NH/SL

N° Minute

1C25/571

COUR D’APPEL de CHAMBÉRY

Chambre civile – Première section

Arrêt du Mardi 14 Octobre 2025

N° RG 23/00048 – N° Portalis DBVY-V-B7H-HFCO

Décision attaquée : Jugement du TJ hors JAF, JEX, JLD, J. EXPRO, JCP de BONNEVILLE en date du 23 Novembre 2022

Appelante

CAISSE DE CREDIT MUTUEL ROCHOISE, dont le siège social est situé [Adresse 2]

Représentée par la SELAS AGIS, avocats au barreau de THONON-LES-BAINS

Intimés

Mme [P] [I] épouse [Y]

née le [Date naissance 4] 1959 à [Localité 8], demeurant [Adresse 1]

M. [R] [Y]

né le [Date naissance 3] 1954 à [Localité 5], demeurant [Adresse 1]

Représentés par la SELARL SUBLET-FURST & FAUVERGUE, avocats au barreau d’ANNECY

— =-=-=-=-=-=-=-=-

Date de l’ordonnance de clôture : 12 Mai 2025

Date des plaidoiries tenues en audience publique : 09 septembre 2025

Date de mise à disposition : 14 octobre 2025

— =-=-=-=-=-=-=-=-

Composition de la cour :

— M^me Nathalie HACQUARD, Présidente,

— M^me Myriam REAIDY, Conseillère,

— M. Guillaume SAUVAGE, Conseiller,

avec l’assistance lors des débats de M^me Sylvie LAVAL, Greffier,

— =-=-=-=-=-=-=-=-

Faits et procédure

M. [R] [Y] et Mme [P] [I] épouse [Y], sont détenteurs d’un compte bancaire au sein de la banque Caisse de Crédit Mutuel Rochoise depuis le 26 mai 2015, et sont chacun titulaires d’une carte bancaire en lien avec ce compte.

Soutenant avoir été victimes d’une fraude aux cartes bancaires par téléphone, les époux [Y] ont fait opposition à leurs cartes le 4 août 2021.

Le 6 août 2021, deux jours après avoir déposé une plainte en ligne auprès des services de la Gendarmerie, les époux [Y] ont chacun contesté les opérations bancaires effectuées avec leur carte, à savoir s’agissant de M. [Y] :

— un paiement de 850 euros effectué le 3 août 2021 à 00 heure, au bénéfice de « Sum Up Caution » localisé à [Localité 6],

— un paiement de 1.500 euros effectué le 3 août 2021 à 4 heures, au bénéfice de «playplug.com », localisé à [Localité 7].

Et de Mme [Y] :

— un paiement de 1.000 euros effectué le 3 août 2021 à 3 heures 38, au bénéfice de « SumUp Caution » localisé à [Localité 6],

— un paiement de 1.700 euros effectué le 3 août 2021 à 3 heures 31, au bénéfice de «playplug.com », localisé à [Localité 7].

Par courrier du 26 août 2021, la Fédération du Crédit Mutuel Savoie-Mont Blanc, a confirmé aux époux [Y] le refus de prise en charge des opérations bancaires contestées par ces derniers et le remboursement des sommes débitées.

Sollicité à deux reprises, le Médiateur du Crédit Mutuel a refusé, dans un courrier du 18 novembre 2021, de formuler une proposition de remboursement auprès de la banque des époux [Y].

Par actes d’huissier en date des 13 et 19 avril 2022, les époux [Y] ont assigné la Caisse de Credit Mutuelle Rochoise et la Caisse Régionale du Crédit Mutuel Savoie-Mont Blanc devant le tribunal judiciaire de Bonneville notamment aux fins d’obtenir le remboursement des virements contestés et l’indemnisation de leurs préjudices.

