République Française

Au nom du Peuple Français

COUR D’APPEL DE DOUAI

TROISIEME CHAMBRE

ARRÊT DU 19/03/2026

****

MINUTE ÉLECTRONIQUE

N° RG 25/01396 – N° Portalis DBVT-V-B7J-WCXG

Jugement (N° 23/02246) rendu le 29 Janvier 2025 par le Tribunal judiciaire de Douai

APPELANTE

SA Caisse Epargne et de Prevoyance Hauts de France Immatriculée au registre du commerce et des sociétés de Lille Metropole sous le numéro 383 000 692, prise en la personne de son représentant légal, domicilié en cette qualité audit siège.

,

[Adresse 1]

,

[Localité 1]

représentée par M^e Jacques-Eric Martinot, avocat au barreau de Lille avocat constitué

INTIMÉE

Madame, [M], [N] épouse, [S]

née le, [Date naissance 1] 1976 à, [Localité 2]

de nationalité Française

,

[Adresse 2]

,

[Localité 3]

représentée par M^e Stéphane Robilliart, avocat au barreau de Lille, avocat constitué

DÉBATS à l’audience publique du 22 janvier 2026 tenue par Guillaume Salomon magistrat chargé d’instruire le dossier qui, a entendu seul(e) les plaidoiries, les conseils des parties ne s’y étant pas opposés et qui en a rendu compte à la cour dans son délibéré (article 805 du code de procédure civile).

Les parties ont été avisées à l’issue des débats que l’arrêt serait prononcé par sa mise à disposition au greffe

GREFFIER LORS DES DÉBATS :Harmony Poyteau

COMPOSITION DE LA COUR LORS DU DÉLIBÉRÉ

Guillaume Salomon, président de chambre

Yasmina Belkaid, conseiller

Stéfanie Joubert, conseiller

ARRÊT CONTRADICTOIRE prononcé publiquement par mise à disposition au greffe le 19 mars 2026 (date indiquée à l’issue des débats) et signé par Guillaume Salomon, président et Harmony Poyteau, greffier, auquel la minute a été remise par le magistrat signataire.

ORDONNANCE DE CLÔTURE DU : 15 décembre 2025

****

EXPOSE DU LITIGE

1. Les faits et la procédure antérieure

Le 8 septembre 2022, Mme, [M], [N] épouse, [S] a reçu un appel téléphonique du numéro 09.69.36.39.39 correspondant au service fraude de la caisse d’épargne et de prévoyance Hauts de France (la caisse d’épargne), dans les livres de laquelle elle détient plusieurs comptes dont un compte courant.

Se faisant passer pour un conseiller de ce service, son interlocuteur l’a convaincue de modifier le mot de passe de son espace de banque en ligne et d’y procéder à l’ajout d’un bénéficiaire de virements, dans l’objectif prétendu de se prémunir d’une tentative de piraterie dont elle serait la cible.

Le lendemain, Mme, [S] a constaté que son compte avait été frauduleusement débité de 5'000 euros, et en a immédiatement avisé la caisse d’épargne.

La procédure de restitution des fonds initiée par cette dernière n’ayant pas abouti, Mme, [S] l’a mise en demeure de lui restituer le montant de l’opération frauduleuse, ce qu’elle a refusé.

Par acte du 2 octobre 2023, Mme, [S] a donc fait assigner la caisse d’épargne devant le tribunal judiciaire de Douai aux fins d’obtenir la restitution de la somme ainsi soustraite et des frais bancaires associés, outre l’indemnisation de ses préjudices.

2. Le jugement dont appel

Par jugement rendu le 29 janvier 2025, le tribunal judiciaire de Douai a':

1- condamné la caisse d’épargne à payer à Mme, [S] la somme de 5'000 euros, avec intérêts au taux légal à compter du jour de la réception de la première mise en demeure, soit à compter du 14 septembre 2022';

2- condamné la caisse d’épargne à payer à Mme, [S] la somme de 3 euros au titre de son préjudice financier';

3- condamné la caisse d’épargne à payer à Mme, [S] la somme de 500 euros au titre de son préjudice moral';

4- condamné la caisse d’épargne à supporter les dépens';

5- débouté la caisse d’épargne de sa demande au titre des frais irrépétibles';

6- condamné la caisse d’épargne à payer à Mme, [S] la somme de la somme de 1'000 euros au titre des frais irrépétibles';

7- rappelé l’exécution provisoire de droit.

3. La déclaration d’appel

Par déclaration du 11 mars 2025, la caisse d’épargne a formé appel de ce jugement en toutes ses dispositions.

