N° RG 24/01283

N° Portalis DBVM-V-B7I-MGEM

C3

Copie exécutoire délivrée

le :

à :

la SELARL LEXWAY AVOCATS

la SELARL COOK – QUENARD

AU NOM DU PEUPLE FRANÇAIS

COUR D’APPEL DE GRENOBLE

Chambre civile section A

ARRÊT DU MARDI 23 SEPTEMBRE 2025

Appel d’un Jugement (N° R.G. 23/00283)

rendu par le tribunal judiciaire de BOURGOIN-JALLIEU

en date du 06 février 2024

suivant déclaration d’appel du 25 mars 2024

APPELANT :

M. [N] [X]

né le 23 juin 1966 à [Localité 5]

de nationalité Française

[Adresse 1]

[Localité 4]

représenté par M^e Philippe LAURENT de la SELARL LEXWAY AVOCATS, avocat au barreau de GRENOBLE et plaidant par M^e Alexandre Spinella, avocat au même cabinet

INTIMÉE :

S.A. BANQUE POPULAIRE AUVERGNE RHÔNE ALPES BANQUE POPULAIRE AUVERGNE RHÔNE ALPES, prise en la personne de son représentant légal domicilié en cette qualité audit siège

[Adresse 2]

[Localité 3]

représentée par M^e Nathalie COOK de la SELARL COOK – QUENARD, avocat au barreau de GRENOBLE postulant et plaidant par M^e Sybille RICARD, avocat au barreau de PARIS

COMPOSITION DE LA COUR LORS DES DÉBATS ET DU DÉLIBÉRÉ :

M^me Catherine Clerc, président de chambre,

M^me Joëlle Blatry, conseiller,

M^me Véronique Lamoine, conseiller

Assistées lors des débats de M^me Anne Burel, greffier

DÉBATS :

A l’audience publique du 23 juin 2025, M^me Clerc a été entendue en son rapport.

Les avocats ont été entendus en leurs observations.

Et l’affaire a été mise en délibéré à la date de ce jour à laquelle l’arrêt a été rendu.

FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES

M. [N] [X] est titulaire d’un compte n°319 568 981 96 auprès de la société Banque Populaire Auvergne Rhône Alpes (la Banque Populaire).

Exposant :

avoir reçu le 20 décembre 2021, un appel d’un interlocuteur s’étant présenté comme faisant partie du service fraude de la Banque Populaire, lui demandant s’il était à l’origine de deux achats par carte bancaire en cours sur son compte bancaire d’un montant respectif de 1.884€ chez Auchan et 600€ chez Cdiscount et compte tenu de sa réponse négative, l’ayant alors enjoint d’aller sur son application mobile Banque Populaire pour taper son code de sécurité confidentiel à 4 chiffres afin de valider le refus d’achat et bloquer les opérations frauduleuses, tout en lui déclarant avoir initié les démarches pour faire opposition à sa carte bancaire et qu’il devait attendre la semaine suivante pour connaître les modalités de réception de sa nouvelle carte bancaire,

avoir vite tapé les chiffres de son code sur l’application afin de bloquer les achats en cours, et ce d’autant qu’il avait déjà été piraté quelques années auparavant et contacté alors téléphoniquement par le service fraude de sa banque,

avoir découvert le 3 janvier 2022, sur son relevé de compte qu’un prélèvement de 1.844€ avait été opéré au titre d’un achat en ligne « Auchan.fr »,

avoir signalé le 4 janvier 2022 l’utilisation frauduleuse de sa carte bancaire sur le site du Ministère de l’Intérieur « Perceval »,

avoir le 6 janvier 2022, contesté cette opération de paiement auprès de la Banque Populaire, qui lui a en réponse proposé le paiement d’une somme de 500€ à titre de geste commercial (ce qu’il avait refusé), lui indiquant ne pas être responsable de ce débit frauduleux mais qu’il avait commis une négligence en saisissant son code confidentiel Secur Pass, et qu’il n’aurait pas du suivre les instructions d’une personne mal identifiée,

avoir déposé une plainte pénale le 17 février 2022 pour escroquerie,

avoir, par courrier recommandé avec AR du 18 octobre 2022, vainement mis en demeure la Banque Populaire de lui restituer la somme de 1.844€.

M. [X] a, par acte extrajudiciaire du 3 mars 2023, fait assigner la Banque Populaire devant le tribunal judiciaire de Bourgoin-Jallieu en responsabilité et indemnisation de son préjudice.

Par jugement contradictoire du 6 février 2024, le tribunal précité a :

débouté M. [X] de sa demande en paiement de la somme de 1.844€ formée à l’encontre de la Banque Populaire,

débouté M. [X] de sa demande en paiement d’intérêts au taux légal majoré de 15 points sur la somme de 1.844€ à compter du 6 janvier 2022 jusqu’au jugement à intervenir formée à l’encontre de la Banque Populaire,

rejeté la demande de dommages-intérêts au titre des préjudices subis formée par M. [X],

rejeté les demandes formées par les parties au titre des dispositions de l’article 700 du code de procédure civile,

condamné M. [X] aux dépens de l’instance,

rappelé que l’exécution provisoire de la décision est de droit.

