Cour d'appel, TROISIEME CHAMBRE, 11 décembre 2025, n° 24/04759

Motivation

MOTIFS DE LA DECISION A titre liminaire, il est observé que Mme [Z] sollicite que soit revu le quantum de la restitution que lui a accordée la juridiction de première instance au titre des opérations de paiement non autorisées, afin que soit prise en compte la somme de 500 euros correspondant au paiement litigieux par carte bancaire du 2 avril 2022, sans toutefois formellement solliciter la réformation du jugement. La recevabilité des conclusions de l'intimée n'étant pas contestée, ni celle de la demande en restitution, la cour considère qu'appel incident a néanmoins été valablement formé et qu'elle est en conséquence saisie de ladite demande. Sur l'obligation de remboursement de la banque, prestataire de service de paiement (PSP), à l'égard de son client émetteur d'un ordre de paiement La Banque populaire entend voir infirmer le jugement critiqué en ce qu'il l'a condamnée à restituer à Mme [Z] le montant des opérations litigieuses au motif principal que lesdites opérations ont été autorisées par cette dernière et subsidiairement en raison de sa négligence grave, laquelle ne produit d'effet que lorsque les opérations n'ont pas été autorisées. Il convient donc d'apprécier prioritairement le caractère autorisé ou non des opérations litigieuses. Sur le caractère autorisé des opérations de paiement Aux termes de l'article L. 133-3, I du code monétaire et financier, une opération de paiement est une action consistant à verser, transférer ou retirer des fonds, indépendamment de toute obligation sous-jacente entre le payeur et le bénéficiaire, initiée par le payeur, ou pour son compte, ou par le bénéficiaire. En application des articles L. 133-6 et L. 133-7 du même code, une telle opération est autorisée si le payeur a donné son consentement à son exécution, sous la forme convenue avec le PSP. Le premier alinéa de l'article L. 133-23 dispose que, lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son PSP de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre. Le deuxième alinéa de cet article précise que l'utilisation de l'instrument de paiement telle qu'enregistrée par le PSP ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Il est admis qu'une opération de paiement est considérée comme non autorisée dès lors que le payeur y a été incité par la méthode connue sous le nom de « spoofing », consistant à usurper l'identité d'un conseiller de l'établissement bancaire dans le cadre d'une mise en scène suffisamment élaborée pour qu'un utilisateur normalement attentif soit convaincu de la nécessité d'y procéder ; bien qu'une telle opération de paiement ait été initiée par le payeur, le cas échéant par l'intermédiaire d'un dispositif à forte authentification, il n'est donc pas considéré que celui-ci y a valablement consenti au sens des articles L. 133-6 et L. 133-7 du code monétaire et financier. En l'espèce, la Banque populaire ne conteste pas que les opérations litigieuses ont été réalisées par Mme [Z] sur les instructions d'un tiers étranger à ses services, dans le cadre d'un appel téléphonique frauduleux. Il n'est pas davantage contesté que le tiers en question avait usurpé le numéro de téléphone de la Banque populaire du Nord, ni qu'il a fourni à Mme [Z] plusieurs informations personnelles qu'il détenait la concernant, et notamment son adresse, sa date de naissance, le début et la fin de son numéro de carte bancaire. Il ressort de ces éléments que Mme [Z] a été victime d'une fraude de type « spoofing », suscitant sa confiance et diminuant sa vigilance par une mise en scène élaborée, de sorte qu'elle pouvait légitimement croire être véritablement en relation avec un conseiller de son établissement bancaire et devoir suivre ses instructions par mesure de sécurité. En outre, Mme [Z] a alerté très rapidement son établissement bancaire pour demander l'annulation de ces opérations. Il s'ensuit que Mme [Z] n'a pas valablement consenti aux opérations litigieuses ; il est donc établi que ces opérations n'ont pas été autorisées au sens de l'article L. 133-6 du code monétaire et financier. Sur le refus par le PSP de rembourser le payeur En matière de paiement par carte, virement ou prélèvement, il incombe à l'utilisateur de service de paiement, en application de l'article L. 133-24 du code monétaire et financier, de signaler sans tarder l'existence d'une opération non autorisée à son PSP et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion. Ce professionnel doit alors rembourser le payeur, en application de l'article L. 133-18 du même code, et ce