Grosse + copie

délivrées le

à

COUR D’APPEL DE MONTPELLIER

2° chambre

ARRET DU 17 DECEMBRE 2019

Numéro d’inscription au répertoire général : N° RG 17/02135 – N° Portalis DBVK-V-B7B-NDZO

Décision déférée à la Cour : Jugement du 14 MARS 2017

TRIBUNAL DE GRANDE INSTANCE DE MONTPELLIER

N° RG 15/03594

APPELANTE :

Société CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL DU LANG UEDOC

[…]

[…]

Représentée par M^e Pascal ADDE de la SCP GRAPPIN – ADDE – SOUBRA, avocat au barreau de MONTPELLIER

INTIMEE :

SAS VALIKA

149 avenue du Golf-GREEN PARK

[…]

Représentée par M^e Sonia PEREZ, avocat au barreau de MONTPELLIER

ORDONNANCE DE CLOTURE DU 17 Octobre 2019

COMPOSITION DE LA COUR :

En application de l’article 907 du code de procédure civile, l’affaire a été débattue le 07 NOVEMBRE 2019, en audience publique, Madame X-Y Z ayant fait le rapport prescrit par l’article 785 du même code, devant la cour composée de :

Monsieur Jean-Luc PROUZAT, Président de chambre

M^me X-Y Z, Conseiller

M^me Marianne ROCHETTE, Conseiller

qui en ont délibéré.

Greffier, lors des débats : Madame Sylvia TORRES

ARRET :

— Contradictoire

— prononcé par mise à disposition de l’arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du Code de procédure civile ;

— signé par Monsieur Jean-Luc PROUZAT, Président de chambre, et par Madame Sylvia TORRES, Greffier.

FAITS, PROCEDURE – PRETENTIONS ET MOYENS DES

PARTIES :

La SAS Valika est titulaire d’un compte courant n° 04703693001ouvert dans les livres de la société coopérative Caisse régionale de crédit agricole mutuel du Languedoc (le Crédit agricole).

Le 27 novembre 2008, la SAS Valika a signé une convention «Fildor» d’échange de données informatisé banque-entreprise avec le Crédit agricole, qui consiste en un service de télétransmission sécurisé de fichiers de données, dénommé EdiWeb, via le canal internet.

Selon les conditions générales et particulières de cette convention, les opérations effectuées par le client par voie électronique doivent être confirmées par un bordereau d’authentification.

Le Crédit agricole a informé, via le site EdiWeb, la société Valika de la réalisation de travaux de maintenance informatique de ce service et de son arrêt, qui, initialement prévu le 16 décembre 2014, a été avancé au 9 décembre 2014.

Le 13 décembre 2014, la société Valika a déposé plainte pour escroquerie au regard d’un virement de la somme de 152 314 euros, effectué à son insu le 9 décembre précédent, sur un compte bancaire en Lettonie (au profit d’une société Ed Wellgros Yield Ltd) exposant que sa comptable avait été personnellement destinataire d’appels téléphoniques, émanant d’une personne, se présentant comme un opérateur dans le cadre de la maintenance du service, «lui ayant demandé de se connecter au compte bancaire de la société, lui ayant adressé un e-mail avec un lien, sur lequel [elle] a cliqué» et ayant sollicité l’envoi d’un «ancien bordereau de confirmation avec des références précises (migration SEPA 152 314).»

Le 18 décembre 2014, par lettre recommandée avec avis de réception, elle a informé le Crédit agricole de l’opération frauduleuse et sollicité le remboursement de la somme détournée.

Saisi par acte d’huissier délivré le 2 juin 2015 par la société Valika en réparation de son préjudice sur le fondement des dispositions du code monétaire et financier, le tribunal de grande instance de Montpellier a, par jugement du 14 mars 2017:

« Condamné la Caisse régionale de Crédit agricole mutuel du Languedoc à payer à la SAS Valika la somme de 152 314 euros avec intérêts au taux légal à compter du 9 décembre 2014,

Ordonné à la Caisse régionale de Crédit agricole mutuel du Languedoc de créditer le compte bancaire n° 04703693001 de la société Valika de ladite somme,

Condamné la Caisse régionale de Crédit agricole mutuel du Languedoc à payer à la SAS Valika la somme de 10 000 euros à titre de dommages-intérêts,

Ordonné l’exécution provisoire,

Condamné la Caisse régionale de Crédit agricole mutuel du Languedoc à payer à la SAS Valika la somme de 4 000 euros en application de l’article 700 du code de procédure civile,

Rejeté pour le surplus,

Condamné la Caisse régionale de Crédit agricole mutuel du Languedoc aux entiers dépens ».

