ARRET

N°

[F]

C/

S.A. BANQUE POSTALE

copie exécutoire

le 24 avril 2024

à

M^e Delahousse

M^e Bessonnet

COUR D’APPEL D’AMIENS

CHAMBRE ÉCONOMIQUE

ARRET DU 24 AVRIL 2025

N° RG 23/02382 – N° Portalis DBV4-V-B7H-IY3P

JUGEMENT DU JURIDICTION DE PROXIMITE D’AMIENS DU 24 AVRIL 2023 (référence dossier N° RG 11-22-659)

PARTIES EN CAUSE :

APPELANT

Monsieur [L] [F]

[Adresse 2]

[Localité 4]

Représenté par M^e Margot ROBIT substituant M^e Franck DELAHOUSSE de la SELARL DELAHOUSSE ET ASSOCIÉS, avocats au barreau d’AMIENS

ET :

INTIMEE

S.A. BANQUE POSTALE agissant poursuites et diligences de ses représentants légaux domiciliés en cette qualité audit siège

[Adresse 1]

[Localité 3]

Représentée par M^e Aurélie GUYOT, avocat au barreau d’AMIENS

Ayant pour avocat plaidant M^e Stéphane BESSONNET, avocat au barreau de LILLE

***

DEBATS :

A l’audience publique du 07 Janvier 2025 devant M^me Valérie DUBAELE, entendue en son rapport, magistrat rapporteur siégeant seule, sans opposition des avocats, en vertu de l’article 805 du code de procédure civile qui a avisé les parties à l’issue des débats que l’arrêt sera prononcé par sa mise à disposition au greffe le 01 Avril 2025.

GREFFIERE : Madame Diénéba KONÉ

COMPOSITION DE LA COUR LORS DU DELIBERE :

M^me Valérie DUBAELE en a rendu compte à la cour composée de :

M^me Odile GREVIN, présidente de chambre,

M^me Florence MATHIEU, présidente de chambre,

M^me Valérie DUBAELE, conseillère,

qui en ont délibéré conformément à la loi.

PRONONCE :

Le 01 avril 2025, les conseils des parties ont été avisés par la voie électronique du prorogé du délibéré au 24 avril 2025.

Le 24 Avril 2025 par mise à disposition de l’arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions prévues au 2ème alinéa de l’article 450 du code de procédure civile ; M^me Odile GREVIN, présidente a signé la minute avec M^me Malika RABHI, greffière.

*

* *

DECISION

M. [L] [F] est titulaire d’un compte CCP n° 12 455 52 E 026 dans les livres de la SA Banque postale.

M. [L] [F] a contesté deux virements d’un montant de 3000 euros chacun effectués le 15 avril 2020 et le 16 avril 2020 via le système de banque en ligne au profit d’un compte situé en Lithuanie au profit d’un bénéficiaire enregistré sous le nom de [L] [F].

Le jour même, M. [L] [F] contactait sa banque par courriel à l’effet de lui signaler une anomalie relative à deux prélèvements importants sur son compte.

Il adressait en outre à la banque deux formulaires de contestation des virements litigieux par voie postale.

Il déposait plainte ensuite les 22 avril 2020 et 22 juillet 2020.

La banque refusant tout remboursement des sommes soustraites au moyen des virements litigieux et après saisine du médiateur de la SA Banque postale le 29 septembre 2020, M. [F] a, par acte en date du 14 octobre 2022, fait assigner la SA Banque postale devant la chambre de proximité et de la protection du tribunal judiciaire d’Amiens aux fins de la voir condamner au remboursement des sommes prélevées sur son compte bancaire et ce sous astreinte de 100 euros par jour de retard ainsi qu’à des dommages et intérêts pour résistance abusive.

Par jugement en date du 24 avril 2023, M. [F] a été débouté de ses demandes et condamné à payer à la SA Banque postale la somme de 300 euros sur le fondement de l’article 700 du code de procédure civile ainsi qu’au paiement des entiers dépens.

Par déclaration reçue au greffe de la cour 24 avril 2023, M. [F] a interjeté appel de cette décision.

