République Française

Au nom du Peuple Français

COUR D’APPEL DE DOUAI

TROISIEME CHAMBRE

ARRÊT DU 28/05/2026

****

Minute electronique

N° RG 24/05954 – N° Portalis DBVT-V-B7I-V5YY

Jugement (N° 24/01366) rendu le 25 Novembre 2024 par le Tribunal de proximité de Lille

APPELANTE

Madame [Y] [J] épouse [Q]

née le [Date naissance 1] 1950

de nationalité Française

[Adresse 1]

[Localité 1]

représentée par M^e Laurent Calonne, avocat au barreau de Lille, avocat constitué

INTIMÉE

SA Le Credit Lyonnais« LCL », SA dont le siège central à [Adresse 2] [Localité 2], [Adresse 3], représenté par son représentant légal, domicilié en cette qualité audit siège

[Adresse 4]

[Localité 3]

représentée par M^e Dupont-Thieffry, avocat au barreau de Lille, avocat constitué, assistée de M^e Julian Coat, avocat au barreau de Paris, avocat plaidant

DÉBATS à l’audience publique du 06 novembre 2025 tenue par Guillaume Salomon magistrat chargé d’instruire le dossier qui, a entendu seul(e) les plaidoiries, les conseils des parties ne s’y étant pas opposés et qui en a rendu compte à la cour dans son délibéré (article 805 du code de procédure civile).

Les parties ont été avisées à l’issue des débats que l’arrêt serait prononcé par sa mise à disposition au greffe

GREFFIER LORS DES DÉBATS :Harmony Poyteau

COMPOSITION DE LA COUR LORS DU DÉLIBÉRÉ

Guillaume Salomon, président de chambre

Yasmina Belkaid, conseiller

Stéfanie Joubert, conseiller

ARRÊT CONTRADICTOIRE prononcé publiquement par mise à disposition au greffe le 28 mai 2026 après prorogation du délibéré en date du 08 janvier 2026 (date indiquée à l’issue des débats) et signé par Guillaume Salomon, président et Harmony Poyteau, greffier, auquel la minute a été remise par le magistrat signataire.

ORDONNANCE DE CLÔTURE DU : 3 novembre 2025

****

EXPOSE DU LITIGE

1. Les faits et la procédure antérieure

Mme [Y] [J] épouse [Q] est titulaire d’un compte bancaire ouvert dans les livres de la SA LCL Crédit lyonnais (ci-après le Crédit lyonnais).

Le 31 mars 2022, en se connectant sur son espace personnel de banque en ligne, elle a constaté l’existence de trois opérations de virement qu’elle n’avait pas ordonnées, au profit de personnes inconnues':

— un virement d’un montant de 6 000 euros au bénéfice d’un dénommé [L] [U] en date du 25 mars 2022,

— un virement d’un montant de 5'300 euros au bénéfice d’un dénommé [Z] [W] [M] en date du 28 mars 2022,

— un virement d’un montant de 500,14 euros au bénéfice d’un dénommé [T] [R] en date du 28 mars 2022.

Ce dernier virement a toutefois fait l’objet d’une contrepassation en date du 29 mars 2022.

Mme [Q] en a averti le Crédit lyonnais le jour même et a déposé plainte le lendemain pour accès frauduleux dans un système de traitement automatique de données.

Par lettre du 19 avril 2022, le Crédit lyonnais a consenti à prendre en charge, à titre commercial, 50'% du préjudice résultant des deux premiers virements contestés, soit 5'650 euros.

Par lettres du 27 avril, 9 mai et 29 septembre 2022, Mme [Q] sollicitait de lui la restitution du restant de leur montant total.

Le Crédit lyonnais l’ayant refusée, Mme [Q] l’a fait assigner, par acte du 24 janvier 2024, devant le tribunal judiciaire de Lille aux fins d’obtenir réparation de l’intégralité de son préjudice financier, avec intérêts au taux légal majoré, outre la somme de 1'000 euros de dommages et intérêts pour résistance abusive.

2. Le jugement dont appel

Par jugement rendu le 25 novembre 2024, le tribunal judiciaire de Lille a':

1- débouté Mme [Q] de toutes ses demandes';

2- débouté le Crédit lyonnais de sa demande fondée sur l’article 700 du code de procédure civile';

3- condamné Mme [Q] aux dépens de l’instance';

4- débouté les parties de toutes demandes plus amples ou contraires';

5- rappelé l’exécution provisoire de droit.

3. La déclaration d’appel

Par déclaration du 19 décembre 2024, Mme [Q] a formé appel de ce jugement en limitant l’objet de son appel à la mention «'appel total'».

Cette déclaration a toutefois été assortie d’une annexe précisant qu’elle entendait relever appel du jugement critiqué en ce qu’il l’avait déboutée de toutes ses demandes et l’avait condamnée aux dépens de l’instance.

4. Les prétentions et moyens des parties

4.1. Aux termes de ses dernières conclusions notifiées le 26 août 2025, Mme [Q] demande à la cour, au visa de l’article L.'133 18 du code monétaire et financier, d’infirmer le jugement en ses dispositions visées par la déclaration d’appel et, statuant de nouveau, de':

— condamner le Crédit lyonnais au paiement de la somme principale de 5'650 euros avec intérêts, au taux légal majoré de 5 points, pour la période du 1er au 7 avril 2022, majoré de 10 points du 7 avril au 30 avril 2022, majoré de 15 points à compter du 1er mai 2022';

— condamner le Crédit lyonnais au paiement d’une somme de 1'000 euros à titre de dommages et intérêts pour résistance abusive au paiement sur le fondement des dispositions de l’article 1153 du code civil';

— condamner le Crédit lyonnais au paiement de la somme de 2'000 euros au titre de l’article 700 du code de procédure civile ainsi qu’aux entiers frais et dépens.

