SM/MMC

COPIE OFFICIEUSE

COPIE EXÉCUTOIRE

à :

— la SCP AVOCATS CENTRE

— la SCP SOREL & ASSOCIES

exp. TJ

LE : 28 NOVEMBRE 2025

COUR D’APPEL DE BOURGES

CHAMBRE CIVILE

ARRÊT DU 28 NOVEMBRE 2025

N° RG 25/00100 – N° Portalis DBVD-V-B7J-DWWX

Décision déférée à la Cour :

Jugement du Tribunal Judiciaire de BOURGES en date du 17 Décembre 2024

PARTIES EN CAUSE :

I – M. [J] [E]

né le [Date naissance 4] 1974 à [Localité 7]

[Adresse 6]

[Localité 3]

Représenté par la SCP AVOCATS CENTRE, avocat au barreau de BOURGES

timbre fiscal acquitté

APPELANT suivant déclaration du 28/01/2025

II – CAISSE DE CREDIT MUTUEL DE [Localité 8], agissant poursuites et diligences de son représentant légal domicilié en cette qualité au siège social :

[Adresse 5]

[Localité 2]

N° SIRET : 322 344 557

Représentée par la SCP SOREL & ASSOCIES, avocat au barreau de BOURGES

timbre fiscal acquitté

INTIMÉE

COMPOSITION DE LA COUR :

L’affaire a été débattue le 14 Octobre 2025 en audience publique, la Cour étant composée de :

M^me Odile CLEMENT Président de Chambre

entendu en son rapport

M. Richard PERINETTI Conseiller

M^me Marie-Madeleine CIABRINI Conseiller

***************

GREFFIER LORS DES DÉBATS : M^me MAGIS

***************

ARRÊT : CONTRADICTOIRE

prononcé publiquement par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

***************

EXPOSÉ

Le 16 juillet 2023, 19 paiements en devises étrangères ont été débités du compte bancaire de M. [J] [E], ouvert dans les livres de la Caisse de Crédit mutuel de [Localité 8] (ci-après désignée « le Crédit mutuel »), soit une somme globale de 1.807,47 euros.

Par courrier en date du 1er août 2023, M. [E] a alerté le Crédit mutuel du caractère non autorisé de ces prélèvements.

La banque ayant refusé de prendre en charge sa réclamation, M. [E] a saisi à plusieurs reprises le médiateur du Crédit mutuel et effectué en parallèle un dépôt de plainte en ligne, le 8 novembre 2023.

Suivant avis rendu le 18 janvier 2024, le médiateur du Crédit mutuel a vainement invité la banque à transiger.

M. [E] a alors saisi le conciliateur de justice, qui a dressé un constat de carence le 15 mars 2024, eu égard à l’absence de la banque au rendez-vous fixé le 26 février précédent.

Suivant acte d’huissier en date du 24 juillet 2024, M. [E] a fait assigner le Crédit mutuel devant le tribunal judiciaire de Bourges aux fins de voir, en l’état de ses dernières demandes,

déclarer M. [E] recevable et bien fondé en son action,

y faisant droit,

condamner le Crédit mutuel à rembourser à M. [E] la somme de 1.858,96 euros correspondant aux 19 paiements par carte bancaire avec prélèvement de frais effectués frauduleusement sur le compte bancaire n° [XXXXXXXXXX01] détenu par M. [E],

condamner le Crédit mutuel à payer à M. [E] la somme de 5.000 euros en réparation du préjudice moral et financier subi,

condamner le Crédit mutuel à payer à M. [E] la somme de 1.200 euros en application de l’article 700 du code de procédure civile,

condamner le Crédit mutuel aux entiers dépens.

En réplique, le Crédit mutuel a demandé au tribunal de :

déclarer irrecevables et à tout le moins mal fondées les demandes de M. [E],

débouter M. [E] de ses demandes,

condamner M. [E] à payer au Crédit mutuel une somme de 1.000 euros au titre de l’article 700 du code de procédure civile,

condamner M. [E] aux dépens,

rejeter l’exécution provisoire,

ordonner, à titre subsidiaire, la consignation des sommes dues par le Crédit mutuel sur un compte séquestre ouvert dans les livres de la CARPA et ce, jusqu’à épuisement des voies de recours,

ordonner, à titre infiniment subsidiaire, à M. [E] la constitution d’une garantie réelle ou personnelle suffisante pour répondre de toutes restitutions ou réparations au visa de l’article 514-5 du code de procédure civile.