4. Les prétentions et moyens des parties

4.1. Aux termes de ses dernières conclusions notifiées le 30 octobre 2025, la caisse d’épargne demande à la cour, au visa des articles L.'133 1 et suivants du code monétaire et financier, d’infirmer le jugement en toutes ses dispositions et, statuant de nouveau, de':

— débouter Mme, [S] de l’ensemble de ses demandes, fins et conclusions';

— condamner Mme, [S] à lui payer la somme de 2'000 euros au titre de l’article 700 du code de procédure civile';

— condamner Mme, [S] aux entiers frais et dépens.

A l’appui de ses prétentions, la caisse d’épargne fait valoir que':

— Mme, [S] a validé les opérations litigieuses grâce au système d’authentification forte «'Secur’pass'» qu’elle est seule à pouvoir enclencher à partir du terminal qu’elle a enrôlé, de sorte que le paiement doit être qualifié d’opération autorisée';

— Mme, [S] a commis une négligence grave en communiquant ses informations bancaires et en validant au moyen de l’authentification forte les opérations d’ajout de compte et de virement initiées par le fraudeur.

4.2. Aux termes de ses dernières conclusions notifiées le 25 novembre 2025, Mme, [S], intimée, demande à la cour, au visa des articles L.'133 12 et suivants du code monétaire et financier, de confirmer le jugement critiqué et de':

— condamner la caisse d’épargne à lui payer la somme de 2'000 euros en application de l’article 700 du code de procédure civile en cause d’appel';

— condamner la caisse d’épargne aux entiers frais et dépens d’appel';

— débouter la caisse d’épargne de ses demandes, fins et conclusions.

A l’appui de ses prétentions, Mme, [S] fait valoir que':

— la caisse d’épargne a manqué à son obligation, prescrite par l’article L.'133 44 du code monétaire et financier, de sécuriser par authentification forte les opérations de paiement, alors que le virement litigieux a pu être réalisé sans qu’elle l’autorise';

— elle n’a commis aucune négligence grave, l’élaboration de la mise en scène ne laissant percevoir aucun indice permettant de déceler le caractère frauduleux de l’appel téléphonique, de sorte qu’elle pouvait légitimement croire être en relation avec un conseiller de la caisse d’épargne';

— elle n’a jamais révélé son code d’accès à son interlocuteur, lequel a néanmoins eu connaissance de données bancaires personnelles et a pu initier l’opération de paiement litigieuse sans son intervention, mettant en évidence une faille de sécurité de la banque';

— la caisse d’épargne a en outre commis une faute en enclenchant la procédure de restitution des fonds auprès d’un bénéficiaire erroné.

Pour un plus ample exposé des moyens de chacune des parties, il y a lieu de se référer aux conclusions précitées en application des dispositions de l’article 455 du code de procédure civile.

MOTIFS DE LA DECISION

Sur l’obligation à la charge du prestataire de services de paiement (PSP) de restitution de l’opération de paiement non autorisée

Sur le caractère non autorisé de l’opération de paiement

Aux termes de l’article L.'133 3, I du code monétaire et financier, une opération de paiement est une action consistant à verser, transférer ou retirer des fonds, indépendamment de toute obligation sous-jacente entre le payeur et le bénéficiaire, initiée par le payeur, ou pour son compte, ou par le bénéficiaire.

En application des articles L.'133 6 et L.'133 7 du même code, une telle opération est autorisée si le payeur a donné son consentement à son exécution, sous la forme convenue avec le PSP, ce consentement devant porter à la fois sur l’identité du bénéficiaire, désigné par l’identifiant unique tel que défini par le b) de l’article L.'133 4, et sur le montant de l’opération.

La charge de la preuve dudit consentement repose sur le PSP.

Il est admis qu’une opération de paiement est considérée comme non autorisée dès lors que le payeur y a été incité par la méthode connue sous le nom de «'spoofing'», consistant à usurper l’identité d’un conseiller de l’établissement bancaire dans le cadre d’une mise en scène suffisamment élaborée pour qu’un utilisateur normalement attentif soit convaincu de la nécessité d’y procéder'; bien qu’une telle opération de paiement ait été initiée par le payeur, le cas échéant par l’intermédiaire d’un dispositif à forte authentification, il n’est donc pas considéré que celui-ci y ait valablement consenti au sens des articles L.'133 6 et L.'133 7 du code monétaire et financier.

En l’espèce, il est constant que le terminal utilisé par Mme, [S], enrôlé auprès du système «'Secur’pass'»'comme appareil de confiance, a pour code d’identification «'62D544B9-4BCE-4B89-A3E8-98EA46270D37'».

