Cour d'appel de Bordeaux, 1re chambre civile, 2 novembre 2023, n° 21/01736

TGI Angoulême 24 février 2021

CA Bordeaux
Infirmation 2 novembre 2023

Arguments

Le contenu a été généré à l’aide de l’intelligence artificielle. Pensez à vérifier son exactitude.

Signaler une erreur.

Accepté
Non-respect des obligations de sécurité par la banque
La cour a estimé que la banque n'a pas prouvé que les opérations avaient été correctement authentifiées et que la négligence grave de Monsieur [U] n'a pas été démontrée.
Rejeté
Préjudice moral causé par le traitement de la banque
La cour a jugé que Monsieur [U] n'a pas démontré avoir subi un préjudice moral distinct du préjudice financier déjà réparé.
Accepté
Dépens et frais d'appel
La cour a décidé que la banque devait supporter les dépens et a accordé des frais irrépétibles à Monsieur [U].

Résumé par Doctrine IA

La cour d'appel de Bordeaux a rendu un arrêt le 2 novembre 2023 dans une affaire opposant M. [U] à la Caisse Régionale de Crédit Agricole Mutuel Charente-Périgord. M. [U] avait demandé le remboursement de deux virements frauduleux effectués depuis son compte bancaire. En première instance, le tribunal judiciaire d'Angoulême avait débouté M. [U] de ses demandes, considérant qu'il avait commis une négligence grave en divulguant ses données personnelles. La cour d'appel a infirmé ce jugement et a condamné la banque à rembourser à M. [U] la somme de 6 000 euros. La cour a estimé que la banque n'avait pas prouvé la négligence grave de M. [U] et que les opérations litigieuses avaient été authentifiées et enregistrées sans incident technique. M. [U] a été débouté de sa demande de dommages et intérêts, mais la banque a été condamnée à lui verser une indemnité de 2 000 euros au titre des frais irrépétibles.

Le contenu a été généré à l’aide de l’intelligence artificielle. Pensez à vérifier son exactitude.

Commentaire • 0

Augmentez la visibilité de votre blog juridique : vos commentaires d’arrêts peuvent très simplement apparaitre sur toutes les décisions concernées.

Sur la décision

Référence :	CA Bordeaux, 1re ch. civ., 2 nov. 2023, n° 21/01736
Juridiction :	Cour d'appel de Bordeaux
Numéro(s) :	21/01736
Importance :	Inédit
Décision précédente :	Tribunal de grande instance d'Angoulême, 24 février 2021, N° 11-20-550
Dispositif :	Autre
Date de dernière mise à jour :	6 août 2024
Lire la décision sur le site de la juridiction

Sur les parties

Avocat(s) :	Katell LE BORGNESandrine MAS-BLANCHOT
Cabinet(s) :	LAVALETTE AVOCATS CONSEILS-SOCIETE CIVILE PROFESSIONNELLE D'AVOCATSKPDB INTER-BARREAUX
Parties :	CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL CHARENTE-PERIGORD

Texte intégral

COUR D’APPEL DE BORDEAUX

1ère CHAMBRE CIVILE

— -------------------------

ARRÊT DU : 02 NOVEMBRE 2023

N° RG 21/01736 – N° Portalis DBVJ-V-B7F-MAQD

[R] [U]

CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL CHARENTE-PERIGORD

Nature de la décision : AU FOND

Grosse délivrée le :

aux avocats

Décision déférée à la cour : jugement rendu le 24 février 2021 par le Juge des contentieux de la protection du Tribunal Judiciaire d’ANGOULEME (chambre : 4, RG : 11-20-550) suivant déclaration d’appel du 23 mars 2021

APPELANT :

[R] [U]

né le [Date naissance 2] 1945 à [Localité 4]

de nationalité Française

demeurant [Adresse 6]

Représenté par M^e Philippe LECONTE de la SELARL LEXAVOUE BORDEAUX, avocat postulant au barreau de BORDEAUX, et assistée de M^e Sandrine MAS-BLANCHOT, avocat plaidant au barreau de BORDEAUX

INTIMÉE :

CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL CHARENTE-PERIGORD, immatriculée au RCS d’ANGOULÊME sous le n° 775 569 726, prise en la personne de ses représentants légaux domiciliés en cette qualité au siège sis [Adresse 3]

Représentée par M^e Katell LE BORGNE de la SCP LAVALETTE AVOCATS CONSEILS, avocat au barreau de BORDEAUX

COMPOSITION DE LA COUR :

