Cour d'appel, 1ère Chambre, 6 mai 2025, n° 24/00535

Motivation

MOTIFS DE LA DÉCISION Le client payeur, titulaire du compte sur lequel ont été prélevés les fonds litigieux, a entendu rechercher en responsabilité le prestataire de service de paiement (ci-après PSP) sur le fondement des dispositions des articles L. 133-18 à 24 du code monétaire et financier (CMF) relatifs aux paiements non autorisés ou mal exécutés. Il s'agit donc d'opérations de paiement à l'exécution desquelles le payeur n'a pas donné son consentement. Il convient, liminairement, de préciser les techniques de fraude avant d'expliciter le dispositif normatif de nature à en prévenir les incidences dommageables, de même que le régime de responsabilité du prestataire, dérogatoire, en grande partie, au droit commun. Pour contourner l'obstacle des systèmes de paiement sécurisé mis en place par le teneur de compte, les fraudeurs recourent à la technique du 'spoofing' ou à celle du 'phishing', les deux pouvant être combinées en vue d'optimiser l'opération malveillante. La méthode dite de 'spoofing' (en traduction littérale: usurpation d'identité) est un mode opératoire consistant pour le fraudeur à se présenter comme un conseiller, préposé de l'établissement financier teneur de compte, habilité à prendre l'attache du client pour le guider dans l'accomplissement de diligences destinées à le dépouiller de tout ou partie des avoirs détenus en compte. Une fois la victime mise en confiance, le fraudeur profite de sa crédulité afin d'appréhender ses identifiants et codes d'accès à son espace personnel sécurisé en ayant ainsi déjoué les systèmes de filtrage. Dans ce cas de figure, le payeur prend seul l'initiative de communiquer à son interlocuteur les données par lesquelles la manoeuvre lésionnaire de ses intérêts peut efficacement être mise en oeuvre. Le 'phishing', qui correspond au procédé connu sous le nom de hameçonnage, consiste, pour le malfaiteur, à s'emparer des identifiants et des coordonnées bancaires du payeur par subterfuge. Dans ce contexte, un système d'authentification est simulé par un utilisateur malveillant qui essaie de convaincre des usagers de l'utiliser et de communiquer des informations confidentielles comme s'il s'agissait d'un système légitime (Glossaire établi par l'agence nationale de la sécurité des systèmes d'information). Les deux techniques peuvent s'articuler et devenir la condition de la réussite de l'autre. De la sorte, l'hameçonnage permet aux opérateurs indélicats de récupérer des données personnelles sur la victime afin de crédibiliser l'usurpation d'identité (spoofing) qui permettra, au final, l'appréhension frauduleuse des fonds. Il semble que les faits de la cause apparentent le mode opératoire utilisé à cet enchaînement de deux techniques considérées, au départ, comme autonomes. La responsabilité du PSP à l'égard du payeur est, avant tout, régie par les dispositions de l'article L. 133-15 du CMF, aux termes desquelles : ' Le prestataire de service de paiement qui délivre un instrument de paiement doit s'assurer que les données de sécurité personnalisées telles que définies à l'article L. 133-4 ne sont pas accessibles à d'autres personnes que l'utilisateur autorisé à utiliser cet instrument. Le prestataire de service de paiement s'abstient d'envoyer tout instrument de paiement non sollicité (. . .). Le prestataire de service de paiement supporte le risque lié à l'envoi au payeur d'un instrument de paiement ou de toute donnée de sécurité personnalisée de celui-ci.' L'article L. 133-19-IV et V du même code dispose que : 'Le payeur supporte toutes les pertes occasionnées par les opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et 17. Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l'opération de paiement non-autorisée a été effectuée sans que le prestataire de services de paiement n'exige une authentification forte du payeur prévue à l'article L. 133-44.' La négligence grave exonératoire de responsabilité est, à cet égard, indépendante de la bonne foi du payeur (Cass. Com 1° juillet 2020 n° 18-21.487). Il incombe cependant au teneur de compte, en vertu de l'article L. 133-23 du CMF, d'administrer la preuve du manquement imputable au donneur d'ordre mais également que l'opération litigieuse a bien été authentifiée, dûment enregistrée et comptabilisée et n'avait pas été affectée par une déficience technique. La notion de négligence grave n'est pas définie par les textes légaux de droit interne ni par la législation européenne dont s'inspire le dispositif normatif national, à savoir la directive 2007/64/CE du Parlement Européen et du Conseil en date du 13 novembre 2007 à laquelle s'est substituée le directive 2015/2366 CE du Parlement Européen du 25 novembre 2015 relative aux services de paiement dans le marché intérieur. Résiduellement il convient de