer, on peut donc conclure que l'obligation de défendre incombant à Chubb en vertu de la clause 16 des conditions générales de la police peut se déployer dans un cadre autre que celui d'une action en justice intentée contre Aldo.

S'il s'agit de se défendre contre une « written demand for monetary damages », cela peut impliquer ou requérir – et c'est précisément le cas ici – l'institution par l'assurée d'une action en justice contre la réclamante. Du moins est-ce là l'interprétation que retient la juge de première instance, tenant compte du cadre général de la police : [39] In essence, Aldo is seeking CHUBB's support in defending to the March 31, 2011 and April 4, 2011 claim (Mastercard/Moneris Claim).

CHUBB already acknowledged that the letter from MasterCard dated March 31, 2011, when combined with Moneris' letter of April 4, 2011, constituted a written demand for monetary damages, and hence an ''Entity Claim'' within the meaning of the Policy. [40] Aldo's Ontario Action is a defensive response to this claim. Aldo was forced to take steps to recover the funds allegedly unlawfully withdrawn.

But for the US$ 4.9M Assessment imposed through automatic withdrawal from Aldo's Bank account, Aldo would have been a defendant in regards to the ADC Event reported. [41] Aldo's formal change of status as a result of Assessment imposed does not change the true nature of the claim regarding which the Tribunal has to decide whether the insurer has a duty to defend or not. [Renvois omis.] [ 57 ] Il n'y a pas d'erreur manifeste et déterminante dans ce raisonnement, qui tend à donner sa pleine portée à la clause 16 et mérite déférence [28] .

La juge n'aurait d'ailleurs pu choisir meilleur terme que celui de « defensive response » pour décrire l'action ontarienne d'Aldo. Dans une situation de ce genre, la clause 16 signifie donc que Chubb est tenue de soutenir son assurée dans l'action entreprise par celle-ci, et d'en assumer les coûts. [ 58 ] On peut concéder qu'une telle obligation n'est pas habituelle, et que l'obligation de défendre de l'assureur n'est généralement pas mise en œuvre dans le contexte de ce qu'un tribunal américain a déjà qualifié de « affirmative prosecution of a lawsuit » [29] .

Les présents motifs, sur ce point, ne se veulent donc pas une proposition de principe. En l'espèce, cependant, cette obligation découle directement des termes de la police ainsi que de la nature et des circonstances assez inhabituelles, voire uniques, de la réclamation faite contre l'assurée.

[ 59 ] Notons enfin que l'on pourrait se demander ici, chose que personne n'a porté à l'attention de la juge ni à celle de la Cour, si l'obligation de défendre de Chubb pourrait, en considération du principe énoncé par le juge Dalphond dans Géodex inc. c. Zurich, compagnie d'assurances [30] , se limiter à cette portion de l'action qu'Aldo a entreprise contre Moneris. MasterCard, en effet, n'a jamais rien réclamé d'Aldo (même si c'est sa réclamation à BMO qui est à l'origine de la réclamation de celle-ci, faite par le truchement de Moneris).

Vu toutefois la manière dont je propose de statuer sur l'appel, je ne crois pas utile de répondre à cette question. [ 60 ] Cela règle donc l'appel incident, qui sera rejeté. * * [ 61 ] Cette question réglée, l'on doit maintenant se demander – ce qui est au cœur du pourvoi principal – si Aldo perd le bénéfice de cette obligation de défense en raison de l'exclusion de couverture stipulée par la clause 6-13.2(

b) de l'avenant 15 ou parce qu'elle aurait renoncé à certains droits, sans le consentement de Chubb, enfreignant ainsi son obligation de coopérer avec celle-ci. [ 62 ] Sur le premier point, comme on l'a vu précédemment [31] , la juge décide que la réclamation faite contre Aldo et la responsabilité qui en découle sont purement contractuelles, ce qui entraîne l'application de la clause d'exclusion : [47] The Ontario Action is a purely contractual dispute which falls under the "Contractual Liability Exclusion".

The allegations made by Mastercard/Moneris in the documents that define the MasterCard/Moneris Claim [renvoi omis] and in the Ontario Action [renvoi omis] are contractual in nature. Aldo's contractual liability under the Agreement and Moneris/MasterCard's contractual obligations under same are in dispute in the Ontario Action. Nothing else. [48] CHUBB therefore has no duty to defend Aldo in respect of same. […] [62] Aldo’s alleged liability to Moneris/MasterCard, or lack thereof, flows from the Agreement and Aldo's adherence to PCIDSS and all other Card Association Rules and Regulations applicable.

