N° RG 22/02379 – N° Portalis DBVX-V-B7G-OGWV

Décision du

Tribunal Judiciaire de LYON

Au fond

du 14 mars 2022

RG : 11-21-004452

RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS

COUR D’APPEL DE LYON

1ère chambre civile B

ARRET DU 16 Septembre 2025

APPELANTE :

La société BANQUE POPULAIRE AUVERGNE RHONE-ALPES

[Adresse 2]

[Localité 4]

Représentée par M^e Bertrand DE BELVAL de la SELARL DE BELVAL, avocat au barreau de LYON, toque : 654

INTIMEE :

Mme [H] [X]

née le [Date naissance 1] 1969 à [Localité 6] (ALGERIE)

[Adresse 3]

[Localité 5]

Représentée par M^e Gérard BENOIT de la SELARL BENOIT – LALLIARD – ROUANET, avocat au barreau de LYON, toque : 505

* * * * * *

Date de clôture de l’instruction : 10 Janvier 2023

Date des plaidoiries tenues en audience publique : 27 Mai 2025

Date de mise à disposition : 16 Septembre 2025

Audience tenue par Patricia GONZALEZ, président, et Bénédicte LECHARNY, conseiller, qui ont siégé en rapporteurs sans opposition des avocats dûment avisés et ont rendu compte à la Cour dans leur délibéré,

assistés pendant les débats de Elsa SANCHEZ, greffier

A l’audience, un des membres de la cour a fait le rapport.

Composition de la Cour lors du délibéré :

— Patricia GONZALEZ, président

— Stéphanie LEMOINE, conseiller

— Bénédicte LECHARNY, conseiller

Arrêt contradictoire rendu publiquement par mise à disposition au greffe de la cour d’appel, les parties en ayant été préalablement avisées dans les conditions prévues à l’article 450 alinéa 2 du code de procédure civile,

Signé par Patricia GONZALEZ, président, et par Elsa SANCHEZ, greffier, auquel la minute a été remise par le magistrat signataire.

* * * *

EXPOSÉ DU LITIGE

Mme [H] [X] est titulaire d’un compte ouvert dans les livres de la société Banque populaire Auvergne Rhône-Alpes (la banque).

Elle expose qu’en avril 2021, après avoir mis en vente un objet sur le site Le bon coin et ouvert un compte Paypal pour sécuriser la transaction, ses coordonnées bancaires ont été récupérées de manière illicite. Indiquant avoir constaté une écriture au débit de son compte bancaire de 5900 euros du 26 avril 2021, intitulée « vip [U] [T] 37483319 virement de compte courant », elle a déposé plainte le 27 avril 2021 pour des faits d’escroquerie et demandé la prise en charge du sinistre à la BPCE prévoyance puis à la banque.

Cette dernière ayant refusé le remboursement sollicité, Mme [X] l’a assignée devant le tribunal judiciaire de Lyon en remboursement de l’opération non autorisée.

Par jugement du 14 mars 2022, le tribunal a :

— condamné la banque à payer à Mme [X] :

5900 euros en remboursement de la somme débitée de son compte bancaire le 26 avril 2017, assortie des intérêts au taux légal à compter de la décision,

les éventuelles commissions afférentes à ce paiement,

1000 euros au titre de l’article 700 du code de procédure civile,

— rejeté le surplus des demandes de Mme [X],

— rappelé que la décision bénéficie de l’exécution provisoire de droit,

— condamné la banque à supporter les dépens.

Par déclaration du 29 mars 2022, la banque a relevé appel du jugement.

Aux termes de ses dernières conclusions notifiées le 21 novembre 2022, elle demande à la cour de :

— réformer le jugement en toutes ses dispositions,

Statuant à nouveau,

— constater que Mme [X] a reconnu avoir communiqué ses données bancaires, code compris, à un tiers inconnu, ce qui a eu pour but de permettre l’hameçonnage de ses comptes,

— juger que l’opération litigieuse n’a pour seule origine que la négligence grave dont a fait preuve Mme [X] dans la préservation de ses données bancaires à caractère personnel, les communiquant directement à un tiers inconnu,

— juger de manière surabondante que Mme [X] n’a pas respecté ses obligations contractuelles,

— juger qu’elle a correctement réalisé l’opération litigieuse et parfaitement respecté ses obligations,

En conséquence,

— débouter Mme [X] de l’ensemble de ses demandes et prétentions,

— condamner Mme [X] à lui payer la somme de 2000 euros au titre de l’article 700 du code de procédure civile,

— condamner Mme [X] aux entiers dépens de première instance et d’appel.

