N° RG 21/07670 – N° Portalis DBVX-V-B7F-N4UW

Décision du

Tribunal de Commerce de LYON

Au fond

du 07 octobre 2021

RG : 2020j1146

ch n°

S.A.R.L. DMF

C/

S.A. BNP PARIBAS

RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS

COUR D’APPEL DE LYON

3ème chambre A

ARRET DU 07 Mai 2025

APPELANTE :

La Société DMF,

SARL au capital de 7 622,45 ', immatriculée au RCS de LYON sous

le numéro 353 786 502, prise en la personne de son représentant légal en exercice, domicilié en cette qualité audit siège.

Sis [Adresse 3]

Représentée par M^e Géraldine ROUX de la SELARL B2R & ASSOCIÉS, avocat au barreau de LYON, toque : 781

INTIMEE :

La Société BNP PARIBAS,

Société Anonyme au capital de 2 499 597 122 ', immatriculée au RCS de PARIS sous le numéro 662 042 449, prise en son établissement situé [Localité 5] Métropole Entreprises ' [Adresse 4], en la personne de son représentant légal y domicilié.

Sis [Adresse 2]

[Localité 1]

Représentée par M^e Florence CHARVOLIN de la SELARL ADK, avocat au barreau de LYON, toque : 1086

******

Date de clôture de l’instruction : 11 Mai 2022

Date des plaidoiries tenues en audience publique : 26 Février 2025

Date de mise à disposition : 07 Mai 2025

Composition de la Cour lors des débats et du délibéré :

— Sophie DUMURGIER, présidente

— Aurore JULLIEN, conseillère

— Viviane LE GALL, conseillère

assistées pendant les débats de Clémence RUILLAT, greffière

A l’audience, un membre de la cour a fait le rapport,

Arrêt Contradictoire rendu publiquement par mise à disposition au greffe de la cour d’appel, les parties en ayant été préalablement avisées dans les conditions prévues à l’article 450 alinéa 2 du code de procédure civile,

Signé par Sophie DUMURGIER, présidente, et par Céline DESPLANCHES, greffiere, auquel la minute a été remise par le magistrat signataire.

* * * *

EXPOSÉ DU LITIGE

Le 15 juin 2020, la société Distribution Menuiseries Fermetures (la société DMF), cliente de la société BNP Paribas (la banque), a été victime d’une escroquerie sur son compte bancaire, suite à un appel téléphonique auprès de sa comptable par un fraudeur qui lui a fait réaliser deux virements bancaires sur des comptes tiers à l’étranger.

S’étant rapidement aperçu de ladite escroquerie, la société DMF a immédiatement alerté la banque. Le premier virement d’un montant de 25.000 euros a été rejeté par la banque destinataire. Cependant, le second virement d’un montant de 28.909,78 euros, n’a pas pu être bloqué.

Après avoir déposé plainte, la société DMF a requis auprès de la banque BNP Paribas le remboursement du virement frauduleux, ce que la banque a refusé, par lettre recommandée du 4 août 2020.

Le 8 octobre 2020, la société DMF a assigné la banque en paiement, devant le tribunal de commerce de Lyon.

Par jugement contradictoire du 7 octobre 2021, le tribunal de commerce de Lyon a :

— débouté la société Distribution Menuiseries Fermetures de ses demandes à l’encontre de la société BNP Paribas,

— condamné la société Distribution Menuiseries Fermetures à payer à la société BNP Paribas la somme de 1.000 euros sur le fondement de l’article 700 du code de procédure civile,

— condamné la société Distribution Menuiseries Fermetures aux entiers dépens de l’instance.

Par déclaration reçue au greffe le 19 octobre 2021, la société DMF a interjeté appel de ce jugement portant sur l’ensemble des chefs de la décision expressément critiquée.

