PM/LZ

REPUBLIQUE FRANCAISE

AU NOM DU PEUPLE FRANÇAIS

N° RG 24/01852 – N° Portalis DBVG-V-B7I-E3A6

COUR D’APPEL DE BESANÇON

1ère chambre civile et commerciale

ARRÊT DU 10 FEVRIER 2026

Décision déférée à la Cour : jugement du 03 décembre 2024 – RG N°24/00951 – TJ HORS JAF, JEX, JLD, J. EXPRO, JCP DE [Localité 1]

Code affaire : 38E – Autres actions en responsabilité exercées contre un établissement de crédit

COMPOSITION DE LA COUR :

Monsieur Michel WACHTER, Président de chambre.

Madame Bénédicte UGUEN-LAITHIER et Monsieur Philippe MAUREL, Conseillers.

Greffier : M^me Leila ZAIT, Greffier, lors des débats et du prononcé de la décision.

DEBATS :

L’affaire a été examinée en audience publique du 09 décembre 2025 tenue par M. Michel WACHTER, président de chambre, Madame Bénédicte UGUEN-LAITHIER et Monsieur Philippe MAUREL, conseillers et assistés de M^me Leila ZAIT, greffier.

Le rapport oral de l’affaire a été fait à l’audience avant les plaidoiries.

L’affaire oppose :

PARTIES EN CAUSE :

APPELANTE

INTIMÉE SUR APPEL INCIDENT

S.A. BANQUE POPULAIRE DE BOURGOGNE FRANCHE-COMTE

RCS de [Localité 2] n°542 820 352

Sise [Adresse 1]

Représentée par M^e Aude CARPI de la SELARL AITALI -GROS-CARPI-LE DENMAT-DE BUCY-BECHARI, avocat au barreau de BESANCON

ET :

INTIMÉS

APPELANTE SUR APPEL INCIDENT

Madame [Y] [C] [H] épouse [Z]

née le [Date naissance 1] 1946 à [Localité 3]

demeurant [Adresse 2]

Représentée par M^e Sara KINDELBERGER, avocat au barreau de JURA

Monsieur [V] [Z]

né le [Date naissance 2] 1950 à [Localité 1]

demeurant [Adresse 2]

Représenté par M^e Sara KINDELBERGER, avocat au barreau de JURA

ARRÊT :

— CONTRADICTOIRE

— Prononcé publiquement par mise à disposition au greffe de la cour, les parties en ayant préalablement été avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

— signé par M. Michel WACHTER, président de chambre et par M^me Leila ZAIT, greffier lors du prononcé.

*************

EXPOSE DU LITIGE

Les époux [Z] sont titulaires d’un compte de dépôt à vue dans les livres de la SA « Banque Populaire de Bourgogne Franche-Comté » (ci-après dénommée BPBFC). Le 25 avril 2023, l’épouse a été destinataire d’un SMS, prétendument envoyé par la banque, l’informant fallacieusement du blocage de sa carte bancaire. Elle a alors cliqué sur le lien que comportait ce message. Le 29 du même mois elle a avisé la banque teneuse de compte qu’un virement d’un montant en principal de 4 998 euros avait été débité sur le compte le jour précédent et sans qu’elle en soit l’auteure. Elle a alors sollicité le remboursement de la somme ainsi indûment prélevée puis a déposé une plainte à la gendarmerie.

Suivant courrier en date du 15 mai 2023, la BPBFC a informé la payeuse de son refus de déférer à sa requête estimant que même si l’opération n’avait pas été autorisée par ses soins, elle est résultée d’un mécanisme assorti d’une authentification forte depuis son application mobile. Estimant qu’une négligence grave était imputable à la titulaire du compte, elle ne pouvait donc procéder à la couverture en garantie du préjudice qu’elle avait subi.

Suivant acte de commissaire de justice en date du 26 mars 2024, les époux [Z] ont fait assigner l’établissement financier gestionnaire du compte devant le tribunal judiciaire de Besançon aux fins de le voir condamner à lui payer le montant représentatif du prélèvement frauduleux dont ils ont été victimes.

Suivant jugement en date du 3 décembre 2024, le tribunal a statué de la manière suivante :

' Condamne la BPBFC à payer aux époux [Z] la somme de 4 998 euros correspondant au virement non autorisé.

' Condamne la BPBFC à payer aux époux [Z] la somme de 3 euros au titre des frais facturés pour le virement.

' Condamne la BPBFC à verser aux époux [Z] la somme de 1500 euros au titre de l’article 700 du code de procédure civile, outre les entiers dépens.

' Rejette le surplus des demandes des parties.

Pour statuer comme il l’a fait, le tribunal a essentiellement retenu qu’il incombe au prestataire de services de paiement (PSP) de rapporter la preuve d’une négligence grave imputable au donneur d’ordre, ce qui ne résultait nullement des faits de la cause.