Par jugement du 23 novembre 2022, le tribunal judiciaire de Bonneville a :

— Déclaré les époux [Y] irrecevables en leurs demandes dirigées contre la Caisse Régionale du Crédit Mutuel Savoie-Mont Blanc ;

— Condamné la Caisse de Crédit Mutuel Rochoise à payer aux époux [Y] la somme de 5.050 euros assortie des intérêts au taux légal à compter du 13 avril 2022 ;

— Débouté les époux [Y] de leur demande indemnitaire ;

— Condamné la Caisse de Crédit Mutuel Rochoise à payer aux époux [Y] la somme de 1.500 euros au titre de l’article 700 du code de procédure civile ;

— Condamné la Caisse de Crédit Mutuel Rochoise aux dépens ;

— Débouté la Caisse de Crédit Mutuel Rochoise et la Caisse Régionale du Crédit Mutuel Savoie-Mont Blanc de leur demande respective au titre de l’article 700 du code de procédure civile ;

— Rappelé que l’exécution provisoire est de droit.

Au visa principalement des motifs suivants :

La Caisse de Crédit Mutuel Rochoise ne produit aucun élément de traçabilité en lien avec les opérations d’authentification concernées via les technologies invoquées, ni sur l’enregistrement et la comptabilisation des paiements ainsi autorisés et elle ne démontre pas non plus que les opérations contestées n’ont pas été affectées par une déficience technique ou autre, de sorte qu’elle ne satisfait pas aux exigences légalement requises en termes de preuve sur ce point ;

Les époux [Y] ne justifient pas d’un préjudice distinct de celui né du débit des sommes correspondant aux opérations litigieuses, indemnisé par le remboursement de ces sommes.

Par déclaration au greffe de la cour d’appel du 9 janvier 2023, la Caisse de Crédit Mutuel Rochoise a interjeté appel de la décision en ce qu’elle a :

— Condamné la Caisse de Crédit Mutuel Rochoise à payer aux époux [Y] la somme de 5.050 euros assortie des intérêts au taux légal à compter du 13 avril 2022 ;

— Condamné la Caisse de Crédit Mutuel Rochoise à payer aux époux [Y] la somme de 1.500 euros au titre de l’article 700 du code de procédure civile ;

— Débouté la Caisse de Crédit Mutuel Rochoise de sa demande respective au titre de l’article 700 du code de procédure civile.

Prétentions et moyens des parties

Par dernières écritures du 14 novembre 2023, régulièrement notifiées par voie de communication électronique, la Caisse de Crédit Mutuel Rochoise sollicite l’infirmation des chefs critiqués de la décision et demande à la cour de :

— Débouter les époux [Y] de l’ensemble de leurs demandes, fins et conclusions à son encontre ;

Y ajoutant,

— Condamner les époux [Y] solidairement à lui payer la somme de 5.000 euros au titre de l’article 700 du code de procédure civile ;

— Condamner les époux [Y] aux entiers dépens de première instance et d’appel.

Au soutien de ses prétentions, la Caisse de Crédit Mutuel Rochoise fait notamment valoir que :

Les opérations ont été autorisées, authentifiées, dûment enregistrées et comptabilisées et n’ont pas été affectées par une déficience technique ou autre ; les époux [Y] ont en effet délibérément communiqué à un inconnu le code figurant sur leurs cartes bancaires, leurs dates de validité et pictogramme puis ont validé chacune des opérations de paiement dans les formes convenues avec la banque pour l’authentification forte pour madame [Y] et dite 'de vente à distance sécurisée’ pour M. [Y], ce qu’ils ont d’ailleurs toujours admis ;

A supposer que les opérations contestées n’aient pas été consenties et autorisées, elles n’ont pu être effectuées qu’en raison de négligences graves commises par les époux [Y] ;

Elle n’a pas manqué à son devoir de vigilance ;

Les intimés ne rapportent pas la preuve d’une quelconque résistance abusive de sa part, dès lors qu’elle s’est opposée en toute légitimité à leur demande de remboursement.

