Cour d'appel, 2ème chambre, 18 mars 2025, n° 23/03180

Motivation

MOTIFS Sur les opérations du 18 septembre 2021, l'authentification forte et la négligence grave La cour rappelle au préalable qu'en application des dispositions de l'article L133-21 du code monétaire et financier, la banque est tenue d'exécuter un virement conformément aux instructions reçues de son client dans les formes contractuellement prévues entre eux. [Z] [T] maintient que les opérations de paiement en cause ne peuvent être considérées comme autorisées au sens du code monétaire et financier du seul fait qu'elles ont été réalisées via le système d'authentification forte contractuellement prévu, s'agissant d'une véritable escroquerie au cours de laquelle il a été mis en confiance par son interlocuteur qui disposait déjà de certaines de ses données personnelles, comme son adresse et son numéro de compte, et lui a adressé des sms en utilisant le numéro de téléphone habituellement utilisé par sa banque. [Z] [T] atteste qu'il n'a jamais consenti au montant des opérations réalisés, pas plus qu'à leur destinataire. Sur la négligence grave opposée par la Bpo, il affirme que la banque n'en rapporte aucune preuve et qu'elle lui doit donc le remboursement des sommes détournées. La banque réplique en soulignant que l'ensemble des opérations nécessaires à la réalisation des détournements, ajout de bénéficiaire, validation des virements et retraits, ont été faites par [Z] [T] lui-même depuis son espace bancaire personnel, après qu'il ait imprudemment communiqués à son interlocuteur ses nouveaux identifiants et mots de passe ainsi que les codes reçus par sms. Ces opérations doivent donc être considérées comme des paiements autorisés au sens du code monétaire et financier. Elle conteste toute défaillance technique, au surplus non démontrée en l'espèce, dans le système de banque en ligne à authentification forte mis à la disposition de [Z] [T]. Celui-ci s'étant rendu coupable d'une négligence grave au sens du code monétaire et financier, doit supporter seul les pertes occasionnées. Il résulte des articles L. 133-18 et L. 133-19 du code monétaire et financier qu'en cas d'opération de paiement non autorisée, réalisée au moyen d'un instrument de paiement doté de données de sécurité personnalisées, et signalée par l'utilisateur dans les conditions prévues à l'article L. 133-24 du code monétaire et financier, le prestataire de services de paiement du payeur rembourse au payeur le montant de l'opération non autorisée, sauf si la responsabilité du payeur est engagée en application de l'article L.133-19 du même code. Ainsi, cet article L.133-19 prévoit que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées s'il n'a pas satisfait par négligence grave, exclusive de toute appréciation de sa bonne foi, à l'obligation, imposée à l'utilisateur de services de paiement par l'article L. 133-16 du même code, de prendre toute mesure raisonnable pour préserver la sécurité du dispositif de sécurité personnalisé mis à sa disposition. En application des dispositions de l'article L 133-23 du code monétaire et financier, [Z] [T] contestant le caractère autorisé des opérations de paiement concernées, c'est à la banque qu'il revient de prouver dans un premier temps que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique, puis, dans un second temps, que l'utilisateur a agi frauduleusement ou n'a pas satisfait intentionnellement ou par négligence grave à ses obligations, cette preuve ne pouvant se déduire du seul fait que l'instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés. - sur l'authentification forte La banque affirme que les ordres de virements et de retraits litigieux ont été intégralement initiés puis validés depuis l'espace bancaire personnel cyberplus de [Z] [T], en utilisant son système d'authentification forte Sécur'Pass et qu'il n'est mis en évidence aucune déficience matérielle de ce système. Elle produit les conditions générales applicables qui explicitent le fonctionnement des systèmes cyberplus et Sécur'pass, lesquels en ce qu'ils requièrent au moins deux facteurs d'identification, se rattachent bien aux systèmes d'authentification forte tels que définis à l'article L133-4 du code monétaire et financier. L'article 8 de ces conditions générales intitulé « règles de preuve » présume que toute opération passée via le système d'authentification forte, émane du client et de lui seul. La banque produit également en pièce 14 le relevé des connexions de [Z] [T] au système d'authentification en date du 18 septembre 2021, confirmant que la conversation avec son interlocuteur a bien duré une demie-heure et que sur les 25 connexions au service sécurisée relevées, 4 validations par identification ont été réalisées par [Z] [T] lui-même. [Z] [T] se limite à contester que le seul fait que les opérations aient été passées via le système d'authentification forte n'est pas suffisant pour leur donner le caractère d'opérations autorisées. Il souligne que le fait d'avoir été victime d'une escroquerie par un tiers se faisant passer pour un conseiller de son établissement bancaire exclut par principe toute caractère autorisé des opérations en cause. En l'espèce, en l'absence de toute démonstration de défaillance technique des systèmes cyberplus et sécur'pass par l'appelant, la cour retient que la banque rapporte la preuve de la mise à disposition de son client d'un système d'authentification forte conforme aux prescriptions de l'article L 133-4 du code monétaire et financier et que les opération litigieuses, passées via l'utilisation de ce