Par déclaration reçue le 12 avril 2017, le Crédit agricole a régulièrement relevé appel de ce jugement en vue de sa réformation.

Il demande à la cour, en l’état de ses conclusions déposées et notifiées par voie électronique le 4 juillet 2017, de:

«-réformer le jugement dont appel et de débouter la société Valika de l’intégralité de ses demandes, fins et prétentions,

- la condamner au remboursement des sommes versées en exécution provisoire (sic) ainsi qu’au versement d’une somme de 5 000 euros en application des dispositions de l’article 700 du code de procédure civile ainsi qu’aux dépens de l’instance.»

Au soutien de son appel, il fait essentiellement valoir que:

— le dossier pénal n’a pas été versé aux débats par la société Valika, qui a refusé de le faire, à l’exception de trois procès-verbaux d’audition et aucune infraction pénale n’est mise en évidence,

— la procédure régissant les virements par voie informatique a été respectée ; la preuve de la régularité de l’autorisation de la société Valika pour le paiement est acquise,

— seul l’envoi sur un modèle de la banque avec signature de l’émetteur doit être (et a été) vérifié et la falsification, non aisément décelable, de la signature autorisée sur la télécopie de confirmation ne caractérise pas un manquement du banquier à son obligation de vigilance,

— la sécurisation du matériel informatique de la société Valika, prohibant les intrusions et autres prises de contrôle à distance, prescrite par l’article L.133-16, est inexistante,

— la détection d’anomalies des ordres de paiement donnés par voie électronique s’entend d’anomalies intellectuelles ; en l’espèce, le virement litigieux n’a rien d’atypique et le pays de destination est membre de l’Union Européenne et de la zone Euro,

— aucun élément concret ne permet de démontrer qu’elle aurait par son action rendu crédible l’intervention de «l’escroc»,

— le préjudice invoqué de la perte de la somme de 152 314 euros, résulte de la faute de la société Valika dans le virement authentifié opéré, qui est exclusivement à l’origine du litige, tandis que les autres préjudices sont inexistants.

Formant appel incident, la société Valika sollicite de voir, aux termes de ses conclusions déposées et notifiées par voie électronique le 14 août 2017:

«- (…) rejeter tous arguments contraires comme étant injustes et mal fondés,

- confirmer le jugement (…),

(…) sur le fond :

- dire et juger que la responsabilité de la banque est engagée, elle n’a pas satisfait à son obligation de vigilance et n’a pas satisfait à son obligation de surveillance et de sécurité,

- condamner le Crédit agricole au paiement de la somme de 152 314 euros correspondant à la somme frauduleusement virée du compte de la société Valika, et lui ordonner de créditer le compte bancaire n° 04703693001 de la société Valika (…), avec intérêts au taux légal à compter du 9 décembre 2014,

- assortir en conséquence la somme de 152 314 euros des intérêts au taux légal à compter de la date du virement frauduleux, soit le 9 décembre 2014,

- constater l’absence de faute et donc l’irresponsabilité de la société Valika,

- condamner le Crédit agricole au paiement, à titre de dommages et intérêts à hauteur de 20 000 euros pour tous les préjudices subis, et notamment le préjudice financier du fait entre autres, de la violation de ses obligations légales,

- condamner le Crédit agricole au paiement de la somme de 5 000 euros au titre de l’article 700 du code de procédure civile,

- condamner le Crédit agricole aux entiers dépens.»

