MINUTE N° 300/25

Copie exécutoire à

— M^e Dominique HARNIST

— la SCP CAHN ET ASSOCIES

Le 02.07.2025

Le Greffier

REPUBLIQUE FRANCAISE

AU NOM DU PEUPLE FRANCAIS

COUR D’APPEL DE COLMAR

PREMIERE CHAMBRE CIVILE – SECTION A

ARRET DU 02 Juillet 2025

Numéro d’inscription au répertoire général : 1 A N° RG 23/04219 – N° Portalis DBVW-V-B7H-IGED

Décision déférée à la Cour : 14 Novembre 2023 par le Tribunal judiciaire de MULHOUSE – 1ère chambre civile

APPELANT :

Monsieur [O] [C]

[Adresse 4]

[Localité 3]

Représenté par M^e Dominique HARNIST, avocat à la Cour

INTIMEE :

S.A. BANQUE POPULAIRE ALSACE LORRAINE CHAMPAGNE

prise en la personne de son représentant légal

[Adresse 1]

[Localité 2]

Représentée par M^e Thierry CAHN de la SCP CAHN ET ASSOCIES, avocat à la Cour

COMPOSITION DE LA COUR :

En application des dispositions de l’article 805 modifié du Code de procédure civile, l’affaire a été débattue le 14 Mai 2025, en audience publique, les parties ne s’y étant pas opposées, devant M. WALGENWITZ, Président de chambre, un rapport de l’affaire ayant été présenté à l’audience.

Ce magistrat a rendu compte des plaidoiries dans le délibéré de la Cour, composée de :

M. WALGENWITZ, Président de chambre

M. ROUBLOT, Conseiller

M^me RHODE, Conseillère

qui en ont délibéré.

Greffier, lors des débats : M^me VELLAINE

ARRET :

— Contradictoire

— prononcé publiquement par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du Code de Procédure Civile.

— signé par M. Franck WALGENWITZ, président et M^me Régine VELLAINE, cadre greffier, à laquelle la minute de la décision a été remise par le magistrat signataire.

EXPOSE DU LITIGE :

'

Monsieur [O] [C] est client de la BANQUE POPULAIRE ALSACE LORRAINE CHAMPAGNE depuis plus de 50 ans.

Le mardi 29 juin 2021 à 16h30, il a reçu un mail qu’il pensait émaner de sa banque lui indiquant 'votre compte est restreint suite à un dysfonctionnement de votre espace client. Veuillez résoudre l’incident en activant votre PASS sécurité à travers le lien ci-dessous’ ; 'en ignorant cet avis, vous vous exposez à une suspension temporaire de vos moyens de paiements'.

'

Ce mail, à entête de la Banque Populaire, émanait de l’adresse [Courriel 5], ne comportait aucune faute d’orthographe, aucune faute de syntaxe et contenait un lien secur’pass qui renvoyait directement vers le site internet de la banque.

'

M. [C] qui n’avait jusqu’alors jamais activé la fonction Sécur-Pass a cliqué sur ce lien et est arrivé sur le site internet de la banque et différentes opérations de vérifications ont été menées. Il a ainsi notamment dû indiquer les 4 chiffres du centre de sa carte bancaire, les chiffres précédents et suivants étant indiqués.

'

Il a ensuite dû changer son mot de passe et activer son PASS sécurité.

'

Le même jour à 18h11, il a réceptionné un mail de la Banque Populaire lui confirmant que son inscription à Sécur’Pass était en cours de traitement et qu’elle serait effective le 2 juillet 2021 à 16h55.

'

Dans la nuit du dimanche 4 juillet au lundi 5 juillet 2021, à 00h08, il a reçu 7 mails de notification l’informant de la réalisation de 7 ordres de virement consécutifs et appris que son compte a été débité de divers montants suite à :

— un virement de 5 000 € dimanche à 23h47 vers un compte Patasse Jean,

— un virement de 5 000 € dimanche à 23h48 vers un compte Mbarga,

— un virement de 5 000 € dimanche à 23h52 vers un compte yo services,

— la’création d’un jeton 047017730 pour un retrait de 300 €,

— la création d’un jeton 047252083 pour un retrait de 300 €,

— la création d’un jeton 047658190 pour un retrait de 300 €,

— la création d’un jeton 047953203 pour un retrait de 300 €.

