AFFAIRE : N° RG 24/02236

ARRÊT N°

NLG

ORIGINE : DECISION du TJ de CAEN en date du 30 Juillet 2024

RG n° 21/03538

COUR D’APPEL DE CAEN

DEUXIEME CHAMBRE CIVILE ET COMMERCIALE

ARRÊT DU 15 JANVIER 2026

APPELANTE :

S.A. CAISSE D’EPARGNE ET DE PREVOYANCE NORMANDIE

N° SIRET : 384 353 413

[Adresse 5]

[Localité 7]

prise en la personne de son représentant légal

Représentée par M^e Marc REYNAUD, avocat au barreau de LISIEUX,

Assistée de M^e Julian COAT, avocat au barreau de PARIS

INTIME :

Monsieur [F] [G]

né le [Date naissance 3] 1975 à [Localité 9]

[Adresse 6]

[Localité 4]

Représenté et assisté par M^e Agathe MARRET, avocat au barreau de CAEN

DEBATS : A l’audience publique du 03 novembre 2025, sans opposition du ou des avocats, M^me COURTADE, Conseillère, a entendu seule les plaidoiries et en a rendu compte à la cour dans son délibéré

GREFFIER : M^me LE GALL, greffière

COMPOSITION DE LA COUR LORS DU DÉLIBÉRÉ :

M^me MEURANT, Présidente de chambre,

M^me COURTADE, Conseillère,

M^me LOUGUET, Conseillère,

ARRET prononcé publiquement le 15 janvier 2026 à 14h00 par mise à disposition de l’arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile et signé par M^me MEURANT, présidente, et M^me LE GALL, greffière

*

* *

Le 20 juillet 2021, M. [F] [G], titulaire d’un compte ouvert dans les livres de la SA Caisse d’épargne et de prévoyance Normandie, a reçu un appel sur son téléphone portable d’une personne prétendant appartenir au service des 'fraudes et oppositions’ de la Caisse d’épargne, l’avisant d’un achat frauduleux en cours sur son compte et lui demandant de faire des modifications pour sécuriser son application 'Caisse d’épargne'.

Quelques jours plus tard, entre le 25 juillet 2021 à 23h58 et le 26 juillet 2021 à 11h18, 7 virements frauduleux, précédés de la création de nouveaux comptes bénéficiaires, ont été réalisés au profit de ces derniers pour un montant total de 94.995 euros sur le compte de M. [G] qui a fait opposition auprès de sa banque et a déposé plainte pour escroquerie le 26 juillet.

La procédure de rappel des fonds engagée par la banque a permis de restituer à M. [G] une parties des sommes prélevées, de sorte que la perte subie par ce dernier s’élevait à la somme de 39.873,37 euros.

Face au refus de la SA Caisse d’épargne et de prévoyance Normandie de lui restituer les sommes frauduleusement virées, M. [G] a, par acte d’huissier du 18 octobre 2021, fait assigner la Caisse d’épargne de Normandie devant le tribunal judiciaire de Caen aux fins de restitution desdits fonds et d’indemnisation de ses préjudices.

Par jugement du 30 juillet 2024, le tribunal judiciaire de Caen a :

— condamné la société Caisse d’épargne de Normandie à verser à M. [G] la somme de 39.873,37 euros, avec intérêts de droit, à compter de la date du jugement,

— condamné la société caisse d’épargne de Normandie à verser à M. [G] la somme de 1.000 euros à titre d’indemnité pour préjudice moral,

— condamné la société Caisse d’épargne de Normandie aux dépens,

— condamné la société Caisse d’épargne de Normandie à verser à M. [G] la somme de 2.500 euros sur le fondement des dispositions de l’article 700 du code de procédure

civile;

— rappelé que la décision est exécutoire de droit par provision.

Par déclaration du 9 septembre 2024, la Caisse d’épargne a interjeté appel de cette décision sauf en ce qui concerne l’exécution provisoire.