These allegations do not raise a debate on Aldo's extra contractual obligations. But for the Agreement, Aldo would not have been liable to Moneris/MasterCard for the amount debited to its bank account. [63] The entire dispute in the Ontario Action is contractual.

It pertains to the Agreement, to the 2010 Security Rules, to the Prior Security Rules and to the PCIDSS, on which Aldo and Moneris rely. [ 63 ] Sur le deuxième point, comme on l'a déjà vu également [32] , la juge estime qu'Aldo, aux termes du Contrat, a renoncé à certains droits et, de ce fait, enfreint la police d'assurance la liant à Chubb, manquant ainsi à l'obligation de coopération qui lui incombe et perdant du même coup le bénéfice de la couverture d'assurance et celui de l'obligation de défendre : [68] The Agreement permits the automatic debit of Aldo's account even in the absence of any proof of fraudulent transactions resulting from an ADC Event attributable to Aldo or in the absence of resulting claim or threat of a claim by a card holder. [69] The relevant Security rules [renvoi omis], to which Aldo committed when it entered into the Agreement, even provide that MasterCard determinations with respect to the occurrence of and responsibility for ADC Events or Potential ADC Events are conclusive and are not subject to appeal or review. [70] These contractual commitments were made without CHUBB’s knowledge or consent.

They deprive CHUBB of its right to defend and amount to a breach of Aldo’s obligation to cooperate with the insurer, as per the jurisprudence [renvoi omis] and as per the Policy. […] [71] Such a breach disentitles Aldo to Policy coverage. [72] Although entered into for sound commercial reasons, Aldo could not, by contract, abandon its right to object to payment and pass that risk to CHUBB. The Agreement limits Aldo's right to defend against the allegedly illegal withdrawal.

CHUBB never accepted such a limitation and cannot be forced to live with it. [73] Aldo replies that it did not breach its obligations to CHUBB, as the Agreement was entered into before the Policy and well before the Claim even existed. [74] The Tribunal rejects Aldo’s submission in this regard. The timing of the Aldo’s renunciations of rights or admissions is irrelevant. The only relevant issue is whether or not the insurer consented to such renunciations or limitations.

In the present matter, CHUBB clearly did not. [ 64 ] Examinons tour à tour ces deux questions, mais en commençant par la seconde. [ 65 ] La renonciation d'Aldo à certains droits. La clause 16 [33] des conditions générales de la police liant les parties prévoit que : […] No Insured shall settle any Claim , incur any Defence Costs , or otherwise assume any contractual obligation or admit any liability with respect to any Claim without the Company's written consent, which shall not be unreasonably withheld.

The Company shall not be liable for any settlement, Defence Costs , assumed obligation or admission to which it has not consented. […]

[ 66 ] Avec égards pour la juge de première instance, on ne peut voir dans le Contrat (ou ailleurs dans la preuve) qu'Aldo aurait admis sa responsabilité ou les faits y donnant prise, ou encore qu'elle aurait renoncé au droit de contester les déterminations faites à son endroit par MasterCard (et relayées par Moneris pour le compte de BMO) en relation avec l'intrusion informatique de 2008. [ 67 ] En effet, rien dans le Contrat ne prévoit expressément une telle admission ou renonciation.

La conjonction des clauses 3.6 [34] et 5.8 [35] de l'annexe A ne permet pas non plus de conclure à l'expression d'une admission ou d'une renonciation implicite. Qu'Aldo, aux termes de la première de ces clauses, soit responsable « for any fines, fees, assessments, costs [ … ] levied [ … ] as a result of your non- compliance with the Data Security Standards and all other Card Association Rules and Regulations applicable to you » ne signifie pas qu'elle a renoncé à contester l'existence du manquement reproché ou le caractère illégal, abusif ou indu des frais qui lui sont réclamés.

De même, qu'elle ait consenti à la mécanique de ponction prévue par la clause 5.8(ii)(

a) n'entraîne pas qu'elle ait renoncé au droit d'en contester les conditions d'application, à commencer par l'existence même du reproche qu'on lui adresse ou la validité des charges dont on lui impose le paiement par ce moyen qui n'est, justement, qu'une mécanique et non pas un acte de reconnaissance ou d'acquiescement aux prétentions de Moneris, BMO ou MasterCard.

