MINUTE N° 379/25

Copie exécutoire à

— M^e Noémie BRUNNER

— la SCP CAHN ET ASSOCIES

Le 17.09.2025

Le Greffier

REPUBLIQUE FRANCAISE

AU NOM DU PEUPLE FRANCAIS

COUR D’APPEL DE COLMAR

PREMIERE CHAMBRE CIVILE – SECTION A

ARRET DU 17 Septembre 2025

Numéro d’inscription au répertoire général : 1 A N° RG 24/01087 – N° Portalis DBVW-V-B7I-IILP

Décision déférée à la Cour : 14 Décembre 2023 par le Tribunal judiciaire de STRASBOURG – 1ère chambre civile

APPELANT :

Monsieur [P] [N]

[Adresse 2]

[Localité 6]

Représenté par M^e Noémie BRUNNER, avocat à la Cour

Avocat plaidant : M^e WINCZEWSKI, avocat au barreau de STRASBOURG

INTIMEE :

S.A. CAISSE D’EPARGNE ET DE PREVOYANCE GRAND EST EUROPE prise en la personne de son représentant légal

[Adresse 1]

[Localité 5]

Représentée par M^e Thierry CAHN de la SCP CAHN ET ASSOCIES, avocat à la Cour

COMPOSITION DE LA COUR :

L’affaire a été débattue le 23 Juin 2025, en audience publique, un rapport de l’affaire ayant été présenté à l’audience, devant la Cour composée de :

M. WALGENWITZ, Président de chambre

M. ROUBLOT, Conseiller

M^me RHODE, Conseillère

qui en ont délibéré.

Greffier, lors des débats : M^me VELLAINE

ARRET :

— Contradictoire

— prononcé publiquement par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du Code de Procédure Civile.

— signé par M. Franck WALGENWITZ, président et M^me Régine VELLAINE, cadre greffier, à laquelle la minute de la décision a été remise par le magistrat signataire.

EXPOSE DU LITIGE :

Monsieur [P] [N], né le [Date naissance 4] 1950, est titulaire d’un compte courant ouvert dans les livres de la Caisse d’Epargne sous référence n°[XXXXXXXXXX03].

Il affirme':

— avoir reçu, le 19 octobre 2021 vers 20 heures, un email, ressemblant en tous points aux communications habituelles de la Caisse d’Epargne, lui demandant de bien vouloir renforcer la sécurité de ses opérations bancaires, tout en précisant ne pas avoir conservé ce mail et ne pas l’avoir retrouvé,

— avoir alors cliqué sur un lien, puis confirmé un code de confirmation reçu sur son téléphone portable, puis suite à la réception d’un code par SMS, avoir renseigné celui-ci sur la page vers laquelle menait le lien, avant de recevoir à 20h03 un email de confirmation l’informant de l’association du service SECUR’PASS avec un numéro de téléphone 07.XX.XX.XX.56,

— le 20 octobre 2021, à son réveil, avoir pris connaissance d’un nouvel email qui avait été envoyé par la Caisse d’Epargne à 21h08, selon lequel l’adresse email personnelle de son espace de banque à distance avait été modifiée,

— ne pas être à l’origine de cette demande réalisée à son insu, s’être rendu sur son espace de banque à distance et avoir constaté que plusieurs virements avaient été effectués entre 21h14 le 19 octobre 2021 et 00h24 le 20 octobre 2021, pour un montant total de 14 935 € (auquel s’ajoutent des frais de virement instantané à hauteur de 6 €),

— avoir alors immédiatement contacté Madame [D], sa conseillère, devenue directrice d’agence, qui l’a redirigé vers Madame [T] [K], avant de solliciter de son établissement bancaire le remboursement des sommes correspondant à ces opérations.

Par courrier du 2 novembre 2021, la Caisse d’Epargne a rejeté cette demande, au motif que les opérations frauduleuses constatées auraient été rendues possibles 'en raison des imprudences commises dans vos relations à distance avec un tiers inconnu', ces opérations ayant été, toujours selon la banque, validées par l’intermédiaire du service SECUR’PASS.

En dépit de l’intervention de l’UFC QUE CHOISIR, la banque maintenait sa position de refus.

Monsieur [P] [N] assignait le 30 mai 2022 la Caisse d’Epargne et de Prévoyance Grand Est Europe devant le tribunal judiciaire de Strasbourg, réclamant principalement le remboursement des sommes détournées.

Par jugement du 14 décembre 2023, le tribunal judiciaire de STRASBOURG a :

— débouté Monsieur [P] [N] de ses demandes,

— condamné Monsieur [P] [N] à payer à la CAISSE D’ÉPARGNE ET DE PRÉVOYANCE GRAND EST EUROPE une somme de 1 000 € au titre de l’article 700 du code de procédure civile,

— condamné Monsieur [P] [N] aux entiers dépens,

— constaté l’exécution provisoire de plein droit du jugement.

