COUR D’APPEL

D'[Localité 6]

CHAMBRE A – COMMERCIALE

JC/ILAF

ARRET N°:

AFFAIRE N° RG 21/01248 – N° Portalis DBVP-V-B7F-E2TE

jugement du 12 Avril 2021

TJ hors JAF, JEX, JLD, J. EXPRO, JCP de [Localité 10]

n° d’inscription au RG de première instance 20/00551

ARRET DU 20 JANVIER 2026

APPELANTE :

Madame [R] [O] épouse [Z]

née le [Date naissance 1] 1972 à [Localité 7]

[Adresse 2]

[Localité 3]

Représentée par M^e Inès RUBINEL, avocat au barreau d’ANGERS

INTIMEE :

CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL DE L’ANJOU ET DU MAINE, agissant en la personne de son représentant légal domicilié en cette qualité audit siège

[Adresse 5]

[Localité 4]

Représentée par M^e Etienne DE MASCUREAU de la SCP ACR AVOCATS, avocats au barreau d’ANGERS substitué par M^e Audrey PAPIN

COMPOSITION DE LA COUR

L’affaire a été débattue publiquement à l’audience du 25 Novembre 2025 à 14 H 00, les avocats ne s’y étant pas opposés, devant M^me CORBEL, présidente de chambre et devant M. CHAPPERT, conseiller qui a été préalablement entendu en son rapport.

Ces magistrats ont rendu compte des plaidoiries dans le délibéré de la Cour, composée de :

M^me CORBEL, Présidente de chambre

M. CHAPPERT, Conseiller

M^me GANDAIS, Conseillère

Greffière lors des débats : M^me TAILLEBOIS

ARRET : contradictoire

Prononcé publiquement le 20 janvier 2026 par mise à disposition de l’arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions de l’article 450 du code de procédure civile ;