Aucune autre disposition du Contrat ne peut par ailleurs être lue comme engendrant ou constituant une renonciation à quelque droit d'Aldo de faire valoir cette contestation. [ 68 ] Au soutien de sa conclusion, la juge de première instance, au paragraphe 69 du jugement, renvoie aux « MasterCard Security Rules and Procedures », et plus exactement l'article 10.2.1 de celles-ci. Or, le manuel qui énonce ou contient ces règles et procédures (qu'Aldo s'engage à respecter par la clause 3.6 de l'annexe A du Contrat) n'a pas été mis en preuve au procès.

C'est la lettre P-5, adressée à Aldo par Moneris le 4 avril 2011, qui en fait mention : Further to our conversation on Friday April 1, 2011 regarding the March 31, 2011 communications that we received from MasterCard (copies of which were forwarded to you via email on April 1 st ), your settlement account(

s) will be debited on April 18, 2011 for the amounts referenced in the MasterCard communications, namely USD $4,891,628.13 and USD $52,851.21. As we discussed, we have sought confirmation from MasterCard on the applicable appeal process, if any, as

section 10.2.1 of the MasterCard Security Rules and Procedures provides “Except as otherwise expressly provided for in the Standards, MasterCard determinations with respect to the occurrence of and responsibility for ADC Events or Potential ADC Events are conclusive and are not subject to appeal or review with MasterCard”. […] [ 69 ] Il était hasardeux de conclure qu'Aldo a admis sa responsabilité ou renoncé à contester la réclamation sur la foi d'une disposition dont la première phrase précise que les déterminations de MasterCard sont concluantes (on ne sait trop à l'égard de qui) « [e]xcept as otherwise expressly provided for in the Standards ».

Sans compter que la lettre P-5 de Moneris se poursuit de la manière suivante, qui renvoie toujours au même manuel, apparemment :

Section 3.1.2.4 of the MasterCard Rules provides that “A Member may request that the Secretary of this Corporation review an assessment imposed by the Corporation for non-compliance with a Standard. Such request must be submitted in writing and signed by the Member's principal contact. The request must be postmarked no later that 30 calendar days after the date of the disputed assessment. The Corporation will assess a USD $500 fee for each request for review of a non-compliance assessment.

The fee will be refunded only if the assessment is refunded in full.” [ 70 ] En l'occurrence (ce que relève également la lettre ci-dessus), MasterCard avait choisi de ne pas imposer de tel « assessment » à BMO [36] , mais l'on voit bien que, si cela avait été le cas, un droit de contestation était bel et bien prévu (qui, on le suppose, aurait pu être exercé par BMO à la demande d'Aldo). [ 71 ] À mon avis, au pire, cette correspondance laissait entrevoir, peut-être, la possibilité d'une admission ou d'une renonciation contractuelle qui n'a cependant pas été établie de façon prépondérante, ce dont Chubb avait le fardeau. [ 72 ] On remarque, il est vrai, que le paragraphe 39 du « Fresh as Amended Statement of Claim » d'Aldo dans son action ontarienne allègue que MasterCard prétend accorder un caractère concluant à ses déterminations, mais, au vu de ce qui précède et en l'absence du manuel de MasterCard, il est néanmoins impossible de tirer la conclusion qu'Aldo a contractuellement renoncé, et ce, d'avance, à contester la réclamation litigieuse. [ 73 ] Pour toutes ces raisons, on ne peut par ailleurs conclure qu'Aldo a transigé avec Moneris, BMO ou MasterCard et réglé la réclamation (« settle the Claim ») au sens de la clause 16 des conditions générales de la police d'assurance. [ 74 ] Notons enfin, dans un autre ordre d'idées, que rien dans le présent dossier ne démontre qu'Aldo, depuis la dénonciation diligente du sinistre, soit de quelque façon en défaut de collaborer avec son assureur [37] . [ 75 ] L'exclusion stipulée par la clause 6-13.2(

b) de l'avenant 15. On connaît la règle : l'obligation de défendre n'existe pas en l'absence d'une couverture d'assurance, c'est-à-dire lorsque la réclamation en cause n'est pas visée par la police ou en est exclue, et ce, sans équivoque [38] . Comme le rappelle toutefois la Cour suprême dans Progressive Homes Ltd. c.

Cie canadienne d'assurances générales Lombard , à moins qu'elles ne soient limpides, « les dispositions concernant la protection reçoivent une interprétation large, et les clauses d’exclusion, une interprétation restrictive » [39] , les secondes devant être lues à la lumière des premières [40] . [ 76 ] En l'espèce, la clause de couverture 5-4.1 de l'avenant 15 de la police oblige l'assureur à indemniser son assurée de toute perte encourue par suite d'une réclamation (« any Entity Claim ») qu'elle est légalement tenue de payer.