'

Il a par ailleurs découvert par la suite l’existence d’un cinquième jeton d’un montant de 300 €, pour lequel il n’a pas même reçu de mail de notification.

'

Le lundi 5 juillet 2021, M. [C] a alerté sa banque qui a initié une procédure de rappel des fonds (dite de 'recall'), laquelle permettra, en deux temps, de recréditer le compte à hauteur de 4 106,68 euros, puis de 4 442,29 euros, soit au total 8 548,97 euros. La banque lui a également conseillé de modifier ses codes d’accès pour empêcher toute opération involontaire ultérieure.

Le mercredi 7 juillet 2021, M. [C] a déposé une plainte pénale contre X pour des faits d’escroqueries.

Le 2 août 2021 M. [C] a sollicité auprès de sa banque le remboursement du reliquat des pertes, mais s’est vu opposer un refus.

Une médiation était menée par le Médiateur de la consommation de la Fédération Nationale des Banques Populaires, sans aboutir à un accord.

'

Par acte d’assignation du 15 février 2022, M. [M] [C] a assigné devant le tribunal judiciaire de MULHOUSE, la BANQUE POPULAIRE ALSACE LORRAINE CHAMPAGNE (BPALC) aux fins d’obtenir, au principal, la condamnation de ladite société en indemnisation de son préjudice, soit le paiement de la somme de 7 951,03 euros.

'

Par jugement rendu le 14 novembre 2023, le tribunal judiciaire de MULHOUSE a':'

'ECARTE des débats le rapport complet portant proposition de médiation de la Fédération Nationale des Banques Populaires du 16 septembre 2021, objet de l’annexe n°12 de M. [O] [C]';

REJETE les demandes indemnitaires présentées par M. [O] [C]';

CONDAMNE M. [O] [C] à payer à la SA Banque Populaire Alsace Lorraine Champagne la somme de 1.500 € (MILLE CINQ CENT EUROS) par application de l’article 700 du code de procédure civile ;

REJETE la demande de M. [O] [C] formée au titre de l’article 700 du code de procédure civile';

CONDAMNE M. [O] [C] aux dépens.'

La juridiction a retenu que':

— au regard des dispositions de l’article L.612-3 du code de la consommation, visant l’obligation de confidentialité prévue à l’article 21-3 de la loi n°95-25 du 8 février 1995, il convenait d’écarter des débats le rapport portant proposition de médiation produit par l’appelant comme demandé par l’intimée,

'

— l’obligation de vigilance et d’examen attentif des opérations effectuées incombant au banquier, dans le cadre de la lutte contre le blanchiment des capitaux et le financement du terrorisme posée par l’article L.561-6 du code monétaire et financier invoqué par M. [C], n’est pas applicable à la cause,

'

— Monsieur [C] est 'à l’origine du défaut de dispositif d''authentification forte’ qu’il reproche à la banque, en tant qu’il a lui-même ruiné l’efficacité du dispositif mis en place par la banque en livrant aux pirates ses identifiant, mot de passe et Sécur’Pass, alors que ce dernier constitue précisément la solution d’authentification renforcée en cause,

— cette négligence grave résulte du fait d’une part, de ne pas avoir contacté sa banque en amont de la réalisation des opérations, d’autre part, de ne pas s’être alarmé de la présentation inhabituelle du message, tant dans son contenu que dans sa forme, notamment quant au manque de logique et de clarté des informations renseignées dans le mail litigieux et d’avoir répondu dans ce contexte au mail, suivi le lien et fourni l’ensemble des informations personnelles dont il devait assurer la confidentialité,

'

— en vertu de l’article L.133-19 IV du CMF invoqué, c’est à la charge du payeur (en l’espèce le client M. [C]) qu’il convient de mettre les pertes occasionnées par une négligence grave aux obligations mentionnées aux articles L.133-16 et L.133-17 de protection des données d’identification et par la gravité de la négligence du client.