Monsieur [P] [N] a formé appel de cette décision le 29 février 2024.

La Caisse d’Epargne et de Prévoyance Grand Est Europe s’est constituée intimée le 8 avril 2024.

Dans ses dernières conclusions en date du 22 avril 2025, transmises par voie électronique le même jour, auxquelles est joint un bordereau de pièces récapitulatif qui n’a fait l’objet d’aucune contestation des parties, Monsieur [P] [N] demande à la cour de':

'DECLARER l’appel recevable,

DECLARER l’appel bien fondé,

INFIRMER le jugement du 14 décembre 2023 du tribunal judiciaire de STRASBOURG en ce qu’il a :

— débouté Monsieur [P] [N] de ses demandes,

— condamné Monsieur [P] [N] à payer à la CAISSE D’ÉPARGNE ET DE PRÉVOYANCE GRAND EST EUROPE une somme de 1 000 € (mille euros) au titre de l’article 700 du code de procédure civile,

— condamné Monsieur [P] [N] aux entiers dépens,

Et statuant à nouveau,

CONDAMNER la CAISSE D’ÉPARGNE ET DE PRÉVOYANCE GRAND EST EUROPE à payer à Monsieur [N] la somme de 14.941 €, assortie des intérêts au taux légal à compter de la mise en demeure reçue le 8 mars 2022,

CONDAMNER la CAISSE D’ÉPARGNE ET DE PRÉVOYANCE GRAND EST EUROPE à payer à Monsieur [N] la somme de 1.000 € en réparation du préjudice moral subi par le demandeur,

DEBOUTER la CAISSE D’ÉPARGNE ET DE PRÉVOYANCE GRAND EST EUROPE de sa demande fondée sur l’article 700 du Code de procédure civile,

CONDAMNER la CAISSE D’ÉPARGNE ET DE PRÉVOYANCE GRAND EST EUROPE à payer à Monsieur [N] la somme de 4.000 euros sur le fondement de l’article 700 du Code de procédure civile au titre des procédures de 1ère instance et d’appel,

CONDAMNER la CAISSE D’ÉPARGNE ET DE PRÉVOYANCE GRAND EST EUROPE aux entiers dépens des procédures de 1ère instance et d’appel,

DEBOUTER la CAISSE D’ÉPARGNE ET DE PRÉVOYANCE GRAND EST EUROPE de l’intégralité de ses demandes, fins et conclusions.'

Dans ses dernières conclusions en date du 7 mai 2025, transmises par voie électronique le même jour, auxquelles est joint un bordereau de pièces récapitulatif qui n’a fait l’objet d’aucune contestation des parties, la Caisse d’Epargne et de Prévoyance Grand Est Europe demande à la cour de':

'DIRE ET JUGER l’appel irrecevable et en tout état de cause non fondé,

En conséquence, DÉBOUTER l’appelant de l’ensemble de ses fins, moyens et conclusions,

En tant que de besoin, ORDONNER sous astreinte la production des courriels et des SMS de la période allant du 16 octobre au 19 octobre,

REJETER l’appel interjeté et CONFIRMER la décision critiquée,

Y ajoutant CONDAMNER Monsieur [P] [N] à payer à la CAISSE D’EPARGNE ET DE PREVOYANCE GRAND EST EUROPE la somme de 3 500 €, en application de l’article 700 du CPC,

LE CONDAMNER en tous les frais et dépens issus de l’instance.'

Une ordonnance de clôture a été rendue en date du 21 mai 2025. Le dossier a été évoqué à l’audience du 23 juin 2025.

Vu le dossier de la procédure, les pièces versées aux débats et les conclusions des parties auxquelles il est référé, en application de l’article 455 du code de procédure civile, pour l’exposé de leurs moyens et prétentions.

MOTIFS :

1) Sur l’irrecevabilité de l’appel :

La Caisse d’Epargne et de Prévoyance Grand Est Europe sollicite de la cour qu’elle déclare l’appel irrecevable, sans soutenir aucun moyen à l’appui de cette demande, qui ne peut alors qu’être écartée.

L’appel de Monsieur [P] [N] sera dès lors déclaré recevable.

2) Sur le fond :

2-1) Sur le rappel des principes applicables :

Aux termes des articles L.'133-6 et L.'133-7 du code monétaire et financier (CMF), une opération de paiement est autorisée si le payeur a donné son consentement à son exécution, lequel consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement. En l’absence d’un tel consentement, l’opération ou la série d’opérations de paiement est réputée non autorisée.