s'en tenir à une référence standardisée au profil d'un utilisateur normalement attentif ( Cass. Com 28 mars 2018 n° 16-20.018). Le système d'authentification forte, qui revêt désormais un caractère obligatoire pour les opérations à risque, en vertu de l'article L. 133-44 du CMF, est de nature à optimiser la sécurité que le payeur est en droit d'attendre de l'usage d'un instrument mis àsa disposition par le PSP. Le protocole d'accès à l'espace sécurisé est donc renforcé au moyen d'identifiants et de codes d'accès détenus par le seul utilisateur. Dans ce contexte, la communication de codes d'accès secrets à des tiers revêt le caractère d'une négligence fautive en ce que le système d'authentification forte n'a d'efficacité que sous réserve que le payeur respecte la trame protocolaire établie par le gestionnaire du compte. Toutefois, le perfectionnement des dispositifs de sécurité va également de pair avec la sophistication des techniques de fraude. Ainsi, le mode de détournement consistant, à l'instar du 'spoofing' à usurper l'identité d'un agent de l'établissement bancaire ce qui est de nature à mettre en confiance le payeur et l'inciter à braver les interdits inhérents au système d'authentification forte. Partant, la sécurisation des modes d'accès à l'espace-client est la pierre angulaire de la responsabilité du professionnel. Le degré de perfectionnement du système est perpétuellement adaptable et lui confère une plasticité qui favorise l'émergence d'obligations de plus en plus contraignantes en vue de parer efficacement aux nouvelles formes de délinquance financière. Le procédé d'identification forte est défini en ces termes par l'article L. 133-4-f du CMF : 'Une authentification forte du client s'entend d'une authentification reposant sur l'utilisation de deux éléments ou plus appartenant aux catégories 'connaissance' (quelque chose que seul l'utilisateur connait), 'possession' (quelque chose que l'utilisateur possède) et 'inhérence' (quelque chose que l'utilisateur est) et indépendants, en ce sens, que la compromission de l'un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d'authentification.' L'article L. 133-44 du même code énonce que : ' Le prestataire de services de paiement applique l'authentification forte du client définie à l'article L 133-4 lorsque le payeur : - Accède à son compte de paiement en ligne. - Initie une opération de paiement électronique. - Exécute une opération par le biais d'un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse (. . .).' L'article L. 133-19-V dispose que : 'Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l'opération de paiement non-autorisée a été éffectuée sans que le prestataire se services de paiement du payeur n'exige une authentification forte du payeur prévue à l'article L 133-44.' L'immunité ainsi instituée en faveur du titulaire du compte est, en réalité, à double tranchant. En effet, elle écarte la responsabilité de ce dernier même si une négligence grave est de nature à le priver de tout droit à remboursement si les opérations frauduleuses ne sont pas couvertes par un dispositif d'authentification forte, mais elle protège également le banquier dans le cas de figure inverse où la négligence grave doit normalement être appréhendée de manière plus restrictive et à l'aune de l'efficacité renforcée des dispositifs de sécurisation. Dès lors, la négligence doit être appréhendée au travers du prisme des performances du système d'authentification forte (Cass. Com. 30 août 2023 n° 22-11.707). Toutefois, et dans le même temps, en réaction à la sophistication des scénarios de malversation, et notamment celle du 'spoofing', la notion de négligence grave a évolué dans le sens d'une acception plus large, confinant presque à celle d'erreur inexcusable, ce qui réduit d'autant les occurrences d'exonération de la responsabilité du PSP (Cass. Com 23 octobre 2024 n° 23-16.267). Il résulte de cet arrêt que si les circonstances montrent que le payeur a agi contre ses propres intérêts sous l'effet d'un lien de confiance noué avec le fraudeur, la légèreté ou l'absence de précautions dont il peut lui être fait grief sont insuffisants pour écarter la garantie du teneur de compte. Il s'ensuit que c'est sous l'éclairage de ces courants jurisprudentiels, pouvant apparaître en contrariété l'un par rapport à l'autre, que doivent être appréhendés les termes du présent litige. D'après ses propres écritures, M. [L] a été victime à deux reprises de 'spoofing', par le biais d'appels téléphoniques émanant d'un interlocuteur se présentant comme un salarié de la banque teneuse de compte. Le premier est intervenu le 14 janvier 2022 et le numéro d'appel correspondait à celui de l'agence bancaire d'ouverture du compte. Le second a eu lieu le 17 janvier suivant mais dans les deux cas l'intéressé a refusé de suivre les directives