dans un bref délai ; il rétablira ainsi le compte débité dans l'état où il se serait trouvé si l'opération non autorisée n'avait pas eu lieu. Aux termes de l'article L. 133-19, IV, le payeur supporte en revanche toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17, à savoir celle de préserver la sécurité de ses données de sécurité et celle d'informer sans tarder le PSP de toute perte, vol ou détournement de ses moyens de paiement ou de ses données. Il résulte de ce qui précède que, s'il entend faire supporter à l'utilisateur d'un instrument de paiement doté d'un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17, le PSP doit, au préalable, prouver que l'opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre. Sur l'opération authentifiée, dûment enregistrée et comptabilisée et exempte de déficience technique ou autre L'article L. 133-44 du code monétaire et financier dispose : « I. ' Le prestataire de services de paiement applique l'authentification forte du client définie au f de l'article L. 133-4 lorsque le payeur : 1° Accède à son compte de paiement en ligne ; 2° Initie une opération de paiement électronique ; 3° Exécute une opération par le biais d'un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse. II. ' Pour les opérations de paiement électronique à distance, l'authentification forte du client définie au f de l'article L. 133-4 comporte des éléments qui établissent un lien dynamique entre l'opération, le montant et le bénéficiaire donnés. III. ' En ce qui concerne l'obligation du I, les prestataires de services de paiement mettent en place des mesures de sécurité adéquates afin de protéger la confidentialité et l'intégrité des données de sécurité personnalisées des utilisateurs de services de paiement. IV. ' Le prestataire de services de paiement gestionnaire du compte autorise le prestataire de services de paiement fournissant un service d'initiation de paiement et le prestataire de services de paiement fournissant le service d'information sur les comptes à se fonder sur ses procédures d'authentification lorsqu'ils agissent pour l'un de leurs utilisateurs conformément aux I et III et, lorsque le prestataire de services de paiement fournissant le service d'initiation de paiement intervient, conformément aux I, II et III. V.-Le prestataire de services de paiement s'assure que les méthodes d'authentification qu'il fournit à ses clients respectent les exigences d'accessibilité fixées à l'article L. 412-13 du code de la consommation. » En l'espèce, il n'est pas contesté que la Banque populaire a mis en place un dispositif de sécurisation à forte authentification, nommé « Secur'plus », pour les services d'initiation de paiement et d'information sur les comptes qu'elle met à la disposition de ses clients. S'agissant des virements Pour réaliser les virements litigieux, Mme [Z] ne conteste pas avoir utilisé le dispositif « Secur'plus » dans le cadre de la convention de compte la liant à la Banque populaire, ni que ce dispositif implémente une authentification forte telle que définie au f de l'article L. 133-4 du code monétaire et financier. Le stratagème mis en 'uvre par les auteurs de la fraude démontre la nécessité de l'intervention de Mme [Z], qui disposait de tous les éléments requis pour l'authentification et la validation des opérations, sans lesquels ils n'étaient pas en mesure de les exécuter avec succès. Ce seul constat exclut que les virements litigieux aient pu résulter d'une déficience technique ou autre. La Banque populaire établit donc que les virements litigieux ont été authentifiés, dûment enregistrés et comptabilisés et que leur mise en 'uvre n'a pas été affectée par une déficience technique ou autre. S'agissant de l'opération de paiement par carte bancaire au profit du bénéficiaire Cresus casino Pour établir que l'opération de paiement par carte bancaire a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre, la Banque populaire produit un récapitulatif de la transaction. Cette pièce ne reprend que les éléments essentiels de la transaction et n'affiche, pour toute information sur le moyen d'authentification et les conditions vérifiées, que des pictogrammes sans signification évidente ; elle ne détaille donc pas les mesures de sécurité appliquées lors de l'opération et ne permet pas de démontrer que celle-ci a été l'objet d'une authentification forte au sens du f de l'article L. 133-4 du code monétaire et financier. En outre, ce document ne permet pas de comprendre par quels moyens les auteurs de la fraude sont parvenus à réaliser ce paiement par carte bancaire, alors que Mme [Z] ne