Aux termes de ses dernières conclusions remises au greffe et notifiées par RPVA le 14 octobre 2025, la Caisse d’épargne demande de :

— déclarer l’appel principal de la Caisse d’Épargne et de Prévoyance Normandie recevable en la forme et bien fondé,

— infirmer le jugement entrepris en ce qu’il a :

° condamné la société Caisse d’épargne de Normandie à verser à M. [G] la somme de 39.873,37 euros, avec intérêts de droit, à compter de la date du jugement,

° condamné la société caisse d’épargne de Normandie à verser à M. [G] la somme de 1.000 euros à titre d’indemnité pour préjudice moral,

° condamné la société Caisse d’épargne de Normandie aux dépens,

° condamné la société Caisse d’épargne de Normandie à verser à M. [G] la somme de

2.500 euros sur le fondement des dispositions de l’article 700 du code de procédure civile,

Statuant à nouveau,

— débouter M. [F] [G] de l’ensemble de ses demandes, fins et prétentions,

— condamner M. [F] [G] à verser à la Caisse d’Épargne et de Prévoyance Normandie la somme de 6.000 euros au titre de l’article 700 du code de procédure civile,

— condamner M. [F] [G] aux entiers dépens.

Aux termes de ses dernières conclusions remises au greffe et notifiées par RPVA le 14 octobre 2025, M. [G] demande de :

— déclarer l’appel incident de M. [G] recevable en la forme et bien fondé,

— confirmer le jugement entrepris en ce qu’il a :

' condamné la société Caisse d’épargne de Normandie à verser à M. [G] la somme de 39.873,37 euros, avec intérêts de droit, à compter de la date du jugement,

' condamné la société Caisse d’épargne de Normandie aux dépens,

' condamné la société Caisse d’épargne de Normandie à verser à M. [G] la somme de 2.500 euros sur le fondement des dispositions de l’article 700 du code de procédure civile,

— infirmer le jugement entrepris en ce qu’il a condamné la société Caisse d’épargne de Normandie à verser à M. [G] la somme de 1.000 euros à titre d’indemnité pour préjudice moral,

Et statuant à nouveau,

— juger que M. [G] n’a commis aucune négligence grave,

— condamner la Caisse d’Epargne et de Prévoyance Normandie à verser à M. [G] la somme de 6.000 euros à titre d’indemnité pour préjudice moral,

En toute hypothèse

— condamner la Caisse d’Epargne et de Prévoyance Normandie à verser à M. [G] la somme de 5.000 euros au titre de l’article 700 du code de procédure civile en cause d’appel,

— La condamner aux entiers dépens d’appel.

L’ordonnance de clôture a été prononcée le 15 octobre 2025.

Il est expressément renvoyé aux écritures précitées pour un plus ample exposé des prétentions et moyens des parties.

MOTIFS

L’article L 133-16 du code monétaire et financier dispose :

« Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées.

Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées."

L’article L 133-17 du même code énonce :

« I. ' Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci.'

Selon l’article L 133-19 IV, le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

Selon l’article L. 133-23 du même code :

'Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris,le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.'

L’opération de paiement non autorisée se définit, par interprétation a contrario de l’article L. 133-6 du code monétaire et financier, comme l’opération effectuée sans le consentement du payeur.

Il résulte des textes précités qu’il appartient à tout utilisateur de services de paiement de se conformer aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

Cependant, en application des articles L133-19 IV et L. 133-23:

— il incombe au prestataire de services de paiement, qui entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations, cette preuve ne pouvant se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisées ;

— le prestataire de services de paiement doit, en outre, démontrer que l’opération litigieuse a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

En l’espèce, à l’appui de ses prétentions, M. [G] fait notamment valoir, au visa des textes susvisés, qu’il n’a pas autorisé les paiements litigieux, qu’à la demande de la personne se présentant comme un agent de la Caisse d’épargne, il a effectué les opérations depuis son téléphone portable destinées à modifier son code Sécur’Pass, que pour autant il n’a jamais communiqué son code confidentiel Sécur’Pass, qu’aucune négligence grave ne peut lui être reprochée et qu’en tout état de cause, la banque échoue à rapporter la preuve lui incombant que l’opération en cause n’a pas été affectée par une déficience technique ou autre.