En application des dispositions des articles 805 et 907 du code de procédure civile, l’affaire a été débattue le 21 septembre 2023 en audience publique, les avocats ne s’y étant pas opposés, devant M^me Bérengère VALLEE, Conseiller, qui a fait un rapport oral de l’affaire avant les plaidoiries,

Ce magistrat a rendu compte des plaidoiries dans le délibéré de la cour, composée de :

Président : M^me Paule POIREL

Conseiller : M^me Bérengère VALLEE

Conseiller : M. Emmanuel BREARD

Greffier lors des débats : M^me Nora YOUSFI

Greffier lors du prononcé : M^me Audrey COLLIN

ARRÊT :

— contradictoire

— prononcé publiquement par mise à disposition de l’arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

* * *

EXPOSE DU LITIGE ET DE LA PROCÉDURE

M. [R] [U] est titulaire d’un compte bancaire auprès de la société Caisse Régionale de Crédit Agricole Mutuel Charente-Périgord, sur lequel il a souscrit un contrat crédit agricole en ligne.

Le 5 et 6 mars 2020, deux virements d’un montant de 3 000 euros chacun ont été émis du compte de M. [U] au bénéfice de M. [W] [Z] au moyen du service d’authentification SecuriPass.

Le 14 mars 2020, M. [U] a contacté la société Caisse Régionale de Crédit Agricole Mutuel Charente-Périgord pour demander le remboursement de ces sommes indiquant qu’il n’était pas l’émetteur des virements.

En l’absence d’un accord amiable devant le médiateur, par acte d’huissier du 9 septembre 2020, M. [U] a fait assigner la société Caisse Régionale de Crédit Agricole Mutuel Charente-Périgord devant le tribunal judiciaire d’Angoulême aux fins de la voir condamner à lui payer la somme de 6.000 euros, celle de 3.000 euros à titre de dommages et intérêts, outre 3.500 euros sur le fondement de l’article 700 du code de procédure civile.

Par jugement du 24 février 2021, le tribunal judiciaire d’Angoulême a :

— débouté M. [U] de ses prétentions ;

— condamné M. [U] aux dépens ;

— dit n’y avoir lieu à condamnation au titre des dispositions de l’article 700 du code de procédure civile.

Pour statuer ainsi, le tribunal a estimé que le service Securipass répondait aux exigences d’authentification forte du client permettant de sécuriser les services bancaires en ligne ; que la banque avait respecté le processus de sécurité ; que les opérations d’activation de ce service puis la mise en oeuvre de deux virements de 3.000 euros chacun avaient été parfaitement authentifiés, enregistrés et comptabilisés et qu’aucune défaillance technique n’avait été démontrée. Compte tenu de ce procédé de sécurité, il a considéré que les deux virements litigieux n’avaient pu aboutir que parce que l’auteur connaissait l’identifiant et le code personnel d’accès de M. [U] et qu’il avait reçu le code de validation, de sorte que ce dernier avait nécessairement commis une négligence grave permettant à ce tiers de récupérer ses données personnelles.

M. [U] a relevé appel de ce jugement par déclaration du 23 mars 2021 et par conclusions déposées le 21 août 2023, il demande à la cour de :

— infirmer le jugement de première instance du tribunal judiciaire d’Angoulême du 24 février 2021 en ce qu’il l’a débouté de ses prétentions ;

— condamner la société Caisse Régionale de Crédit Agricole Mutuel Charente-Périgord à lui rembourser la somme de 6 000 euros frauduleusement détournée de son compte;

— condamner la société Caisse Régionale de Crédit Agricole Mutuel Charente-Périgord à lui verser une indemnité de 3 000 euros à titre de dommages et intérêts;

— condamner la société Caisse Régionale de Crédit Agricole Mutuel Charente-Périgord au paiement d’une indemnité de 2 500 euros sur le fondement de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens.

Par conclusions déposées le 24 juillet 2023, la société Caisse Régionale de Crédit Agricole Mutuel Charente-Périgord demande à la Cour de :

— déclarer mal fondé l’appel de M. [U] à l’encontre à l’encontre du jugement rendu le 24 février 2021 par le juge des contentieux de la protection du tribunal judiciaire d’Angoulême ;

Par conséquent,

— confirmer la décision déférée dans l’intégralité de ses dispositions ;

— débouter M. [U] de l’intégralité de ses demandes, fins et conclusions ;

Ajoutant à la décision déférée,

— condamner M. [U] aux entiers dépens d’appel, outre à payer à la société Caisse Régionale de Crédit Agricole Mutuel Charente-Périgord une indemnité de 2 500 euros au titre des frais irrépétibles d’appel.

L’affaire a été fixée à l’audience rapporteur du 21 septembre 2023.

L’instruction a été clôturée par ordonnance du 7 septembre 2023.