Signé par Catherine CORBEL, présidente de chambre et par Sophie TAILLEBOIS, greffière à laquelle la minute de la décision a été remise par le magistrat signataire.

~~~~

FAITS ET PROCÉDURE :

Mme [R] [O] épouse [Z] est titulaire de deux comptes bancaires n° 26108372000 (compte joint) et n° 26108585000 ouverts dans les livres de la Caisse régionale de crédit agricole mutuel de l’Anjou et du Maine.

Elle explique avoir reçu, sur son adresse mail, le 10 décembre 2019, un courriel semblant provenir de la Caisse régionale de crédit agricole mutuel de l’Anjou et du Maine pour lui demander d’entrer les coordonnées de sa carte bancaire. Elle’dit avoir immédiatement contacté son conseiller bancaire et, après que celui-ci lui a confirmé l’origine frauduleuse du courriel, l’avoir supprimé.

Elle indique que, le 12 décembre 2019, elle a constaté que quatre opérations de paiement frauduleuses avaient été réalisées :

— un virement de 2 500 euros effectué le 12 décembre 2019 depuis le compte n° 26108585000, et

— trois virements de 2 500 euros chacun effectués le 11 décembre 2019 et le 12'décembre 2019 depuis le compte joint n° 26108372000.

Le 13 décembre 2019, M. [Y] [Z], son époux, a déposé plainte auprès des services de gendarmerie de [Localité 8], pour des faits d’escroquerie sur Internet.

Par un courriel du 18 décembre 2019, le conseiller bancaire de Mme [O] l’a informée que la banque tentait de récupérer les fonds virés, avant de la prévenir, le 26 décembre 2019, de l’échec de la démarche.

Dans ces circonstances, Mme [O] a sollicité le remboursement de la somme de 10 000 euros, qu’elle estimait lui avoir été frauduleusement soustraite, auprès de la Caisse régionale de crédit agricole mutuel de l’Anjou et du Maine par une lettre du 27 décembre 2019.

Par une lettre du 28 janvier 2020, signifiée le 4 février 2020, elle a mis la Caisse régionale de crédit agricole mutuel de l’Anjou et du Maine en demeure de créditer son compte de cette même somme.

Le 17 avril 2020, la banque lui a proposé une indemnisation à hauteur de 5'000'euros à titre de geste commercial.

Mme [O] a refusé cette proposition et, par un acte d’huissier du 17 juin 2020, elle a fait assigner la Caisse régionale de crédit agricole mutuel de l’Anjou et du Maine en responsabilité devant le tribunal judiciaire de Saumur.

Par un jugement du 12 avril 2021, le tribunal judiciaire de Saumur a :

— débouté Mme [Z] de l’ensemble de ses demandes, fins et conclusions,

— débouté les parties de leurs demandes respectives au titre de l’article 700 du code de procédure civile,

— condamné Mme [Z] aux entiers dépens.

Mme [Z] a formé appel de ce jugement par une déclaration du 25 mai 2021, l’attaquant en chacun de ses chefs et intimant la Caisse régionale de crédit agricole mutuel de l’Anjou et du Maine.

La plainte déposée au nom de Mme [O] a été classée sans suite par le procureur de la République de Saumur par une décision du 8 février 2024, ce que le parquet général de la cour d’appel d’Angers a confirmé par une lettre du 26'février 2025.

Une ordonnance du 10 novembre 2025 a clôturé l’instruction de l’affaire, conformément à l’avis de clôture et de fixation adressé aux parties par le magistrat de la mise en état le 17 septembre 2025.

MOYENS ET PRÉTENTIONS DES PARTIES :

Par des dernières conclusions (n° 5) remises au greffe par la voie électronique le 24 mars 2025, auxquelles il est renvoyé pour un exposé des moyens en application de l’article 455 du code de procédure civile, Mme [O] demande à la cour :

— d’infirmer le jugement en toutes ses dispositions,

statuant à nouveau,

— de condamner la Caisse régionale de crédit agricole mutuel de l’Anjou et du Maine à lui verser la somme de 10 000 euros à titre de remboursement des sommes frauduleusement débitées sur ses comptes bancaires, outre les intérêts de cette créance, depuis la date à laquelle la banque aurait dû procéder au remboursement en vertu de l’article L. 133-18 du code monétaire et financier, à savoir le 13 décembre 2019,

— de condamner la Caisse régionale de crédit agricole mutuel de l’Anjou et du Maine à lui verser la somme de 3 000 euros à titre de dommages-intérêts pour résistance abusive,

— de la condamner à lui verser la somme de 4 000 euros au titre de l’article 700 du code de procédure civile, ainsi qu’aux dépens de première instance et d’appel, dont distraction au profit de la SELARL LX Rennes [Localité 6],

— de débouter la Caisse régionale de crédit agricole mutuel de l’Anjou et du Maine de toutes ses demandes contraires,

Par des dernières conclusions (n° 2) remises au greffe par la voie électronique le 1er juillet 2022, auxquelles il est renvoyé pour un exposé des moyens en application de l’article 455 du code de procédure civile, la Caisse régionale de crédit agricole mutuel de l’Anjou et du Maine demande à la cour :

