MINUTE N° 25/267

Copie exécutoire à :

— M^e Noémie BRUNNER

Copie à :

— M^e Thierry CAHN

— greffe du

TPRX Schilitgheim

Le

Le greffier

REPUBLIQUE FRANCAISE

AU NOM DU PEUPLE FRANCAIS

COUR D’APPEL DE COLMAR

TROISIEME CHAMBRE CIVILE

ARRET DU 02 Juin 2025

Numéro d’inscription au répertoire général : 3 A N° RG 24/01258 – N° Portalis DBVW-V-B7I-IIUU

Décision déférée à la cour : jugement rendu le 13 février 2024 par le Tribunal de proximité de SCHILTIGHEIM

APPELANTE ET INCIDEMMENT INTIM''E :

S.A. BANQUE POPULAIRE ALSACE LORRAINE CHAMPAGNE, prise en la personne de son représentant légal

[Adresse 3]

Représentée par M^e Thierry CAHN, avocat au barreau de COLMAR

INTIMÉ ET INCIDEMMENT APPELANT :

Monsieur [U] [I]

[Adresse 1]

Représenté par M^e Noémie BRUNNER, avocat au barreau de COLMAR

COMPOSITION DE LA COUR :

En application des dispositions des articles 805 et 907 du code de procédure civile, l’affaire a été débattue le 28 avril 2025, en audience publique, les parties ne s’y étant pas opposées, devant M^me FABREGUETTES, présidente de chambre, et M^me DESHAYES, conseillère.

Ces magistrats ont rendu compte des plaidoiries dans le délibéré de la cour, composée de :

M^me FABREGUETTES, présidente de chambre

M^me DESHAYES, conseillère

M^me MARTINO, magistrate honoraire exerçant des fonctions juridictionnelles

qui en ont délibéré.

Greffier lors des débats : M. BIERMANN

ARRET :

— contradictoire

— prononcé publiquement par mise à disposition de l’arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

— signé par M^me FABREGUETTES, présidente et M. BIERMANN, greffier, auquel la minute de la décision a été remise par le magistrat signataire.

*****

FAITS CONSTANTS ET PROCEDURE

Monsieur [U] [I] , né le [Date naissance 2] 1942, est titulaire d’un compte ouvert dans les livres de la Banque populaire Alsace-Lorraine Champagne.

Le 13 septembre 2022, il a adressé au ministère de l’intérieur un signalement en ligne en raison d’une utilisation frauduleuse de sa carte bancaire émise par la Banque populaire, signalant une date de débits non autorisés le 17 août 2022 pour un montant total de 4515,80 €, avec un libellé de dépenses « Western Union».

Par courrier du 29 septembre 2022, il a saisi la Banque populaire Alsace-Lorraine Champagne d’une demande de restitution de la somme de 4 515,80 €, débitée sans son consentement sur son compte le 17 août 2022 alors qu’il était hospitalisé depuis le 19 mars 2022.

La Banque populaire Alsace-Lorraine Champagne a refusé cette requête au motif que Monsieur [U] [I] n’a pas pris toutes les mesures propres à assurer la sécurité de sa carte, du code et plus généralement de toutes données de sécurité personnalisées (et notamment le code à usage unique et le code SecurPass).

Par courrier du 28 octobre 2022, Monsieur [U] [I] prenant acte de ce que la banque affirmait que le paiement a été réalisé avec le Passcyberplus, l’a priée de lui transmettre les éléments techniques permettant cette conclusion et a maintenu n’avoir pas autorisé les virements litigieux.

La banque n’a pas déféré à cette demande.

Par courrier recommandé avec avis de réception en date du 9 mai 2023, Monsieur [U] [I], par son conseil, a mis en demeure la banque de lui rembourser une somme de 5 064,87 € avec intérêts au taux de 19,47 % sous huitaine.

Le 26 mai 2023, la Banque populaire Alsace-Lorraine Champagne a répliqué que les traces informatiques montraient que Monsieur [U] [I] a autorisé les opérations au moyen de son lecteur Passcyber plus, un service d’authentification forte, au sens de l’article L 133-4 du code monétaire et financier, permettant la validation d’opérations en ligne.

Par acte d’huissier du 18 octobre 2023, Monsieur [U] [I] a fait assigner la Sa Banque populaire Alsace-Lorraine Champagne devant le tribunal de proximité de Schiltigheim afin d’obtenir le paiement des sommes suivantes':

-5 064,87 € outre les intérêts au taux légal majoré de 15 points à compter du 12 octobre 2023, en remboursement des opérations non autorisées réalisées sur son compte bancaire,

-1 500 € à titre de dommages intérêts en réparation de son préjudice moral,

-3 000 € au titre de l’article 700 du code de procédure civile.