Chubb ne nie pas que le libellé de cette clause est suffisamment général pour inclure la responsabilité contractuelle, qui serait cependant exclue ici en raison de la clause 6- 13.2(

b) de l'avenant 15, que je reproduis de nouveau : 6. The following is added to the Policy as subsections 13.1 and 13.2, respectively, Exclusions Applicable to Insuring Clause 5 Entity Liability Coverage & Security Holder Derivative Demand Coverage , and 13.2, Exclusions Applicable to Insuring Clause 5 Entity Liability Coverage & Security Holder Derivative Demand Coverage : […]

13.2 The Company shall not be liable under Insuring Clause 5 for Loss on account of any Entity Claim : […] (

b) based upon, arising from or in consequence of any actual or alleged liability assumed under or as a result of any oral or written contract or agreement with the Insured Organization . Provided, however, that this exclusion shall not apply to Loss for which the Insured Organization would be liable in the absence of such a contract or agreement. [ 77 ] Que signifie cette clause? [ 78 ] Revenons d'abord sur ce que je signalais plus tôt [41] : la recherche de l'acception de cette clause se confond avec celle de l'intention commune des parties ( art. 1425 C.c.Q. ).

Or, celles-ci n'ont fourni ni même allégué aucun élément de contexte en vue de faciliter cet exercice d'interprétation.

Ainsi, l'on ignore les circonstances de la conclusion du contrat ou de la stipulation de cette exclusion, l'on ignore si le contenu de la police a été négocié ou s'il s'agit d'un contrat d'adhésion, l'on ne sait pas non plus s'il s'agit d'une police ou d'une clause d'exclusion standard, que les parties auraient adoptée sciemment (c'est-à-dire en souscrivant à la signification qui lui est généralement donnée), l'on ne connaît pas davantage la façon dont les parties ont pu l'interpréter dans le passé, le cas échéant.

On ne dispose ici, pour déterminer l'intention des parties, que du seul outil qu'est le texte de la police. D'ailleurs, s'il existe une version française de celle-ci, dont le libellé aurait pu être comparé à celui de la version anglaise, ce qui offre de précieux indices de sens, elle n'a pas été produite. [ 79 ] Notons également que ni doctrine ni jurisprudence sur semblables clauses n'ont été portées à l'attention de la Cour.

Certes, les propos des auteurs ne lient pas; de même, l'interprétation donnée à une clause dans un jugement n'emporte pas que cette interprétation puisse être transposée à une clause du même genre dans une autre affaire, chaque cas étant forcément d'espèce, mais, enfin, cela eût pu être un indice de la manière dont ces clauses sont ordinairement décryptées et donc, un indice de l'intention des parties. [ 80 ] C'est donc avec prudence, puisque les parties n'ont pas eu l'occasion de commenter la chose ou d'expliquer ce en quoi elle s'appliquerait ou ne s'appliquerait pas à la clause litigieuse, que je note ce qui suit.

La doctrine se penche à l'occasion sur des clauses de ce type, dont le libellé n'est pas nécessairement identique à celui de la clause 6-13.2(b), mais s'en approche.

Les auteurs recensent ainsi diverses interprétations judiciaires : dans certains cas, on estime qu'une clause de ce genre exclut la responsabilité contractuelle de la couverture d'assurance, sauf si les mêmes faits sont de nature à engendrer concurremment une responsabilité extracontractuelle et une responsabilité contractuelle, c'est-à-dire lorsque la faute reprochée à l'assuré a un caractère extracontractuel autant que contractuel; dans d'autres cas, on considère qu'elle a pour but d'exclure, sauf exception, la situation dans laquelle l'assuré s'est contractuellement engagé à assumer la responsabilité d'autrui (« hold harmless agreement ») là où il n'aurait aucune responsabilité extracontractuelle à cet égard; dans d'autres encore, on estime qu'elle a pour but d'exclure ces deux types de responsabilité [42] . [ 81 ] En l'espèce, comme on le verra maintenant, le libellé de la clause 6-13.2(

b) fait pencher la balance interprétative du côté de la troisième de ces lectures. [ 82 ] Lors de l'audience d'appel, tout comme dans son mémoire, l'avocat de Chubb a soutenu que la clause 6-13.2(

b) a pour objet d'empêcher l'assuré de transférer à l'assureur le risque et les conséquences de quelque responsabilité contractuelle que ce soit (sous- entendu : qu'il s'agisse de l'exécution d'une obligation contractuelle ou la prise en charge contractuelle de la responsabilité d'autrui). Aldo ne pourrait donc pas, en raison de cette exclusion, faire porter à son assureur le poids des obligations contractuelles qu'elle a choisi d'assumer, en l'occurrence par les clauses 3.6 et 5.8 de l'annexe A du Contrat.