Monsieur [O] [C] a interjeté appel de ce jugement par déclaration d’appel du 24 novembre 2023.

La BANQUE POPULAIRE ALSACE LORRAINE CHAMPAGNE s’est constituée intimée le 20 février 2024.

'

Par ses dernières conclusions du 25 mars 2025, transmises par voie électronique le 28 mars 2025, accompagnées d’un bordereau de communication de pièces n’ayant pas fait l’objet de contestation des parties, M. [C] demande à la Cour de :

'

'DECLARER l’Appel régularisé par M [C] à l’encontre du jugement du 14 novembre 2023 du tribunal judiciaire de MULHOUSE bien fondé,

Y faisant droit,

INFIRMER la décision entreprise en toutes ses dispositions

Et statuant à nouveau,

CONDAMNER la SA Banque populaire Alsace Lorraine Champagne à payer à M [C] la somme de 7.951,03 € en indemnisation de son préjudice,

CONDAMNER la SA Banque populaire Alsace Lorraine Champagne à payer à M [C] la somme de 2.000 € à titre de dommages et intérêts en indemnisation de son préjudice moral,

CONDAMNER la SA Banque populaire Alsace Lorraine Champagne à payer à M [C] la somme de 3.000 € en application des dispositions de l’article 700 du code de procédure civile, ainsi que les entiers frais et dépens de la présente procédure de première instance et d’appel.'

A l’appui de son appel, M. [C]':

— invoque les échanges et le contenu du rapport de la médiation menée entre les parties qui n’a pas abouti, dont la teneur ferait la démonstration d’une faute de négligence de la part de la BPALC et partant, de son droit à réparation intégrale en vertu de l’article L.133-18 du code monétaire et financier';

'

— soutient que la banque aurait manqué à son obligation de mettre en place une authentification forte à priori des opérations et, de ce fait, qu’elle n’aurait pas pu garantir qu’il était bien le commanditaire des opérations, tel que l’exige l’article L.133-44 du code monétaire et financier,

'

— reproche un manquement à la BPALC à son devoir de vigilance résultant de l’article L561-6 du code monétaire et financier, la banque ne mettant pas à la disposition de ses clients un dispositif de sécurité efficient de nuit, qui aurait permis à la banque de confirmer ou d’infirmer l’identité de l’auteur des opérations, le cas échéant, de les bloquer,

— rappelle que la banque a la charge de la preuve qu’elle a satisfait à ses obligations, preuve qui ne peut être éludée même en cas de négligence du client,

'

— soutient, par suite, devoir bénéficier de la déresponsabilisation financière prévue par l’article L.133-19 du code monétaire et financier,

'

— affirme par ailleurs avoir exécuté les premières vérifications apparentes et ne pas avoir eu de raison de douter de la vraisemblance et de l’authenticité du mail au regard de sa rédaction, de l’adresse mail référencée et des données bancaires communiquées et que seule sa banque pouvait connaître ; que, de surcroît, c’est un mail venant de sa banque qui lui a confirmé le traitement de son inscription au Sécuri’pass, de même que le lien renseigné l’a effectivement conduit sur le site de sa banque afin de procéder aux opérations demandées et qu’elle a validé les changements de mot de passe, de sorte que, mis en pleine confiance, son comportement ne caractériserait pas une négligence de sa part.

Par ses dernières conclusions du 7 mai 2024, transmises par voie électronique le même jour et accompagnées d’un bordereau de communication de pièces n’ayant pas fait l’objet de contestations, la BANQUE POPULAIRE ALSACE LORRAINE CHAMPAGNE demande à la Cour de :

'REJETER l’appel et le dire mal fondé';

REJETER l’intégralité des demandes, fins et conclusions de Monsieur [C]';

CONFIRMER l’entier jugement';

CONDAMNER Monsieur [C] aux entiers frais et dépens ainsi que d’avoir à payer la somme de 3.000 euros au titre de l’article 700 du code de procédure civile.'