Par jugement contradictoire du 17 décembre 2024, le tribunal judiciaire de Bourges a :

déclaré recevables mais mal fondées les demandes de M. [E] ;

débouté M. [E] de sa demande tendant à voir condamner le Crédit mutuel à rembourser les sommes litigieuses prélevées sur son compte ;

débouté M. [E] de ses demandes indemnitaires formulées au titre des préjudices moral et financier ;

condamné M. [E] à payer au Crédit mutuel une somme de 500 euros au titre de l’article 700 du code de procédure civile ;

condamné M. [E] aux dépens ;

rejeté les demandes subsidiaires tendant à faire consigner les condamnations sur un compte séquestre ouvert dans les livres de la CARPA et ce, jusqu’à épuisement des voies de recours, et à voir ordonner la constitution d’une garantie réelle ou personnelle suffisante pour répondre de toutes restitutions ou réparations au visa de l’article 514-5 du code de procédure civile ;

rejeté le surplus des demandes.

Le tribunal a notamment retenu que le Crédit mutuel justifiait de la réalisation des règlements litigieux à partir de la carte bancaire de M. [E] et du mode opératoire qui avait accompagné ces règlements, à savoir l’envoi d’un SMS sur le téléphone portable de M. [E] suivi de la formulation par celui-ci de son code personnel à six chiffres, que ce mode opératoire permettait de retenir que chaque opération avait été autorisée par M. [E] ou que celui-ci n’avait pas satisfait, intentionnellement ou par négligence grave, à son obligation de préserver la sécurité de ses dispositifs de sécurité personnalisés, qu’il ne pouvait être reproché à la banque de ne pas avoir vérifié ces opérations ou de ne pas avoir alerté son client à leur sujet, lesdites opérations n’ayant pas présenté d’indices apparents d’irrégularité de nature à susciter le doute auprès de l’établissement bancaire, et que la responsabilité du Crédit mutuel ne pouvait ainsi nullement être engagée.

M. [E] a interjeté appel de cette décision par déclaration en date du 28 janvier 2025.

Aux termes de ses dernières conclusions notifiées le 17 avril 2025, auxquelles il conviendra de se reporter pour un exposé détaillé et exhaustif des prétentions et moyens qu’il développe, M. [E] demande à la Cour de :

DÉCLARER M. [E] recevable et bien fondé en son appel.

Y faisant droit,

RÉFORMER le jugement rendu le 17 décembre 2024 par le Tribunal Judiciaire de Bourges en ce qu’il a :

déclaré mal fondées les demandes de M. [E] ;

débouté M. [E] de sa demande tendant à voir condamner le Crédit mutuel à rembourser les sommes litigieuses prélevées sur son compte ;

débouté M. [E] de ses demandes indemnitaires formulées au titre des préjudices moral et financier ;

condamné M. [E] à payer au Crédit mutuel une somme de 500 euros au titre de l’article 700 du code de procédure civile ;

condamné M. [E] aux dépens ;

rejeté le surplus des demandes de M. [E] ;

Statuant à nouveau des chefs réformés,

CONDAMNER le Crédit mutuel à rembourser à M. [E] la somme de 1 858,96 euros correspondant aux 19 paiements par carte bancaire avec prélèvements de frais effectués frauduleusement sur le compte bancaire n°[XXXXXXXXXX01] détenu par M. [E].

CONDAMNER le Crédit mutuel à payer à M. [E] la somme de 5 000 euros en réparation du préjudice moral et financier subi.

CONDAMNER le Crédit mutuel à payer à M. [E] la somme de 2 500 euros en application de l’article 700 du Code de Procédure Civile.

CONDAMNER le Crédit mutuel aux entiers dépens de première instance et d’appel, et allouer à la SCP Avocats Centre le bénéfice de l’article 699 du Code de Procédure Civile.

Dans ses dernières conclusions notifiées le 7 juillet 2025, auxquelles il conviendra de se reporter pour un exposé détaillé et exhaustif des prétentions et moyens qu’il développe, le Crédit mutuel demande à la Cour de :

DECLARER irrecevable et, à tout le moins, mal fondé l’appel de M. [E],

CONFIRMER le jugement rendu par le tribunal judiciaire de Bourges en date du 17 décembre 2024,

CONDAMNER M. [E] à payer à la Caisse de Crédit mutuel d’Issoudun 1.600 euros au titre de l’article 700 du code de procédure civile,

CONDAMNER M. [E] aux dépens.

L’ordonnance de clôture a été rendue le 30 septembre 2025.