La caisse d’épargne indique que l’opération de paiement litigieuse aurait été autorisée par Mme, [S] au motif qu’elle aurait «'ajouté un compte bénéficiaire à la liste des bénéficiaires autorisés au moyen du dispositif d’authentification forte'», puis «'validé un virement au profit du nouveau bénéficiaire à nouveau avec l’authentification forte'».

Pour autant, le relevé produit par Mme, [S] des connexions à son espace personnel de banque en ligne (pièce 19) fait apparaître que toutes les opérations concernant des ajouts de bénéficiaire de virements (code d’opération «'VIR-AJOUT-CPT-EXT'») et des paiements par virement (code d’opération «'VIR-EXEC-UNI'») ont été réalisées à partir d’un terminal ayant pour code d’identification «'AB3C5CC0-8DF8-4EAB-84E0-456A73C1ED5F'» et localisé à, [Localité 4].

Il s’ensuit que ces opérations n’ont pas été initiées par Mme, [S] mais par un tiers, ce qu’au demeurant la caisse d’épargne ne conteste pas.

En pareilles circonstances, il ne peut être sérieusement soutenu que Mme, [S] aurait consenti à l’exécution du paiement litigieux, tant à l’égard de son montant que de l’identité de son bénéficiaire.

En conséquence, cette opération doit être qualifiée de non autorisée, au sens qu’en donne l’article L.'133 6 du code monétaire et financier.

Sur l’application de l’obligation de restitution

Le régime de responsabilité des PSP prévu à l’article 60 paragraphe 1 de la directive européenne 2007/64/CE ainsi qu’aux articles 58 et 59 de cette directive ayant fait l’objet d’une harmonisation totale, une opération de paiement qualifiée de non autorisée est nécessairement soumise au régime édicté par les articles L.'133 18 et suivants du code monétaire et financier issu de la transposition de ladite directive,'à l’exclusion de tout régime alternatif de responsabilité issu du droit national.

En matière de paiement par carte, virement ou prélèvement, il incombe à l’utilisateur du service de paiement, en application de l’article L.'133 24 du même code, de signaler sans tarder l’existence d’une opération non autorisée à son PSP et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion.

L’article L.'133 18 prescrit alors le remboursement du payeur par le PSP, et ce dans un bref délai'; il rétablira ainsi le compte débité dans l’état où il se serait trouvé si l’opération non autorisée n’avait pas eu lieu.

Aux termes de l’article L.'133 19, IV, le payeur supporte en revanche toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.'133 16 et L.'133 17, à savoir celle de préserver la sécurité de ses données de sécurité et celle d’informer sans tarder le PSP de toute perte, vol ou détournement de ses moyens de paiement ou de ses données.

Le premier alinéa de l’article L.'133 23 dispose que, lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son PSP de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre'; le deuxième alinéa de cet article précise que l’utilisation de l’instrument de paiement telle qu’enregistrée par le PSP ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière.

Il résulte de ce qui précède que, s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L.'133 16 et L.'133 17, le PSP doit, au préalable, prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre, étant précisé que la directive (UE)'2015/2366 du 25 novembre 2015 a introduit une exigence d’authentification forte.

A cet égard, l’article L.'133 19, V, exclut toute conséquence financière pour le payeur si l’opération de paiement non autorisée a été effectuée sans que le PSP n’ait exigé une authentification forte, telle que prévue à l’article L.'133 44 qui dispose':

«'I. ' Le prestataire de services de paiement applique l’authentification forte du client définie au f de l’article L.'133 4 lorsque le payeur :

1° Accède à son compte de paiement en ligne ;

2° Initie une opération de paiement électronique ;

3° Exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse.

II. ' Pour les opérations de paiement électronique à distance, l’authentification forte du client définie au f de l’article L.'133 4 comporte des éléments qui établissent un lien dynamique entre l’opération, le montant et le bénéficiaire donnés.

III. ' En ce qui concerne l’obligation du I, les prestataires de services de paiement mettent en place des mesures de sécurité adéquates afin de protéger la confidentialité et l’intégrité des données de sécurité personnalisées des utilisateurs de services de paiement.

IV. ' Le prestataire de services de paiement gestionnaire du compte autorise le prestataire de services de paiement fournissant un service d’initiation de paiement et le prestataire de services de paiement fournissant le service d’information sur les comptes à se fonder sur ses procédures d’authentification lorsqu’ils agissent pour l’un de leurs utilisateurs conformément aux I et III et, lorsque le prestataire de services de paiement fournissant le service d’initiation de paiement intervient, conformément aux I, II et III.