La banque soutient':

— la non-applicabilité des dispositions de l’article L.561 du CMF quant au devoir de vigilance du banquier en dehors du cadre de la lutte contre le blanchiment des capitaux et le financement du terrorisme,

'

— la mise à l’écart du rapport du médiateur, en raison d’une violation de la confidentialité des échanges couverts par la médiation,

'

— une négligence imputable à l’appelant d’une telle gravité qu’elle lui fermerait toute possibilité d’indemnisation, d’autant que la procédure de sécurité offerte répondrait aux exigences de la DPS2 ; quant à l’obligation de garantir une 'authentification forte', c’est-à-dire un double facteur d’identification distincte, elle n’a été victime d’aucun 'piratage’ de ses systèmes, mais a fait l’objet d’une défaillance uniquement liée au comportement négligeant du client.

'

Pour un plus ample exposé des prétentions et moyens des parties, il conviendra de se référer aux dernières conclusions précitées.

Une ordonnance de clôture devait être rendue en date du 2 avril 2025, avec un renvoi du dossier à l’audience de plaidoirie au 14 mai 2025. Le 31 mars 2025, à la demande de la BANQUE POPULAIRE ALSACE LORRAINE CHAMPAGNE, un report de l’ordonnance de clôture a été accordé pour être fixée au 30 avril 2025.

Le dossier a été clôturé le 30 avril 2025 et renvoyé à l’audience de plaidoirie du 14 mai 2025.

'

SUR CE :

'

1) Sur la confidentialité de la médiation :

'

C’est à juste titre que les premiers juges, par application de l’article L.612-3 du Code de la consommation visant l’obligation de confidentialité prévue à l’article 21-3 de la loi n°95-25 du 8 février 1995, ont estimé qu’il convenait d’écarter des débats le rapport du Médiateur de la Fédération Nationale des Banques Populaires du 16 septembre 2021.

En effet, l’invocation de sa teneur méconnaît ouvertement le principe de confidentialité qui s’attache aux opérations de médiations.

La décision des premiers juges sera confirmée sur ce point, Monsieur [O] [C] ne pouvant, de surcroît et corrélativement, formuler utilement de demande de dommages et intérêts au titre de l’indemnisation du préjudice moral subi, suite au comportement et à la position adoptés par la banque durant la médiation.

'

2) Sur le défaut de garantie d’authentification exigé par la DSP 2 :

'

Il ressort des explications des parties et des vérifications réalisées sur les listings que M. [C] n’avait – avant les faits litigieux -'jamais accédé 'à son espace personnel'.

M. [C] peut raisonnablement mettre en exergue son absence de doute, quant à l’origine du mail reçu le 29 juin 2021 (qui lui demandait d’activer son espace sécurisé), en ce que seule sa banque pouvait savoir cet état de non-activation.

'

Depuis le 14 septembre 2019, les banques doivent respecter les dispositions de la DSP2 (seconde directive européenne sur les services de paiements de l’union européenne), mise en place dans le but de protéger leurs clients, et plus spécifiquement leurs comptes financiers enregistrés auprès des banques, ayant un accès en ligne. Cette directive adoptée le 25 novembre 2015 a été transposée en droit interne par l’ordonnance 2017-1252 du 9 août 2017 et a été codifiée à l’article L133-44 du code monétaire et financier depuis le 13 janvier 2018, soit bien avant les faits du présent litige datant de juin 2021.

'

Ces dispositions ont instauré une obligation pour les banques de demander une authentification forte pour les opérations en ligne, l’article L133-44 CMF disposant :

'

'I. Le prestataire de services de paiement applique l’authentification forte du client définie au f de l’article L. 133-4 lorsque le payeur : 1°) accède à son compte de paiement en ligne ; 2°)initie une opération de paiement électronique; 3°) exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse'.

'II. Pour les opérations de paiement électronique à distance, l’authentification forte du client définie au f de l’article L. 133-4 comporte des éléments qui établissent un lien dynamique entre l’opération, le montant et le bénéficiaire donnés’ ;

'III. En ce qui concerne l’obligation du I., les prestataires de services de paiement mettent en place des mesures de sécurité adéquates afin de protéger la confidentialité et l’intégrité des données de sécurité personnalisées des utilisateurs de services de paiement'.