Aux termes de ses dernières conclusions remises le 15 octobre 2024, M. [F] demande à la cour d’infirmer le jugement entrepris en toutes ses dispositions et statuant à nouveau de condamner la SA Banque postale à lui payer la somme de 6000 euros avec intérêts au taux légal à compter du 16 avril 2020, ordonner la capitalisation des intérêts et de la condamner à lui payer une somme de 3000 euros à titre de dommages et intérêts au titre de la résistance abusive et injustifiée dont elle a fait preuve ainsi qu’une somme de 4000 euros sur le fondement de l’article 700 du code de procédure civile et au paiement des entiers dépens de première instance et d’appel.

Aux termes de ses dernières conclusions remises le 31 octobre 2024, la SA Banque postale demande à la cour de confirmer le jugement entrepris en toutes ses dispositions et de condamner M. [F] à lui payer une somme de 2000 euros sur le fondement de l’article 700 du code de procédure civile et au paiement des entiers dépens d’appel.

L’ordonnance de clôture est intervenue le 5 décembre 2024.

MOTIFS DE LA DECISION

Sur le remboursement des virements litigieux

Le premier juge a considéré que l’envoi par la banque d’un SMS concernant l’ajout d’un bénéficiaire sur le téléphone portable de M. [F] permet de déduire que le service Certicode d’authentification forte a été activé, que le système de l’espace en ligne n’a pas été affecté d’une défaillance technique et que le tiers n’a pu entrer sur l’espace personnel de M. [F] qu’au moyen de ses identifiant et mot de passe préalablement communiqués.

Il a estimé que l’existence d’une négligence grave de la part de M. [F] seul à connaître les codes par lui choisis, pouvait ainsi être présumée dès lors qu’il n’a pas pris toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées.

Il a rejeté toute faute de la banque en raison d’un manque de vigilance au motif qu’elle n’avait aucune raison de se méfier de virements opérés depuis l’espace personnel alors même que le compte permettait les opérations.

M. [F] reproche en premier lieu au premier juge d’avoir renversé la charge de la preuve alors qu’il appartient à la banque d’établir la preuve de la négligence grave qu’elle reproche à l’utilisateur et que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées auraient été utilisées.

Il fait valoir que sans jamais lui imputer l’initiative des opérations contestées la banque considère pouvoir se soustraire au remboursement au motif que ces opérations ont été effectuées par le biais de son espace dématérialisé accessible en renseignant un identifiant et un mot de passe et que l’ajout du bénéficiaire aurait été validé au moyen d’un code à usage unique envoyé sur son portable.

Il conteste fermement avoir reçu ce code sur son téléphone portable mais fait observer qu’à supposer que l’ajout du bénéficiaire ait été validé par lui, il n’en demeure pas moins que les virements frauduleux ne l’ont jamais été.

Il soutient que la banque n’est pas en mesure de rapporter la preuve que les virements litigieux ont été authentifiés dûment enregistrés et comptabilisés grâce à la mise en place d’un système d’authentification forte et que dès lors sauf à prouver une fraude de son client ce qu’elle n’a jamais invoqué, la banque doit supporter les pertes engendrées par l’insuffisance de son dispositif de sécurité.

Il fait à cet égard observer que le système d’authentification forte en ce qui concerne les virements n’a été déployé par la SA Banque postale qu’à compter du 29 septembre 2020 soit postérieurement à la date des opérations concernées par la présente procédure.

A titre surabondant il conteste toute négligence grave dès lors qu’il n’a jamais validé l’ajout du compte bénéficiaire localisé en Lithuanie.

Il ajoute qu’il ressort des pièces versées aux débats que les virements auraient été effectués concomitamment à l’ajout du bénéficiaire si bien qu’il n’a pas été en mesure de s’y opposer alors que la banque n’a procédé à aucune vérification en dépit du caractère exceptionnel de l’opération vers un IBAN étranger enregistré sous le nom de [L] [F].

Il fait valoir que la banque ne caractérise aucunement une négligence grave de sa part en se contentant de prétendre qu’il a nécessairement été impliqué dans les opérations volontairement ou à son insu.

Il fait enfin observer que le message adressé par SMS faisait état de l’ajout d’un bénéficiaire nommé [L] [F], le nom correspondant en fait à l’IBAN ayant été modifié par l’escroc.

Il soutient qu’en tout état de cause la banque a commis un manquement manifeste à son obligation générale de vigilance et de mise en garde en cas d’opérations anormales en ne procédant à aucune vérification dès lors qu’en l’espèce les opérations contestées revêtaient un caractère exceptionnel et inhabituel, les opérations habituellement enregistrées sur son compte bancaire ne dépassant que très rarement une centaine d’euros et aucun virement bancaire n’étant habituellement effectué.