Il a sollicité la condamnation de l’adversaire aux entiers frais et dépens dont distraction au profit de Maître Guillaume Bertin, avocat.

La Banque populaire Alsace-Lorraine Champagne n’a pas comparu ni personne pour elle.

Par jugement réputé contradictoire en date du 13 février 2024, le tribunal de proximité de Schiltigheim a':

— condamné la Sa Banque populaire Alsace-Lorraine Champagne à payer à Monsieur [U] [I] la somme de 4 515,80 € avec intérêts au taux légal à compter de la décision,

— débouté Monsieur [U] [I] de sa demande en paiement de la somme de 985,17 € au titre de l’article 133-18 du code monétaire et financier,

— condamné la société Banque populaire Alsace Lorraine Champagne à payer à Monsieur [U] [I] la somme de 500 € à titre de dommages intérêts en réparation de son préjudice moral avec intérêts au taux légal à compter de la décision,

— condamné la société Banque populaire Alsace-Lorraine Champagne aux dépens et à payer à Monsieur [U] [I] la somme de 600 € au titre de l’article 700 du code de procédure civile.

La Sa Banque populaire Alsace-Lorraine Champagne a interjeté appel à l’encontre de cette décision suivant déclaration en date du 22 mars 2024.

Par dernières écritures notifiées le 10 décembre 2024, elle conclut à l’infirmation de la décision entreprise, et demande à la cour, statuant à nouveau de :

— constater que les opérations litigieuses ont été autorisées via les codes des données personnelles et confidentielles de Monsieur [U] [I] renseignés dans l’appareil électronique Cyber,

— constater que l’exigence d’authentification forte a été satisfaite, de sorte que la banque n’a pas manqué à ses obligations,

— déclarer que la banque n’a pas commis de faute et que sa responsabilité ne peut pas être engagée,

En conséquence :

— déclarer que la banque n’a pas à rembourser la somme débitée sur le compte de Monsieur [U] [I] ni à lui verser aucune somme à quelque titre que ce soit,

— condamner Monsieur [U] [I] aux entiers frais et dépens de première instance et d’appel et à lui payer la somme de 600 € au titre de l’article 700 du code de procédure civile pour les frais de premiere instance et la somme de 2 000 € pour l’appel.

Au soutien de son appel et au visa des articles L 133-6, L 133-4 et L 133-18 du code monétaire et financier, l’appelante fait valoir que les virements litigieux pour un montant total de 4 515,80 €, ont été expressément autorisés via le passcyberplus, en totale conformité avec l’exigence d’authentification forte imposée par le règlement européen DSP2'; que le lecteur cyberplus fonctionne nécessairement avec la carte bancaire du titulaire de l’abonnement cyberplus de telle sorte que lorsqu’une opération bancaire est envisagée, le lecteur d’authentification, dans lequel est insérée la carte bancaire attribue un code de contrôle à usage unique permettant de vérifier l’identité du donneur d’ordre et ainsi d’éviter toute opération frauduleuse ; qu’ainsi Monsieur [U] [I] a été contraint d’insérer sa carte dans l’appareil électronique qui lui a été confié par la banque et d’insérer ses codes confidentiels et personnels que seul ce dernier devait connaître'; qu’il est

impossible qu’une personne autre que Monsieur [U] [I] a été en mesure de donner l’ordre de ces opérations, sauf à considérer que celui-ci a confié ses codes confidentiels à une tierce personne, ce qui constitue une défaillance fautive de sa part.

Elle ajoute que l’opération de paiement ne peut pas avoir lieu sans la validation du titulaire de la carte sur son téléphone ou ordinateur.

Par écritures notifiées le 20 septembre 2024, Monsieur [U] [I] conclut ainsi que suit':

Vu les articles L 113-18 et suivants du code monétaire et financier,

vu l’article 700 du code de procédure civile,

Sur l’appel principal

— déclarer l’appel mal fondé et le rejeter,

— confirmer le jugement entrepris dans la limite de l’appel incident,

— débouter la Banque populaire Alsace-Lorraine Champagne de l’ensemble de ses demandes,

Sur appel incident

— déclarer l’appel incident recevable et bien fondé,

— infirmer le jugement entrepris en ce qu’il a débouté Monsieur [U] [I] de sa demande en paiement de la somme de 985,17 € au titre de l’article 133-18 du code monétaire et financier et en ce qu’il a fixé le préjudice moral de Monsieur [U] [I] à la somme de 500 €,

Et statuant à nouveau dans cette limite,

— condamner la Banque populaire Alsace-Lorraine Champagne à payer à Monsieur [U] [I] la somme de 1 543,55 € au titre de l’article 133-18 du code monétaire et financier,

— condamner la Banque populaire Alsace-Lorraine Champagne à payer à Monsieur [U] [I] la somme de 1 500 € à titre d’indemnisation de son préjudice moral,

En tout état de cause,

— condamner la Banque populaire Alsace-Lorraine Champagne à payer à Monsieur [U] [I] la somme de 4 000 € en application de l’article 700 du code de procédure civile ainsi qu’aux entiers frais et dépens de la procédure.