MOTIFS

Sur la demande indemnitaire présentée par M. [E] :

Aux termes de l’article L133-23 du code monétaire et financier, lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.

L’article L133-19 du même code énonce que

I. ' En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17, les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 €.

Toutefois, la responsabilité du payeur n’est pas engagée en cas :

' d’opération de paiement non autorisée effectuée sans utilisation des données de sécurité personnalisées ;

' de perte ou de vol d’un instrument de paiement ne pouvant être détecté par le payeur avant le paiement ;

' de perte due à des actes ou à une carence d’un salarié, d’un agent ou d’une succursale d’un prestataire de services de paiement ou d’une entité vers laquelle ses activités ont été externalisées.

II. ' La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées.

Elle n’est pas engagée non plus en cas de contrefaçon de l’instrument de paiement si, au moment de l’opération de paiement non autorisée, le payeur était en possession de son instrument.

III. ' Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l’information aux fins de blocage de l’instrument de paiement prévue à l’article L. 133-17.

IV. ' Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

V. ' Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44.

VI. ' Lorsque le bénéficiaire ou son prestataire de services de paiement n’accepte pas une authentification forte du payeur prévue à l’article L. 133-44, il rembourse le préjudice financier causé au prestataire de services de paiement du payeur.

Les articles L133-16 et L133-17 du même code imposent à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées, d’utiliser l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées, et d’informer sans tarder son prestataire de services de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées.

Il est constant qu’il incombe au prestataire de services de paiement de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à son obligation de prendre toute mesure raisonnable pour préserver la sécurité des données de sécurité personnalisées, et que cette preuve de la négligence grave ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés (voir notamment en ce sens Cass. Com., 5 mars 2025, n° 23-22.687).

En l’espèce, il ressort des pièces contractuelles versées aux débats que M. [E] dispose, pour l’utilisation de son compte bancaire ouvert dans les livres du Crédit mutuel, d’une application MasterCard Access et d’une carte MasterCard On Line à débit immédiat, prévoyant un plafond mensuel de paiement à hauteur de 3.000 euros et permettant de régler à distance des achats de biens et des prestations de services.

Conformément à la directive sur les services de paiement DSP2, l’utilisation de cette carte bancaire est soumise, s’agissant des opérations effectuées en ligne, à un procédé d’authentification forte impliquant l’usage du téléphone portable enregistré par le client et la mise en 'uvre d’un code de sécurité en chiffres.

M. [E] a dans ce cadre enregistré son téléphone Android Redmi Note 11 Pro 5G comme support de ce processus d’authentification forte, le 17 mars 2023.

Il n’est pas contesté que le 16 juillet 2023, 19 paiements en francs CFA ont été effectués en ligne à partir du compte bancaire de M. [E], au moyen de la carte bancaire MasterCard liée à ce compte, pour un montant global de 1.807,47 euros (soit 19 x 62.400 francs CFA). Il est de même admis que M. [E] n’a à aucun moment indiqué avoir été dépossédé de sa carte bancaire ou de son téléphone portable.

Le Crédit mutuel expose que chacun de ces 19 paiements a fait l’objet d’un SMS adressé sur le téléphone portable enregistré par M. [E] mentionnant l’existence d’une opération de paiement sur Internet à confirmer, au bénéfice du marchand MAG REMIT SARL. Ces SMS ont ainsi été adressés entre 13 : 59 : 17 et 14 : 19 : 08. Le document regroupant les copies écran des authentifications litigieuses indique que pour chacune des 19 opérations en cause, la confirmation de l’ordre de paiement est intervenue à partir du téléphone portable de M. [E] dans un délai compris entre quelques secondes et trois minutes.

Contrairement à ce qui est soutenu par l’appelant, une telle succession d’opérations de paiement en un laps de temps aussi court n’est pas physiquement impossible, particulièrement en cas d’enregistrement préalable des données de la carte bancaire sur le site marchand, et n’est pas en soi révélatrice d’un piratage informatique. Il n’est pas davantage inconcevable en son principe qu’un client procède à 19 achats successifs sur un site marchand, sur ce même laps de temps.

Il doit par ailleurs être relevé qu’à 14 : 20 : 23, 14 : 41 : 10 et 15 : 28 : 23, trois nouveaux ordres de paiement comportant le même montant en francs CFA et le même bénéficiaire ont été passés au moyen du même instrument de paiement, mais ont échoué en raison de la saisie d’un code incorrect sur le téléphone portable enregistré au nom de M. [E].