La SA Banque postale soutient après avoir rappelé les dispositions de la convention de compte courant postal agréées par M [F] qu’un tiers n’a pu entrer sur l’espace personnel de l’appelant qu’au moyen de ses identifiant et mot de passe préalablement communiqués ce qui caractérise une négligence grave de M. [F] qui n’a pas pris les mesures raisonnables pour préserver la sécurité de ses données. Elle rappelle que lors de l’ajout du bénéficiaire M. [F] a reçu un SMS de validation comprenant un code à usage unique qui a nécessairement été saisi afin de confirmer l’ajout et qu’ainsi l’ajout d’un bénéficiaire a bien été validé par un dispositif d’authentification forte et qu’en conséquence il a nécessairement communiqué ses données personnelles à un tiers.

Elle ajoute que le SMS validant l’ajout d’un bénéficiaire a été envoyé plusieurs jours avant les opérations litigieuses sans que M. [F] n’avertisse la banque d’une éventuelle escroquerie ce qui constitue une négligence grave.

Elle fait valoir qu’elle justifie que le SMS contenant le code de validation a bien été envoyé sur le numéro de portable de M. [F] qui est mal fondé à contester sa réception et qu’elle apporte la preuve que les opérations litigieuses ont été dûment enregistrées et authentifiées.

Elle soutient que le fait qu’un tiers ait pu ajouter un bénéficiaire sur le compte d’un utilisateur suppose que ce dernier ait communiqué ses coordonnées personnelles.

Elle fait valoir que l’ajout de l’IBAN du bénéficiaire a été effectué en toute conformité à partir de la banque en ligne de M. [F] et validé par un SMS sur le portable de celui-ci et que les deux virements ont été tout autant identifiés et validés après un mécanisme d’identification forte.

Elle soutient par ailleurs que l’obligation de vigilance ne lui impose pas et ne lui permet pas de s’immiscer dans les affaires de son client si les modalités de fonctionnement du compte ne présentent pas d’anomalie et qu’en l’espèce le compte permettait les opérations tout en restant créditeur. Elle fait valoir en outre qu’en l’absence de déficience du dispositif de sécurité il ne peut être établi de faute de la banque.

En application des dispositions de l’article L 133-44 du code monétaire et financier, le prestataire de services de paiement applique l’authentification forte du client définie au f de l’article L. 133-4 lorsque le payeur :

1° Accède à son compte de paiement en ligne ;

2° Initie une opération de paiement électronique ;

3° Exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse.

Aux termes de l’article L133-4 f du même code, une authentification forte du client s’entend d’une authentification reposant sur l’utilisation de deux éléments ou plus appartenant aux catégories « connaissance » (quelque chose que seul l’utilisateur connaît), « possession » (quelque chose que seul l’utilisateur possède) et « inhérence » (quelque chose que l’utilisateur est) et indépendants en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d’authentification. (…)

Selon l’article L 133-19 II du code monétaire et financier la responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées et selon l’article L 133-19 V sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44.

Il résulte de l’article 34, VIII, 3°, de l’ordonnance n° 2017-1252 du 9 août 2017, que l’article L 133-44 de ce code, auquel renvoie l’article L 133-19 V est entré en vigueur le 14 septembre 2019, dix-huit mois après l’entrée en vigueur du règlement délégué (UE) 2018/389 de la Commission du 27 novembre 2017 complétant la directive (UE) 2015/2366 par des normes techniques de réglementation relatives à l’ authentification forte du client et à des normes ouvertes communes et sécurisées de communication.

Il en résulte que l’article L133-44 cité ci-dessus est applicable à l’espèce.

Il ressort de ces textes qu’il incombe au juge de rechercher si l’opération de paiement litigieuse a été exécutée sans que la banque exige une authentification forte du payeur.

Il est établi par les documents versés par la banque que le 13 avril 2020 un bénéficiaire a été ajouté sur l’espace client de M. [L] [F] et que lors de cet ajout la banque a procédé à une authentification forte par l’envoi par un SMS d’un code à usage unique et donc l’utilisation de son système Certicode.

Mais, la banque ne rapporte pas la preuve que les 15 et 16 avril 2020, date des virements litigieux, elle a procédé à une authentification forte, ce dont elle n’était pas dispensée nonobstant l’ajout du bénéficiaire le 13 avril précédent.