La Caisse d’épargne soutient que l’escroquerie n’a été rendue possible que par la négligence grave de l’intimé caractérisée par la communication, lors de l’échange téléphonique, de son code confidentiel provisoire à son interlocuteur qui a pu alors se connecter à son espace sécurisé bancaire, modifier le mot de passe et enrôler son appareil au dispositif Sécur’Pass associé à M. [G], avant de créer quelques jours plus tard de nouveaux comptes bénéficiaires et exécuter les virements litigieux. Elle conteste toute faille de sécurité et toute déficience technique, précisant que la procédure d’authentification a été régulièrement suivie.

* sur la négligence grave

Lors de son dépôt de plainte en date du 26 juillet 2021, M. [G] expliquait notamment qu’il avait reçu un appel le mardi 20 juillet 2021 à 20h07 de Sécur’Pass (tél: [XXXXXXXX02]), que ce numéro correspondait au service des fraudes de la Caisse d’épargne, que son interlocuteur lui avait fait part de ses doutes concernant l’achat d’un aspirateur d’un montant de 400 euros qui était manifestement frauduleux et qu’il lui avait fait faire plusieurs modifications pour sécuriser son application 'Caisse d’épargne'.

Aux termes du procès-verbal de constat de commissaire de justice dressé le 1er septembre 2021 à la demande de M. [G], ce dernier précisait :

— que son interlocuteur lui avait indiqué que son compte bancaire à la Caisse d’épargne de [Localité 8] n° [XXXXXXXXXX01] était sur le point d’être piraté par un fraudeur qui tentait d’acheter un aspirateur Rowenta, qu’il activait le pass secure et qu’il lui adressait par SMS un nouveau code,

— qu’il s’était exécuté sachant que le n° 09 69 36 39 39 était celui de la Caisse d’épargne service des fraudes et oppositions et qu’il avait reçu le nouveau code secure via le numéro habituel de la Caisse d’épargne 38056.

Le commissaire de justice constatait l’effectivité des appels provenant du n° [XXXXXXXX02] sur le téléphone de M. [G] ainsi que la réception à 20 heures d’un SMS provenant du n° 38056, contenant une information de la 'Caisse d’épargne Confidentiel’ notifiant un code confidentiel temporaire n° 41437960. Ce message mentionnait que ce code devrait être personnalisé lors de la première connexion aux espaces de banque en ligne et que pour des raisons de sécurité, ce SMS devrait être supprimé.

Dans son courrier non daté adressé à la Caisse d’épargne (pièce n°5 de l’intimé), M. [G] confirmait qu’il avait reçu 'un appel du service des fraudes de la Caisse d’épargne pour l’achat d’un aspirateur Rowenta 470 €' et que l’interlocuteur lui avait demandé 'avec insistance’ de changer son Sécur’Pass.

Par ailleurs, dans son mail du 10 août 2021 adressé à la banque, M. [G] ajoutait qu’il s’était déplacé le lendemain (le 21 juillet 2021) à son agence afin de se renseigner si ces appels reçus la veille étaient bien réels mais que personne n’était disponible.

Si les éléments du dossier ne permettent pas d’affirmer que M. [G] a donné ses codes confidentiels à l’escroc, en revanche, il ressort de ce qui précède qu’il a commis une négligence grave à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées.

En effet, comme exactement relevé par les premiers juges, M. [G] ne précise pas comment il a pu reconnaître le numéro de téléphone du service des fraudes de la Caisse d’épargne alors que ce numéro n’était pas enregistré dans ses contacts, qu’il ne s’agissait pas de celui de son conseiller habituel, et qu’il n’allègue ni n’établit avoir été en relation avec le service en cause antérieurement à l’appel frauduleux pas plus qu’il n’indique avoir vérifié le numéro au moment des faits.