Aux termes de ses dernières conclusions notifiées le 30 août 2022, Mme [X] demande à la cour de :

— confirmer le jugement en ce qu’il condamne la banque à lui payer :

5900 euros en remboursement de la somme débitée de son compte bancaire le 26 avril 2017, assortie des intérêts au taux légal à compter de la décision,

les éventuelles commissions adhérentes à ce paiement,

1000 euros au titre de l’article 700 du code de procédure civile,

les dépens,

— infirmer le jugement en ce qu’il rejette le surplus de ses demandes,

Y ajoutant,

— condamner la banque à lui payer la somme de 2500 euros au titre de sa résistance abusive et injustifiée,

— condamner la banque à lui payer la somme de 2500 euros au titre de l’article 700 du code de procédure civile,

— condamner la banque aux entiers dépens d’appel,

— débouter la banque de l’intégralité de ses prétentions, fins et moyens plus amples et/ou contraires.

L’ordonnance de clôture est intervenue le 10 janvier 2023.

Conformément aux dispositions de l’article 455 du code de procédure civile, la cour se réfère, pour un plus ample exposé des moyens et prétentions des parties, à leurs conclusions écrites précitées.

MOTIFS DE LA DÉCISION

A titre liminaire, la cour rappelle qu’elle n’est pas tenue de statuer sur les demandes de constatations qui ne sont pas, hors les cas prévus par la loi, des prétentions en ce qu’elles ne sont pas susceptibles d’emporter des conséquences juridiques. Il en est de même pour les demandes tendant à voir « juger » lorsque celles-ci développent en réalité des moyens.

1. Sur remboursement de la somme de 5900 euros

La banque fait valoir essentiellement que :

— elle a respecté ses obligations réglementaires en mettant en place un protocole sécurisé avec un système d’authentification forte ;

— l’opération frauduleuse n’a donc pu être réalisée que par la cliente elle-même ou par la divulgation des informations personnelles la concernant ;

— aucune anomalie technique ou faille de sécurité n’a été détectée par ses experts ;

— le préjudice subi par Mme [X] trouve sa seule et unique cause dans sa négligence grave car elle n’a pas pris les mesures raisonnables pour préserver la sécurité de ses données de sécurité personnalisées et a été d’une naïveté confondante en délivrant l’intégralité de ses informations et codes secrets bancaires à un inconnu se faisant passer pour un conseiller de la société Paypal, alors qu’elle était déjà titulaire d’un tel compte ;

— elle n’a pas manqué à son devoir de vigilance à l’endroit de sa cliente car elle est tenue à un devoir de non immixtion ;

— il n’est pas établi que l’autorisation de paiement frauduleux présentait une anormalité lui permettant de déceler l’existence d’une fraude ;

— elle attire l’attention de ses clients sur les risques de fraude par des systèmes d’alerte.

Mme [X] réplique que :

— l’opération bancaire doit être considérée comme non autorisée dès lors qu’elle a été réalisée frauduleusement ;

— aucune négligence, encore moins fautive, ne peut lui être reprochée ;

— il incombe à la banque de rapporter la preuve que l’utilisateur de services de paiement a commis une négligence grave qui ne peut se déduire du seul fait que les données de sécurité personnalisées ont été communiquées aux fraudeurs par l’utilisateur ;

— elle n’a ni divulgué son code confidentiel ni validé la moindre opération ;

— rien ne permettait à un utilisateur normalement attentif de douter du caractère frauduleux de l’appel téléphonique d’un conseiller Paypal après l’ouverture d’un compte sur cette plate-forme ;

— la déclaration de l’équipe d’experts sécurité de la banque est une preuve qu’elle se fait à elle-même ;

— la banque a manqué à son obligation de vigilance à son égard car le virement revêtait un caractère anormal et inhabituel ;

— la banque a bloqué un débit par carte bleue du réseau Visa d’un montant de 1000 euros et aurait dû bloquer également le débit de 5900 euros.