MOTIFS DE LA DÉCISION

Sur la demande principale de Mme [U]

Aux termes de l’article L.133-16 du code monétaire et financier, 'Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées.

Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées'.

L’article L.133-18, alinéas 1 et 2, du code monétaire et financier dispose : 'En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L.133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.

Lorsque l’opération de paiement non autorisée est initiée par l’intermédiaire d’un prestataire de services de paiement fournissant un service d’initiation de paiement, le prestataire de services de paiement gestionnaire du compte rembourse immédiatement, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, au payeur le montant de l’opération non autorisée et, le cas échéant, rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. La date de valeur à laquelle le compte de paiement du payeur est crédité n’est pas postérieure à la date à laquelle il avait été débité.'

L’article L. 133-19 du même code énonce que :

'II. ' La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées.

(…)

V. ' Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44.'

Enfin, aux termes de l’article L.133-23 du code monétaire et financier, 'Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.'

Il est constant que M. [U] a souscrit auprès de la société intimée une convention intitulée 'Convention Crédit Agricole en ligne', lui donnant une totale autonomie et une liberté de gestion de son compte, sans aucune intervention de la banque.

Pour activer le service Securipass, le client doit accéder à son espace personnel sur l’application 'Ma banque’ en indiquant ses identifiants de connexion et son mot de passe puis cliquer sur 'Mon Securipass’ et cliquer sur 'activer'. Puis un SMS est envoyé sur le téléphone portable du client dont le numéro est au préalable fiabilisé sur le site internet ou par le conseiller et les codes reçus par SMS doivent être renseignés. Le client choisit alors un code à 4 chiffres, strictement personnel et connu seulement de lui, permettant la validation des opérations futures. Les opérations d’ajout de bénéficiaire, puis de virements, effectuées depuis son espace en ligne exigent la remise de son identifiant, du code initial que l’utilisateur a personnalisé, puis de l’usage d’un code reçu par SMS afin de valider l’opération d’ajout du bénéficiaire permettant d’effectuer le virement 48h plus tard.

a) Au soutien de ses prétentions, M. [U] fait tout d’abord valoir que le Crédit Agricole ne dispose pas d’un système d’authentification forte au sens du code monétaire et financier puisque les documents fournis par la banque indiquent que l’activation SécuriPass a été faite par un appareil du type Iphone alors qu’il avait enregistré un Sony Xpéria XZ.

S’il résulte en effet des pièces produites que le service Securipass qui permet de valider des paiements en ligne et d’ajouter des bénéficiaires a été activé le 26 janvier 2020 depuis un téléphone 'Iphone', M. [U] procède par affirmation lorsqu’il allègue avoir toujours été détenteur d’un Sony Xperia Z3 ce dont la banque était informée, aucune pièce ne venant justifier ces allégations. En outre, la Caisse de Crédit Agricole souligne justement que si le numéro de téléphone préalablement validé constitue un élément d’authentification fiable qui a vocation à durer, il n’en est pas de même du modèle de téléphone portable, modifiable par le client lui-même. Au regard de ces éléments, il n’est pas démontré que la banque n’a pas répondu à l’exigence de l’authentification forte.

b) M. [U] soutient ensuite que la banque ne démontre pas que les opérations litigieuses ont été authentifiées, dûment enregistrées et comptabilisées et qu’elles n’ont pas été affectées par une déficience technique ou autre.

La Caisse Régionale de Crédit Agricole Mutuel Charente-Périgord justifie néanmoins de l’envoi, le 26 janvier 2020 à 8h44, d’un SMS contenant un code à usage unique nécessaire à l’activation du service Securipass sur le numéro de téléphone mobile préalablement fiabilisé de M. [U], à savoir le [XXXXXXXX01], ainsi que du message adressé le même jour à 8h48 dans la messagerie de son espace en ligne l’informant de l’activation du service 'Securipass’ sur son application 'Ma Banque'. Elle justifie également avoir, le 5 mars 2020, adressé un courriel à M. [U] dans son espace en ligne, l’informant de l’ajout d’un nouvel IBAN bénéficiaire. Les virements frauduleux ont par la suite été réalisées via le code confidentiel à quatre chiffres choisi lors de l’activation du service Securipass le 26 janvier 2020. Il s’ensuit que ces opérations ont été authentifiées, enregistrées et comptabilisées sans incident technique.

c) M. [U] fait enfin valoir que la banque ne rapporte pas la preuve qui lui incombe qu’il a commis une négligence grave. Affirmant avoir été victime d’un piratage informatique, il conteste fermement avoir jamais communiqué à quiconque ses coordonnées bancaires confidentielles, ajoutant que les virements en cause auraient dû alerter la banque au regard du fonctionnement habituel du compte.