Par dernières écritures du 4 octobre 2023, régulièrement notifiées par voie de communication électronique, les époux [Y] demandent à la cour de :

— Infirmer le Jugement rendu par le tribunal judiciaire de Bonneville en date du 23 novembre 2022 en ce qu’il les a déboutés de leur demande indemnitaire ;

— Constater la résistance abusive de la Caisse du Crédit Mutuel Rochoise, à leur encontre ;

— Condamner la Caisse du Crédit Mutuel La Rochoise à leur verser une indemnité de 3.000 euros au titre de sa résistance abusive et injustifiée,

En tout état de cause,

— Débouter la Caisse de Crédit Mutuel Rochoise de toutes ses demandes, fins et conclusions contraires formées à leur encontre,

— Condamner en appel, la Caisse de Crédit Mutuel Rochoise à leur payer la somme de 2.500 euros sur le fondement de l’article 700 du Code de procédure civile,

— Condamner la même aux dépens de première instance et d’appels, distraits au profit de maître Sublet-Furst.

Au soutien de leurs prétentions, les époux [Y] font notamment valoir que :

Les opérations bancaires ont été réalisées à leur insu par le biais d’une fraude qu’ils n’étaient aucunement en mesure de contrôler, dès lors, il ne saurait leur être imputé un quelconque manquement ;

Aucune négligence ne peut leur être reprochée et ils ont au contraire témoigné de leur vigilance, n’ayant aucune conscience de la fraude dont ils étaient alors victimes, n’ayant notamment pas connaissance de tels modes opératoires sur lesquels la banque aurait pu attirer leur attention ;

La Caisse du Crédit Mutuel a manqué à son devoir de vigilance et ne s’explique pas sur la manière dont leurs données bancaires pourtant confidentielles, ont pu se trouver en possession du fraudeur ; ils constatent en outre qu’elle n’a pas pris en compte le caractère atypique des opérations au regard des dépenses habituelles, les paiements ayant été opérés en pleine nuit, pour des montants inhabituels et en des lieux distincts pour des bénéficiaires inconnus, dépassant le plafond de paiement autorisé ;

Ils ont fait preuve d’une grande réactivité et n’ont pas manqué de procéder à l’ensemble des démarches nécessaires pour obtenir le remboursement des sommes dérobées à leur insu ;

Sur leur demande indemnitaire, les multiples recours qu’ils ont effectués permettent de témoigner de la résistance dont s’est rendue coupable la Caisse de Crédit Mutuel ;

Pour un plus ample exposé des faits, de la procédure et des prétentions des parties, la cour se réfère à leurs conclusions visées par le greffe et développées lors de l’audience ainsi qu’à la décision entreprise.

Une ordonnance du 12 mai 2025 a clôturé l’instruction de la procédure et l’affaire a été évoquée à l’audience du 9 septembre 2025.

Motifs de la décision

I- Sur la demande de remboursement

Aux termes des articles L133-16 et L133-17 du code monétaire et financier, il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité des dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées.

C’est cependant à ce prestataire qu’il appartient, en application des dispositions des articles L133-10 IV et L133-23 du même code de rapporter la preuve que l’utilisateur qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave, à ses obligations (Com. 18 janvier 2017, pourvoi n°15-18.102, n°15-18.224, n°15-26.056, n°15-22.783, n°15-18.466). Il est admis que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés.

En cas d’utilisation d’un dispositif de sécurité personnalisé, il appartient également au prestataire de prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. Les articles L133-4 et L133-44-I du code précité définissent pour le premier, 'l’authentification forte du client', comme celle reposant sur l’utilisation de deux éléments ou plus appartenant aux catégories connaissance (information détenue par le client), possession (quelque chose en possession du client), et inhérence (quelque chose que l’utilisateur est), et indépendants, laquelle doit obligatoirement être utilisée, selon le second texte, pour l’accès du payeur à son compte de paiement en ligne, pour une opération de paiement électronique, et pour une opération par le biais d’un moyen de communication à distance.