Il résulte de surcroît du courrier adressé à son client que la SA Banque postale n’a recouru à un système d’authentification forte pour les virements qu’à compter du 29 septembre 2020.

Lorsque le prestataire de services de paiement choisit de prendre le risque de ne pas recourir à une authentification forte, il doit en assumer le risque sans pouvoir invoquer, la négligence grave de son client.

Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées seulement si ces pertes résultent d’un agissement frauduleux de sa part, or le comportement frauduleux de M. [F] n’a pas été invoqué et encore moins établi de sorte que la banque a engagé seule sa responsabilité.

Au demeurant il sera rappelé qu’en cas d’utilisation d’un système d’authentification forte il appartient à l’établissement bancaire de prouver la fraude ou la négligence grave de l’utlisateur des services de paiement et de prouver l’infaillibilité de son système, en l’espèce il n’est que supposé sans que les circonstances en soient établies que M. [F] a fourni ses identifiants d’accès à son compte à une tierce personne et qu’il a validé l’ajout d’un bénéficiaire qui portait son propre nom alors que l’IBAN s’est révélé concerner une autre personne à l’origine de la fraude.

Aucun élément aux débats ne permet de caractériser une négligence grave de M. [F] qui ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui y sont liées ont été effectivement utilisés.

Il convient en conséquence d’infirmer le jugement entrepris et de condamner la SA Banque postale à payer à M. [F] la somme de 6000 euros en remboursement de virements litigieux en application de l’article L 133-18 du code monétaire et financier avec intérêts au taux légal à compter du 17 avril 2020.

Il y a lieu d’ordonner la capitalisation des intérêts.

Sur les dommages et intérêts pour résistance abusive

M. [F] soutient que depuis plus de quatre années il est privé de plusieurs milliers d’euros représentant 75% des sommes enregistrées sur son compte alors que ses ressources sont très modestes du fait de son statut de retraité et ce alors même qu’il a entrepris de multiples démarches.

Il fait observer que depuis 2022 les banques qui refusent abusivement de rembourser immédiatement leur client doivent supporter des pénalités de retard sous la forme d’un taux d’intérêt légal majoré de 15 points.

La SA Banque postale fait valoir que son attitude ne peut être qualifiée d’abusive dès lors qu’elle a répondu aux interrogations de son client et a entendu appliquer les termes de la convention de compte. Elle conteste la référence à l’article L 133-18 applicable dans le cas d’opérations non autorisées.

M. [F] justifie des multiples démarches amiables et judiciaires par lui entreprises mais également de l’importance des prélèvements sur son compte bancaire au regard de sa situation financière.

La SA Banque postale ne pouvant ignorer qu’elle n’avait pas mis en oeuvre un système d’authentification forte pour les virements, ce qu’elle a mis en place seulement quelques mois plus tard et ayant résisté plus de quatre années au remboursement sans disposer de la moindre preuve d’une fraude ou d’une négligence garve de son client doit être condamnée à payer à M. [F] la somme de 2000 euros à titre de dommages et intérêts en réparation du préjudice moral et financier par lui subi.

Sur les frais irrépétibles et les dépens

Il convient de condamner la SA Banque postale aux entiers dépens de première instance et d’appel et de la condamner à payer à M. [F] la somme de 3000 euros sur le fondement de l’article 700 du code de procédure civile au titre des frais non compris dans les dépens par lui exposés tant en première instance qu’en appel.

PAR CES MOTIFS

La cour statuant publiquement contradictoirement et par mise à disposition de la décision au greffe,

Infirme le jugement entrepris ;

Statuant à nouveau ,

Condamne la SA Banque postale à rembourser à M. [L] [F] la somme de 6000 euros avec intérêts au taux légal à compter du 17 avril 2020 ;

Ordonne la capitalisation des intérêts dus pour une année entière ;

Condamne la SA Banque postale à payer à M. [L] [F] la somme de 2000 euros à titre de dommages et intérêts pour résistance abusive ;

Condamne la SA Banque postale aux entiers dépens de première instance et d’appel ;

Condamne la SA Banque postale à payer à M. [L] [F] la somme de 3000 euros sur le fondement de l’article 700 du code de procédure civile au titre des frais non compris dans les dépens par lui exposés tant en première instance qu’en appel.

La Greffière, La Présidente,