La juridiction a retenu en substance que :

la Banque Populaire s’est acquittée de son obligation de mise en garde et de prudence vis-à-vis de ses clients quant aux risques de fraude encourus en faisant usage de moyens de paiement électroniques en leur prodiguant des conseils pour s’en prémunir,

la Banque Populaire ne peut être tenue responsable de la négligence grave que M. [X] a commise,

la responsabilité de la Banque Populaire n’étant pas engagée, la demande indemnitaire de M. [X] doit être rejetée.

Par déclaration déposée le 25 mars 2024, M. [X] a relevé appel.

Aux termes de ses dernières conclusions déposées le 24 mars 2025 sur le fondement des articles L.133-18 et suivants du code monétaire et financier et 1104, 1231-1 et suivants du code civil, M. [X] demande à la cour de :

infirmer le jugement déféré en toutes ses dispositions sauf en ce qui a rappelé que l’exécution provisoire était de droit,

statuant de nouveau,

juger recevable et bien fondé son appel,

condamner la Banque Populaire à lui payer la somme de 1.844€ outre intérêts au taux légal majoré de cinq points à compter du 6 Janvier 2022, puis au taux légal majoré de dix points à compter du 13 janvier 2022, puis au taux légal majoré de quinze points à compter du 5 février 2022,

condamner la Banque Populaire à lui payer la somme de 3.500€ au titre de son préjudice moral,

condamner la Banque Populaire à lui payer la somme de 2.000€ au titre de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens de première instance et d’appel.

L’appelant fait valoir en substance que :

le nouveau mécanisme de sécurisation du paiement en ligne « Secur Pass » n’a pas été expliqué au client lors de sa mise en place, ce qui l’a laissé à la merci des escrocs,

il n’était pas en mesure de déterminer s’il s’agissait réellement du service fraude ou d’une personne malveillante,

la décision de première instance a été prononcée au visa d’éléments non débattus contradictoirement et dont la présence lors de la naissance du litige n’est pas certaine.

il subit un préjudice moral, notamment en raison de la mauvaise foi de la Banque Populaire qui ouvre droit à réparation.

Dans ses uniques conclusions déposées le 14 août 2024 la Banque Populaire entend voir la cour :

confirmer le jugement déféré en toutes ses dispositions,

en conséquence,

débouter M. [X] de ses demandes à toutes fins qu’elles comportent,

condamner M. [X] à lui payer une indemnité de 3.000€ au titre de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens.

L’intimée répond que :

le dispositif d’authentification laissé présumer du caractère autorisé de l’ordre,

elle était tenue d’exécuter le paiement qui était présumé authentique,

M. [X] a commis de graves négligences en validant une opération bancaire sur l’ordre d’un tiers qu’il ne connaissait pas,

le préjudice invoqué par M. [X] n’est pas suffisamment démontré.

L’ordonnance de clôture est intervenue le 20 mai 2025.

MOTIFS

Sauf indication contraire, les articles visés ci -après sont issus du code monétaire et financier.

L’article L. 133-16 oblige l’utilisateur de services de paiement à prendre «toute mesure raisonnable» pour préserver la sécurité de ses données de sécurité personnalisées. Il doit également utiliser l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation, conditions qui doivent être « objectives, non discriminatoires et proportionnées ».

L’article L.133-17 énonce notamment :

I. ' Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci.

L’article L. 133-19 prévoit en particulier :

III. ' Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l’information aux fins de blocage de l’instrument de paiement prévue à l’article L. 133-17.

IV. ' Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

VI. ' Lorsque le bénéficiaire ou son prestataire de services de paiement n’accepte pas une authentification forte du payeur prévue à l’article L. 133-44, il rembourse le préjudice financier causé au prestataire de services de paiement du payeur.

Il résulte par ailleurs des articles L. 133-19-IV et L. 133-23 que s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux art. L. 133-16 et L. 133-17, le prestataire de services de paiement doit aussi prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée par une déficience technique ou autre.

Si aucune négligence grave au sens de l’article L. 133-19 ne peut être imputée au titulaire d’un compte qui, contacté téléphoniquement par une personne se faisant passer pour un préposé de sa banque dont le numéro s’affichait (spoofing), utilise à sa demande le dispositif de sécurité personnalisé dans le but fallacieux d’éviter des opérations malveillantes, il en va différemment lorsque l’utilisateur a pu avoir conscience que l’appel reçu était frauduleux ; en ce cas, le fait d’avoir communiqué des informations personnelles tel que son code spécifique d’identification secret permettant à un tiers de prendre la main sur ses moyens de paiement caractérise un manquement, par négligence grave, à ses obligations mentionnées à l’article L.133-16 du code monétaire et financier.