reconnaît pas en avoir demandé l'exécution, contrairement aux virements litigieux. Mme [Z] conteste aussi avoir transmis au faux conseiller bancaire des données de sécurité personnalisées permettant d'ordonner une telle opération, étant rappelé que ce dernier a fourni à Mme [Z], lors de leur communication téléphonique, plusieurs informations qu'il détenait la concernant. En l'absence d'explication sur le mode opératoire des auteurs de la fraude, il n'est pas établi que le paiement par carte bancaire n'a pas été rendu possible par l'exploitation d'une faille de sécurité. En somme, la Banque populaire n'établit pas que l'opération en cause a été effectuée conformément aux critères d'authentification, d'enregistrement, de comptabilisation et en l'absence de déficience technique ou autre. Sur la négligence grave Lorsqu'il est établi que l'opération non autorisée a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre, le PSP ne peut s'exonérer de son obligation de restitution prescrite par l'article L. 133-18 du code monétaire et financier qu'à la condition de démontrer que les pertes résultent d'un agissement frauduleux de l'utilisateur du service de paiement ou que celui-ci n'a pas satisfait, intentionnellement ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17 du même code. Une telle négligence grave doit confiner au dol et dénoter l'inaptitude de celui-ci dans l'accomplissement de son obligation de préserver la sécurité de ses dispositifs de sécurité personnalisés, étant précisé que sa bonne foi est indifférente à cet égard. La preuve de la négligence fautive ne peut se déduire du seul fait que l'instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisées. Ainsi, le PSP doit établir par d'autres éléments extrinsèques une négligence grave imputable à l'utilisateur du service de paiement, laquelle est appréciée à l'aune des indices de fraude qui auraient pu être décelés par un utilisateur normalement attentif. En l'espèce, ainsi qu'il a été relevé, Mme [Z] a été victime d'une fraude, suscitant sa confiance et diminuant sa vigilance par une mise en scène élaborée. Le faux conseiller bancaire l'a ainsi contactée au moyen d'un numéro apparaissant comme étant celui de la Banque populaire du Nord, ce qui a été constaté par huissier de justice, et l'a incitée à effectuer en urgence les opérations litigieuses afin d'éviter de prétendus paiements frauduleux, étant précisé que la vigilance de la personne qui reçoit un appel téléphonique, évoquant de surcroît un piratage, est moindre que celle d'une personne qui réceptionne un courriel, laquelle dispose de davantage de temps pour en prendre connaissance et s'apercevoir d'éventuelles anomalies révélatrices de son origine frauduleuse. Mme [Z] a ainsi cru légitimement être en contact avec un salarié de la Banque populaire, la mise en scène étant d'autant plus crédible que son interlocuteur disposait d'informations personnelles la concernant. La vigilance de Mme [Z] a pu en outre être réduite par la circonstance qu'elle se trouvait sur son lieu de travail et son inquiétude accentuée par le fait qu'elle avait reçu la veille sur son compte bancaire un virement de 67 000 euros de la part de ses parents en vue de l'achat d'un bien immobilier. Au surplus, la Banque populaire ne démontre pas avoir, préalablement à cet appel téléphonique, mis en garde ses clients quant à l'existence de telles fraudes, et ne conteste pas qu'un tel avertissement n'a été diffusé que postérieurement aux opérations litigieuses. Il s'ensuit que la Banque populaire, qui n'allègue pas d'agissement frauduleux de la part de Mme [Z], ne démontre pas davantage qu'elle n'aurait pas satisfait, intentionnellement ou par négligence grave, aux obligations de sécurité mentionnées aux articles L. 133-16 et L. 133-17 du code monétaire et financier. Il est en outre indifférent qu'aucune anomalie n'ait pu être décelée par la Banque populaire au moment des opérations litigieuses. Il n'est par ailleurs pas contesté que Mme [Z] a informé sans tarder la Banque populaire, conformément à l'article L. 133-17 précité, du détournement de son instrument de paiement. En conséquence, le jugement critiqué est confirmé en ce qu'il a condamné la Banque populaire à restituer à Mme [Z] la somme de 11 900 euros au titre des virements litigieux. S'agissant du versement par carte bancaire au profit du bénéficiaire Cresus casino, il a été retenu que la Banque populaire n'apporte pas la preuve qui lui incombe que l'opération a été effectuée conformément aux critères d'authentification, d'enregistrement, de comptabilisation et en l'absence