En résumé, deux étapes doivent être mises en place pour valider une opération, la première visant à l’identification du donneur d’ordre via ses données bancaires, la seconde à la validation du paiement, virement ou retrait, en général via un code envoyé sur une adresse par lui renseignée.

'

M. [C] soutient, au visa de cet article L.133-44 du code monétaire et financier, que la banque n’aurait pas appliqué un dispositif de sécurité permettant de contacter le client afin qu’il confirme être à l’origine des différents virements exécutés sur le site Cyberplus.

A l’appui de sa défense, la BANQUE POPULAIRE ALSACE LORRAINE CHAMPAGNE produit le tableau des connexions de M. [C] à son espace personnel et soutient que':

— M. [C] s’est connecté au moyen de ses identifiants confidentiels et personnels (en exploitant ainsi le facteur dit d''identification'),

— son identification a été confirmée par SMS, adressé sur 'son téléphone portable''(sic), en fournissant ainsi le facteur dit 'de possession',

— que par la suite les escrocs se sont passés de lui pour réaliser les opérations litigieuses,

— elle aurait ainsi satisfait l’exigence d’une authentification forte prévue par cette directive et n’aurait nullement manqué à ses obligations, de sorte que le dommage subi par Monsieur [C] résulterait intégralement de son propre comportement.

C’est l’analyse retenue par les premiers juges.

Il incombe, avant tout, de vérifier dans quelles conditions a été émis le sms de confirmation, car il ne saurait être satisfait aux obligations de sécurité évoquées plus haut que s’il est accompagné d’un deuxième système ou facteur d’authentification et s’il est établi qu’il a bien été adressé sur le mobile du client.

'

Un sms associé au téléphone vaut facteur de 'possession’ du client, mais n’est pas suffisant. Il doit être accompagné d’une demande de confirmation par code, correspondant au facteur 'connaissance’ du client, sans quoi il n’y a pas deux facteurs de sécurité de natures distinctes, conformément aux exigences des dispositions de l’article L.133-44 du CMF et de la définition légale précitée d''authentification forte’ de l’article L.133-4 du CMF.'

'

Or, l’examen du listing de la banque qui reprend les connexions via l’application mobile avant et après le 29 juin 2021 ne permet pas de déterminer quel a été le numéro de mobile contacté sur les opérations litigieuses.

'

La banque ne démontre pas que c’était bien le mobile de M. [C] qui a été contacté, de sorte que les allégations de ce dernier – selon lesquelles il n’a reçu ni sms, ni demande de confirmation de chacune des opérations – sont crédibles et doivent être admises.

'

La cour observera, en outre, qu’en ce qui concerne les 4 jetons de retraits, la banque ne formule aucune contestation de la remarque de son client qui souligne le fait que le listing de la banque ne fait pas état de l’existence d’une authentification forte pour ces 4 opérations, le listing de la banque précisant dans la colonne 'moyen d’authentification’ 'null'.

'

Dans ces conditions, la banque ne démontre pas qu’elle a mis en place une authentification forte conforme à la DSP2 en faveur de son client M [C] qui peut, à juste titre, rechercher la responsabilité de la banque.'

A partir du moment où il est établi que les opérations de virement et d’achats de jetons litigieuses ont été effectuées sans que la banque n’exige l’authentification forte desdites opérations de la part du client, il est sans intérêt de se pencher sur les autres moyens soutenus par l’appelant, ou encore de savoir si le client a pu commettre une maladresse ou une négligence grave'(cf. Cass Com 30/8/2023 n°22-11.707).

'

En effet, un établissement de crédit ne peut faire supporter à son client les pertes occasionnées par une fraude aux instruments de paiement, au motif d’une négligence grave de sa part, que s’il a préalablement démontré que les opérations frauduleuses ont été authentifiées, enregistrées et comptabilisées et qu’elles n’ont pas été affectées par une défaillance technique 'ou autre’ (ass. Com. 12 nov. 2020. n° 19-12.112 et Com. 20 novembre 2024, n° 23-15.099, FR-B).