— de dire Mme [O] non fondée en son appel, ainsi qu’en l’ensemble de ses demandes, fins et conclusions,

— de l’en débouter,

— de confirmer le jugement entrepris en toutes ses dispositions,

y ajoutant,

— de condamner Mme [O] à lui verser la somme de 2 000 euros par application de l’article 700 du code de procédure civile,

et rejetant toutes prétentions contraires comme non recevables, en tout cas non fondées,

— de condamner Mme [O] aux dépens de première instance et d’appel, lesquels seront recouvrés conformément à l’article 699 du code de procédure civile.

MOTIFS DE LA DECISION :

— sur la demande de remboursement :

Il n’est pas contesté que Mme [O] n’a pas elle-même autorisé les virements litigieux, qui ont été exécutés sans son consentement par un tiers. Le’litige relève donc des articles L. 133-15 et suivants du code monétaire et financier, ce qui n’est pas contesté par les parties.

Pour débouter Mme [O] de sa demande de remboursement des fonds qui lui ont été soustraits, le premier juge a considéré que la Caisse régionale de crédit agricole mutuel de l’Anjou, en premier lieu, justifiait bien de la mise en place d’un procédé d’authentification forte.

L’article L. 133-19 V du code monétaire et financier prévoit en effet que, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44. Ce dernier article prévoit quant à lui, notamment, que le prestataire de services de paiement applique l’authentification forte du client lorsque le payeur : 1°) accède à son compte de paiement en ligne, 2°) initie une opération de paiement électronique ; 3°) exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse.

Il est précisé que ces dispositions sont bien applicables au présent litige relatif à des paiements non autorisés des 11 décembre 2019 et 12 décembre 2019, dès’lors qu’il résulte de l’article 34, VIII, 3°, de l’ordonnance n° 2017-1252 du 9'août 2017, que l’article L. 133-44 précité, auquel renvoie l’article L. 133-19 V également précité, est entré en vigueur le 14 septembre 2019, dix-huit mois après l’entrée en vigueur du règlement délégué (UE) 2018/389 de la Commission du 27'novembre 2017 complétant la directive (UE) 2015/2366 par des normes techniques de réglementation relatives à l’authentification forte du client et à des normes ouvertes communes et sécurisées de communication.

Pour le premier juge, le procédé d’identification forte a consisté en l’activation préalable du service SecuriPass par l’utilisation d’un code confidentiel envoyé sur le téléphone portable de Mme [O], qui lui a ensuite permis d’ajouter un bénéficiaire et de valider les virements effectués sur ses comptes depuis l’application en ligne installée sur son téléphone portable. La banque intimée précise qu’en se plaçant dans l’hypothèse où son client n’utilise pas l’application 'Ma Banque', ce que prétend précisément Mme [O], la réalisation des virements aurait rendu nécessaire la création d’un profil dans l’application en renseignant un identifiant (numéro du compte bancaire), un code personnel à six chiffres et un code à usage unique reçu par sms ; puis l’activation du système 'SecuriPass’ en renseignant deux codes à usage unique envoyés par sms et par courriel, en définissant un code 'SecuriPass’ à six chiffres, en enregistrant l’appareil de confiance, au terme de quoi deux courriels sont envoyés sur la boîte mails et sur l’application '[Adresse 9]'. Elle détaille également les différentes étapes nécessaires à la création d’un nouveau bénéficiaire et enfin à la réalisation du virement, que ce soit depuis l’application en ligne ou depuis le site Internet. Elle en conclut que le fait que Mme [O] ait reçu quatre codes à usage unique par sms, outre un code à usage unique par courriel pour activer le service 'SecuriPass’ puis qu’elle ait été destinataire d’un message dans sa messagerie sécurisée à l’issue de cette activation démontre bien que les opérations litigieuses ont fait l’objet d’une authentification forte.

Mme [O] objecte toutefois qu’il n’est pas suffisant que l’activation du service 'SecuriPass’ ait été précédée de l’envoi d’un code par sms mais qu’il faut également que chacune des démarches ultérieures, qu’il s’agisse de la création d’un nouveau bénéficiaire et des virements, ait aussi fait l’objet d’une authentification forte. Or, elle soutient que tel n’a été le cas ni lors de la création du nouveau bénéficiaire, dont elle n’a été avisée que par l’envoi d’un message postérieurement à la validation des opérations et dont elle n’a d’ailleurs pas été en mesure de prendre connaissance, ni lors de la réalisation des virements, pour lesquels elle n’a reçu aucun message.

L’article L. 133-23 du code monétaire et financier fait peser sur la Caisse régionale de crédit agricole mutuel de l’Anjou et du Maine la charge de la preuve de ce que les opérations litigieuses ont été authentifiées.