A l’appui de ses prétentions, Mme [Q] fait valoir que':

— le Crédit lyonnais ne peut démontrer la bonne réception des SMS envoyés le 18 mars 2022 dans le cadre de la procédure d’enrôlement d’un nouvel appareil de confiance, alors qu’elle n’a jamais reçu ces messages, son téléphone ayant été piraté';

— elle n’a pas manqué à son obligation de préservation de la sécurité de ses données de sécurité, n’ayant jamais communiqué à quiconque ses identifiants ni un quelconque code secret';

— le Crédit lyonnais n’explique pas les raisons de la contrepassation de l’opération de paiement au bénéfice de [T] [R], laquelle est en réalité intervenue par réaction à la découverte de failles de sécurité affectant son système de banque à distance, avant même qu’elle ne s’en aperçoive elle-même.

4.2. Aux termes de ses dernières conclusions notifiées le 2 octobre 2025, le Crédit lyonnais, intimé, demande à la cour, au visa des L.'133 4, L.'133 16, L.'133 17, L.'133 19, IV et L.'133 23 du code monétaire et financier, de confirmer le jugement critiqué et de':

— débouter Mme [Q] de l’ensemble de ses demandes, fins et prétentions';

— condamner Mme [Q] à lui payer la somme de 2'000 euros au titre de l’article 700 du code de procédure civile';

— condamner Mme [Q] aux entiers dépens.

A l’appui de ses prétentions, le Crédit lyonnais fait valoir que':

— l’article L.'133 18 du code monétaire et financier n’est pas applicable aux opérations réalisées au moyen d’un instrument de paiement doté de données de sécurité personnalisées';

— le smartphone utilisé pour ordonner les virements litigieux a été enrôlé comme appareil de confiance au moyen du code personnel dont Mme [Q] a seule connaissance et d’un code à usage unique envoyé par SMS à un numéro qu’elle confirme correspondre à son téléphone';

— les opérations de paiement litigieuses ont aussi été ordonnées à l’aide du code personnel de Mme [Q]';

— l’enrôlement du nouvel appareil de confiance a suivi une procédure impliquant l’envoi de deux SMS de sécurité, auquel son logiciel a effectivement procédé, ainsi que le démontrent les captures d’écran versées au dossier, excluant toute défaillance technique ou autre';

— aux termes des conditions générales d’utilisation de ses services en ligne acceptées par Mme [Q], le client est responsable de l’usage et de la conservation de ses données de sécurité personnalisées, de sorte que leur utilisation frauduleuse engage nécessairement sa responsabilité';

— suivant les dispositions générales de banque spécifiques à la clientèle des particuliers, il est en droit de se prévaloir à titre de preuve des journaux de connexion et des éléments archivés concernant les opérations exécutées, notamment quant au processus de vérification';

— ces éléments démontrent que les virements litigieux ont été validés par authentification forte, suffisant à caractériser une négligence grave de Mme [Q] dans la préservation de la sécurité de ses données de sécurité';

— il appartient à Mme [Q] de démontrer le piratage allégué de son téléphone portable, alors qu’il apporte la preuve de la bonne réception des SMS de sécurité par sa cliente et de la connexion de celle-ci au service de banque en ligne au moment où le nouvel appareil a été enrôlé';

— une autre négligence grave est imputable à Mme [Q], résultant du délai de 13 jours avec lequel celle-ci l’a averti de la demande d’enregistrement d’un nouvel appareil de confiance pour accéder à ses comptes, dont elle avait été informée en temps réel de manière claire par SMS';

— la connexion de Mme [Q] à son service de banque en ligne, à partir de l’adresse IP qui l’identifie habituellement, concomitamment à l’enrôlement du nouvel appareil de confiance, démontre qu’elle avait connaissance de l’utilisation non autorisée de ses données personnelles de sécurité';

— la demande de Mme [Q] portant sur la majoration des intérêts légaux ne saurait être accueillie dès lors que sa responsabilité ne doit pas être retenue et qu’en tout état de cause la disposition prescrivant cette majoration n’est pas applicable à l’espèce, étant postérieure aux faits';

— aucune résistance abusive ne peut lui être reprochée, laquelle ne peut résulter de sa seule résistance à une action en justice, alors qu’en outre le régime de responsabilité régissant les opérations de paiement non autorisées est exclusif de toute réparation sur un autre fondement.

Pour un plus ample exposé des moyens de chacune des parties, il y a lieu de se référer aux conclusions précitées en application des dispositions de l’article 455 du code de procédure civile.

MOTIFS DE LA DECISION

Sur l’obligation à la charge du prestataire de services de paiement (PSP) de restitution du montant de l’opération de paiement non autorisée.

Sur le caractère non autorisé de l’opération de paiement

Aux termes de l’article L.'133 3, I du code monétaire et financier, une opération de paiement est une action consistant à verser, transférer ou retirer des fonds, indépendamment de toute obligation sous-jacente entre le payeur et le bénéficiaire, initiée par le payeur, ou pour son compte, ou par le bénéficiaire.

En application des articles L.'133 6 et L.'133 7 du même code, une telle opération est autorisée si le payeur a donné son consentement à son exécution, sous la forme convenue avec le PSP, ce consentement devant porter à la fois sur l’identité du bénéficiaire, désigné par l’identifiant unique tel que défini par le b) de l’article L.'133 4, et sur le montant de l’opération.

La charge de la preuve dudit consentement repose sur le PSP.

En l’espèce, Mme [Q] indique dans le procès-verbal dressé à l’occasion de son dépôt de plainte avoir constaté le 31 mars 2022 des virements réalisés les 25 et 28 mars 2022 au bénéfice d’inconnus qu’elle soutient n’avoir ni ordonnés ni acceptés (pièce 1 de Mme [Q]).

Ces propos sont corroborés par le relevé des connexions à son service de banque en ligne qui fait apparaître des accès à partir de nouvelles adresses IP, depuis une application mobile, par lesquels ont été ordonnées toutes les opérations contestées, alors que tous les accès antérieurs étaient réalisés par ordinateur, ainsi que l’indique la mention «'internet'» dans la colonne intitulée «'canal'» (pièce 6 du Crédit lyonnais).