***

Par conclusions notifiées par voie dématérialisée le 25 octobre 2021, la société DMF demande à la cour, au visa des articles L. 133-23 et L. 133-19 IV du code monétaire et financier et 1231-1 du code civil, de :

— dire et juger recevable et fondé son appel,

— réformer le jugement du tribunal de commerce de Lyon du 7 octobre 2021,

Statuant à nouveau :

— condamner la société BNP Paribas à lui payer la somme de 28.909,78 euros outre intérêts au taux légal à compter du 10 juillet 2020 au titre de la perte occasionnée par le virement frauduleux du 15 juin 2020,

— ordonner la capitalisation des intérêts à compter du 10 juillet 2021,

— condamner la société BNP Paribas à lui payer une somme de 4.000 euros au titre de l’article 700 du code de procédure civile, outre les entiers dépens de première instance et d’appel dont distraction au profit de M^e Géraldine Roux – avocat.

Par conclusions notifiées par voie dématérialisée le 19 janvier 2022, la société BNP Paribas demande à la cour de :

— confirmer en toutes ses dispositions le jugement du 7 octobre 2021 rendu par le tribunal de commerce de Lyon,

Y ajoutant,

— condamner la société DMF à lui payer une indemnité de 5.000 euros sur le fondement de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens.

La procédure a été clôturée par ordonnance du 11 mai 2022, les débats étant fixés au 26 février 2025.

Conformément aux dispositions de l’article 455 du code de procédure civile, la cour se réfère, pour un plus ample exposé des moyens et prétentions des parties, à leurs conclusions écrites précitées.

MOTIFS DE LA DÉCISION

Sur la demande de remboursement

La société DMF fait valoir que :

— elle n’a jamais effectué l’ordre de virement litigieux et n’a pas commis de fraude ou de négligence grave à l’origine exclusive de son préjudice ;

— la banque reconnaît que le préjudice ne découle que de manoeuvres d’un tiers ;

— sa comptable n’a jamais personnellement réalisé les virements frauduleux ; seules des négligences graves permettraient à la banque de s’exonérer, ce qui n’est pas le cas en l’espèce ;

— la responsabilité de la banque est engagée du fait de son absence de diligences, elle n’a pas tout mis en oeuvre pour empêcher l’aboutissement de l’ordre de virement frauduleux ;

— la banque a également manqué à son obligation de vigilance au vu des virements à destination de l’étranger, pour des montants très importants ; il s’agissait manifestement d’opérations totalement inhabituelles pour un client de longue date ;

— enfin, la banque a manqué à son devoir de conseil et d’information, n’ayant proposé à sa cliente un service de sécurisation des flux que postérieurement à l’escroquerie.

La société BNP Paribas réplique que :

— la société DMF a adhéré au service 'BNP net Evolution’ et dispose ainsi d’un lecteur sans fil générant des codes confidentiels à usage unique, associé à une carte à puce nominative et personnelle, permettant d’adresser à la banque des ordres de virement à distance ; ce dispositif présente des garanties de sécurité extrêmement élevées ;

— au sein de la société DMF, seule Mme [C] s’est vue délivrer le lecteur sans fil, la carte personnalisée et le code PIN confidentiel ; elle seule pouvait valider les virements avec ce boîtier ; or, elle s’est faite duper par les escrocs qui se sont fait passer pour des techniciens de la banque, et a validé deux virements internationaux ; seul le défaut de vigilance et l’imprudence de Mme [C] ont permis la fraude ; la société DMF a commis une négligence grave, c’est elle qui a réalisé l’ordre de virement et communiqué les codes aux escrocs ;

— informée par sa cliente, elle a pu procéder aux demandes de 'recall’ et obtenir le rejet de l’un des virements, mais pas du second ; elle n’a commis aucune faute, elle a un devoir de non-immixtion et ne devait donc pas vérifier le bien-fondé des virements réalisés ;

— le prétendu manquement au devoir de conseil ou de mise en garde est sans lien de causalité directe avec le préjudice de la société DMF.

Sur ce,

Aux termes de l’article L. 133-6, alinéa 1er, du code monétaire et financier, une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. Et aux termes de l’article L. 133-7, alinéa 1er, ce consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement.

Il résulte du premier de ces textes qu’une opération de paiement initiée par le payeur est réputée autorisée si celui-ci a consenti à son montant et à son bénéficiaire.

De plus, l’article L. 133-19, IV, du même code dispose : 'IV. ' Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.'

