Cour d'appel, Chambre 3-3, 9 octobre 2025, n° 21/01687

Motivation

MOTIFS DE LA DÉCISION Sur le régime de responsabilité applicable : La SARL Pompes Funèbres Nemrod expose que les étapes du virement ' insertion de la carte bancaire dans un boîtier Pass Cyber Plus, saisie du code confidentiel de la carte bancaire, saisie d'un code Cyber Plus de 8 chiffres à usage unique (one time password) envoyé par SMS, validation du virement ' n'ont pas été respectées, aucun message téléphonique ne lui ayant été adressé. Elle considère que son préjudice est consécutif à une défaillance du système informatique de la banque. Elle considère que la banque, dépositaire des fonds, a une obligation de restitution, conformément à l'article 1937 du code civil : « le dépositaire ne doit restituer la chose déposée qu'à celui qui la lui a confiée, ou à celui au nom duquel le dépôt a été fait, ou à celui qui a été indiqué pour le recevoir »). Si le dépositaire n'est tenu que d'une obligation de moyens, il lui revient de prouver qu'il est étranger à la perte ou à la détérioration de la chose déposée, notamment en caractérisant un cas de force majeure qui doit satisfaire à la condition d'extériorité (Civ. 1, 14 octobre 2010, 09-16.967). La banque conteste le fondement juridique invoqué par la SARL Pompes Funèbres Nemrod et entend rappeler que sa responsabilité en qualité de prestataire de services de paiement est régie par la directive 2004/64/CE du 13 novembre 2007 (dite DSP1, transposée dans le code monétaire et financier par l'ordonnance 2009-866 du 15 juillet 2009), et par la directive 2015/2366/CE du 25 novembre 2015 (dite DSP2, transposée dans le code monétaire et financier par l'ordonnance 2017-1252 du 9 août 2017). Elle invoque un arrêt du 2 septembre 2021 aux termes duquel la cour de justice de l'Union Européenne (C337/20) a précisé que ce régime harmonisé de responsabilité des prestataires de services de paiement en raison d'une opération de paiement exclut par principe l'application de tout régime alternatif de responsabilité résultant du droit national des États membres de l'Union. Cette position de la CJUE est également celle de la cour de cassation (Com., 27 mars 2024, 22-21.200 ; Com., 2 mai 2024, 22-18.074) : la responsabilité de la banque en qualité de prestataire de services de paiement ne peut être engagée que sur le fondement des articles L.133-1 et suivants du code monétaire et financier. Sur la demande concernant les paiements intervenus : La banque invoque le bénéfice de l'article L.133-21 du code monétaire et financier dans sa version alors applicable : « un ordre de paiement exécuté conformément à l'identifiant unique fourni par l'utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l'identifiant unique. Si l'identifiant unique fourni par l'utilisateur du service de paiement est inexact, le prestataire de services de paiement n'est pas responsable de la mauvaise exécution de l'opération de paiement ». La SA Banque Populaire Méditerranée souligne qu'en l'occurrence elle a exécuté les virements conformément aux IBAN communiqués par la SARL Pompes Funèbres Nemrod, avec un système d'authentification forte connu d'elle seule, et qu'elle n'engage pas sa responsabilité. L'identifiant unique ou IBAN (international bank account number) étant défini par l'article L.133-4 du code monétaire et financier comme « une combinaison de lettres, de chiffres ou de symboles indiquée à l'utilisateur de services de paiement par le prestataire de services de paiement, que l'utilisateur de services de paiement doit fournir pour permettre alternativement ou cumulativement l'identification certaine de l'autre utilisateur de services de paiement et de son compte de paiement ». Elle produit un document (pièce 8) intitulé « Demande non standard de sécurité » se référant à une réquisition judiciaire concernant les virements SEPA contestés par la SARL Pompes Funèbres Nemrod, et précisant que « le document ci-dessous synthétise l'intégralité des éléments de preuve demandés ainsi que leur mode d'obtention ». La banque soutient que le numéro IP 109.190.58.174 apparaissant de façon récurrente ' non biffé, contrairement à ce qu'indique la SARL Pompes Funèbres Nemrod ' démontre que les virements contestés ne sont intervenus que parce que le client a fourni les identifiants uniques ou IBAN, de sorte que le prestataire de services de paiement n'engage pas sa responsabilité. La lecture de ce document 8, peu intelligible, ne comporte cependant l'indication d'aucun numéro IBAN (commençant par FR76, pour la France), ce qui corrobore la déposition de M. [D] [Z], représentant légal de la SARL Pompes Funèbres Nemrod, à la gendarmerie de [Localité 4] le 23 août 2017 : « Je me présente à votre unité suite à un piratage du compte bancaire de la société. Les 17 et 18 août, plusieurs virements ont été effectués alors qu'aucun personnel n'a procédé à ces virements ». Par courrier du 7 novembre 2017, la banque avait d'ailleurs admis la possibilité de l'intervention d'un virus de type malware. Cette hypothèse est prévue par l'article L.133-23 du code monétaire et financier : « Lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre. « L'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière ». Certes, la SA Banque Populaire Méditerranée souligne la possibilité admise par l'article L.133-2 du code monétaire et financier de déroger à cette règle lorsque l'utilisateur n'est pas une personne physique agissant pour des besoins non professionnels. Elle indique à cet égard que l'article 7 de la convention de compte consacré aux responsabilités stipule que le client décharge la banque de toute responsabilité dans l'exécution de tout ordre revêtu d'une signature apocryphe non décelable par toute personne normalement avisée, et que le client est responsable des opérations effectuées par ses mandataires. En tout état de cause, l'article 7 maintient qu'« un ordre de paiement exécuté conformément à l'identifiant unique est réputé dûment exécuté pour ce qui concerne le bénéficiaire indiqué par l'identifiant unique », fût-il inexact. La banque ne prouve pas que les paiements litigieux sont intervenus conformément à des identifiants uniques fournis par la SARL Pompes Funèbres Nemrod. La cour observe à cet égard que la banque, quoiqu'elle conteste toute responsabilité, a tenté de récupérer les 17 500 euros ayant été virés et y est parvenue à concurrence de la somme de 3 729,63 euros. Le jugement entrepris est infirmé, et la SA Banque Populaire Méditerranée condamnée à payer à la SARL Pompes Funèbres Nemrod la somme de 13 770,37 euros. Sur la demande de réparation du préjudice économique : La SARL Pompes Funèbres Nemrod demande la condamnation de la SA Banque Populaire Méditerranée à lui verser une somme de 5 000 euros en réparation d'un préjudice économique qualifié d'incontestable, mais ne caractérise ni son existence ni son étendue. La demande est rejetée. Sur les demandes annexes : Les dispositions du jugement entrepris relatives aux frais irrépétibles et aux dépens sont infirmées. L'équité justifie la condamnation de la SA Banque Populaire Méditerranée à payer la somme de 3 000 euros à la SARL Pompes Funèbres Nemrod au titre des frais irrépétibles qu'elle a exposés en première instance et devant la cour. Conformément à l'article 696 du code de procédure civile, la SA Banque Populaire Méditerranée est condamnée aux dépens de première instance et d'appel.