Il résulte des dispositions précitées de l’article L.133-23 du code monétaire et financier que l’utilisation du service de paiement ne suffit pas en tant que telle à prouver que l’opération a été autorisée par le client ou que ce dernier n’a pas satisfait, intentionnellement ou par négligence grave, aux obligations lui incombant en matière de préservation de ses données. Il revient à l’établissement bancaire de prouver la négligence grave commise par le client.

Or, en l’espèce, la banque ne procéde que par supposition pour prétendre que M. [U] aurait été victime de phising ou aurait pu remplir un mail trompeur, sans inverser la charge de la preuve, alors que le texte précité exige du prestataire de paiement qu’il fournisse des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur.

Si la banque reproche encore à M. [U] de n’avoir pas consulté sa messagerie sécurisée alors qu’un courriel l’avertissant de l’activation du service Securipass lui avait été adressé le 26 janvier 2020 et d’avoir, au lieu de contacter son conseiller, directement répondu à une adresse no-reply au courriel envoyé le 5 mars 2020 sur sa boite mail [Courriel 5] l’informant de l’enregistrement d’un nouveau compte bénéficiaire, il sera répondu, d’une part, que le défaut de consultation régulière de sa messagerie sécurisée située dans son espace personnel en ligne ne saurait suffire, sans autre alerte, à constituer une négligence grave de l’utilisateur, d’autre part, que M. [U] a répondu comme suit au courriel qui lui a été adressé le 5 mars 2020 : 'Je ne suis pas le demandeur. Merci de bloquer l’opération', sans qu’il soit démontré, au vu de la pièce produite aux débats, qu’il s’agissait d’une adresse no-reply comme allégué par la société intimée.

Faute pour l’établissement bancaire de rapporter la preuve de la négligence grave de son client, sa condamnation au remboursement des opérations non autorisées devra être prononcée.

En conséquence, le jugement ayant débouté l’appelant sera infirmé et la Caisse Régionale de Crédit Agricole Charente-Périgord sera condamnée à rembourser à M. [U] la somme de 6 000 euros.

Sur la demande de dommages et intérêts de M. [U]

Faisant valoir qu’il a été atteint par le mépris avec lequel sa banque l’a traité, l’appelant sollicite l’allocation de la somme de 3.000 euros en indemnisation de son préjudice moral.

Cependant, M. [U] ne démontre nullement avoir subi un préjudice moral distinct du préjudice financier ci-dessus réparé et ne produit aucun élément au soutien de sa prétention.

Il sera débouté de sa demande de dommages et intérêts.

Sur les frais irrépétibles et les dépens

Il y a lieu d’infirmer le jugement déféré en ses dispositions relatives aux dépens et à l’article 700 du code de procédure civile.

Aux termes de l’article 696, alinéa premier, du code de procédure civile, la partie perdante est condamnée aux dépens, à moins que le juge, par décision motivée, n’en mette la totalité ou une fraction à la charge d’une autre partie. Sur ce fondement, la Caisse Régionale de Crédit Agricole supportera la charge des dépens.

En application de l’article 700 du code de procédure civile, le juge condamne la partie tenue aux dépens ou qui perd son procès à payer à l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens. Dans tous les cas, le juge tient compte de l’équité ou de la situation économique de la partie condamnée.

En l’espèce, la Caisse Régionale de Crédit Agricole Charente-Périgord sera condamnée à payer à M. [U] la somme de 2.000 euros au titre des dispositions de l’article 700 du code de procédure civile.

PAR CES MOTIFS

La cour,

— Infirme le jugement déféré en toutes ses dispositions ;

Statuant à nouveau,

— Condamne la Caisse Régionale de Crédit Agricole Mutuel Charente-Périgord à rembourser à M. [R] [U] la somme de 6.000 euros en remboursement des opérations non autorisées sur son compte ;

— Déboute M. [R] [U] de sa demande de dommages et intérêts ;

— Déboute les parties de leur demandes plus amples ou contraires ;

Y ajoutant,

— Condamne la Caisse Régionale de Crédit Agricole Mutuel Charente-Périgord à payer à M. [R] [U] la somme de 2.000 euros sur le fondement des dispositions de l’article 700 du code de procédure civile ;

— Condamne la Caisse Régionale de Crédit Agricole Mutuel Charente-Périgord aux dépens.

Le présent arrêt a été signé par Madame Paule POIREL, président, et par Madame Audrey COLLIN, greffier, auquel la minute de la décision a été remise par le magistrat signataire.

Le Greffier, Le Président,