Si les versions des parties divergent quant à la manière dont les paiements litigieux ont été rendus possibles, Mme [Q] invoquant un «'piratage'» alors que le Crédit lyonnais se prévaut d’un problème de préservation par sa cliente de la sécurité’de ses données de sécurité, il est néanmoins constant que lesdites opérations ont été initiées à partir d’un appareil n’appartenant pas à Mme [Q].

S’agissant de l’enrôlement de ce smartphone, de type «'iphone'» ainsi qu’il ressort du SMS envoyé par le système de banque à distance (pièce 7 du Crédit lyonnais), comme appareil de confiance, le Crédit lyonnais admet que Mme [Q] n’est pas à l’origine de l’opération, ses écritures indiquant que «'ce sont les agissements de Mme [Q] qui ont permis d’enrôler un appareil de confiance en omettant d’informer la banque sans tarder, aux fins de blocage de son espace en ligne, de l’utilisation non autorisée de ses données de sécurité personnalisées'».

Alors qu’il est constant que les virements litigieux qui ont suivi ont tous été ordonnés à partir de cet appareil, il s’ensuit qu’il n’est pas contesté que les paiements en cause n’ont pas été sollicités par Mme [Q].

Or il est admis que le consentement à une opération de paiement au sens de l’article L.'133 6 du code monétaire et financier suppose nécessairement que ladite opération émane du payeur, de sorte qu’elle doit être qualifiée de non autorisée.

Sur l’application de l’obligation de restitution

Le régime de responsabilité des PSP prévu à l’article 60 paragraphe 1 de la directive européenne 2007/64/CE ainsi qu’aux articles 58 et 59 de cette directive ayant fait l’objet d’une harmonisation totale, une opération de paiement qualifiée de non autorisée est nécessairement soumise au régime édicté par les articles L.'133 18 et suivants du code monétaire et financier issu de la transposition de ladite directive, à l’exclusion de tout régime alternatif de responsabilité résultant du droit national.

L’article L.'133 18 susvisé régit ainsi les opérations de paiement non autorisées, quand bien même celles-ci auraient été réalisées au moyen d’instruments de paiement dotés de données de sécurité personnalisées.

En matière de paiement par carte, virement ou prélèvement, il incombe à l’utilisateur du service de paiement, en application de l’article L.'133 24 du même code, de signaler sans tarder l’existence d’une opération non autorisée à son PSP et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion.

L’article L.'133 18 prescrit alors le remboursement du payeur par le PSP, et ce dans un bref délai'; il rétablira ainsi le compte débité dans l’état où il se serait trouvé si l’opération non autorisée n’avait pas eu lieu.

Aux termes de l’article L.'133 19, IV, le payeur supporte en revanche toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.'133 16 et L.'133 17, à savoir celle de préserver la sécurité de ses données de sécurité et celle d’informer sans tarder le PSP de toute perte, vol ou détournement de ses moyens de paiement ou de ses données.

Le premier alinéa de l’article L.'133 23 dispose que, lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, il incombe à son PSP de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre'; le deuxième alinéa de cet article précise que l’utilisation de l’instrument de paiement telle qu’enregistrée par le PSP ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière.

Il résulte de ce qui précède que, s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L.'133 16 et L.'133 17, le PSP doit, au préalable, prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre, étant précisé que la directive (UE)'2015/2366 du 25 novembre 2015 a introduit une exigence d’authentification forte.

En l’espèce, le moyen de droit tiré de l’inapplicabilité de l’article L.'133 18 du code monétaire et financier doit être écarté comme infondé, dès lors qu’a été retenu le caractère non autorisé des opérations litigieuses, lesquelles remplissent les conditions d’application de cette disposition, nonobstant toute considération inopérante relative à l’utilisation d’instruments de paiement dotés de données de sécurité personnalisées.

L’ensemble des autres moyens soulevés par le Crédit lyonnais pour conclure à l’absence d’obligation de restitution à sa charge au titre de l’article L.'133 18 du code monétaire et financier reposent sur un élément de fait essentiel résidant dans la réception par Mme [Q] de deux SMS envoyés le 18 mars 2022 à 17h45 et 17h46 sur le téléphone qu’elle a déclaré à l’établissement bancaire comme le sien, dans le cadre de la procédure d’enrôlement d’un nouvel appareil de confiance pour accéder au service de banque en ligne.

C’est en effet à partir de cet appareil qu’ont pu être ordonnées toutes les opérations ayant abouti à l’exécution des paiements litigieux, notamment la modification du plafond de montant et des pays destinataires autorisés pour les virements, l’enrôlement dudit appareil permettant l’accomplissement d’une condition de possession et donc la mise en 'uvre de toutes les opérations impliquant une authentification forte au moyen du seul facteur de connaissance, à savoir le code personnel de Mme [Q].

Dès lors, tant la validité de la démonstration par le Crédit lyonnais des caractères authentifié, dûment enregistré et comptabilisé et exempt de déficience technique ou autre des opérations en cause que de celle des deux négligences graves qu’il reproche à Mme [Q] sont subordonnées à l’effectivité de la réception par cette dernière des SMS susmentionnés.

Il convient donc d’apprécier en premier lieu cet élément de fait, sur lequel repose chacun de ces moyens invoqués par le Crédit lyonnais et dont la preuve lui incombe.

Sur la preuve de la réception par Mme [Q] des SMS du 18 mars 2022

Mme [Q] ayant constamment nié avoir reçu les SMS en cause, il appartient au Crédit lyonnais d’apporter la preuve contraire.

Aux termes de l’article 3.4.2 des dispositions générales de banque spécifiques à la clientèle des particuliers, produites par le Crédit lyonnais (pièce 4), dont la validité n’est pas contestée, la banque peut «'se prévaloir, notamment à des fins probatoires, de tout acte, fichier, enregistrement, rapport de suivi, statistiques sur tous supports dont le support informatique établi, reçu ou conservé par ses soins'», incluant les journaux de connexion et les éléments employés pour la vérification des opérations.