de déficience technique ou autre Il appartenait donc à la Banque populaire de restituer immédiatement le montant de l'opération non autorisée, en application de l'article L. 133-18 du code monétaire et financier, un quelconque manquement de l'utilisateur aux obligations des articles L. 133-16 et L. 133-17 étant dès lors indifférent. En conséquence, la Banque populaire est condamnée à rembourser à Mme [Z] la somme de 500 euros au titre du paiement litigieux par carte bancaire. Sur l'indemnisation d'un préjudice moral Le régime de responsabilité des PSP prévu à l'article 60, paragraphe 1, de la directive européenne 2007/64/CE ainsi qu'aux articles 58 et 59 de cette directive ayant fait l'objet d'une harmonisation totale, une opération de paiement qualifiée de non autorisée est nécessairement soumise au régime édicté par les articles L. 133-18 et suivants du code monétaire et financier issu de la transposition de ladite directive, à l'exclusion de tout régime alternatif de responsabilité résultant du droit national. Dès lors qu'est applicable le régime issu de ces dispositions, la responsabilité contractuelle de droit commun ne saurait donc recevoir application pour une quelconque action en responsabilité au titre des mêmes faits générateurs. Les opérations litigieuses ayant été reconnues comme non autorisées au sens de l'article L. 133-6 du code monétaire et financier, la responsabilité contractuelle fondée sur l'article 1231-1 du code civil ne leur est donc pas applicable. En conséquence, le jugement critiqué est infirmé en ce qu'il a condamné la Banque populaire à payer à Mme [Z] la somme de 500 euros au titre de son préjudice moral et Mme [Z] est déboutée de sa demande sur ce fondement. Sur les intérêts La question des intérêts légaux, qu'ils soient simples ou majorés, relève de l'office du juge, de sorte qu'il appartient à la cour de procéder à son examen. L'article L. 133-18 alinéa 3 du code monétaire et financier dispose : « En cas de manquement du prestataire de services de paiement aux obligations prévues aux deux premiers alinéas du présent article, les pénalités suivantes s'appliquent : 1° Les sommes dues produisent intérêt au taux légal majoré de cinq points ; 2° Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points ; 3° Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points. » Toutefois, ces dispositions, introduites par la loi n° 2022-1158 du 16 août 2022, ne sont pas applicables aux faits de l'espèce, s'étant déroulés le 2 avril 2022. La restitution prescrite par le premier alinéa du même article, en vertu duquel le PSP doit rembourser au payeur le montant d'une opération de paiement non autorisée, est donc soumise de plein droit, en application de l'article 1231-6 du code civil, à intérêt au taux légal à compter de la mise en demeure. Aux termes de l'article 1344 du code civil, le débiteur est mis en demeure de payer soit par une sommation ou un acte portant interpellation suffisante. En l'espèce, Mme [Z] indique avoir mis en demeure la Banque populaire par courrier de son conseil en date du 22 juillet 2022. Bien que ce courrier ne fasse pas expressément référence à une mise en demeure, la cour apprécie que, par sa précision et sa clarté, il porte interpellation suffisante pour en revêtir la valeur, tant pour les paiements frauduleux effectués par virement que pour celui effectué par carte bancaire. En conséquence, le jugement critiqué est d'une part infirmé en ce qu'il a assorti d'un intérêt au taux légal majoré de quinze points à compter de son prononcé la condamnation de la Banque populaire à restituer à Mme [Z] la somme de 11 900 euros au titre des virements litigieux. D'autre part, Mme [Z] est déboutée de sa demande d'assortir d'un intérêt majoré la condamnation sollicitée à l'encontre de la Banque populaire à restituer à Mme [Z] la somme de 500 euros au titre du paiement litigieux par carte bancaire. En outre, la cour constate que ces condamnations en restitution sont assorties de plein droit d'intérêt au taux légal à compter de la mise en demeure du 22 juillet 2022. Sur les dépens et les frais irrépétibles de l'article 700 du code de procédure civile Le sens du présent arrêt conduit à confirmer d'une part le jugement critiqué sur ses dispositions relatives aux dépens et à l'article 700 du code de procédure civile. D'autre part, la Banque populaire, qui succombe, sera condamnée aux entiers dépens de l'appel. Il convient enfin de condamner la Banque populaire à payer à Mme [Z] la somme de 2 000 euros sur le fondement de l'article 700 du code de procédure civile au titre de l'instance d'appel.