M . [X] ne soutient pas une usurpation du numéro de téléphone du service fraude de sa banque par l’auteur de l’appel téléphonique du 20 décembre 2021, en ce qu’il a déclaré avoir reçu un appel émanant d’un numéro de téléphone « qu’il ne possédait plus » (cf sa plainte pénale), donc manifestement d’un numéro qui lui était inconnu ; en effet, il était nécessairement en possession des coordonnées téléphoniques de la Banque Populaire et de son conseiller bancaire, coordonnées qu’il aurait indéniablement identifiées lors de cet appel, et ce d’autant qu’en 2015 il avait été en relation avec ceux-ci pour solutionner une utilisation frauduleuse de sa carte bancaire.

Ce faisant, alors même qu’il n’était pas en mesure d’identifier formellement le titulaire du numéro de téléphone de cet appel (ainsi qu’en atteste le fait qu’il a déclaré spontanément aux services de police ne plus posséder ce numéro) indice qui devait l’inciter à se montrer normalement attentif et donc à douter de la sincérité de cet appel, et à tout le moins de d’informer auprès de sa banque, il a manqué, par négligence grave, à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de son dispositif de sécurité personnalisé, en tapant à la suite de cet appel son code d’identification sur la notification de l’application SecuPass.

M.[X] soutient vainement ne pas avoir été informé par sa banque du fonctionnement du système d’identification Secur Pass en cas de fraude s’étant « trouvé armé de son smart phone et lâché dans une nature austère » (sic) alors qu’il était auparavant protégé par les alertes de la banque.

En effet, en tant que client de la Banque Populaire et titulaire d’un abonnement au service de banque à distance Cyberplus avec un accès au système d’identification SecurPass depuis l’application mobile de la banque, M. [X] avait accès aux conditions générales telles que mises en ligne le 1er mars 2021 (pièce 1 de l’intimée), soit avant les faits du 20 décembre 2021, et donc aux modalités d’alerte en cas de suspicion de fraude (article 6-1 in fine « la Banque informera l’Abonné par tout moyen de façon sécurisée, en cas de soupçon de fraude, de fraude avérée ou de menaces pour la sécurité survenant sur le service de banque à distance » soulignement ajouté par la cour) ; l’appelant se contredit d’ailleurs en concluant dans un premier temps que la preuve de la communication de ces conditions générales n’est pas rapportée puis dans un second temps que le fait de glisser celles-ci « au fin fond de l’application BP AURA ne vaut pas mise en garde » reconnaissant ainsi que ce document figurait bien sur le site de la banque, étant de plus mentionné sur ce document « il n’est pas accusé réception à l’occasion de l’envoi annuel du formulaire postérieurement à la conclusion du contrat ou de la convention », ce qui fait échec à la critique de l’appelant selon laquelle ces conditions générales ne sont pas paraphées.

Enfin, la Banque Populaire ayant mis en place un système d’identification forte du payeur telle que prévue à l’article L.133-44 (dispositif d’authentification Secur Pass avec enrôlement de l’appareil de confiance et utilisation d’un code personnel) et le paiement ayant bien été autorisé par le titulaire de la carte bancaire, en ce que M. [X] a tapé lui-même son code confidentiel, quand bien même il n’avait pas conscience qu’il validait ainsi la transaction litigieuse, il ne lui incombe pas de prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’ensemble de ces constatations et considérations conduit à la confirmation du jugement querellé, y compris sur le rejet des demandes indemnitaires et ce quand bien même seraient écartés des débats le rapport du médiateur de la banque communiqué par M. [X] qui est confidentiel et qui ne peut être produit ni invoqué dans l’instance sans l’accord des parties (l’accord de la Banque Populaire faisant défaut ainsi qu’en attestent ses conclusions d’appel) ainsi que la motivation du premier juge selon laquelle « l’établissement bancaire a mis en place plusieurs alertes de sécurité sur son site internet tel qu’elle le démontre via des newsletters qu’elle met à disposition de ses clients et par des messages de rappels indiquant aux clients de ne jamais communiquer leurs informations personnelles et bancaires(…) » au sujet de laquelle l’appelant soutient que « le premier juge a réalisé à cet effet des recherches personnelles en 2023 pour emporter sa conviction » dès lors que la banque n’avait pas versé aux débats de telles alertes de sécurité.

Sur les mesures accessoires

Succombant dans son recours, M. [X] est condamné aux dépens d’appel et conserve ses frais irrépétibles exposés devant la cour ; il est dispensé en équité de verser une indemnité de procédure d’appel à l’intimée.

Les mesures accessoires de première instance sont par ailleurs confirmées.

PAR CES MOTIFS

La cour, statuant publiquement, par arrêt contradictoire,

Confirme le jugement déféré,

Dit n’y avoir lieu à application des dispositions de l’article 700 du code de procédure civile en appel,

Condamne M. [N] [X] aux dépens d’appel

Prononcé par mise à disposition de l’arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de la procédure civile,

Signé par madame Clerc, président, et par madame Burel, greffier auquel la minute de la décision a été remise par le magistrat signataire.

LE GREFFIER LA PRÉSIDENTE