Par ailleurs, la précision donnée par son interlocuteur sur l’achat frauduleux en cours, à savoir un aspirateur Rowenta, aurait dû alerter M. [G], la banque n’étant pas en mesure de connaître le détail du bien acheté par le client.

En outre, M. [G] a évoqué l’insistance avec laquelle on lui avait demandé de modifier son code Sécur’Pass.

Enfin, l’intimé reconnaît lui-même dans ses conclusions que l’appel du 20 juillet était suspect en écrivant : 'afin de s’assurer de l’absence de caractère frauduleux de cet appel, et dès le lendemain, M. [G] se rendait à son agence de [Localité 8] où il était confirmé que son sécur pass avait bien été activé la veille au soir par leurs services et que l’opération avait été correctement effectuée. M. [G] était dès lors parfaitement rassuré quant à la régularité de l’événement survenu la veille.'

M. [G], qui avait manifestement des doutes sur l’origine de l’origine de l’appel téléphonique, a ainsi commis une négligence grave en ne vérifiant pas l’identité de son interlocuteur.

Sa carence est d’autant plus grande qu’il s’est déplacé à l’agence bancaire le lendemain sans alerter quiconque de sa crainte quant à la régularité de l’opération, ainsi qu’il ressort de son propre mail en date du 10 août 2021 lequel contredit son allégation selon laquelle il aurait été reçu et rassuré par le personnel de l’agence.

Dans ces conditions, sa négligence grave est caractérisée.

* Sur l’absence de déficience technique ou autre affectant l’opération de paiement

A titre liminaire, il convient de rappeler que le dispositif Sécur’Pass est un système d’authentification forte au moyen d’un code personnel à 4 chiffres (code PIN Sécur’Pass) choisi par le client (facteur de connaissance) devant être saisi sur l’application mobile téléchargée sur le téléphone portable du client (facteur de possession).

Il résulte des pièces du dossier, en particulier du 'tableau des logs’ produit par la Caisse d’épargne que les opérations de paiement litigieuses ont été authentifiées, dûment enregistrées et comptabilisées par la banque.

Cependant, M. [G] conteste avoir donné ses codes confidentiels à l’escroc.

Il appartient dès lors à la Caisse d’épargne de rapporter la preuve ques les opérations n’ont pas été affectées par une déficience technique ou autre.

Pour tenter de rapporter cette preuve, l’appelante se prévaut de l’historique des opérations de l’espace en ligne de M. [G] issu de son système informatique (pièce n°6 – tableau des logs) qu’elle explicite dans ses écritures et dont elle souligne la cohérence et le bon déroulement technique.

Elle met en exergue en particulier les opérations suivantes :

* 20 juillet 2021

—  19h58 : connexion de M. [G] à son espace bancaire avec son téléphone identifié sous le numéro 7D (…)

—  19h59 : identification d’un nouveau téléphone mobile 2F (…)

—  20h01 : connexion de ce nouvel appareil à l’espace en ligne de M. [G] et mise à jour du mot de passe

—  20h06 : enrôlement par le fraudeur de son propre appareil 2F au dispositif Sécur’Pass au moyen du nouveau mot de passe

* entre le 25 et le 26 juillet 2021

— ajouts de comptes bénéficiaires externes et virements frauduleux effectués avec l’appareil de l’escroc, nouvellement enrôlé, et authentifiés par Sécur’Pass.

Contrairement à ce que soutient la Caisse d’épargne, le fait que la connexion de l’escroc avec son propre appareil et la création du nouveau mot de passe personnalisé ont eu lieu une minute après la réception par M. [G] à 20 h du SMS de la Caisse d’épargne lui adressant le code confidentiel temporaire à 8 chiffres, ne permet pas d’en déduire que l’intimé a nécessairement communiqué ce code provisoire, et autres codes confidentiels, au fraudeur.

Cette circonstance n’exclut pas la possibilité d’une interception du SMS et du code à l’insu du client.