V. ' Le prestataire de services de paiement s’assure que les méthodes d’authentification qu’il fournit à ses clients respectent les exigences d’accessibilité fixées à l’article L.'412 13 du code de la consommation.'»

En l’espèce, il ressort du relevé des connexions à l’espace personnel de banque en ligne de Mme, [S] (pièce 19 de Mme, [S]) que l’ensemble des connexions effectuées le 8 septembre 2022 entre 15:32:26 et 15:42:55 l’ont été par un terminal localisé à, [Localité 4], y compris celles par lesquelles ont été ordonnés l’ajout de bénéficiaire de virements et l’opération de paiement litigieux.

Il a en outre été relevé que ce terminal n’est pas celui enrôlé par Mme, [S] auprès du système «'Secur’pass'»'comme appareil de confiance, alors que ce dernier s’est déconnecté ce jour à 15:32:09 et ne s’est pas connecté à nouveau avant 16:26:52.

A l’appui du moyen selon lequel Mme, [S] aurait autorisé ces opérations, la caisse d’épargne avance que le dispositif «'Secur’pass'»'ne permettrait leur validation que par celle-ci, en tant que «'seule détentrice du pouvoir de valider cette opération à l’aide de l’appareil unique enrôlé au système'».

La caisse d’épargne précise que le fraudeur aurait effectué une première tentative d’ajout de bénéficiaire de virements à 15:39:43, dont l’échec serait dû à l’absence d’authentification forte par le système «'Secur’pass'», puis une seconde tentative, cette fois réussie, sans toutefois expliquer comment Mme, [S] aurait pu valider cette opération «'à l’aide de l’appareil unique enrôlé au système'» sans que ce terminal se soit connecté à l’espace personnel entre les deux tentatives.

Le fraudeur a ensuite procédé au virement litigieux à 15:42:55, à nouveau validé par Mme, [S], selon le moyen soulevé par la banque, par l’intermédiaire du système «'Secur’pass'», toujours sans connexion de son appareil de confiance à son espace personnel de banque en ligne.

La caisse d’épargne infère ces validations alléguées des seules mentions «'Securpass'» et «'OK'» en regard des lignes correspondant aux opérations litigieuses dans le tableau de relevé des connexions'; ces mentions ne suffisent manifestement pas à établir l’existence d’une authentification forte, en l’absence d’autre preuve de mise en 'uvre d’un tel dispositif, alors qu’un processus informatique sécurisé de validation enregistre nécessairement un journal détaillé des opérations qu’il autorise.

En l’absence de démonstration de l’existence d’une authentification forte, ou même d’une connexion du terminal de Mme, [S], dont le moyen indique qu’il est le seul en mesure de valider l’opération de paiement litigieuse, la caisse d’épargne échoue à établir, ainsi qu’il lui incombe, d’une part que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre, et d’autre part qu’il a été exigé une authentification forte pour son exécution.

Elle est dès lors tenue, en application des articles L.'133 18 et L.'133 19, V, du code monétaire et financier, à la restitution du montant de l’opération non autorisée, nonobstant toute considération relative à la négligence qu’elle impute à Mme, [S].

En conséquence, le jugement critiqué est confirmé en ce qu’il a condamné la caisse d’épargne à payer à Mme, [S] la somme de 5'000 euros, avec intérêts au taux légal à compter du jour de la réception de la première mise en demeure, soit à compter du 14 septembre 2022.

Sur le préjudice financier

Mme, [S] sollicite que lui soit allouée la somme de 3 euros en réparation du préjudice financier résultant des frais facturés à la suite de la procédure de restitution des fonds enclenchée par la caisse d’épargne auprès d’un bénéficiaire erroné.

Il est observé que':

— la caisse d’épargne a reconnu cette faute dans un courriel du 22 septembre 2022 (pièce 9 de Mme, [S]),

— la juridiction de première instance a fait droit à la demande en paiement de ladite somme, formée par Mme, [S], par des motifs pertinents que la cour s’approprie,

— il n’est du reste soulevé aucun moyen au soutien de la demande d’infirmation de ce chef de dispositif.

En conséquence, le jugement critiqué est confirmé en ce qu’il a condamné la caisse d’épargne à payer à Mme, [S] la somme de 3 euros au titre de son préjudice financier.

Sur le préjudice moral

Mme, [S] sollicite la réparation de son préjudice moral résultant de la résistance abusive de la caisse d’épargne à ses demandes de restitution, la contraignant à la délivrance de trois mises en demeure successives.

A cet égard, la cour observe que la caisse d’épargne a motivé de plusieurs manières, sur lesquelles il convient de revenir, son refus de restituer immédiatement les fonds soustraits ainsi que le prévoit l’article L.'133 18 du code monétaire et financier en cas d’opération de paiement non autorisée.