Ce n'est pas là, affirme-t-il, le genre de réclamations que couvre la police : l'assureur ne souhaite pas être responsable des comptes impayés ou des dettes d'un assuré qui fait défaut de remplir ses obligations contractuelles, et c'est justement ce que précise la clause d'exclusion 6-13.2(b). [ 83 ] De prime abord, cette proposition, qui s'appuie uniquement sur la première phrase de la clause 6-13.2(b), paraît conforme au texte : « The Company shall not be liable under Insuring Clause 5 for Loss on account of any Entity Claim [ … ] based upon, arising from or in consequence of any actual or alleged liability assumed under or as a result of any oral or written contract or agreement with the Insured Organization » [je souligne]. [ 84 ] Aldo semble du reste d'accord avec cette interprétation, elle qui s'est employée, tant en première instance qu'en appel, à établir la possibilité d'une réclamation extracontractuelle (et donc d'une responsabilité extracontractuelle ) qui échapperait à la première phrase de la clause 6-13.2(

b) et tomberait sous le coup de la seconde. [ 85 ] La clause 6-13.2(b), en effet, ne se limite pas à sa première phrase, qui formule une exclusion de principe. Elle en comporte une deuxième, qui énonce une exception à l'exclusion (« this exclusion shall not apply », dit la clause), exception dont l'existence même doit être considérée afin de cerner la portée exacte de l'exclusion.

Selon la première phrase, donc, Chubb n'assume pas la responsabilité d'une réclamation fondée sur une obligation contractuelle de l'assurée ou résultant d'une telle obligation, à moins, précise la seconde phrase, que l'assurée ne puisse être appelée à répondre de cette réclamation « in the absence of such a contract or agreement », c'est-à-dire à moins que la responsabilité de l'assurée ne puisse être engagée en l'absence d'un tel contrat, ce qui renvoie – tous sont d'accord sur ce point – à l'idée d'une responsabilité extracontractuelle. [ 86 ] Or, avance Aldo, responsabilité extracontractuelle il y a ou pourrait y avoir ici.

En effet, explique-t-elle, les titulaires de cartes de crédit dont les renseignements personnels ont été compromis par l'intrusion informatique auraient pu formuler contre elle une réclamation extracontractuelle, réclamation dont dériveraient par ailleurs la réclamation faite par MasterCard à BMO et, par ricochet, la réclamation que cette dernière, par l'intermédiaire de Moneris, lui a adressée. Elle s'exprime ainsi dans son mémoire d'appel : 15.

Although codified in indemnity agreements, the liability imposed thereunder is co-extensive with extra-contractual, quasi delictual liability that a merchant can incur towards a card holder when Account Data is compromised by reason of the merchant's failure to take reasonable measures in the protection of such information. […]

56. This point is crucial given that the Contractual Liability Exclusion upon which Respondent relied to avoid its defense obligations contains an exception that maintains coverage under the Policy in respect of the MasterCard/Moneris Claim. That exception ousts the application of the Contractual Liability Exclusion where the insured would have been liable in the absence of a contract or agreement: […] 57.

As Respondent itself admitted when it wrote to Appellant denying coverage [renvoi omis] that cardholders would have had a right of action against Appellant for damages sustained as a result of Appellant's alleged failure to properly manage and protect Account Data linked to their credit cards. 58.

Respondent's admission that the MasterCard/Moneris Claim seeks recovery of amounts for which cardholders were defrauded necessarily means that even if Moneris had standing to assert a claim against Appellant in virtue of the Processing Agreement, the underlying liability was rooted in quasi-delict and originated in actionable damages sustained by third parties ( i.e. cardholders) who are strangers to the Processing Agreement. […] 60.

Appellant submits that there exists, at the very least, the mere possibility that it would be liable for the fraud recovery that was alleged by MasterCard and Moneris and acknowledged by Respondent on the basis of an extra-contractual duty owed to cardholders. […] 64. Given that: iii) the Claim Letters state and Entity Claim; iv) this Entity Claim, to use Respondent's own words was for “ […] those amounts which BMO cardholders were defrauded by the use of compromised cards ”;

v) there is a “mere possibility” that the Appellant might be found liable for the MasterCard/Moneris Claim on the basis of the breach of a stand-alone extra-contractual duty owed to cardholders – of which the MasterCard/Moneris Claim is a derivative – which is not dependent on the existence of the Processing Agreement; and that vi) such breach constitutes a Wrongful Act, as defined by the Policy, the Trial Judge should have concluded that Defendant had a duty to defend Appellant and the Motion should have been granted. [Reproduction intégrale.] [ 87 ] À l'audience, en réponse à la question de la Cour [43] , l'avocat d'Aldo ajoute que MasterCard elle-même aurait pu réclamer réparation d'Aldo directement, si la faute, telle qu’alléguée, lui avait causé préjudice.