Et l’article L. 133-23 énonce : 'Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.'

Enfin, l’article 1231-1 du code civil prévoit que le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure.

Sur le fondement du dernier de ces textes, il est jugé que le banquier est tenu d’une obligation de surveillance dans le fonctionnement des comptes de ses clients. Cette responsabilité est cependant limitée par un principe de non-ingérence, qui peut se définir comme l’interdiction faite au banquier de s’immiscer dans les affaires de son client.

En conséquence, le banquier est tenu, lors d’opérations auxquelles il prête son concours, de détecter les seules anomalies apparentes, matérielles lorsqu’elles apparaissent à la lecture des documents communiqués par le client, ou intellectuelles lorsqu’elles portent sur des éléments extrinsèques, notamment la nature des opérations effectuées ou leur contexte.

En l’espèce, le 8 novembre 2019, la société DMF a souscrit au service 'BNP Net Evolution'. Selon le bordereau de souscription, Mme [C] était désignée comme utilisateur du service d’authentification et de validation des ordres, et s’est ainsi vue remettre un lecteur sans fil et une carte de transfert sécurisé, ainsi qu’un identifiant personnel.

Le guide utilisateur produit par la banque (sa pièce n° 2) établit que le lecteur et la carte de transfert sécurisé permettent à l’utilisateur de se connecter à son outil de banque en ligne pour pouvoir valider les opérations en ligne et saisir les nouveaux comptes de tiers. La description de la procédure d’utilisation précise que l’utilisateur doit saisir, sur le lecteur sans fil, son numéro d’abonné qui lui a été communiqué à titre personnel, puis qu’une clé d’accès lui est demandée, qu’il obtient en insérant la carte de transfert sécurisé dans le boîtier et en saisissant son code PIN à quatre chiffres, ce qui fait apparaître sur le boîtier une clé d’accès, unique et temporaire, qui doit être saisie sur l’ordinateur pour accéder au compte en ligne. Ce guide décrit également la procédure pour ajouter des comptes de tiers, en plusieurs étapes consistant à entrer des codes de chiffres (dont un code dit 'challenge') tant sur le boîtier avec validation par le code PIN, que sur le compte en ligne.

Enfin, les conditions générales de fonctionnement de la carte de transfert sécurisé énoncent que cette carte est remise à la personne désignée par le client et qu’elle est strictement personnelle et confidentielle, et qu’un code confidentiel lui est également communiqué, permettant à l’utilisateur d’être identifié et d’accéder au compte en ligne.

Lors du dépôt de plainte de M. [R], dirigeant de la société DMF, le 16 juin 2020 soit le lendemain des faits, celui-ci a indiqué que Mme [C], comptable de la société, avait été contactée par un homme qui s’était présenté comme un technicien de la banque BNP et qui lui avait demandé de se connecter au compte bancaire de la société en utilisant le boîtier de validation ; qu’à l’issue de l’appel téléphonique qui avait duré une vingtaine de minutes, Mme [C] s’était reconnectée au compte bancaire en ligne de la société et avait découvert les deux virements, et qu’elle avait alors contacté la conseillère de la BNP chargée du compte. Il précisait n’avoir aucune information sur les destinataires des virements.

Dans son attestation, Mme [C] indique ne pas avoir communiqué le code confidentiel de la carte transfert sécurité et ne pas avoir validé les deux virements, mais précise : 'je ne savais pas que les codes que je communiquais servaient à valider des tiers ou des virements'.

Il résulte de ces éléments que la société DMF n’a pas consenti aux virements litigieux au sens de l’article L. 133-6 précité, s’agissant de leurs montants comme de leurs bénéficiaires.

Toutefois, la société DMF les a techniquement autorisés, dès lors que Mme [C] a volontairement procédé aux étapes permettant de générer les codes qu’elle a communiqués au fraudeur, quand bien même elle a pu ne pas avoir conscience de la finalité frauduleuse de l’opération qu’elle réalisait. Il est sans effet que Mme [C] n’ait pas communiqué le code confidentiel de la carte de transfert sécurisé, comme elle l’indique dans son attestation, dès lors qu’il n’était utile qu’à la personne qui détenait le lecteur sans fil, c’est-à-dire elle-même. En revanche, ce lecteur génère un code, unique et temporaire pour chaque opération, comme cela est décrit dans le guide d’utilisateur.