Premièrement, la caisse d’épargne a contesté la qualification d’opération non autorisée alors même que l’état des connexions à l’espace personnel de banque en ligne (pièce 19 de Mme, [S]), dont elle disposait, faisait apparaître que tant l’ajout de bénéficiaire de virements que l’exécution du paiement avaient été initiés par un tiers localisé à, [Localité 4], alors que le terminal enrôlé par Mme, [S] comme appareil de confiance n’était pas connecté, de sorte qu’il n’était pas sérieusement contestable que cette dernière n’avait pas autorisé ces opérations.

Deuxièmement, la caisse d’épargne a reproché à Mme, [S] une négligence grave pour avoir fourni au fraudeur des informations confidentielles,'notamment son mot de passe, ce que celle-ci a contesté de manière constante.

Si la communication d’information confidentielles peut effectivement être constitutive d’une négligence grave au sens de l’article L.'133 19, IV, du code monétaire et financier, la preuve en incombe au PSP.

La caisse d’épargne indique inférer cette allégation du seul fait que le fraudeur soit parvenu à se connecter à l’espace personnel de banque en ligne de Mme, [S] et à y réaliser des opérations'; or il résulte de ses propres écritures que ces informations n’auraient pas permis la connexion en l’absence de faille de sécurité, eu égard à l’authentification forte qu’elle affirme avoir implémenté et qui suppose un autre facteur d’identification dont le fraudeur ne disposait pas, qu’il s’agisse d’un élément de possession ou d’un élément de biométrie.

La parfaite incompatibilité de ces motivations contradictoires de la caisse d’épargne constitue un autre indice fort de la mauvaise foi dont elle a fait preuve dans son refus de restituer le montant de l’opération de paiement non autorisée.

Troisièmement, il résulte de ce qui précède que le paiement frauduleux a été rendu possible parce que l’authentification forte n’a pas été requise pour les opérations successives qui y ont abouti ou parce que le fraudeur a pu exploiter une faille de sécurité, ce que la caisse d’épargne ne pouvait ignorer dès lors qu’elle disposait, ainsi qu’il ressort du tableau versé au dossier (pièce 19 de Mme, [S]), de l’historique des connexions et des opérations réalisées.

L’abus de la caisse d’épargne est ainsi établi dans sa résistance à procéder au remboursement du montant de l’opération de paiement non autorisée que lui imposait l’article L.'133 18 du code monétaire et financier.

Cette résistance a contraint Mme, [S] à entreprendre plusieurs démarches pour faire valoir ses droits et a nécessairement généré a minima pour celle-ci une préoccupation quant à la possibilité de récupérer les fonds soustraits par la fraude dont elle avait été victime, lui causant de manière directe et certaine un préjudice moral.

En conséquence, le jugement critiqué est confirmé en ce qu’il a condamné la caisse d’épargne à payer à Mme, [S] la somme de 500 euros en réparation de son préjudice moral résultant de sa résistance abusive.

Sur les dépens et les frais irrépétibles de l’article 700 du code de procédure civile

Le sens du présent arrêt conduit à confirmer d’une part le jugement déféré sur ses dispositions relatives aux dépens et à l’article 700 du code de procédure civile.

D’autre part, la caisse d’épargne, qui succombe, est condamnée aux entiers dépens de l’appel.

Il convient enfin de condamner la caisse d’épargne à payer à Mme, [S] la somme de 2'000 euros sur le fondement de l’article 700 du code de procédure civile au titre de l’instance d’appel.

PAR CES MOTIFS,

La cour,

Confirme en toutes ses dispositions le jugement rendu le 29 janvier 2025 par le tribunal judiciaire de Douai et, y ajoutant':

Condamne la caisse d’épargne et de prévoyance Hauts de France aux entiers dépens de l’appel';

Condamne la caisse d’épargne et de prévoyance Hauts de France à payer à Mme, [M], [N] épouse, [S] la somme de 2'000 euros au titre des frais irrépétibles exposés en appel';

Déboute les parties de leurs demandes plus amples ou contraires.

Le greffier

Le président

EN CONSÉQUENCE

LA RÉPUBLIQUE FRANÇAISE mande et ordonne à tous les commissaires de justice, sur ce requis, de mettre ladite décision à exécution, aux procureurs généraux et aux procureurs de la République près les tribunaux judiciaires d’y tenir la main, à tous les commandants et officiers de la, [Localité 5] Publique de prêter main-forte lorsqu’ils en seront légalement requis. En foi de quoi, la présente décision a été signée par le Président et le Greffier.