Une telle mise en échec est de nature à démontrer le bon fonctionnement du processus d’authentification forte mis en 'uvre par la banque. En outre, il ne peut qu’être considéré qu’en cas de détournement des données bancaires de M. [E] et/ou de piratage de son application bancaire mobile et de son téléphone (notamment par le biais d’une méthode de phishing ou de spoofing), l’auteur dudit détournement et des 19 opérations de paiement validées durant les minutes précédentes n’aurait pas manqué de saisir le code chiffré correct plutôt qu’un code invalide, trois fois de suite. L’hypothèse d’un piratage informatique des serveurs de la banque elle-même, permettant d’envisager la corruption du processus même d’authentification forte, se heurte de la même façon à cette mise en échec qui n’aurait dans ce cas eu aucune raison de survenir.

Le Crédit mutuel établit ainsi, par les différentes pièces produites aux débats, que les opérations litigieuses ont été authentifiées suivant un procédé d’authentification forte, dûment enregistrées et comptabilisées et qu’elles n’ont pas été affectées par une déficience technique ou autre, le bon fonctionnement du système d’authentification étant notamment établi par la mise en échec des opérations ayant donné lieu à la saisie d’un code erroné.

Elle démontre également que les SMS de validation ont été adressés au téléphone portable enregistré par M. [E] et demeuré en la possession de celui-ci.

Il résulte de ces éléments que la validation des opérations dénoncées par M. [E] n’a pu intervenir qu’au moyen du code chiffré qu’il était seul à connaître et de son téléphone portable. Dès lors, seule une négligence grave de sa part a pu conduire à la réalisation effective des opérations de paiement en cause.

Il est par ailleurs constant que la responsabilité contractuelle de droit commun n’est pas applicable en présence d’un régime de responsabilité exclusif. Dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L133-18 à L133-24 du code monétaire et financier, qui transposent les articles 58, 59 et 60, paragraphe 1, de la directive 2007/64/CE, à l’exclusion de tout régime alternatif de responsabilité résultant du droit national. Il en résulte que la banque dont la responsabilité, recherchée du fait de paiements non autorisés sur le fondement de l’article L133-18 du code monétaire et financier, a été écartée ne peut voir sa responsabilité contractuelle engagée au titre d’un manquement à ses obligations de vigilance et de surveillance de ses systèmes (voir notamment en ce sens Cass. Com., 15 janvier 2025, n° 23-13.579).

L’argumentation développée par M. [E] quant au caractère anormal des 19 opérations de paiement litigieuses en raison de la devise concernée, de la destination et du bénéficiaire des fonds, de la multiplicité des opérations sur un laps de temps très court et de leur montant global ayant entraîné un découvert cinq fois supérieur au découvert autorisé par sa convention de compte, dont il estime qu’il aurait dû alerter la banque et l’amener à empêcher les paiements en cause, s’avère en conséquence inopérante.

Le jugement entrepris sera en conséquence confirmé en ce qu’il a débouté M. [E] de ses demandes indemnitaires formulées à l’encontre du Crédit mutuel.

Sur l’article 700 et les dépens :

L’équité et l’issue de la procédure déterminée par la présente décision commandent de faire application des dispositions de l’article 700 du code de procédure civile et de condamner M. [E], qui succombe en l’intégralité de ses prétentions, à verser au Crédit mutuel la somme de 1.000 euros au titre des frais exposés en cause d’appel qui ne seraient pas compris dans les dépens.

Aux termes de l’article 696 du code de procédure civile, la partie perdante est condamnée aux dépens à moins que le juge, par décision motivée, n’en mette la totalité ou une fraction à la charge de l’autre partie. M. [E], partie succombante, devra supporter la charge des dépens de l’instance d’appel.

Le jugement entrepris sera en outre confirmé de ces chefs.

PAR CES MOTIFS

La Cour,

CONFIRME le jugement rendu le 17 décembre 2024 par le tribunal judiciaire de Bourges en l’intégralité de ses dispositions ;

Et y ajoutant,

CONDAMNE M. [J] [E] à verser à la Caisse de Crédit mutuel de [Localité 8] la somme de 1.000 euros en application des dispositions de l’article 700 du code de procédure civile ;

REJETTE toutes autres demandes plus amples ou contraires,

CONDAMNE M. [J] [E] aux entiers dépens de l’instance d’appel.

L’arrêt a été signé par O. CLEMENT, Présidente et par S. MAGIS, Greffier, auquel la minute de la décision a été remise par le magistrat signataire.

LE GREFFIER LA PRESIDENTE

S. MAGIS O. CLEMENT