De même, l’authentification forte de chacune des opérations litigieuses qui a suivi (création de comptes bénéficiaires externes, virements litigieux) ne démontre pas l’absence de déficience technique, notamment au moment de la première connexion de l’escroc à l’espace en ligne de M. [G].

On observe en outre que le déroulé des opérations n’est pas aussi cohérent que le prétend l’appelante. En effet, si l’historique des opérations montre qu’à 20h04, après la mise à jour du mot de passe par le fraudeur, M. [G] n’a pas réussi à se connecter à son espace en ligne 'MOT DE PASSE FAILED’ (ligne 254 du tableau), en revanche la banque n’explique pas comment ce dernier a pu se connecter par la suite avec son téléphone, notamment dès 20h05 (ligne 252), alors que son mot de passe avait été préalablement modifié par l’escroc.

Le tableau des 'logs’ édité par la banque est insuffisant à prouver l’absence de faille de sécurité dans son système de sécurisation de l’espace en ligne et de son procédé d’authentification ainsi que l’absence de piratage des données confidentielles au moment des opérations litigieuses.

En l’absence de preuve de ce que les opérations litigieuses n’étaient pas affectées d’une déficience technique ou autre, la Caisse d’épargne doit supporter toutes les pertes occasionnées par les opérations de paiement non autorisées.

Par suite, le jugement entrepris est confirmé en ce qu’il a condamné la Caisse d’épargne de Normandie à payer à M. [G] la somme de 39.873,37 euros en remboursement des débits non autorisés, avec intérêts de droit.

II. Sur la demande de M. [G] au titre du préjudice moral

M. [G] sollicite la somme de 6.000 euros à titre de dommages et intérêts en réparation de son préjudice moral.

Pour s’opposer à cette demande, la Caisse d’épargne fait justement valoir que dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier, à l’exclusion de la responsabilité civile de droit commun, et que seul le remboursement des sommes détournées peut être réclamé.

M. [G] réplique que ce principe n’empêche pas d’invoquer une indemnisation sur le fondement du droit commun pour un autre fait générateur de responsabilité.

Cependant, les fautes reprochées à la Caisse d’épargne, à savoir l’omission d’interrompre l’autorisation temporaire d’augmentation du plafond de virement autorisé et l’absence d’accès 7j/7j 24h/24h au centre d’opposition de la banque, ayant eu pour effet d’augmenter le montant des virements frauduleux, ne relèvent pas d’un fait générateur de responsabilité distinct de celui constitué par les opérations de paiement non autorisées.

Par conséquent, il convient de débouter M. [G] de sa demande qui se heurte au principe du caractère exclusif et autonome du régime de responsabilité des prestataires de services de paiement. Le jugement est infirmé sur ce point.

III. Sur les demandes accessoires

Les dispositions relatives aux dépens et frais irrépétibles, justement appréciées, sont confirmées.

La Caisse d’épargne succombant, est condamnée aux dépens de l’appel, à payer à M. [G] la somme complémentaire de 2.500 euros sur le fondement de l’article 700 du code de procédure civile, et est déboutée de sa demande formée à ce titre.

PAR CES MOTIFS

La cour, statuant publiquement, par arrêt contradictoire, mis à disposition au greffe,

Confirme le jugement entrepris des chefs de dispositions sauf en ce qu’il a condamné la SA Caisse d’épargne et de prévoyance Normandie à verser à M. [G] la somme de 1.000 euros à titre d’indemnité pour préjudice moral ;

Statuant à nouveau du chef de cette disposition infirmée et y ajoutant,

Déboute M. [F] [G] de sa demande d’indemnisation de son préjudice moral ;

Condamne la SA Caisse d’épargne et de prévoyance Normandie à payer à M. [F] [G] la somme complémentaire de 2.500 euros au titre de l’article 700 du code de procédure civile ;

Déboute la SA Caisse d’épargne et de prévoyance Normandie de sa demande formée à ce titre ;

Condamne la SA Caisse d’épargne et de prévoyance Normandie aux dépens de l’appel.

LE GREFFIER LE PRÉSIDENT

N. LE GALL B. MEURANT