Suivant déclaration au greffe en date du 19 décembre 2024, formalisée par voie électronique, la BPBFC a interjeté appel du jugement rendu. Dans le dernier état de ses écritures en date du 26 mai 2025, elle invite la cour à statuer dans les termes suivants :

' Infirmer le jugement rendu le 3 décembre 2024 en ce qu’il a condamné la société concluante à payer aux époux [Z] la somme de 4 998 euros correspondant au virement non-autorisé, outre la somme de 3 euros au titre des frais facturés pour le virement et celle de 1 500 euros en compensation des frais irrépétibles exposés et les entiers dépens.

Statuant à nouveau :

' Dire et juger que la banque concluante n’est pas responsable du virement frauduleux daté du 28 avril 2023.

' Débouter les époux [Z] de l’intégralité de leurs demandes fins et prétentions.

' Condamner solidairement les époux [Z] à payer à la banque concluante la somme de 1500 euros en application des dispositions de l’article 700 du code de procédure civile, outre les entiers dépens.

Elle fait valoir, pour cela, les moyens et arguments suivants :

' Il n’est aucunement administré la preuve que la concluante a commis une faute par négligence dans l’opération de transfert de fonds.

' Le virement a été opéré sous l’égide d’une double authentification forte et le transfert non autorisé n’a été possible que par la négligence grave du payeur qui n’a pas respecté les consignes qui lui ont été adressées à l’effet de déjouer les man’uvres frauduleuses imputables à des tiers malveillants.

— Le système d’authentification forte, portant l’intitulé de «Secur’Pass » prévoit un protocole spécifique en vue d’éviter d’être victime d’opérateurs malfaisants. Le payeur est destinataire d’un message d’alerte de la banque quant à la préparation d’une opération et celle-ci n’est validée que par la connexion de l’utilisateur sur son compte en ligne par confirmation du mot de passe. Ces modalités de sécurisation à distance exigent donc une vigilance particulière de la part des payeurs, laquelle fait défaut au cas présent. Dès lors, l’opération authentifiée a été dûment enregistrée sans que puisse être incriminée une défaillance technique du PSP.

' En l’occurrence, Mme [Z] s’est connectée le 25 avril 2023 sur son espace client du site internet de la banque concluante avec son identifiant et son mot de passe à 14h32. 10 minutes plus tard, l’établissement teneur de compte lui a adressé un courriel lui signalant cette connection. À 16h10 une nouvelles connection s’est produite sur son compte en ligne initiée par une tierce personne. Dans le même temps, le PSP a sollicité de sa part la confirmation de l’opération et à 16h19, après confirmation du payeur, le transfert a été enrôlé au dispositif Sécur’ Pass. Il s’en déduit que l’utilisatrice a donné son plein accord pour la connection si bien que le virement contesté a été validé.

' Le fait de répondre à un courriel d’hameçonnage constitue, dès lors, une négligence grave étant relevé que l’intéressée reconnaît expressément avoir cliqué sur un lien figurant sur le message initial tout en admettant ne pas avoir vérifié l’identité de son auteur. De la sorte, elle a agi en méconnaissance des préconisations de sécurité figurant sur un site dédié de la banque concluante et elle aurait pu aisément se prémunir contre les agissements frauduleux d’un tiers en prenant l’attache d’un conseiller de la banque via le site internet .

* * *

En réponse, les époux [Z], aux termes de leurs ultimes conclusions à portée récapitulative en date du 27 juin 2025, sollicitent que la cour statue dans le sens suivant :

' Confirmer en intégralité le jugement rendu par la chambre de proximité du tribunal judiciaire de Besançon le 3 décembre 2024.

' Débouter la BPBFC de l’intégralité de ses demandes et la condamner à payer aux concluants la somme de 3 000 euros au titre de leurs frais irrépétibles, outre les entiers dépens.

Subsidiairement :

' Dire que les opérations litigieuses ont été effectuées en l’absence d’authentification forte.

' Condamner la BPBFC à rembourser aux époux concluants la somme de 4 998 euros au titre du virement non autorisé, outre celle de 3 euros au titre des frais accessoires.

Plus subsidiairement :

' Dire que la BPBFC ne rapporte pas la preuve d’une négligence grave de la part des payeurs de même qu’une authentification forte de l’opération litigieuse et leur rembourser en conséquence le montant du virement et des frais accessoires dont ils ont été dépouillés.

' En toute hypothèse condamner la banque appelante à leur payer une somme de 3 000 euros au titre de leurs frais exposés en marge des dépens.

Ils soutiennent, à cet égard, que :

' Il appartient à la banque PSP d’administrer la preuve de ce que le transfert de fonds a été validé à la suite de la mise en place d’un système d’authentification forte et sans aucune déficience technique de sa part.

' Il incombe au PSP de mettre en 'uvre le système d’authentification forte lors d’une opération à distance dont la validation est sollicitée mais également lorsque l’accès à l’espace en ligne de la banque est requis, preuve que la BPBFC s’est abstenue de rapporter.