Les SMS dont la réception est contestée concernent la procédure d’enrôlement d’un appareil de confiance'; leur envoi est établi par le Crédit lyonnais par la production de copies d’écran issues d’une application désignée comme «'worldline extranet push'»': l’un, envoyé le 18 mars 2022 à 17h45, contient un code à usage unique’dont la saisie est requise pour valider l’enrôlement (pièce 7), et l’autre, envoyé le même jour à 17h46, confirme la réalisation de l’enrôlement et avertit que l’appareil concerné permettra prochainement la validation d’opérations, en précisant «'en cas de doute, changez votre code d’accès personnel'» (pièce 9).

Le Crédit lyonnais infère de ces éléments, faisant apparaître le numéro de téléphone de Mme [Q] et la mention «'0-remis'», la bonne réception par celle-ci desdits messages.

Le numéro «'0628137371'», affiché par le logiciel de la banque, correspond effectivement à celui de Mme [Q], qu’elle a fourni aux services de police postérieurement aux opérations litigieuses (pièce 1 de Mme [Q]), ainsi que le relève le Crédit lyonnais, ce que du reste l’intéressée ne conteste pas.

La juridiction de première instance a cru pouvoir en déduire que Mme [Q] avait effectivement reçu le SMS contenant le code à usage unique.

Pour autant, s’il peut être considéré, eu égard aux stipulations relatives à la preuve, que l’application se présentant comme «'worldline extranet push'» a correctement envoyé les SMS en cause, dont elle expose les caractéristiques, il ne peut en revanche être inféré de la seule mention «'0-remis'» apparaissant sur le logiciel sa délivrance correcte à son destinataire, en l’absence de toute précision sur le protocole de communication électronique utilisé pour garantir la bonne réception du message. Une telle mention brute n’est en soi pas suffisamment transparente pour permettre de valider l’hypothèse d’une telle remise, le code n’étant explicité par aucune information tirée de l’application utilisée.

N’étant fourni aucun autre élément de nature à établir que les SMS en cause seraient bien parvenus à Mme [Q], le Crédit lyonnais échoue à apporter cette preuve qui lui incombe.

C’est en effet en inversant la charge de la preuve que le Crédit lyonnais soutient que, n’étant pas en possession du téléphone portable de Mme [Q], il appartiendrait à cette dernière de démontrer le piratage dont aurait fait l’objet son téléphone aux fins d’interception des SMS d’authentification, alors qu’en application de l’article L.'133 23 du code monétaire et financier il incombe au contraire au PSP d’établir par tout moyen que l’opération de paiement n’a pas été affectée par une déficience technique ou autre.

Au surplus, il n’est pas démontré que la fraude invoquée aurait ciblé le téléphone de Mme [Q] et non le système de banque à distance.

En conséquence, au regard des éléments de fait soumis à son appréciation, la cour retient que la réception par Mme [Q] des SMS du 18 mars 2022 n’est pas établie.

Sur la preuve des caractères authentifié, dûment enregistré et comptabilisé et exempt de déficience technique ou autre des opérations litigieuses

Il est rappelé que l’article L.'133 23 du code monétaire et financier, transposant l’article 72 de la directive européenne (UE) 2015/2366 du 25 novembre 2015, dispose en son premier alinéa que, lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, il incombe à son PSP de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

Les caractères dûment enregistré et comptabilisé, établis par la production du relevé de compte de Mme [Q] (pièce 2 du Crédit lyonnais) et de l’historique des opérations du service de banque en ligne (pièce 6 du Crédit lyonnais), ne sont du reste pas discutés.

Le caractère authentifié n’est pas davantage contesté, étant admis que le Crédit lyonnais a assorti son système de banque à distance d’une authentification forte conformément à l’article L.'133 44 du code monétaire et financier.

Il reste donc au Crédit lyonnais à établir l’absence de déficience technique ou autre.

A cette fin, il invoque en premier lieu l’envoi le 18 mars 2022 par son système de banque à distance, dans le cadre de la procédure d’enrôlement d’un nouvel appareil de confiance, de SMS de sécurité (pièces 7 et 9 du Crédit lyonnais).

Il n’explique toutefois pas en quoi la démonstration de l’envoi automatique de ces SMS par son applicatif de banque à distance garantirait l’absence de déficience technique sur l’ensemble du système de validation des opérations par son service de banque en ligne, étant au surplus rappelé qu’il n’établit pas la bonne réception de ces messages par leur destinataire.

En second lieu, le Crédit lyonnais avance que l’absence de déficience technique se déduirait de négligences graves qu’il impute à Mme [Q].

Si la causalité dont il se prévaut à cet égard apparaît à nouveau fragile, il convient néanmoins d’apprécier la réalité de ces négligences, étant admis que la validation par l’utilisateur de l’ensemble des opérations ayant permis un paiement exclut que celui-ci puisse résulter d’une déficience technique'; lesdites négligences auraient trait, selon le moyen, d’une part à la préservation par Mme [Q] de la sécurité de ses données de sécurité et d’autre part au signalement tardif de l’utilisation non autorisée de ses données personnelles de sécurité.

Sur la négligence alléguée relative à la préservation de la sécurité des données de sécurité

Il est rappelé que le deuxième alinéa de l’article L.'133 23 du code monétaire et financier, issu de la transposition de l’article 72 de la directive européenne (UE) 2015/2366 du 25 novembre 2015, précise que l’utilisation de l’instrument de paiement telle qu’enregistrée par le PSP ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière, formule dénuée d’équivoque et appliquée uniformément par la jurisprudence sans la subordonner à une quelconque condition supplémentaire issue des circonstances de l’espèce.

C’est donc de manière contraire à la lettre et à l’application constante de ces dispositions que le Crédit lyonnais avance dans ses écritures que «'l’utilisation de l’instrument de paiement telle qu’enregistrée par la banque PSP suffit en tant que telle à prouver que le payeur n’a pas satisfait par négligence grave aux obligations lui incombant en la matière'».