L’appelante fait exactement valoir que les différentes procédures de création d’un profil, d’activation du service 'SecuriPass', d’ajout d’un nouveau bénéficiaire et de réalisation d’un virement à son profit, telles qu’elles sont détaillées par l’intimée dans ses conclusions remises le 1er juillet 2022, ne sont corroborées par aucun document qui confirme qu’elles étaient déjà celles-ci à la date des faits, deux ans et demi auparavant. Il convient donc de ne pas s’en remettre aux explications simplement théoriques données par la banque intimée dans ses écritures et de s’en tenir aux éléments qui sont produits par les parties pour identifier celles des opérations qui, au cas d’espèce, ont fait l’objet d’une authentification forte.

Une authentification forte du client, au sens de l’article L. 133-4 (f) du code monétaire et financier, repose sur l’utilisation de deux éléments ou plus appartenant aux catégories 'connaissance« (quelque chose que seul l’utilisateur connaît), »possession« (quelque chose que seul l’utilisateur possède) et' »inhérence" (quelque chose que l’utilisateur est) et qui est conçue de manière à protéger la confidentialité des données d’authentification, étant précisé que les éléments doivent être indépendants en sorte que la compromission de l’un ne remette pas en question la fiabilité des autres. Comme précédemment indiqué, l’article L. 133-44 du même code impose qu’une telle authentification forte du client soit appliquée lorsque le payeur accède à son compte de paiement en ligne, lorsqu’il initie une opération de paiement électronique ou lorsqu’il exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse. C’est donc exactement que Mme [O] soutient que tant la création d’un nouveau bénéficiaire, qui est une opération à haut risque, que la réalisation d’un virement à son profit, qui constitue une opération de paiement électronique, doivent chacune donner lieu à une authentification forte, ceci dans un souci de prévention et de lutte contre la fraude.

La question est donc de savoir si la simple activation du service 'SecuriPass’ est en l’espèce suffisante pour satisfaire cette exigence d’authentification forte aux différents stades qui ont abouti aux virements frauduleux, ce que conteste très précisément l’appelante.

Les éléments produits de part et d’autre révèlent que les coordonnées bancaires frauduleuses ont été enregistrées par le biais de l’application bancaire en ligne (BAM), dont Mme [O] dit qu’elle ne l’avait pas téléchargée sur son téléphone portable mais dont les déclarations de son époux lors de sa plainte confirment que le couple l’utilisait à partir de leur ordinateur personnel. Il n’est pas contesté que l’accès à cet espace en ligne se fait grâce à un identifiant, qui n’est autre que le numéro du compte bancaire, et à un numéro à six chiffres que le client a défini et que lui seul connaît. A partir de là, il est établi que le service 'SecuriPass’ a été activé, la banque intimée produisant la trace du code à usage unique qui a été envoyé à cette fin par sms sur le téléphone portale de Mme'[O] (le 11 décembre 2019 à 16h24) mais toutefois pas celle du code à usage unique qu’elle dit avoir été adressé par courriel. Ce faisant, la banque intimée établit bien qu’il a été recouru à un procédé d’authentification forte passant par l’envoi d’un code que seule Mme [O] pouvait connaître sur un terminal dont elle avait la possession. Mais la difficulté est qu’aucun autre procédé d’authentification forte n’a plus ensuite été requis, que ce soit pour créer le nouveau bénéficiaire ou exécuter les quatre virements frauduleux. C’est au demeurant ce que confirme le courriel qui a été envoyé à Mme [O] (le'11'décembre 2019 à 16h27) et dans lequel il est expressément indiqué qu’à la suite l’activation de son service 'SecuriPass', 'désormais, ce service vous permet notamment de valider vos paiements en ligne RIB et les ajouts de bénéficiaires de virement sans code sms'. Or, cette pratique n’est pas conforme aux exigences d’une authentification forte du client à chacune des étapes consistant à créer un nouveau bénéficiaire et à réaliser un virement à son profit, tel qu’elle a été précédemment rappelée.

La banque intimée ne peut pas tirer argument de la concomitance entre les différentes opérations puisqu’il apparaît que le service 'SecuriPass’ a été activé le 11 décembre 2019 à 16h27 mais que le nouveau bénéficiaire a été frauduleusement enregistré le même jour à 23h08 et que les quatre virements litigieux sont intervenus entre le 11 décembre 2019 à 23h08 et le 12 décembre 2019 à 1h00. Elle ne peut pas non plus utilement se prévaloir des messages électroniques qu’elle justifie avoir envoyés à l’appelante sur son application en ligne, voire sur son adresse électronique comme elle le prétend mais sans en justifier, pour l’aviser de l’activation du service 'SecuriPass’ (le 11 décembre 2019 à 16h27) et de l’enregistrement d’un nouveau bénéficiaire (le 11 décembre 2019 à 23h08), une telle information délivrée a posteriori n’étant pas de nature à pallier l’absence d’une authentification forte préalable destinée à éviter la matérialisation des opérations frauduleuses.