'

Enfin, à titre anecdotique, la cour observe que la BANQUE POPULAIRE n’est pas venue contredire les allégations de Monsieur [O] [C], selon lesquelles elle a modifié ses procédures de sécurité depuis les événements subis par M. [C], ce qui atteste de la prise de conscience par la banque de l’existence d’une faiblesse de son système.

'

Il y a donc lieu de condamner la BANQUE POPULAIRE ALSACE LORRAINE CHAMPAGNE à l’indemnisation du préjudice matériel résultant du détournement des fonds de M. [C], à hauteur des montants qui ont été débités de ses comptes suite à ces faits.

Etant rappelé que, d’une part, grâce à la procédure de rappel des fonds (dite de 'recall'), le compte de Monsieur [O] [C] a pu être recrédité des sommes de 4 106,68 euros, puis 4 442,29 euros (soit au total 8.548,97 euros), d’autre part, si le dernier des 5 jetons de valeur individuelle de 300 euros a bien été créé, l’opération de retrait n’a pour autant jamais abouti, le montant du préjudice subi par M. [C] doit être fixé à la somme de 7'651,03 euros (soit 16 500 euros – 4.106,68 euros – 4.442,29 euros ' 300 euros).

Il y a donc lieu de condamner la BANQUE POPULAIRE ALSACE LORRAINE CHAMPAGNE au paiement du reliquat du préjudice matériel de son client, M. [C], d’un montant de 7 651,03 euros.

S’agissant de la demande d’indemnisation formulée au titre du préjudice moral, il ressort des échanges entre les parties que la banque a sérieusement cherché à répondre en temps utile aux interrogations, inquiétudes et demandes d’informations, tout à fait légitimes de M. [C].

Cette attitude à l’encontre d’un de ses clients de très longue date a nécessairement eu des conséquences moralement préjudiciables pour M. [C].

Ainsi, il y a lieu d’admettre la demande en condamnation de la BANQUE POPULAIRE ALSACE LORRAINE CHAMPAGNE au paiement d’une somme au titre de l’indemnisation du préjudice moral de M. [C], qui sera fixée à un montant de 1 000 euros.

'

3) Sur les demandes accessoires :

En tant qu’elles se trouvent intégralement infirmées au principal, il y a également lieu d’infirmer les condamnations de première instance relatives aux frais et dépens, ainsi qu’au titre de l’article 700 du code de procédure civile.

Les frais et dépens de première instance et d’appel seront mis à la charge de la BANQUE POPULAIRE ALSACE LORRAINE CHAMPAGNE, partie succombant en appel, qui, de surcroît, sera condamnée à verser à M. [C] une somme de 3 000 euros au titre de l’article 700 du code susvisé, la banque étant déboutée de sa demande formée à ce même titre.

'

P A R C E S M O T I F S

La Cour,

Infirme le jugement rendu le 14 novembre 2023 par le tribunal judiciaire de Mulhouse, sauf en ce qu’il a écarté des débats le rapport complet portant proposition de médiation de la Fédération Nationale des Banques Populaires du 16 septembre 2021, objet de l’annexe 12 de M. [O] [C],

'

Confirme le jugement sur ce seul point,

Et statuant à nouveau et y ajoutant,

Condamne la Banque Populaire Alsace Lorraine Champagne à payer à M. [C] la somme de 7 651,03 euros (sept mille six cent cinquante-et-un euros et trois centimes) au titre de l’indemnisation de son préjudice matériel,

Condamne la Banque Populaire Alsace Lorraine Champagne à payer à M. [O] [C] la somme de 1 000 euros (mille euros) en réparation de son préjudice moral,

Condamne la Banque Populaire Alsace Lorraine Champagne aux frais et dépens de première instance et d’appel,

Condamne la Banque Populaire Alsace Lorraine Champagne à payer à M. [O] [C] une somme de 3 000 euros (trois mille euros) en application de l’article 700 du code de procédure civile,

Rejette la demande de la Banque Populaire Alsace Lorraine Champagne faite au titre de l’article 700 du code de procédure civile.

'

Le cadre greffier : le Président :