Au soutien de ce moyen de droit, le Crédit lyonnais invoque un jugement du tribunal judiciaire de Paris en date du 24 avril 2024, qu’il verse aux débats (pièce 15), dans lequel le juge a toutefois déduit l’absence de déficience technique de la négligence grave de l’utilisateur du service de paiement, ayant retenu au terme d’une analyse circonstanciée et détaillée, excédant amplement la simple utilisation de l’instrument de paiement, que ce dernier avait communiqué des données confidentielles de sécurité.

Le Crédit lyonnais se prévaut en outre d’un arrêt de la cour d’appel de Versailles en date du 23 mai 2024, qu’il verse aussi aux débats (pièce 16), dans lequel la juridiction a, de la même manière, inféré d’un faisceau d’indices que la banque avait «'exécuté les ordres en conformité avec le système d’authentification forte mis en place, exempt de défaillance technique, pour authentifier, enregistrer et comptabiliser les opérations'», lesquelles avait «'été rendues possibles par les manquements de son utilisateur'».

Le Crédit lyonnais invoque la similarité de cette dernière affaire avec l’espèce, prétendant par deux fois que le client y avait également contesté avoir reçu le SMS contenant le code à usage unique'; cet argument doit être écarté comme fallacieux, dès lors que la motivation de l’arrêt précité indique expressément qu’il n’avait en réalité pas nié avoir reçu ledit message.

En l’espèce, la négligence grave imputée à Mme [Q] par le Crédit lyonnais ne saurait résulter de la seule utilisation de l’instrument de paiement en cause, conformément à l’article L.'133 23 alinéa 2 du code monétaire et financier, et en cohérence avec les décisions rendues dans les deux affaires susmentionnées, en dépit des interprétations singulières qu’en donne la banque.

Par ailleurs, il est observé que Mme [Q] met en doute la fiabilité du système de banque à distance, invoquant de manière maladroite un «'piratage'» de son téléphone, mais relevant que plusieurs articles de médias en ligne, qu’elle verse aux débats, faisaient état de failles de sécurité affectant cette banque et permettant la commission de fraudes similaires':

— un article du site «'Capital'» en date du 5 juillet 2022, indique': «'depuis fin 2021, des clients LCL voient leurs comptes bancaires siphonnés par des virements étranges'», faisant état de nombreuses victimes et précisant que «'ces derniers soutiennent qu’ils n’ont jamais communiqué leurs identifiants'» (pièce 12)';

— un article du site «'Les Echos investir'» en date du 15 juillet 2022 expose': «'ces derniers mois, plusieurs centaines de clients de la banque LCL ont vu littéralement disparaître de leurs comptes tout ou partie de leurs économies, via des virements externes qu’ils n’ont pas autorisés'» (pièce 13)';

— des articles du site «'Presse-citron'» (pièce 11) et du site «'Phonandroid'» (pièce 14) font état des mêmes fraudes et émettent l’hypothèse qu’elles seraient probablement permises par des failles de sécurité du service de banque en ligne du Crédit lyonnais.

Alors que l’article du site «'Capital'» date ces événements «'entre novembre 2021 et avril 2022'», il est admis que les opérations en cause, exécutées en mars 2022, l’ont été à la même époque.

La circonstance que l’arrêt de la cour d’appel de Versailles (pièce 16 du Crédit lyonnais), ainsi que deux autres décisions également produites (pièces 10 et 13 du Crédit lyonnais), concernaient aussi des litiges portant sur des virements non autorisés durant cette même période et impliquant le Crédit lyonnais constitue un indice supplémentaire de probables failles de sécurité affectant l’infrastructure technique de cette banque.

Il ressort de ces éléments que l’exploitation par les fraudeurs de failles de sécurité du système de banque à distance apparaît comme une hypothèse non seulement envisageable mais crédible, leur permettant de réaliser des opérations sans pour autant que le client ait révélé des données personnelles de sécurité, nonobstant la mise en 'uvre par la banque d’une authentification forte.

Dès lors, le moyen du Crédit lyonnais selon lequel la mise en 'uvre d’une authentification forte suffirait à établir une négligence grave de Mme [Q] dans la préservation de la sécurité de ses données de sécurité’ne saurait être accueilli.

En définitive, alors que Mme [Q] a contesté de manière constante, notamment dans ses lettres aux Crédit lyonnais (pièces 4 et 9 de Mme [Q]), avoir jamais communiqué à quiconque ses données personnelles de sécurité, il n’est démontré aucun manquement de sa part dans la préservation de la sécurité de ses données de sécurité.

Sur la négligence alléguée relative au signalement tardif de l’utilisation non autorisée de ses données personnelles de sécurité

Le Crédit lyonnais indique que Mme [Q] a signalé l’utilisation non autorisée de ses données personnelles de sécurité de manière tardive, soit treize jours après en avoir eu connaissance, alors qu’il a mis en place un délai de temporisation de sept jours, à compter de l’enrôlement d’un nouvel appareil de confiance, excédant les exigences réglementaires en la matière, avant l’expiration duquel aucun virement ne peut être ordonné au moyen de cet appareil.

A l’évidence, le délai excessif pour avertir la banque de l’utilisation non autorisée de ses données personnelles de sécurité, dont il est fait grief à Mme [Q], ne saurait constituer une négligence grave qu’à la condition que celle-ci ait eu connaissance de ladite utilisation.

Il appartient donc au Crédit lyonnais, qui se prévaut d’une telle négligence, d’établir cette connaissance, laquelle résulte selon lui de deux éléments de fait.

En premier lieu, il indique que Mme [Q] a eu connaissance de l’utilisation non autorisée de ses données personnelles de sécurité par les SMS de sécurité envoyés le 18 mars 2022 dans le cadre de la procédure d’enrôlement d’un nouvel appareil de confiance'; alors qu’il a été retenu que la réception de ces messages par Mme [Q] n’est pas établie, la connaissance alléguée ne l’est pas davantage.