En l’espèce, ainsi que l’établissent non seulement les extraits produits par la banque qui permettent d’assurer la traçabilité des opérations, mais également les explications fournies par les époux [Y] dans le courrier adressé au médiateur du crédit Mutuel le 1er septembre 2021, quand bien même les intimés auraient été dupés, ils ont bien autorisé les opérations de paiement qui ont entraîné le débit de leur compte bancaire pour la somme cumulée de 5.050 euros.

Madame [Y] confirme dans le courrier précité qu’elle a communiqué à son interlocuteur les numéros, date de validité et cryptogramme de chacune des deux cartes bancaires du couple.

— pour les paiements opérés avec la carte de M. [Y], conformément au protocole de sécurité 3D Secure, qui assure une authentification forte, la banque justifie avoir adressé par sms sur le téléphone du titulaire de la carte, les codes de confirmation nécessaires pour valider les paiements, codes que Mme [Y] indique avoir communiqués à son correspondant. Les messages de transmission comportent en outre tous deux la mention 'NE COMMUNIQUEZ CE CODE A PERSONNE. Pour VALIDER et PAYER votre achat de 1500 (850) euros, utilisez le code de confirmation…', la rédaction du message et la mise en majuscules d’imprimerie des mentions invitant à la vigilance et rappelant qu’il s’agit bien du paiement d’un achat, sont de nature à mettre en garde et informer pleinement l’utilisateur sur l’opération qu’il s’apprète à valider.

— pour les paiements opérés avec la carte de Mme [Y], après communication des données figurant sur sa carte bancaire, la validation des paiements imposaient une confirmation via l’application sur son téléphone mobile, garantissant une authentification forte, ce téléphone étant enregistré par l’utilisateur. Les pièces versées par la banque et le courrier de Mme [Y] confirme qu’elle a validé les deux opérations à réception du message l’y invitant, les messages visant bien au titre de l’opération à confirmer un 'paiement sur internet’ et le montant dudit paiement, sans ambiguïté sur la nature de l’opération qu’elle s’apprête à autoriser.

La banque justifie ainsi que les opérations ont été validées suite à un processus d’authentification fort au sens des dispositions précitées et n’ont pas été affectées par une déficience technique ou autre.

Les époux [Y] soutiennent néanmoins qu’en dépit de ces dispositifs, la banque a manqué à son obligation de vigilance. Il sera d’abord constaté que l’article L561-6 du Code monétaire et financier qu’ils invoquent, s’inscrit au sein du Titre VI : 'Obligations relatives à la lutte contre le blanchiment des capitaux, le financement des activités terroristes, les loteries, jeux et paris prohibés et l’évasion et la fraude fiscales', en son chapitre 1er : 'Obligations relatives à la lutte contre le blanchiment des capitaux et le financement du terrorisme', lesquelles imposent à la banque une vigilance particulière pour évaluer les risques présentés par les activités de leurs clients en matière de blanchiment de capitaux et de financement du terrorisme et sont sans lien avec le litige opposant les parties.

Les intimés reprochent d’abord à la banque de n’avoir pas mis en oeuvre les dispositifs suffisants pour s’assurer que des données confidentielles concernant ses clients, ne tombent entre les mains de fraudeurs. Ils affirment que leur interlocuteur a pu leur donner le nom de leur conseillère et citer la dernière opération passée sur le compte, ce qui les a mis en confiance et les a amenés à communiquer les informations utiles aux paiements frauduleux. Ils ne justifient nullement de ces affirmations et ne démontrent pas davantage que la banque serait à l’origine d’une fuite de ces données, qui peut également avoir pour cause un phishing ou un piratage à partir de divers fichiers.