Or, cette réclamation aurait été de nature purement extracontractuelle, Aldo et MasterCard n'entretenant pas de relations contractuelles. [ 88 ] Cela étant, Aldo est d'avis que, faisant abstraction du contrat ou en l'absence de celui-ci, la réclamation qu'on lui a adressée a un substrat extracontractuel, qui rend applicable à sa situation la seconde phrase de la clause 6-13.2(

b) et qui enclenche l'exception à l'exclusion. [ 89 ] L'argument n'a pas convaincu la juge de première instance et, avec égards, il ne me convainc pas davantage. [ 90 ] Reprenons encore une fois le texte de la clause litigieuse : 13.2 The Company shall not be liable under Insuring Clause 5 for Loss on account of any Entity Claim : […] (

b) based upon, arising from or in consequence of any actual or alleged liability assumed under or as a result of any oral or written contract or agreement with the Insured Organization .

Provided, however, that this exclusion shall not apply to Loss for which the Insured Organization would be liable in the absence of such a contract or agreement. [ 91 ] À mon avis, il tombe sous le sens que la réclamation visée par la seconde phrase de la clause ci-dessus est celle-là même que vise la première : l'assureur n'est pas tenu d'indemniser l'assurée des conséquences d'une réclamation ( « Entity Claim ») résultant d'une obligation contractuelle ou d'une responsabilité assumée par contrat, à moins que cette réclamation – c'est-à-dire cette même réclamation – ait un fondement extracontractuel, qui ferait en sorte que, en l'absence du contrat ou abstraction faite de celui-ci, la responsabilité de l'assurée serait engagée.

Ce qu'il faut examiner aux fins de la clause 6-13.2(b), c'est donc la réclamation telle que formulée et non pas une potentielle ou hypothétique réclamation qui aurait pu l'être, mais ne l'a pas été. [ 92 ] Aldo ne peut donc invoquer le fait que si d' autres que Moneris/BMO lui avaient présenté une réclamation consécutive à l'intrusion informatique de 2008, cette réclamation aurait pu être de nature extracontractuelle et couverte en conséquence par l'exception à l'exclusion.

Ainsi, peut-être Chubb, en effet, aurait-elle été obligée de défendre son assurée [44] si des titulaires de cartes l’avaient poursuivie en raison du préjudice résultant de la faute ayant causé l'intrusion informatique. Ce n'est toutefois pas ce dont il s'agit ici. Et de la même manière, si MasterCard, qu'aucun lien contractuel n'unit à Aldo, avait directement poursuivi celle-ci en dommages-intérêts pour le préjudice subi en raison de cette même faute, sans doute Chubb aurait-elle dû défendre son assurée contre cette action en responsabilité extracontractuelle.

Mais ce n'est pas non plus ce dont il est ici question. Ces réclamations virtuelles n'ont pas à être considérées car elles ne sont pas pertinentes. La seule réclamation sur laquelle on doit s'interroger est celle de Moneris/BMO : c'est cette réclamation-là, et pas une autre, qu'Aldo prétend être couverte par la clause 5-4.1 de l'avenant 15 et c'est cette même réclamation dont on

doit se demander si elle est visée, ou non, par chacune des phrases de la clause 6-13.2(b). [ 93 ] Qu'en est-il donc? [ 94 ] Tout d'abord, n'est pas soutenable, en l'espèce, l'idée que la réclamation Moneris/BMO aurait une dimension extracontractuelle parce que la réclamation faite par MasterCard à BMO reposerait elle-même sur le préjudice subi par les titulaires de cartes.

Ce qui se trouve au dossier d'appel, en effet, incluant le « Statement of Claim » d'Aldo contre Moneris et MasterCard [45] , indique plutôt que la réclamation de MasterCard résulte des clauses pénales inscrites au contrat la liant à BMO, sans que rien ne permette de supposer que MasterCard ou les titulaires de cartes aient subi quelque perte réelle. Précisons de plus que, contrairement à ce qu'affirme Aldo [46] , Chubb n'a jamais admis l'existence de telles pertes ou réclamations.