' Ainsi que l’a retenu, à bon escient, le premier juge, aucune négligence grave ne peut être imputée à la co -concluante qui n’a fait que cliquer sur un lien contenu dans un message qu’elle a reçu sans fournir aucun autre renseignement sur son identifiant et son mot de passe.

* * *

La procédure été clôturée par ordonnance en date du 18 novembre 2025.

MOTIFS DE LA DECISION

Le transfert de fonds litigieux participe des paiements non-autorisés. Le mode opératoire du détournement lésionnaire des intérêts des payeurs s’apparente à la technique du 'spoofing’ qu’illustre plus particulièrement la technique dite de 'la fraude au président’ par laquelle un tiers malveillant usurpe l’identité d’un responsable de l’organisme teneur de compte pour se faire remettre une provision déposée en compte ou les codes et identifiants personnels en vue de dépouiller la victime.

Un régime particulier est prévu pour les opérations spécialement sécurisées au moyen d’un dispositif d’authentification forte tel que prévu aux articles L. 133-4 et L. 133-44 du code monétaire et financier (CMF). Cette exigence de sécurisation des opérations de paiement en ligne et formalisées par voie électronique a été formulée par la directive (UE) n° 2015/2366 du 25 novembre 2015 relative aux services de paiement dite DSP 2. L’usage d’un système d’authentification forte est ainsi le préalable et la condition d’une exonération de responsabilité du prestataire en cas de négligence grave de l’utilisateur. Cette notion est explicitée au paragraphe 72 de la DSP 2 précitée dans les termes suivants:

'Si la négligence implique un manquement au devoir de diligence, la négligence grave devrait impliquer plus qu’une simple négligence et comporter un défaut de vigilance caractérisé.'

Il s’en déduit que la négligence grave doit s’entendre de tout manquement qualifié au devoir de vigilance tel qu’explicité à l’article L. 133-16 du code précité.

Il résulte des dispositions rapprochées des articles L. 133-19 III et V et L. 133-23 du code sus-visé que la preuve de la négligence grave, qui sous-entend une entorse importante au protocole de sécurisation, incombe au PSP. Il lui appartient, à ce titre, de démontrer que l’opération en question a été dûment authentifiée, enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique.

Pour conclure à l’existence d’une négligence grave imputable aux époux utilisateurs, la BPBFC se prévaut de la fiabilité du système d’authentification forte 'Securpass’ ce dont elle déduit que la seule explication plausible à la fraude dont ont été victimes les époux intimés est qu’ils aient communiqué à un tiers les identifiants et mots de passe permettant l’accès à leur compte de dépôt.

Il convient, néanmoins de rappeler qu’aux termes du 2° alinéa de l’article L. 133-23 précité:

' L’utilisation de l’instrument de paiement telle qu’enregistrée par le PSP ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur, ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le PSP fournit tous les éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de service de paiement.'

Il appartient donc au PSP d’administrer la preuve d’une négligence grave du payeur même si la faute commise par ce dernier résulte de la violation d’une obligation de sécurité dont il a eu, ou aurait dû, avoir conscience. Or cette preuve ne peut résulter d’un raisonnement présomptif et être ainsi déduite du seul usage de l’instrument de paiement ou des données personnelles qui lui sont liées (Cass. Com. 18 janvier 2017 n° 15-18.102).

En l’occurrence, le simple fait que le protocole de sécurisation prévoit l’utilisation de deux mots de passe pour procéder au paiement à partir d’un téléphone portable ne peut laisser inférer, de manière univoque, une négligence grave de la part du payeur.

Mme [Z] fait état d’une mauvaise manipulation de sa part ayant consisté à appuyer digitalement sur un lien apparu sur le message que lui a adressé le fraudeur, sans intention de valider le paiement. Cette circonstance ne peut donc être regardée comme constitutive d’une négligence grave au sens des dispositions légales précitées. De ce point de vue, aucun manquement aux recommandations de précaution auxquelles le payeur est tenu de se conformer en vertu de l’article L.133-16 précité, n’est caractérisé au cas présent.

Il suit des motifs qui précèdent que le jugement entrepris doit être confirmé en toutes ses dispositions.

Il serait inéquitable de laisser à la charge des époux [Z] les frais exposés par eux dans le cadre de la présente instance et non-compris dans les dépens, à hauteur de la somme de 1500 euros. La BPBFC sera tenue d’en acquitter le paiement à leur profit.

PAR CES MOTIFS

La cour statuant publiquement, contradictoirement et après en avoir délibéré conformément à la loi:

— Confirme en toutes ses dispositions le jugement déféré.

— Condamne la SA Banque Populaire de Bougogne Franche-Comté à payer aux épooux [Z] la somme de 1500 euros en application des dispositions de l’article 700 du code de procédure civile.

— La condamne aux dépens d’appel.

Le greffier, Le président,