système sécurisé, sont bien des opérations autorisées au sens de l'article L133-6 du même code. - sur la négligence grave Les parties ne contestent pas que [Z] [T] est un payeur de bonne foi, en conséquence de quoi c'est bien la seule négligence grave qui lui est opposé par la banque. La banque affirme qu'en remettant ses données d'identification et son mot de passe réinitialisés au fraudeur, [Z] [T] a commis une négligence grave, ce que ce dernier conteste Il est de jurisprudence constante que le défaut de vigilance du payeur qui communique ses données permettant à un tiers l'utilisation, y compris avec son aide, de son espace bancaire personnel en contournement du système d'authentification forte, dans des circonstances qui devaient l'alerter sur la commission à son préjudice d'agissements frauduleux, caractérise la négligence grave opposable par la banque. Néanmoins, il a été récemment jugé qu'aucune négligence grave ne peut être imputée au titulaire d'un compte qui, contacté téléphoniquement par une personne se faisant passer pour un préposé de sa banque dont le numéro s'affichait, utilise à sa demande le dispositif de sécurité personnalisé pour supprimer puis réinscrire des bénéficiaires de virements dans le but d'éviter des opérations malveillantes. Il a été notamment admis à cette occasion qu'un tel mode opératoire est de nature à mettre le payeur en confiance et a diminuer sa vigilance, s'agissant d'un appel téléphonique émanant prétendument de sa banque aux fins de l'aviser d'un piratage de son compte, comparé à la vigilance d'une personne réceptionnant un courriel et disposant de davantage de temps pour s'apercevoir d'éventuelles anomalies révélatrices du caractère frauduleux de l'opération. Ainsi, lorsque un tiers malintentionné appelle un payeur au téléphone en se faisant passer pour un conseiller de son établissement bancaire et lui communique, aux fins d'asseoir l'usurpation d'identité, des informations personnelles comme ici l'adresse et le numéro de la carte bancaire de [Z] [T], puis qu'il prétexte la nécessité d'une intervention immédiate en vue de faire cesser de prétendues opérations frauduleuses sur le compte pour obtenir du client la communication de ses codes personnels et réaliser des opérations préjudiciables sur son espace bancaire personnel même avec son concours et moyennant la transmission malavisée d'informations d'identification confidentielles, il ne peut être caractérisé de négligence grave à l'encontre du détenteur du compte. La cour constate à l'examen de la pièce 13 de l'appelant qu'il a bien reçu le 18 septembre 2021 à 14h55 un sms en provenance du numéro enregistré dans son répertoire comme « Banque Pop » l'informant de la confirmation de la mise en opposition de sa carte, de sorte qu'il ne pouvait que légitimement croire qu'il était bien en contact avec un conseiller de son établissement bancaire. Dès lors, il ne peut être caractérisé à l'encontre de [Z] [T], malgré la communication volontaire d'un certain nombre d'éléments à son interlocuteur, de négligence grave au sens du code monétaire et financier. Le jugement de première instance sera infirmé et la banque doit à l'appelant le paiement des sommes détournées qui s'élèvent à 10 200 euros. [Z] [T] sollicite l'adjonction des intérêts légaux à compter de la mise en demeure du 17 novembre 2021 ainsi que la capitalisation des intérêts. Il y a lieu de faire droit à ces demandes. Sur la résistance abusive [Z] [T] sollicite l'allocation de la somme de 3 000 euros à titre de dommages et intérêts en raison de la résistance abusive de la part de la Bpo, ce à quoi la banque s'oppose. Aux termes de l'article 1231-6 du code civil, les dommages et intérêts dus à raison du retard dans le paiement d'une obligation de somme d'argent consistent dans l'intérêt au taux légal, à compter de la mise en demeure. Ces dommages et intérêts sont dus sans que le créancier soit tenu de justifier d'aucune perte. Le créancier auquel son débiteur en retard a causé, par sa mauvaise foi, un préjudice indépendant de ce retard, peut obtenir des dommages et intérêts distincts de l'intérêt moratoire. Le simple retard dans l'exécution de l'obligation contractuelle a vocation à être indemnisée par l'allocation des intérêts légaux à compter de la mise en demeure comme sollicité par [Z] [T] et accordé par la cour. Pour obtenir l'allocation de dommages et intérêts de ce chef, il appartient à [Z] [T] qui excipe d'un préjudice moral découlant du refus de la banque de rembourser les sommes et d'une allégation de négligence grave à l'encontre de l'établissement de crédit, de le démontrer. Or, l'appelant n'apporte aucune pièce au soutien de l'existence de son préjudice, se contentant d'avancer qu'il y a lieu de sanctionner le comportement « inacceptable » des banques. En l'absence de toute justification par l'appelant de sa demande et notamment de l'existence d'un préjudice distinct, sa demande en dommages et intérêts pour résistance abusive sera rejetée, le jugement de première instance étant confirmé de ce chef. Sur les frais irrépétibles, Infirmé presque intégralement, le jugement de première instance le sera également sur ses dispositions relatives aux dépens et frais irrépétibles de première instance. La Bpo, partie succombante, sera condamnée aux dépens de première instance et d'appel. Les circonstances de l'espèce justifient que la Bpo soit condamnée à verser à [Z] [T] la somme de 2 500 euros en application des dispositions de l'article 700 du code de procédure civile, elle-même étant déboutée de sa demande formulée sur ce fondement.