La lettre qu'elle envoie à Aldo le 3 juin 2011 contient bien la phrase sur laquelle celle-ci appuie sa prétention (à savoir que la réclamation de MasterCard est liée à « [ … ] those amounts which BMO cardholders were defrauded by use of the compromised cards »), phrase qui est toutefois complétée immédiatement par l'énoncé suivant : We further understand that neither of these amounts constitute real or actual losses, but rather are calculations performed by MasterCard in accordance with some predetermined formulae. [47] [ 95 ] La seule question que l'on doit donc se poser est la suivante : en l'absence du Contrat et, plus précisément en l'absence du pénultième alinéa du paragraphe 3.6 de son

annexe A [48] , jumelé au paragraphe 5.8(ii)(a) [49] , la réclamation de Moneris/BMO pourrait- elle exister, c'est-à-dire engendrer une quelconque responsabilité de la part d'Aldo? A-t-on affaire ici à une perte découlant d'une réclamation (« Entity Claim ») « for which the Insured Organization would be liable in the absence of such contract or agreement »? [ 96 ] À l'instar de la juge de première instance, je réponds à cette question par la négative. [ 97 ] Pour bien comprendre la nature de la réclamation de Moneris/BMO, il faut d'abord s'intéresser à celle que MasterCard a adressée à BMO.

Cette réclamation est de nature contractuelle. En effet, si BMO doit verser à MasterCard les sommes que celle-ci a exigées en l'espèce, c'est parce qu'il existe entre elles un contrat aux termes duquel BMO accepte d'être sanctionnée par MasterCard non pas en raison de ses propres manquements informatiques, mais en raison des manquements informatiques des marchands avec lesquels elle contracte par ailleurs (dont Aldo, en l'occurrence).

Plus exactement, BMO s'engage en pareil cas à verser à MasterCard les pénalités que celle-ci lui imposera. [ 98 ] L'engagement contractuel de BMO à cet égard dispense ainsi MasterCard de l'obligation de faire valoir ses droits (extracontractuels) auprès du marchand fautif. Le contrat qui les unit coupe court à cette démarche en permettant à MasterCard de s'adresser plutôt à BMO, sa cocontractante. On comprend l'intérêt de MasterCard dans cet arrangement, ne serait-ce que pour des considérations de facilité et de solvabilité.

On présume que BMO y trouve également son compte, puisque, grâce au contrat avec MasterCard, elle pourra offrir la carte du même nom à ses clients. [ 99 ] Théoriquement, BMO pourrait sans doute engager sa responsabilité extracontractuelle envers MasterCard, même en l'absence d'une telle disposition contractuelle, si MasterCard pouvait prouver que BMO avait elle-même commis une faute dans le choix du marchand délinquant, faute qui aurait participé directement au préjudice causé à MasterCard (si préjudice il y a). Mais cela n'importe pas, puisque, encore une fois, ce n'est pas là la base factuelle de notre affaire.

Rien dans le dossier, en effet, ne laisse entendre que la réclamation que MasterCard adresse à BMO repose sur un tel fondement et rien ne peut servir à donner une saveur extracontractuelle à une réclamation dont tout indique qu'elle est strictement contractuelle : par le contrat les liant, MasterCard tient BMO responsable des manquements imputés au marchand et lui impose diverses pénalités calculées selon une formule arrêtée entre elles.

C'est ce que montre la lettre d'avril 2011 [50] , par laquelle MasterCard exige le paiement de certains montants sous les rubriques « ADC Operational Reimbursement » et « ADC Fraud Recovery », en plus d'un « Case Management Fee » établi lui aussi en fonction d'une grille prédéterminée. [ 100 ] Par ailleurs, il va sans dire qu'Aldo, qui n'est pas

partie au contrat entre BMO et MasterCard, n'encourt aucune responsabilité envers cette dernière aux termes de ce contrat. Si Aldo, par sa faute, cause un (véritable) préjudice à MasterCard, elle engage sa responsabilité, assurément, mais sur une base extracontractuelle. [ 101 ] Maintenant, et cela est le nœud de l'affaire, Aldo est-elle tenue de dédommager BMO des sommes que celle-ci a dû payer à MasterCard en vertu du contrat qui lie ces dernières? Plus exactement et pour revenir à la seconde phrase de la clause 6-13.2(

b) de l'avenant 15 de la police : si ce n'était du Contrat entre BMO et Aldo, celle-ci serait-elle tenue de dédommager celle-là? [ 102 ] La réponse à cette question se trouve dans les paragraphes 3.6 et 5.8(ii)(

a) de l'annexe A du Contrat.