Réponse de la cour

Selon l’article L. 133-16 du code monétaire et financier, dans sa rédaction issue de l’ordonnance n° 2017-1252 du 9 août 2017, applicable à l’espèce, dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées.

Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées.

Et selon l’article L. 133-17 I du même code, lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci.

Encore, aux termes de L. 133-19 IV, le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

Enfin, l’article L. 133-23 dispose que lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.

En l’espèce, Mme [X] niant avoir autorisé l’opération de paiement, il incombe à la banque de prouver, d’une part, qu’elle a été authentifiée, dûment enregistrée et comptabilisée, d’autre part, qu’elle n’a pas été affectée par une déficience technique ou autre.

Or, force est de constater que la banque ne rapporte pas cette double preuve puisqu’elle se contente de verser aux débats une pièce n° 4, intitulée« déclaration des experts sécurité de la BPAURA » dans le bordereau de communication de pièces, qui se révèle être un tableau inexploitable faisant état d’opérations bancaires, datées pour les premières du 18 janvier au 1er février 2021, soit plusieurs mois avant l’opération litigieuse, et non datées pour les suivantes, dont la cour ne peut tirer aucune conclusion utile à la solution du litige.

Il en ressort que la banque ne démontre pas que le paiement contesté a été réalisé selon la procédure d’authentification forte qu’elle a mise en place.

Elle n’établit pas non plus que l’opération n’a pas été affectée par une déficience technique ou autre, à défaut de produire la moindre pièce en ce sens. Notamment, alors que la charge de la preuve pèse sur elle, elle ne démontre pas qu’il n’était pas possible à un tiers, par une opération frauduleuse, de récupérer les données personnelles et confidentielles de Mme [X], alors que celle-ci nie les avoir communiquées.

Elle n’établit pas davantage la négligence grave de sa cliente à l’origine de l’utilisation de ses données par un tiers dans l’opération contestée, cette preuve ne pouvant se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liés, ont été effectivement utilisés.

Il n’appartient pas à Mme [X] d’expliquer comment l’opération frauduleuse a techniquement pu être réalisée, alors qu’elle affirme n’avoir ni communiqué son code confidentiel à l’interlocuteur téléphonique se faisant passer pour un conseiller de la société Paypal, ni autorisé l’opération.

Au regard de l’ensemble de ces éléments, il convient de confirmer le jugement en ce qu’il a condamné la banque à payer à Mme [X] la somme de 5900 euros en remboursement de la somme débitée de son compte bancaire le 26 avril 2017, assortie des intérêts au taux légal à compter du jugement.

Le jugement est encore confirmé en ce qu’il a condamné la banque à rembourser à Mme [X] les éventuelles commissions afférentes à ce paiement.

2. Sur la demande de dommages-intérêts pour résistance abusive

Mme [X] ne démontre pas avoir subi un préjudice particulier, indépendant du retard apporté au paiement de sa créance, lequel est déjà réparé par l’allocation des intérêts au taux légal en application de l’article L. 133-18 du code monétaire et financier.

Il convient dès lors, par confirmation du jugement déféré, de la débouter de ce chef de demande.

3. Sur les frais irrépétibles et les dépens

Le jugement est confirmé en ses dispositions relatives aux frais irrépétibles et aux dépens de première instance.

En appel, la banque, partie perdante, est condamnée aux dépens et à payer à Mme [X] la somme de 2000 euros sur le fondement de l’article 700 du code de procédure civile.

PAR CES MOTIFS

La cour,

Confirme le jugement déféré en toutes ses dispositions,

Y ajoutant,

Condamne la société Banque populaire Auvergne Rhône-Alpes à payer à Mme [H] [X] la somme de 2000 euros sur le fondement de l’article 700 du code de procédure civile,

Condamne la société Banque populaire Auvergne Rhône-Alpes aux dépens.

La greffière, La Présidente,