Elle expose en substance que:

— elle n’a jamais autorisé le virement opéré et n’a commis aucune faute, ayant respecté son obligation d’information prévue par l’article L 133-17,

— la banque est tenue d’une obligation de vigilance qui, même limitée, par le devoir de non-ingérence, lui imposait d’examiner le virement en question et

elle aurait dû noter que l’opération litigieuse consistait à vider le compte de la société (152 314 euros sur 160 000 euros) et qu’elle n’a aucune relation d’affaire avec la Lettonie,

— la banque est tenue d’une obligation de sécurité et de surveillance des comptes, dont elle a la charge,

— le contre-appel téléphonique (existant initialement) a été modifié à la demande de la banque, qui a présenté le virement par internet uniquement, comme un système plus sûr,

— la banque aurait dû au regard de fraudes similaires contemporaines être plus vigilante,

— il appartient à la banque de prouver que l’opération en question a été authentifiée et qu’elle n’a pas été affectée par une déficience technique ou autre, ce qu’elle ne fait pas, puisque c’est à l’occasion de la réalisation de travaux de maintenance informatique, provenant de la banque elle-même, que la fraude a pu avoir lieu,

— les éléments (nom de la comptable de la société …) donnés par le fraudeur à ladite comptable ont créé un contexte de confiance et traduisent la faiblesse du niveau de sécurité des comptes, proposés

par le Crédit agricole, puisqu’une personne peut effectuer un virement sans avoir besoin des identifiants et du code d’accès du compte,

— d’autres escroqueries ont été réalisées au sein du Crédit agricole, comme en atteste le courrier de la banque du 24 décembre 2014, qui démontre également que la fraude ne trouve pas son origine chez elle,

— ce n’est pas la première fois que le Crédit Agricole est jugé responsable pour un litige de ce type,

— le prélèvement frauduleux a mis en grande difficulté la trésorerie de la société, qui est aujourd’hui inexistante.

Il est renvoyé, pour l’exposé complet des moyens et prétentions des parties, aux conclusions susvisées, conformément aux dispositions de l’article 455 du code de procédure civile.

C’est en l’état que l’instruction a été clôturée par ordonnance du 17 octobre 2019.

MOTIFS de la DECISION :

Selon les articles L. 133-6 et L. 133-7 du code monétaire et financier, dans leur rédaction antérieure à celle issue de l’ordonnance du 9 août 2017, une opération de paiement est autorisée si le payeur a donné son consentement à son exécution et le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement. En l’absence d’un tel consentement, l’opération (…) est réputée non autorisée.

Selon l’article L. 133-16 du même code, dans sa rédaction antérieure à celle issue de l’ordonnance du 9 août 2017, dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés. Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation.

L’article L. 133-23 du même code, dans sa rédaction antérieure à celle issue de l’ordonnance du 9 août 2017, prévoit que lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée (…), il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière.

Enfin, l’article L. 133-19 de ce code, dans sa rédaction antérieure à celle issue de l’ordonnance du 9 août 2017, dispose :

— dans son paragraphe II, que la responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à son insu, l’instrument de paiement ou les données qui lui sont liées ;

— dans son paragraphe IV, que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 (obligation de prendre toute mesure raisonnable pour préserver la sécurité du dispositif de sécurité personnalisé) et L. 133-17 (obligation d’informer sans tarder le prestataire aux fins de

blocage de l’instrument de paiement).

En l’espèce, le consentement à l’opération de paiement a été donné en application de la convention d’échange de données informatisé liant la société Valika et le Crédit agricole, à savoir, selon la banque, une demande de virement via EdiWeb émanant de sa cliente et un bordereau de confirmation envoyé par télécopie à l’agence bancaire sur un modèle du Crédit Agricole portant la signature du gérant et le tampon de la société Valika.

Toutefois, l’utilisation du site EdiWeb est insuffisante en elle-même pour établir le consentement de la société Valika.

A ce titre, la société Valika conteste être à l’origine de la demande de virement et la charge de la preuve de la régularité de l’autorisation pèse sur le prestataire de services de paiement, qui doit établir que l’ordre émane bien de l’utilisateur du service et ce en application de l’article 1937 du code civil, selon lequel le dépositaire ne peut se libérer des fonds reçus de son client que sur son ordre.

Il appartient donc à l’établissement bancaire de démontrer que cette opération a, au premier chef, été authentifiée au sens large et qu’elle s’est réalisée sans dysfonctionenement.Or, celui-ci reste taisant sur la demande de virement qu’il indique avoir reçue via le site EdiWeb.

Il est établi que la télécopie confirmative, reçue par l’établissement bancaire, qui, si elle ne constitue qu’une confirmation du paiement, doit intervenir, à défaut de quoi, l’opération est suspendue, a été falsifiée, puisque la société Valika n’en est pas l’émettrice.