Se prévalant des dispositions des articles L 133-18 et suivants du code monétaire et financier ainsi que de la jurisprudence de la Cour de cassation, l’intimé fait valoir que les pièces produites par l’appelante ne permettent pas de démontrer que les opérations litigieuses ont été faites à partir de sa carte bancaire et qu’il les a autorisées ; que les captures d’écran du logiciel interne produites par l’appelante ne permettent pas d’établir l’identification du client, le numéro de carte utilisée, qu’un moyen d’authentification forte a été mis en place et que l’opération a été valablement authentifiée, dûment enregistrée, comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre ; que même à considérer que sa carte bancaire a été utilisée, il n’en demeure pas moins que l’utilisation d’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence

grave aux obligations lui incombant en la matière'; que l’adversaire ne rapporte pas la preuve que les paiements ont été autorisés ni ne démontre qu’il a commis une négligence grave et n’établit pas avoir exigé une authentification forte avant d’exécuter les opérations litigieuses.

L’ordonnance de clôture est en date du 22 avril 2025.

MOTIFS

Sur l’appel principal

En vertu de l’article L 133-6 du code monétaire et financier une opération de paiement est autorisée si le payeur a donné son consentement à son exécution.

En application de l’article L 133-19 IV et V du même code, le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44.

Aux termes de l’article L133-23, lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.

La charge de la preuve que le client a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations de sécurisation de ses données personnalisées, repose sur la banque.

En l’espèce, la banque fait plaider que dans la mesure où Monsieur [U] [I] soutient être resté en possession de sa carte bancaire au cours de son hospitalisation, période pendant laquelle les paiements contestés sont survenus et que les opérations litigieuses ont été passées via un moyen d’authentification forte nommée Cyberplus, l’intimé a été nécessairement contraint d’insérer sa carte dans l’appareil électronique qui lui a été confié par elle et d’insérer ses codes confidentiels et personnels que seul il doit connaître, sauf à lui à supporter la responsabilité d’avoir communiqué lesdits codes à un tiers, manquant ainsi à ses obligations.

Cependant, la banque ne produit ni ses conditions générales ni l’abonnement Cyberplus dont elle indique qu’il a été souscrit par Monsieur [U] [I], ni ne justifie au demeurant lui avoir remis le boîtier dont elle fait état dans ses conclusions et se borne à verser aux débats deux copies d’écran relatives à chacune des deux opérations contestées.

Ces documents, dont les indications obscures ou les logos ne sont pas explicités par l’appelante, permettent seulement à la cour d’identifier la date et l’heure de l’opération, celles du paiement, le montant du paiement ainsi que le BIN acquéreur, soit Western Union France, avec un paiement aux Etats-unis d’Amérique.

Les autres mentions principales, soit «'plage de Bin'», «'ID porteur'», «'réponse VE protocolaire'» '«'sites », «'moyen d’authentification'», «'adresse IP du porteur de carte'», «'conditions vérifiées'» sont renseignées par des chiffres, des lettres et des logos inexploitables par la cour à l’effet d’établir que les opérations litigieuses auraient fait l’objet d’une authentification forte au sens de l’article L 133-4 du code monétaire et financier, soit l’ utilisation de deux éléments ou plus appartenant aux catégories « connaissance'» (quelque chose que seul l’utilisateur connaît, par exemple un code confidentiel, un mot de passe ou une information personnelle), «'possession » (quelque chose que seul l’utilisateur possède, comme par exemple une carte, un Smartphone, une clé USB, un boîtier sécurisé, une montre-bracelet connectée') et «'inhérence'» (facteur d’authentification propre à l’utilisateur lui-même, soit une caractéristique biométrique).