Ils soutiennent ensuite que le Crédit Mutuel aurait nécessairement dû détecter immédiatement une fraude et bloquer les paiements compte tenu de leurs montants et horaires atypiques et compte tenu du dépassement du plafond de paiement qu’ils induisaient. Il apparaît cependant que la banque qui ne peut s’immiscer dans le fonctionnement du compte, a bien mis en oeuvre l’ensemble des moyens permettant d’authentifier les opérations et ne peut être tenue de procéder à des vérifications complémentaires tenant aux habitudes de ses clients, alors que les paiements en jeu, opérés isolément, ne sont pas d’un montant exceptionnellement élevé et qu’ainsi, le relevé de compte unique produit par les intimés fait apparaître un virement non contesté de 1.000 euros au débit du compte le 4 août 2021. La cour ne peut au demeurant vérifier les habitudes de dépense des époux [Y] qui ne communiquent pas leurs relevés de compte ce qu’ils sont seuls à pouvoir faire pour justifier leurs prétentions. Encore, le plafond de paiement qui est affecté à chaque carte bancaire et non au compte bancaire, n’a pas été dépassé et quand bien même le découvert autorisé aurait été dépassé, ce dont les intimés ne justifient pas, ce dépassement n’a pour effet que de générer des agios et frais divers, sans empêcher le paiement lui-même. Enfin, la domiciliation des bénéficiaires des paiements à distance du domicile des époux [Y] est propre à l’achat en ligne qui ne suppose aucune proximité entre le vendeur et l’acquéreur et n’est nullement de nature à alerter la banque sur l’authenticité de la transaction., qui plus est validée par ses clients.

Il résulte de l’ensemble de ces éléments que le Crédit Mutuel a respecté les obligations mises à sa charge et ne peut en conséquence être condamné à supporter les conséquences d’une fraude que seuls les époux [Y] ont permis à raison de l’intelligence du procédé et de la mise en confiance des victimes, mais non pas du fait de faute de la banque.

Le jugement déféré sera en conséquence infirmé en ce qu’il a condamné la Caisse de Crédit Mutuel Rochoise à payer aux époux [Y] la somme de 5.050 euros assortie des intérêts au taux légal à compter du 13 avril 2022.

II – Sur la demande de dommages et intérêts

Compte tenu de ce qui précède, aucune résistance abusive ne peut être reprochée au Crédit Mutuel et les époux [Y] seront en conséquence déboutés de leur demande de dommages et intérêts.

III – Sur les mesures accessoires

Les dispositions du jugement querellé seront infirmées en ce qu’elles condamnent la Caisse de Crédit Mutuel Rochoise aux dépens et à une indemnité procédurale.

M. et Mme [Y] supporteront les dépens de première instance et d’appel. L’équité ne commande pas de les condamner à verser à la Caisse de Crédit Mutuel Rochoise une indemnité au titre de l’article 700 du Code de procédure civile, leur propre demande de ce chef étant également rejetée.

Par ces motifs

La cour, statuant publiquement, contradictoirement et après en avoir délibéré conformément à la loi, dans les limites de sa saisine,

Infirme le jugement déféré en ce qu’il a :

— Condamné la Caisse de Crédit Mutuel Rochoise à payer aux époux [Y] la somme de 5.050 euros assortie des intérêts au taux légal à compter du 13 avril 2022,

— Condamné la Caisse de Crédit Mutuel Rochoise à payer aux époux [Y] la somme de 1.500 euros au titre de l’article 700 du code de procédure civile,

— Condamné la Caisse de Crédit Mutuel Rochoise aux dépens,

Statuant à nouveau de ces chefs et ajoutant,

Déboute M. [R] [Y] et Mme [P] [Y] née [I] de toutes leurs demandes,

Déboute les parties de leurs demandes fondées sur l’article 700 du Code de procédure civile,

Condamne M. [R] [Y] et Mme [P] [Y] née [I] aux dépens de première instance et d’appel.

Arrêt Contradictoire rendu publiquement par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile,

et signé par Nathalie HACQUARD, Présidente et Sylvie LAVAL, Greffier.

Le Greffier, La Présidente,

Copie délivrée le 14 octobre 2025

à

la SELAS AGIS

la SELARL SUBLET-FURST & [K]

Copie exécutoire délivrée le 14 octobre 2025

à

la SELAS AGIS

la SELARL SUBLET-FURST & FAUVERGUE