Si au regard des éléments versés aux débats, le caractère falsifié n’était pas aisément décelable, ni le montant du virement, ni le pays destinataire, n’ayant, en eux-mêmes (même combinés), une apparence anormale, la banque ne rapporte pas, au regard de l’article L. 133-16, que sa cliente, qui recourait aux services mis en place par la convention Fildor depuis plusieurs années sans difficulté, n’avait pas pris toute mesure raisonnable pour en préserver la sécurité.

L’établissement bancaire ne peut valablement se retrancher derrière l’absence de communication par la société Valika des investigations opérées par les services de police dans le cadre de sa plainte, à l’exception du dépôt de plainte, au soutien de son ignorance des faits à l’origine de la fraude, alors qu’elle a, elle-même, dès le 24 décembre suivant, adressé une lettre-circulaire à ses clients leur indiquant l’existence d’une telle fraude et les moyens pour s’en prémunir, ce courrier reprenant exactement les modalités par le biais desquelles le consentement de la société Valika a été usurpé.

En tout état de cause, il résulte du dépôt de plainte et du courrier adressé par la société Valika à la banque le 18 décembre 2014 que la comptable de l’entreprise a été personnellement contactée par voie téléphonique par une personne, indiquant intervenir au titre de la maintenance du site, annoncée par le Crédit agricole, que cette personne a conduit ladite comptable à vérifier sur le site (sans les demander) les identifiants et mots de passe, à activer, par le biais d’un courriel qu’elle lui a envoyé, un lien informatique (un lien hypertexte), prétendûment destiné à fermer les accès au site et à lui adresser la dernière confirmation de virement effectuée avec d’autres références (notamment quant au montant, qui correspond à la somme détournée) au prétexte de la validation et de l’accomplissement de ladite maintenance.

Ces opérations, qui démontrent une imprudence certaine, ne caractérisent pas, pour autant, une négligence grave en l’absence de communication directe au tiers, pour lequel aucun indice ne permettait de douter de sa qualité (appels téléphoniques personnalisés et répétés pendant la période de maintenance annoncée -et avancée- par la banque), de manière intentionnelle, des éléments d’identification strictement confidentiels ou des données personnelles du dispositif de sécurité.

La société Valika a respecté ses obligations découlant des articles L. 133-17 I et L. 133-24 du code

monétaire et financier selon lesquels elle devait signaler à la banque sans tarder, ce qu’elle a fait le 18 décembre 2014, l’utilisation de l’instrument de paiement et l’opération de paiement non autorisées.

Ainsi, outre l’utilisation frauduleuse du site EdiWeb et du bon de confirmation, le Crédit agricole ne démontre ni que la société Valika a elle-même participé à ladite fraude, ni qu’elle n’a pas respecté sciemment et de manière délibérée ou par négligence grave ses obligations.

L’article L133-18 du code monétaire et financier, dans sa rédaction antérieure à celle issue de l’ordonnance du 9 août 2017, énonce qu’en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse immédiatement au payeur le montant de l’opération non autorisée et, le cas échéant, rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.

En conséquence, sans qu’il y ait lieu de statuer sur l’obligation de vigilance du banquier, telle que prévue par les articles L. 561-2 et suivants du code monétaire et financier, les demandes du Crédit agricole ne pourront prospérer.

La société Valika, qui se contente d’alléguer de la persistance de ses difficultés de trésorerie, ne rapporte pas que l’évaluation retenue par le premier juge ne suffit pas à réparer le préjudice subi.

En conséquence, le jugement sera confirmé dans toutes ses dispositions.

Succombant sur son appel, le Crédit agricole sera condamné aux dépens et au vu des dispositions de l’article 700 du code de procédure civile, à payer la somme de 1 500 euros, sa demande sur ce fondement étant rejetée.

PAR CES MOTIFS :

La cour, statuant publiquement, par arrêt contradictoire,

Confirme dans toutes ses dispositions le jugement du tribunal de grande instance de Montpellier en date du 14 janvier 2017,

Condamne la société coopérative Caisse régionale de crédit agricole mutuel du Languedoc à payer à la SAS Valika la somme de 1 500 euros sur le fondement de l’article 700 du code de procédure civile,

Rejette la demande de la société coopérative Caisse régionale de crédit

agricole mutuel du Languedoc fondée sur les dispositions de l’article 700 du code de procédure civile,

Condamne la société coopérative Caisse régionale de crédit agricole mutuel du Languedoc aux dépens d’appel.

Le greffier Le président,

A.C.B.