De plus, selon le procès-verbal de dépôt de plainte de M. [R] du 16 juin 2020, l’appel téléphonique était un appel inconnu et l’interlocuteur était 'très pressant', disant à Mme [C] que c’était urgent. M. [R] a ajouté n’avoir aucun numéro de téléphone ni adresse e-mail permettant d’identifier la personne.

Ainsi, alors qu’elle était en communication pendant près de vingt minutes avec un interlocuteur inconnu, non identifié et non identifiable, Mme [C] lui a transmis les codes ayant permis de valider la création de deux comptes de tiers et de procéder ensuite à deux virements.

Au vu de ces éléments, qui n’étaient pas de nature à mettre Mme [C] en confiance ni à diminuer sa vigilance, il convient de retenir la négligence grave de la société DMF, comme l’ont fait les premiers juges.

Quant à l’absence de diligences de la banque, la société DMF ne saurait lui reprocher de ne pas avoir été en mesure de rappeler l’ordre de virement qu’elle avait elle-même donné conformément à la procédure sécurisée. En outre, il résulte des échanges d’e-mails entre les parties les 22 et 30 juin 2020, que la banque a rappelé à la société DMF que le virement avait été exécuté conformément à ses instructions et qu’il était par nature irrévocable, mais également qu’elle avait 'mené toutes les actions à [sa] main pour (…) obtenir le retour des fonds auprès des banques bénéficiaires (recall et swifts)'. Aucune faute de la banque ne peut donc être retenue à ce titre.

Par ailleurs, s’agissant du défaut de vigilance de la banque, s’il apparaît que les tiers validés sur le compte bancaire de la société DMF étaient tous en France (pièce n° 13 de DMF), les deux virements ont été opérés vers des comptes situés en Allemagne et au Royaume-Uni soit dans la zone SEPA, ce qui était autorisé par la convention 'BNP Net Evolution’ et ne constituait pas nécessairement une anomalie, ce d’autant que les deux montants virés correspondaient à des ordres habituellement donnés. En effet, il résulte du seul relevé de compte que produit la société DMF, relatif au mois de juin 2020, qu’elle a procédé à un virement de 40.480,28 euros le 4 juin et de 39.483,52 euros le 11 juin, soit des montants supérieurs aux deux virements frauduleux.

La société DMF ne démontre donc pas que les deux ordres de virement, dûment autorisés par la personne habilitée et selon le procédé sécurisé, présentaient des anomalies apparentes qui auraient dû conduire la banque, en exécution de son devoir de vigilance, à vérifier leur régularité et en obtenir la confirmation.

Enfin, au titre du défaut de conseil allégué, relatif à la souscription au service de sécurisation des flux postérieurement aux faits, la société DMF ne justifie pas en quoi la souscription à ce service aurait empêché la fraude, alors même que le système de lecteur à carte individuel présentait une forte sécurité et que c’est en raison des manoeuvres de l’interlocuteur de Mme [C] que celle-ci a validé les opérations. Il n’y a donc pas lieu de retenir une faute de la banque à ce titre.

En conséquence, il convient de confirmer le jugement en toutes ses dispositions.

Sur les dépens et l’article 700 du code de procédure civile

La société DMF succombant à l’instance, elle sera condamnée aux dépens d’appel.

En application de l’article 700 du code de procédure civile, elle sera condamnée à payer à la banque la somme de 1.500 euros.

PAR CES MOTIFS

La cour, statuant publiquement et contradictoirement,

Confirme le jugement déféré, en toutes ses dispositions ;

Y ajoutant,

Condamne la société Distribution menuiseries fermetures aux dépens d’appel ;

Condamne la société Distribution menuiseries fermetures à payer à la société BNP Paribas la somme de 1.500 euros au titre de l’article 700 du code de procédure civile.

LA GREFFIÈRE LA PRESIDENTE