À vrai dire, c'est la première de ces dispositions qui importe ici, puisque c'est elle qui impose à Aldo l'obligation d'indemniser BMO, la seconde ne faisant qu'établir le mécanisme par lequel Aldo s'acquittera de cette responsabilité : 3.6 Data Security, Protection of Cardholder Information and Card Association Rules and Regulations […] You [Aldo] are responsible for any fines, fees, assessments, costs, including Card re-issuing costs and charges levied by the Card Association [MasterCard], the Bank [BMO] and/or us [Moneris] as a result of your non-compliance with the Data Security Standards and all other Card Association Rules and Regulations applicable to you. 5.8 Settlement and Adjustments […] (ii) You agree that we and the Bank may debit or set off from any of your bank accounts (or combinations thereto), the Reserve or any hold back under

Section 10.3, the amount of any:

(

a) fees and charges, including MDR, transaction fees, Card Association assessments, fees or fines; […] You agree to pay us or the Bank, as applicable, any sum owing under this Agreement that is not, or cannot be fully or permanently satisfied by debit or set off. […] [ 103 ] Sans le paragraphe 3.6, Moneris, agissant pour BMO, ne pourrait faire supporter à Aldo le poids de l'engagement que BMO a contracté dans le cadre de son entente avec Master Card. Elle n'aurait donc pu obtenir qu'Aldo la rembourse des sommes versées ici à MasterCard.

En l'absence de ce paragraphe 3.6, les pénalités et autres sommes que BMO doit payer à MasterCard en vertu du contrat qui unit ces dernières ne peuvent par ailleurs être considérées comme un préjudice qu'Aldo serait tenue d'indemniser en vertu de l'

article 1457 C.c.Q. En somme, si ce n'était de cette clause du Contrat, qui est de la nature d'un « hold harmless agreement », l'exécution par BMO de son obligation contractuelle envers MasterCard ne pourrait pas faire l'objet d'une réclamation par BMO à l'endroit d'Aldo, du moins pas sur une base extracontractuelle. [ 104 ] Moneris/BMO, lorsqu'elle réclame d'Aldo en vertu du paragraphe 3.6 de l'annexe A du Contrat, n'exerce pas les droits de MasterCard, elle exerce le droit personnel que lui confère ce Contrat de se faire dédommager de ses propres engagements contractuels envers MasterCard. Moneris/BMO ne réclame pas non plus à

titre de subrogée aux droits extracontractuels de MasterCard à l'endroit d'Aldo (il n'y a eu aucune subrogation contractuelle de BMO dans les droits extracontractuels de MasterCard et pas davantage de subrogation légale, les conditions d'application de l' art. 1656(3) C.c.Q. , seul cas de figure envisageable, n'étant pas remplies). [ 105 ] Autrement dit, sans le paragraphe 3.6 de l'annexe A du Contrat, Aldo ne peut, que ce soit sur une base contractuelle ou extracontractuelle, être forcée de rembourser à Moneris/BMO les sommes payées à MasterCard en vertu du contrat BMO/MasterCard.

Il n'est pas impossible que BMO ou MasterCard elle-même ait d'autres sources de responsabilité à faire valoir contre Aldo, mais la réclamation litigieuse, elle, est strictement contractuelle et n'existerait pas sans le Contrat. [ 106 ] Bref, la réclamation de Moneris/BMO à l'endroit d'Aldo est de nature contractuelle et repose sur la clause 3.6 de l'annexe A du Contrat.

En l'absence de cette disposition contractuelle et dans les circonstances – assez maigres – que révèle le dossier, la réclamation n'aurait aucune autre assise et Aldo ne pourrait en être tenue responsable extracontractuellement. [ 107 ] Cela étant, il faut conclure que l'exception qu'énonce la seconde phrase de la clause 6-13.2(

b) ne s'applique pas et qu'il faut au contraire s'en tenir à l'exclusion de la première phrase : la réclamation de Moneris/BMO est « based upon, arising from or in consequence of [ a ] liability assumed under or as a result of [ a ] written contract with the Insured Organization » et n'engendre pas une perte « for which the Insured Organization would be liable in the absence of such a contract or agreement ». [ 108 ] La juge de première instance a donc eu raison de statuer comme elle l'a fait. * * [ 109 ] En conclusion, l'obligation de défendre prévue par la clause 16 de la police ne pouvant s'enclencher vu l'exclusion stipulée par la clause 6-13.2(

b) de l'avenant 15, je recommande donc le rejet de l'appel et de l'appel incident. MARIE-FRANCE BICH, J.C.A.