En second lieu, le Crédit lyonnais avance que la connexion de Mme [Q] à son service de banque en ligne concomitante à l’enrôlement du nouvel appareil de confiance démontre qu’elle avait connaissance de l’utilisation non autorisée de ses données personnelles de sécurité.

Le relevé des connexions au service de banque en ligne (pièce 6 du Crédit lyonnais) fait en effet apparaître un accès de Mme [Q], à partir de son adresse IP habituelle, le 18 mars 2022 à 17h51, alors que l’opération d’enrôlement avait eu lieu le même jour à 17h46.

Il ressort toutefois du même document que Mme [Q] s’est notamment connectée au même service':

— le 8 mars 2022 à 19h18,

— le 9 mars 2022 à 19h29,

— le 11 mars 2022 à 18h15,

— le 14 mars 2022 à 18h45,

— le 15 mars 2022 à 18h21,

— le 16 mars 2022 à 19h09.

Il s’en infère que Mme [Q] se connectait presque quotidiennement au service de banque en ligne à des horaires similaires, de sorte que sa connexion du 18 mars 2022 à 17h51 ne permet de tirer aucune conclusion quant à la connaissance qu’elle aurait pu avoir de l’enrôlement par les fraudeurs d’un appareil de confiance au même moment.

En définitive, les éléments invoqués par le Crédit lyonnais ne permettent pas de démontrer la connaissance par Mme [Q] de l’utilisation non autorisée de ses données personnelles de sécurité ni, partant, la négligence alléguée qui résulterait du caractère tardif de son signalement à la banque.

N’étant établi aucune négligence grave imputable à Mme [Q] ni, a foritori, aucune négligence telle qu’elle aurait conduit à considérer que cette dernière aurait validé l’ensemble des opérations ayant permis les paiements en cause, le Crédit lyonnais n’apporte pas la preuve qui lui incombe de l’absence de déficience technique ou autre ayant affecté les opérations litigieuses.

En conséquence, le jugement critiqué est infirmé en ce qu’il a débouté Mme [Q] de sa demande tendant à la condamnation du Crédit lyonnais au paiement de 5'650 euros en restitution du montant des opérations de paiement non autorisées et le Crédit lyonnais est condamné à lui verser cette somme, en application de l’article L.'133 18 alinéa 1er du code monétaire et financier.

Sur les intérêts

La question des intérêts légaux, qu’ils soient simples ou majorés, relève de l’office du juge, de sorte qu’il appartient à la cour de procéder à son examen.

L’article L.'133 18 alinéa 3 du code monétaire et financier dispose':

«'En cas de manquement du prestataire de services de paiement aux obligations prévues aux deux premiers alinéas du présent article, les pénalités suivantes s’appliquent :

1° Les sommes dues produisent intérêt au taux légal majoré de cinq points ;

2° Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points ;

3° Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points.'»

Toutefois, ces dispositions, introduites par la loi n°'2022 1158 du 16 août 2022, ne sont pas applicables aux faits de l’espèce, s’étant déroulés en mars 2022.

La restitution prescrite par le premier alinéa du même article, en vertu duquel le PSP doit rembourser au payeur le montant d’une opération de paiement non autorisée, est donc soumise de plein droit, en application de l’article 1231 6 du code civil, à intérêt au taux légal à compter de la mise en demeure.

Aux termes de l’article 1344 du code civil, le débiteur est mis en demeure de payer soit par une sommation ou un acte portant interpellation suffisante.

En l’espèce, Mme [Q] verse aux débats une lettre recommandée avec accusé de réception qu’elle a adressée au Crédit lyonnais le 27 avril 2022 sollicitant en ces termes la restitution des fonds objets des opérations de paiement litigieuses': «'je vous remercie de bien vouloir me rembourser intégralement et sans délai des montants prélevés : 6'000'€ le 25 mars 22 et 5'300'€ le 28 mars 22'».

Bien que ce courrier ne fasse pas expressément référence à une mise en demeure, la cour apprécie que, par sa précision et sa clarté, il porte interpellation suffisante pour en revêtir la valeur.

En conséquence, la condamnation du Crédit lyonnais à verser la somme de 5'650 euros au titre de la restitution du montant des opérations de paiement non autorisées est assortie des intérêts au taux légal à compter du 27 avril 2022.

Sur la demande indemnitaire pour résistance abusive

Le régime de responsabilité des PSP prévu à l’article 60, paragraphe 1, de la directive européenne 2007/64/CE ainsi qu’aux articles 58 et 59 de cette directive ayant fait l’objet d’une harmonisation totale, une opération de paiement qualifiée de non autorisée est nécessairement soumise au régime édicté par les articles L.'133 18 et suivants du code monétaire et financier issu de la transposition de ladite directive, à l’exclusion de tout régime alternatif de responsabilité résultant du droit national.

Dès lors qu’est applicable le régime issu de ces dispositions, la responsabilité contractuelle de droit commun ne saurait donc recevoir application pour une quelconque action en responsabilité au titre des mêmes faits générateurs.

En l’espèce, Mme [Q] recherche la responsabilité du Crédit lyonnais pour résistance abusive à la restitution du montant des opérations de paiement non autorisées sur le fondement de l’article 1153 du code civil.

Cette disposition relative à la représentation étant manifestement impropre à fonder cette demande, il appartient néanmoins à la juridiction d’examiner la prétention qui en fait l’objet à l’aune des règles de droit susceptibles d’en permettre le succès, en application de l’article 12 du code de procédure civile.

La résistance abusive alléguée par Mme [Q] à l’encontre du Crédit lyonnais peut être considérée au prisme de deux fondements qu’il convient d’examiner successivement': sur le plan procédural, comme un abus du droit de discuter le bien-fondé de sa demande en restitution, ou sur le fond, comme une faute dans l’exécution du contrat’les liant.