Si, en vertu des articles L. 133-16 et L. 133-17 du code précité, il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d’informer sans tarder, dans les conditions prévues aux articles L.'133-18 et L.'133-24 de ce code, son prestataire de tels services de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées, c’est à ce prestataire qu’il incombe, par application des articles L. 133-19, IV et L. 133-23 du même code, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait, intentionnellement ou par négligence grave, à ses obligations. Cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés (Com., 18 janvier 2017, pourvoi n°'15-18.102, Bull. 2017, IV, n° 6, Com., 28 mars 2018, pourvoi n°'16-20.018, Bull. 2018, IV, n° 34).

L’article L.'133-18, précité, impose, en cas d’opération de paiement non autorisée signalée par l’utilisateur, dans les conditions prévues à l’article L. 133-24, au prestataire de services de paiement du payeur de rembourser au payeur le montant de l’opération non autorisée, immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé et, en tout état de cause, au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé, si l’opération de paiement non autorisée n’avait pas eu lieu.

Selon l’article L 133-19 IV du CMF, 'le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L 133-16 et L 133-17.'

L’article L 133-23 du même code énonce que 'Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.'

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence commise par l’utilisateur du service de paiement.

2-2) Sur le respect de l’article L 133-23 :

Il résulte de ces dispositions et de la jurisprudence de la Cour de cassation (voir notamment Cour de cassation chambre commerciale du 12 novembre 2020,19 – 12. 112) que pèse sur le prestataire de services de paiement, en l’espèce la Caisse d’Epargne, la charge de démontrer cumulativement que l’opération litigieuse a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

La banque qui refuse de rembourser son client, victime de fraude bancaire, doit donc, avant de pouvoir reprocher à son client la moindre négligence, prouver que l’opération en cause était exempte de défaillance technique, ce qui suppose que la banque prouve avoir eu recours au système d’authentification forte issu du droit européen, destiné à renforcer la sécurité des transactions bancaires (voir en ce sens Cour de cassation chambre commercial 30 août 2023,22 – 11. 707).

L’authentification forte du client d’une banque est définie par l’article L.133-4 du code monétaire et financier, comme une authentification impliquant l’utilisation de deux ou plusieurs méthodes distinctes pour vérifier l’identité d’un utilisateur, avant de lui permettre d’accéder à un compte ou de réaliser des transactions.

Ces méthodes se divisent généralement en trois catégories. Le premier facteur d’authentification relève de la connaissance, qui inclut une information que l’utilisateur connaît, comme un mot de passe ou un code PIN. Le deuxième facteur d’authentification résulte de la possession, qui implique quelque chose que l’utilisateur possède, comme un smartphone, une carte de débit ou une carte à puce. Le troisième facteur d’authentification est l’inhérence, qui concerne quelque chose qui est propre à l’utilisateur, comme une empreinte digitale, une reconnaissance faciale ou une rétine. Ces éléments d’identification doivent être indépendants, en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres et l’authentification est conçue de manière à protéger la confidentialité des données d’authentification.

Il est admis que la preuve de l’authentification de l’opération peut se déduire du seul fait que l’instrument de paiement, ou des données personnelles qui lui sont liées, ont été effectivement utilisés.

Il est constant que Monsieur [P] [N], titulaire d’un compte courant ouvert dans les livres de la Caisse d’Epargne depuis de très nombreuses années, n’avait jamais activé le service SECUR’PASS proposé par la banque à ses clients.

Il indique dans ses écritures à ce sujet, qu’il 'n’utilisait pas, et n’utilise toujours pas à ce jour de système de paiement en ligne, quelles que soient les circonstances, et par quelque moyen que ce soit’ (cela ne lui est tout simplement pas nécessaire).

L’appelant soutient que ce n’est pas lui qui a été à l’origine de l’activation du système SECUR’PASS le 16 octobre 2021, soit quelques jours avant la réalisation des virements frauduleux effectués à partir de son compte par internet et validés par le système d’authentification dans le cadre du dispositif 'SECUR’PASS'.

Il est constant que le système à double authentification SECUR’PASS a été créé le 16 octobre 2021 à 20h03 (pièce de la banque A.2 a et 11), l’activation étant effective à 20h04 (pièce A. 2 b) et non pas le 19 octobre suivant, comme le supposait et l’affirmait Monsieur [P] [N] dans sa plainte et dans ses premières écritures.

L’examen de la pièce 11 produite par la banque permet de constater qu’avant le 16 octobre 2021, l’intégralité des opérations était enregistrée depuis les adresses IP débutant par 77. 128 attribuées à l’opérateur SFR, géographiquement localisées en Lorraine ([Localité 10], [Localité 7], [Localité 8], [Localité 11] et [Localité 9]). L’adresse IP était donc systématiquement attribuée par des serveurs situés dans l’Est de la France, appartenant à un opérateur français parfaitement identifiable.