Il en résulte que la Caisse régionale de crédit agricole mutuel de l’Anjou et du Maine ne démontre pas suffisamment que les quatre paiements non autorisés par Mme [O] ont été effectués alors qu’elle aurait dûment exigé une authentification forte de sa cliente. La conséquence en est que, l’existence d’un comportement frauduleux de l’appelante n’étant pas alléguée, l’article L. 133-19 V du code monétaire et financier précité amène à ne laisser à la charge de Mme'[O] aucune conséquence financière de ces opérations et ce, indifféremment de toute considération liée à une négligence grave au sens de l’article L. 133-19 IV de ce même code, l’examen du moyen sur ce point devenant inopérant tandis que celui, qui lui aurait été préalable, de ce que l’opération a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre devient inutile.

Le jugement sera par conséquent infirmé et la Caisse régionale de crédit agricole mutuel de l’Anjou et du Maine sera condamnée à rembourser à Mme'[O] la somme de 10 000 euros, le jugement étant infirmé en ce sens.

L’article L. 133-18 du code monétaire et financier prévoit qu’en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France avec les intérêts. Mme'[O] demande que les intérêts de retard commencent à courir à compter du 13 décembre 2019, date à laquelle elle dit que les fonds auraient dû lui être remboursés. Il ressort d’un courriel du conseiller clientèle du 28 décembre 2019, reproduit dans le dossier de fraude produit par la banque intimée (page 26), que ses clients l’ont alerté des paiements non autorisés le vendredi 13 décembre 2019. Les sommes frauduleusement appréhendées auraient donc dû être remboursées avant le samedi 14 décembre 2019 à 24h00, soit la fin du premier jour ouvrable suivant, si bien que les intérêts de retard courent à compter du 15'décembre 2019.

— sur la demande de dommages-intérêts :

Mme [O] reproche à la Caisse régionale de crédit agricole mutuel de l’Anjou et du Maine d’avoir abusivement résisté au remboursement intégral des sommes, malgré la demande qu’elle lui a faite dès le 27 décembre 2019, lui’causant un préjudice tant financier que moral.

Mais, d’une part, il n’est pas démontré que le refus de remboursement procède d’un abus de la banque intimée plutôt que de sa conviction, certes erronée, qu’elle n’était pas légalement tenue de le faire, ce en quoi il lui a d’ailleurs été donné raison en première instance. D’autre part, Mme [O] ne propose pas d’établir la réalité du préjudice financier, lequel doit excéder le simple retard de remboursement déjà compensé par les intérêts moratoires, ni même celle du préjudice moral qu’elle allègue.

Dans ces circonstances, elle sera déboutée de sa demande de dommages-intérêts.

— sur les demandes accessoires :

Le jugement est également infirmé en ses dispositions ayant statué sur les frais irrépétibles et les dépens.

La Caisse régionale de crédit agricole mutuel de l’Anjou et du Maine, partie’perdante, sera condamnée aux dépens de première instance et d’appel, qui’pourront être recouvrés dans les conditions de l’article 699 du code de procédure civile, ainsi qu’à verser à Mme [O] une somme de 4 000 euros au titre de l’article 700 du code de procédure civile, elle-même étant déboutée de sa demande formée à ce titre.

PAR CES MOTIFS,

La cour, statuant publiquement et contradictoirement, par mise à disposition au greffe,

Infirme le jugement entrepris en toutes ses dispositions ;

statuant à nouveau,

Condamne la Caisse régionale de crédit agricole mutuel de l’Anjou et du Maine à verser à Mme [O] la somme de 10 000 euros, avec les intérêts au taux légal à compter du 15 décembre 2019 ;

Déboute Mme [O] de sa demande de dommages-intérêts pour résistance abusive ;

Déboute la Caisse régionale de crédit agricole mutuel de l’Anjou et du Maine de sa demande formée au titre de l’article 700 du code de procédure civile ;

Condamne la Caisse régionale de crédit agricole mutuel de l’Anjou et du Maine à verser à Mme [O] une somme de 4 000 euros au titre de l’article 700 du code de procédure civile ;

Condamne la Caisse régionale de crédit agricole mutuel de l’Anjou et du Maine aux dépens de première instance et d’appel, qui pourront être recouvrés dans les conditions de l’article 699 du code de procédure civile.

LA GREFFIERE, LA PRESIDENTE,