Dès lors qu’il n’est pas établi que les opérations contestées aient fait l’objet d’une authentification forte, le prestataire de services de paiement du payeur doit rembourser sans délai le montant de ces opérations,sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur lui-même ; ce soupçon de fraude ne pouvant résulter de la seule utilisation de l’instrument de paiement, non plus qu’en l’espèce des déclarations du payeur suivant lesquelles il est resté en possession de sa carte bancaire le temps de son séjour à l’hôpital. Au surplus, la négligence, même grave, commise par le payeur ne saurait fonder le refus de remboursement d’une opération qui n’a pas été authentifiée de manière forte.

La banque échouant à démontrer que le paiement a été autorisé par Monsieur [U] [I], qu’elle a exigé une authentification forte avant d’exécuter les opérations litigieuses et que Monsieur [U] [I] a commis une négligence grave, les dispositions de l’article L 133-18 du code monétaire et financier doivent lui être appliquées de sorte que c’est à bon droit que le premier juge l’a condamnée à rembourser le montant des opérations non autorisées.

Le jugement déféré sera en conséquence confirmé de ce chef.

Sur l’appel incident

Aux termes de l’article L 133-18 du code monétaire et financier, en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.

Lorsque l’opération de paiement non autorisée et initiée par l’intermédiaire d’un prestataire de services de paiement fournissant un service d’initiation de paiement, le prestataire de services de paiement gestionnaire du compte rembourse immédiatement et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, au payeur le montant de l’opération non autorisée et, le cas échéant, rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.

En cas de manquement du prestataire de services de paiement aux obligations prévues aux deux premiers alinéas du présent article, les pénalités suivantes s’appliquent :

1° les sommes dues produisent intérêts au taux légal majoré de cinq points';

2° au-delà de sept jours de retard les sommes dues produisent intérêts au taux légal majoré de 10 points';

3° au-delà de 30 jours de retard, les sommes dues produisent intérêts au taux légal majoré de 15 points.

En l’espèce, la Banque populaire Alsace-Lorraine Champagne, n’avait pas de bonnes raisons de soupçonner une fraude de la part de Monsieur [U] [I].

N’ayant pas restitué les fonds dans les délais prévus à l’article sus visé, elle doit être condamnée aux intérêt tels que cités supra soit la somme de 1 543,55 €, somme non contestée dans son montant, au titre des intérêts dus pour la période du 20 août 2022 au 31 mars 2024.

La décision déférée devra donc être infirmée en ce qu’elle a assorti la condamnation de la banque au paiement de la somme de 4 515,80 € des intérêts au taux légal à compter de la décision et a rejeté la demande au titre des intérêts prévus à l’article L 133-18 du code monétaire et financier.

Sur la demande de majoration des dommages-intérêts

En condamnant la Banque populaire Alsace-Lorraine Champagne à payer à Monsieur [U] [I] la somme de 500 €, le premier juge a fait une juste évaluation du préjudice moral subi par Monsieur [U] [I] en raison de la résistance de la banque à lui rembourser le montant des paiements non autorisés.

La décision déférée sera en conséquence confirmée de ce chef.

Sur les dépens et l’article 700 du code de procédure civile

Les dispositions du jugement déféré quant aux dépens et à l’article 700 du code de procédure civile seront confirmées.

Partie perdante à hauteur d’appel, la Sa Banque populaire Alsace-Lorraine Champagne sera condamnée aux dépens conformément aux dispositions de l’article 696 du code de procédure civile et déboutée de ses demandes au titre de l’article 700 du code de procédure civile.

En revanche, il sera fait droit à la demande formée par Monsieur [U] [I] au titre de l’article 700 du code de procédure civile dans la limite de la somme de 2 500 €.

PAR CES MOTIFS

La Cour,

Statuant publiquement et contradictoirement,

CONFIRME le jugement déféré sauf en ce qu’il a rejeté la demande au titre des intérêts prévus à l’article L 133-28 du code monétaire et financier et a assorti la condamnation au paiement de la Banque populaire Alsace-Lorraine Champagne, des intérêts au taux légal à compter de la décision,

Et statuant à nouveau de ce chef,

CONDAMNE la Sa Banque populaire Alsace-Lorraine Champagne à payer à Monsieur [U] [I] la somme de 1 543,55 € au titre des intérêts prévus à l’article 133-18 du code monétaire et financier,

Et y ajoutant,

REJETTE la demande au titre de l’article 700 du code de procédure civile formée par la Sa Banque populaire Alsace-Lorraine Champagne,

CONDAMNE la Sa Banque populaire Alsace-Lorraine Champagne à payer à Monsieur [U] [I] la somme de 2 500 € au titre des dispositions de l’article 700 du code de procédure civile,

CONDAMNE la Sa Banque populaire Alsace-Lorraine Champagne aux dépens d’appel.

Le Greffier La Présidente