Sur la résistance abusive relative au droit d’agir en défense

En vertu du second alinéa de l’article 30 du code de procédure civile, l’action est, pour l’adversaire de l’auteur d’une prétention, le droit de discuter le bien-fondé de cette prétention.

En application de l’article 1240 du code civil, l’exercice d’une telle action peut dégénérer en abus pouvant donner lieu à indemnisation dans certaines circonstances le rendant fautif, non seulement en cas de malice, de mauvaise foi, d’erreur grossière équipollente au dol, mais également en cas de faute, même non grossière ou dolosive, ou encore de légèreté blâmable, dès lors qu’un préjudice en résulte.

Sauf circonstances particulières, aucun abus ne saurait toutefois être caractérisé dans l’exercice d’une action dont la légitimité a été reconnue, au moins partiellement, par la juridiction de premier degré, quand bien même sa décision serait infirmée.

En l’espèce, il n’est donc retenu aucun abus dans l’exercice par le Crédit lyonnais de son droit, dont la légitimité a été reconnue par le jugement critiqué, de discuter le bien-fondé de la demande en restitution formée par Mme [Q].

Sur la résistance abusive procédant d’une faute contractuelle

Le dommage résultant de la résistance abusive du Crédit lyonnais à exécuter son obligation de restitution prescrite par l’article L.'133 18 du code monétaire et financier ayant été subi, selon le moyen, par Mme [Q] à l’occasion de l’exécution du contrat’la liant avec ce dernier, la réparation de son préjudice peut être envisagée sur le fondement du droit commun de la responsabilité contractuelle, en application des articles 1217 et 1231 1 du code civil.

Le Crédit lyonnais oppose à Mme [Q] l’exclusivité du régime de responsabilité des PSP issu de la directive européenne 2007/64/CE pour les opérations de paiement non autorisées, qui lui interdirait de solliciter la réparation de son préjudice sur tout autre fondement.

Pour autant, bien qu’il ne saurait être fait application de la responsabilité contractuelle de droit commun quant à la réparation du dommage résultant de l’exécution par le PSP d’une opération non autorisée, la résistance abusive de ce dernier à la restitution prescrite par l’article L.'133 18 du code monétaire et financier constitue un fait générateur de responsabilité distinct de l’exécution des virements litigieux.

La responsabilité du Crédit lyonnais pour résistance abusive peut donc être fondée sur les articles 1217 et 1231 1 du code civil, bien que l’inexécution qui lui est reprochée doive être appréciée à l’aune des articles L.'133 18 et suivants du code monétaire et financier.

A cet égard, il est rappelé qu’aux termes de l’article L.'133 18 susvisé, en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L.'133 24, le PSP du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France.

Or, le Crédit lyonnais n’allègue en l’espèce aucune fraude qu’aurait commise Mme [Q].

Il ne justifie pas davantage avoir communiqué par écrit à la Banque de France les raisons qu’il aurait de soupçonner une telle fraude.

Il lui appartenait dès lors de satisfaire à l’obligation de restitution immédiate que lui imposait la disposition susvisée, quand bien même il aurait entendu contester la charge finale des pertes occasionnées, se prévalant d’une négligence grave de Mme [Q] sur le fondement de l’article L.'133 19, IV du code monétaire et financier.

En outre, il est rappelé que, pour faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L.'133 16 et L.'133 17, le PSP doit, au préalable, prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

Or, de toute évidence, le Crédit lyonnais ne pouvait ignorer la dénonciation par plusieurs médias, en juin et juillet 2022, de failles de sécurité ayant conduit, dans des circonstances similaires, de nombreux de ses clients à constater sur leur compte bancaire des débits non autorisés, pour un montant total estimé à 360'000 euros par les sites « Capital » et « Les Echos investir » (pièces 12 et 13 de Mme [Q]).

Au soutien de son allégation des caractères authentifié, dûment enregistré et comptabilisé et exempt de déficience technique ou autre des opérations en cause, le Crédit lyonnais, au lieu de s’expliquer sur ces failles, s’appuie essentiellement sur une mise en doute des déclarations constantes de Mme [Q], notamment de celles selon lesquelles elle n’aurait pas reçu les SMS de sécurité relatifs aux opérations litigieuses ni communiqué à quiconque ses données personnelles de sécurité, alors qu’aucun élément ne permet de valablement la démentir.

Ce comportement révèle une intention du Crédit lyonnais de faire peser sur sa cliente les conséquences d’actes frauduleux dont la charge lui revient en l’absence de certitude sur les manquements qui les ont rendus possibles.

Au surplus, il essaie de se soustraire au droit applicable en dévoyant le sens des textes de loi et des décisions de justice, de manière à en tirer un profit illégitime, selon un procédé qui ne saurait, eu égard à sa récurrence, être raisonnablement considéré comme fortuit, alors qu’il a été relevé par la cour à propos de l’article L.'133 23 du code monétaire et financier, du jugement du 24 avril 2024 du tribunal judiciaire de Paris (pièce 15 du Crédit lyonnais) et de l’arrêt du 23 mai 2024 de la cour d’appel de Versailles (pièce 16 du Crédit lyonnais).

Il s’ensuit que c’est de manière abusive que le Crédit lyonnais s’est affranchi de son obligation de restitution prescrite par l’article L.'133 18 susvisé.

Ce manquement à ses obligations a nécessairement causé, de manière directe et certaine, un préjudice à Mme [Q], entretenant son inquiétude de devoir supporter les pertes résultant de la fraude subie et la contraignant à entreprendre des démarches pour faire valoir ses droits, alors qu’en définitive aucune négligence n’est retenue à son encontre.

Il convient d’évaluer ce préjudice à la somme de 1'000 euros.

En conséquence, le jugement critiqué est infirmé en ce qu’il a débouté Mme [Q] de sa demande tendant à la condamnation du Crédit lyonnais au paiement de la somme de 1'000 euros au titre de sa résistance abusive à la restitution du montant des opérations de paiement non autorisées et celui-ci est condamné à lui verser cette somme sur le fondement des articles 1217 et 1231 1 du code civil.