À compter du 16 octobre 2021, l’adresse IP a toujours été le 191.101.31.22, sauf en ce qui concerne la connexion par mot de passe du 16 octobre 2021 à 20h04. Le fournisseur d’accès Internet identifié pour ces opérations était dès lors une société 'digitale énergie technologie Chile Spa'. Les opérations ont dès lors été systématiquement réalisées à partir d’une application mobile, le téléphone détecté étant un iPhone avec une adresse IP géographiquement située à [Localité 12], mais il est probable qu’il s’agit en réalité d’une adresse provenant d’un fournisseur de VPN permettant de masquer l’IP réelle du ou des auteurs.

Contrairement à ce que soutient l’appelant, ces éléments d’information ne permettent pas de déduire que la banque a été victime d’un piratage de son système le 16 octobre 2021.

Il s’en déduit uniquement':

— d’une part que le 16 octobre 2021, Monsieur [P] [N] a enrôlé son téléphone au système SECUR’PASS, enrôlement qui ne peut être effectué que par application mobile de son téléphone,

— contrairement à ce qu’il soutient, la banque pouvait avoir enregistré le numéro de son téléphone comme numéro de sécurité, suite à la signature de sa part de l’avenant Offre Sattelis Ecureuil signé le 27 février 2021, à l’occasion de laquelle le client a fourni ce numéro,

— surtout, contrairement à ce que soutient toujours l’appelant, ce n’est pas le 19 octobre mais le 16 octobre 2021 qu’il a dû recevoir un mail, ou un appel de la part des fraudeurs et que l’accès frauduleux à son espace sécurisé a eu lieu.

Dès lors, ni les éléments d’information émanant des listings informatiques produits par la banque, ni les explications de l’appelant, ne remettent en cause la pertinence des propos de la banque, qui démontre que son système informatique SECUR’PASS n’a pas été affecté par une déficience technique, n’a pas été piraté et que l’opération litigieuse a été dûment authentifiée, enregistrée et comptabilisée au sens des dispositions de l’article L 133 – 23 du code monétaire et financier.

2-3) Sur la négligence de Monsieur [N] :

Le premier juge a’considéré logiquement, à l’examen de la situation et des pièces qui lui ont été produites, que :

— le fraudeur a pu se connecter au compte en ligne de Monsieur [N], car ce dernier lui a communiqué un mot de passe (facteur de connaissance), puis un code généré par une application d’authentification qui lui avait été envoyé sur son téléphone portable (facteur de possession),

— le fait d’accepter de transmettre à un interlocuteur inconnu, soit par échanges téléphoniques, soit par mail, des éléments de données personnelles du dispositif de sécurité SECUR’PASS, caractérise une négligence fautive et ce d’autant plus qu’en tant que client, son attention avait été attirée à plusieurs reprises sur les risques de fraude par téléphone ou par mail,

— cette négligence doit être considérée comme grave et de nature à exonérer la Caisse d’Epargne de son obligation de rembourser Monsieur [N] des virements frauduleux effectués depuis son compte bancaire qui en ont résulté.

En dépit de la première décision, qui soulignait déjà le fait que l’intéressé ne produisait pas ce mail litigieux qu’il annonçait avoir réceptionné, l’appelant affirme être toujours dans l’incapacité de le retrouver et donc de le soumettre aux débats.

En l’absence de cette pièce, la cour ne peut que rejoindre le raisonnement du tribunal judiciaire de Strasbourg car':

— comme développé plus haut, la banque démontre ne pas avoir été piratée, nulle pièce du dossier ne venant infirmer les explications de cette dernière,

— en l’absence de la transmission du mail du fraudeur et à l’aune des éléments techniques apparaissant dans les pièces produites par la banque et notamment de son annexe 11, la cour ne peut que constater que c’est Monsieur [N] qui est à l’origine de son propre préjudice en ayant transmis des informations confidentielles, que seul lui connaissait.

La décision de première instance sera dès lors confirmée en toutes ses dispositions.

3) Sur les dépens et les frais irrépétibles':

Le jugement déféré étant confirmé en toutes ses dispositions, Monsieur [P] [N] sera condamné aux dépens d’appel.

Il est équitable de ne pas faire application des dispositions de l’article 700 du code de procédure civile au cas d’espèce.

P A R C E S M O T I F S

LA COUR,

DECLARE recevable l’appel formé par Monsieur [P] [N],

CONFIRME le jugement rendu le 14 décembre 2023 par le tribunal judiciaire de STRASBOURG, en toutes ses dispositions,

et y ajoutant,

CONDAMNE Monsieur [P] [N] aux dépens de la procédure d’appel,

DEBOUTE Monsieur [P] [N] et la Caisse d’Epargne et de Prévoyance Grand Est Europe de leurs demandes fondées sur l’article 700 du Code de procédure civile.

LE CADRE GREFFIER : LE PRÉSIDENT :