que lui adressait son correspondant. Après consultation de l'historique de son compte, il s'est alors aperçu que des prélèvements indus avaient été enregistrés au débit. L'intéressé certifie qu'à aucun moment il n'a communiqué ses données personnelles d'accès, seul moyen pour neutraliser le dispositif d'authentification forte mis en place par la banque et dénommé 'Sécur'Pass'. On ne peut d'abord que s'étonner de ce que le malfaiteur ait, successivement et à deux reprises, sollicité le titulaire du compte pour l'inciter à lui livrer ses identifiants et codes d'accès alors qu'il avait déjà été l'instigateur de 6 opérations de détournement qui s'étaient révélées fructueuses. Toutefois, et dès l'instant où le narratif de tout le processus frauduleux exposé par le payeur le place en retrait de toute initiative intempestive l'ayant incité à délivrer ses codes d'accès à son espace personnel à un tiers, la question de la négligence grave est évincée. La cour n'a donc pas à rechercher, comme dans l'espèce ayant donné lieu à l'arrêt du 23 octobre 2024 précité, si, mis en confiance par le faux salarié de l'agence, son imprudence était excusable, ce dont il pouvait se déduire qu'aucune négligence grave ne lui était imputable. Pas davantage la cour n'a besoin de fonder la solution du litige sur un raisonnement présomptif en déduisant des données factuelles de la cause la défaillance du client dans l'assomption des devoirs inhérents à son statut. Autrement dit, nulle nécessité de déduire, de manière univoque, du constat des dommages subis par le payeur l'existence d'une faute imputable à ce dernier ayant directement concouru à leur production, ce qui, au terme d'une seconde étape aurait conduit la juridiction à s'interroger sur son degré de gravité pour se prononcer sur la décharge de toute obligation indemnitaire de la part du prestataire. En effet, en vertu des textes de loi susvisés et de la jurisprudence récente en la matière, et en postulant l'absence de toute intervention causale du client dans la fraude dont il a été victime, il convient uniquement de vérifier que le système d'authentification forte a été mis en place et suffisait à sécuriser la trame d'accès à l'espace sécurisé. Ainsi, et dans la mesure où le dispositif d'authentification forte souscrivait aux exigences techniques légalement imposées, l'établissement financier ne pouvait être tenu de démontrer son infaillibilité contrairement à ce que prétend l'intimé. Il convient de relever, incidemment, que l'absence de remise en question de la fiabilité du système laisse indubitablement inférer la responsabilité du payeur dans la communication à un tiers non-autorisé d'identifiants et de codes d'accès. Le système de protection, dans cette optique, n'a pu être forcé de l'extérieur mais résulte d'un subterfuge qui accrédite la thèse selon laquelle le titulaire du compte a été victime d'un 'spoofing' dans lequel le fraudeur s'est introduit dans l'espace protégé avec l'aide du payeur, tel un cheval de Troye. Mais le parti-pris de M. [L] de ne pas avaliser un tel schéma fait obstacle à ce que la cour y pourvoie d'office et examine les conditions d'un maitien de l'obligation de remboursement du PSP en écartant, le cas échéant, toute négligence grave. La Caisse d'Epargne établit que le système 'Secur'Pass' est conforme à la législation nationale et communautaire relatives au dispositif d'authentification forte en prévoyant cinq paliers d'accès à l'espace personnel. Le processus d'identification du payeur et de l'authentification de l'ordre de virement prévoit également que l'agence adresse au client, en cas d'opération en compte le message suivant: ' Recopiez le code (8 chiffres) pour accéder à vos comptes Caisse d'Epargne. Si vous n'êtes pas à l'origine de cette demande, contactez votre agence.' Il n'est aucunement allégué que le dispositif ait été défaillant pour cause de dysfonctionnement technique. Il ne peut donc être valablement soutenu que les documents fournis par la banque sont impropres à établir le fait allégué, à savoir le fonctionnement performant du système de sécurisation et son corrolaire la négligence présumée du payeur, comme équivalent à une preuve à soi-même prohibée par les dispositions de l'article 1367 du code civil. Il sera simplement rappelé que les mutations affectant le régime de responsabilité du PSP, même entendue de manière extensive, n'induisent nullement l'instauration d'un système de garantie en faveur du client. Il s'ensuit que l'intimé doit être débouté de l'action en paiement dirigée contre la banque. Le jugement sera donc infirmé en toutes ses dispositions. L'équité ne commande pas l'application, au cas présent, des dispositions de l'article 700 du code de procédure civile en faveur de la Caisse d'Epargne. Celle-ci conservera donc l'entière charge de ses frais irrépétibles.