Sur les dépens et les frais irrépétibles de l’article 700 du code de procédure civile

Sur les dépens et frais irrépétibles au titre de la première instance

Aux termes du premier alinéa de l’article 562 du code de procédure civile, l’appel défère à la cour la connaissance des chefs du dispositif de jugement qu’il critique expressément et de ceux qui en dépendent.

En matière de procédure avec représentation obligatoire,'l’article 901, 7° du même code, dans sa version applicable au litige, dispose que la déclaration d’appel, qui peut comporter une annexe, est faite par un acte contenant, à peine de nullité, les chefs du dispositif du jugement expressément critiqués auxquels l’appel est, sans préjudice du premier alinéa de l’article 915 2, limité, sauf si l’appel tend à l’annulation du jugement.

Il a été admis, sur le fondement de formes antérieures de ces dispositions, que l’effet dévolutif n’opère pas, lorsque la déclaration d’appel tend à la réformation du jugement sans mentionner les chefs du dispositif du jugement critiqués, notamment lorsqu’elle se limite à la mention «'appel total'», alors même que la nullité pour vice de forme de ladite déclaration d’appel n’aurait pas été sollicitée.

En pareille hypothèse, une annexe peut toutefois être adjointe à la déclaration d’appel, mentionnant les chefs du dispositif du jugement critiqués'; cette annexe fait alors corps avec la déclaration d’appel et emporte donc effet dévolutif sur les chefs visés, quand bien même ladite déclaration ne renverrait pas expressément à l’annexe, l’article 901 susvisé n’exigeant pas un tel renvoi.

Il appartient dès lors à la cour de rechercher si une annexe comportant les chefs de dispositif du jugement critiqués n’a pas été jointe à la déclaration d’appel, même en l’absence de renvoi exprès, cette circonstance n’étant pas de nature à priver l’acte de son effet dévolutif, étant observé qu’une telle conséquence serait disproportionnée au regard du but poursuivi.

Au demeurant, l’article 915 2 du code de procédure civile précise, dans sa version applicable au litige, que l’appelant principal peut compléter, retrancher ou rectifier, dans le dispositif de ses premières conclusions remises dans les délais réglementaires, les chefs du dispositif du jugement critiqués mentionnés dans la déclaration d’appel'; la cour est alors saisie des chefs du dispositif du jugement ainsi déterminés et de ceux qui en dépendent.

En l’espèce, la déclaration d’appel formée par Mme [Q] le 19 décembre 2024 porte la seule mention «'appel total'» dans la catégorie «'objet/portée de l’appel'».

Celle-ci a joint à ladite déclaration une annexe précisant qu’elle entendait relever appel du jugement critiqué en ce qu’il l’avait déboutée de toutes ses demandes et condamnée aux dépens de l’instance.

Toutefois, dans le dispositif de ses premières conclusions remises dans les délais fixés par l’article 908 du code de procédure civile, notifiées le 18 mars 2025, elle ne reprend pas la critique du chef de dispositif relatif aux dépens, de sorte qu’en application de l’article 915 2 du même code, l’effet dévolutif étant limité aux seuls chefs de dispositif repris dans ce jeu de conclusions, celui portant sur les dépens n’est en définitive pas dévolu à la cour.

En revanche, la cour observe que la demande d’infirmation du chef de dispositif ayant débouté Mme [Q] de toutes ses demandes apparaît dans le dispositif de ses premières conclusions, lequel comprend le débouté de la demande qu’elle a formée en première instance au titre de l’article 700 du code de procédure civile, qui s’en trouve donc valablement dévolu à la cour.

Toutefois, si Mme [Q] sollicite, dans le dispositif de ses dernières conclusions notifiées le 26 août 2025, la somme de 2'000 euros sur le fondement de l’article 700 du code de procédure civile, elle ne précise pas si cette indemnité est demandée au titre de la première instance ou de l’appel.

La cour considère donc que cette somme est sollicitée au titre de l’instance d’appel et qu’elle n’est saisie d’aucune demande relative aux frais irrépétibles de première instance.

Sur les dépens et frais irrépétibles au titre de l’appel

D’une part, le Crédit lyonnais, qui succombe, est condamné aux entiers dépens de l’appel.

D’autre part, il convient de condamner le Crédit lyonnais à payer à Mme [Q] la somme de 2'000 euros sur le fondement de l’article 700 du code de procédure civile au titre de l’instance d’appel.

PAR CES MOTIFS,

La cour,

Infirme le jugement rendu le 25 novembre 2024 par le tribunal judiciaire de Lille en ce qu’il a débouté Mme [Q] de toutes ses demandes et, statuant à nouveau sur les chefs infirmés et y ajoutant':

Condamne la SA LCL Crédit lyonnais à payer à Mme [Y] [J] épouse [Q] la somme de 5 650 euros en restitution du montant des opérations de paiement, avec intérêts au taux légal à compter du 27 avril 2022';

Condamne la SA LCL Crédit lyonnais à payer à Mme [Y] [J] épouse [Q] la somme de 1'000 euros à titre de dommages et intérêts pour résistance abusive';

Condamne la SA LCL Crédit lyonnais aux entiers dépens de l’appel';

Condamne la SA LCL Crédit lyonnais à payer à Mme [Y] [J] épouse [Q] la somme de 2'000 euros au titre des frais irrépétibles exposés en appel';

Déboute les parties de leurs demandes plus amples ou contraires.

Le greffier

Le président

EN CONSÉQUENCE

LA RÉPUBLIQUE FRANÇAISE mande et ordonne à tous les commissaires de justice, sur ce requis, de mettre ladite décision à exécution, aux procureurs généraux et aux procureurs de la République près les tribunaux judiciaires d’y tenir la main, à tous les commandants et officiers de la [Localité 4] Publique de prêter main-forte lorsqu’ils en seront légalement requis. En foi de quoi, la présente décision a été signée par le Président et le Greffier.