ARRÊT n°

Grosse + copie

délivrées le

à

COUR D’APPEL DE MONTPELLIER

2e chambre civile

ARRET DU 7 MAI 2025

Numéro d’inscription au répertoire général :

N° RG 24/02637 – N° Portalis DBVK-V-B7I-QH3J

Décision déférée à la Cour :

Ordonnance du 07 MAI 2024

PRESIDENT DU TJ DE PERPIGNAN

N° RG 24/00030

APPELANTE :

La société BNP Paribas

Société anonyme immatriculée au RCS de Paris sous le

numéro 662 042 449, dont le siège social est situé [Adresse 2], agissant poursuites et diligences de son représentant légal, domicilié en cette qualité audit siège,

[Adresse 2]

[Localité 5]

Représentée sur l’audience par M^e Jenna CHASTEL substituant M^e François BORIE de la SCP DORIA AVOCATS, avocat au barreau de MONTPELLIER, avocat ayant déposé

INTIMEE :

Madame [T] [C] divorcée [R]

née le [Date naissance 3] 1966 à [Localité 6]

[Adresse 1]

[Localité 4]

Représentée sur l’audience par M^e Pierre GAUBIL, avocat au barreau de PYRENEES-ORIENTALES, avocat postulant ayant plaidé

Ordonnance de clôture du 30 Janvier 2025

COMPOSITION DE LA COUR :

En application de l’article 907 du code de procédure civile, l’affaire a été débattue le 06 FEVRIER 2025, en audience publique, le magistrat rapporteur ayant fait le rapport prescrit par l’article 804 du même code, devant la cour composée de :

Madame Michelle TORRECILLAS, Conseillère

Madame Nelly CARLIER, Conseiller

M^me Virginie HERMENT, Conseillère

qui en ont délibéré.

Greffier lors des débats : M^me Henriane MILOT

Le délibéré initialement prévu le 27 mars 2025 a été prorogé au 10 avril 2025, puis au 7 mai 2025 ; les parties en ayant été préalablement avisés;

ARRET :

— contradictoire

— prononcé par mise à disposition de l’arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile ;

— signé par M^me Michelle TORRECILLAS, Présidente de chambre,et par M. Salvatore SAMBITO, Greffier.

*

* *

EXPOSE DU LITIGE :

Mme [T] [C] divorcée [R] est titulaire d’un compte courant professionnel n° 30004 00032 00010123723 ouvert dans les livres de la société BNP Paribas.

Le 1er décembre 2023, elle découvre que ce compte a fait l’objet d’un paiement non autorisé à hauteur d’une somme de 46'550 ', paiement dont elle informe la société BNP Paribas par déclaration du même jour. Il lui est confirmé qu’elle a été victime d’un piratage de son compte par un hackeur et que le virement a été exécuté le 30 novembre 2023 au profit d’une personne titulaire d’un compte à la Royal Bank of Canada.

Après avoir mis en demeure en vain sa banque de lui rembourser le montant de l’opération non autorisée, elle l’a fait assigner en référé, par acte en date du 2 janvier 2023, devant le président du tribunal judiciaire de Perpignan afin de l’entendre principalement condamner à lui payer la somme provisionnelle de 46'550 ' et les pénalités sur les sommes dues résultant de l’article L 133- 18 du code monétaire et financier.

Par ordonnance contradictoire en date du 7 mai 2024, le juge des référés du tribunal judiciaire de Montpellier a :

— condamné la SA BNP Paribas à payer à Mme [T] [R] la somme provisionnelle de 46 550 ' outre les pénalités de retard à compter du 7 décembre 2023, selon Ies modalités prévues par l’article L.133-18 du Code monétaire et financier ;

— condamné la SA BNP Paribas aux dépens ;

— condamné la SA BNP Paribas à payer à Mme [T] [R] la somme de 2 500 ' sur Ie fondement de l’article 700 du code de procédure civile ;

— débouté les parties du surplus de leurs prétentions.

Par déclaration reçue au greffe de la Cour le 21 mai 2024, la SA BNP Paribas a relevé appel de cette ordonnance.

Aux termes de ses dernières conclusions signifiées par la voie électronique le 20 décembre 2024, auxquelles il est expressément renvoyé pour un exposé complet de ses moyens et prétentions, la SA BNP Paribas demande à la Cour de :

* Infirmer l’ordonnance de référé rendue par le Président du Tribunal judiciaire de Perpignan le 7 mai 2024 (RG n°24/00030) en ce qu’elle a considéré que n’était pas sérieusement contestable l’obligation de remboursement du virement litigieux par BNP Paribas ;

* Infirmer l’ordonnance de référé rendue par le Président du Tribunal judiciaire de Perpignan le 7 mai 2024 (RG n°24/00030) en ce qu’elle a condamné BNP Paribas à payer à Mme [R] la somme provisionnelle de 46.550,00 euros outre les pénalités de retard à compter du 7 décembre 2023 selon les modalités prévues par l’article L.133-18 du Code monétaire et financier;

* Infirmer l’ordonnance de référé rendue par le Président du Tribunal judiciaire de Perpignan le 7 mai 2024 (RG n°24/00030) en ce qu’elle a condamné BNP Paribas à payer à Mme [R] la somme de 2.500,00 euros sur le fondement de l’article 700 du Code de procédure civile ;

* Infirmer l’ordonnance de référé rendue par le Président du Tribunal judiciaire de Perpignan le 7 mai 2024 (RG n°24/00030) en ce qu’elle a condamné BNP Paribas aux dépens ;

* Infirmer l’ordonnance de référé rendue par le Président du Tribunal judiciaire de Perpignan le 7 mai 2024 (RG n°24/00030) en ce qu’elle a débouté BNP Paribas de sa demande au titre de l’article 700 du Code de procédure civile ;

* Et statuer à nouveau :

' Sur la demande formée par Mme [R] tendant à l’octroi d’une provision d’une somme égale à celle de l’opération litigieuse

— Juger que la transaction litigieuse a été dûment authentifiée et que BNP Paribas a parfaitement respecté ses obligations en matière de sécurisation des opérations en ligne de Mme [R] ;

— Juger que Mme [R] a commis une négligence grave au sens de l’article L.133-19, IV. du Code monétaire et financier ;

— Juger que le régime de responsabilité des prestataires de services de paiement tel que défini aux articles L.133-1 et suivants du Code monétaire et financier fait l’objet d’une application exclusive et autonome ;

— Juger que BNP Paribas n’a commis aucune inexécution contractuelle ;

En conséquence,

— Juger que les demandes de Mme [R] se heurtent à des contestations sérieuses ;

— Juger n’y avoir lieu à référé ;

— Débouter Mme [R] de sa demande de paiement à titre provisionnel de la somme de 46.550,00 euros au titre de l’opération litigieuse ;

' En tout état de cause

— Débouter Mme [R] de l’intégralité de ses demandes, fins et conclusions à l’encontre de BNP Paribas ;

— Débouter Mme [R] de sa demande tendant au paiement de la somme de 5.000,00 euros au titre de l’article 700 du Code de procédure civile et aux entiers dépens ;

— Condamner Mme [R] à verser à BNP Paribas la somme de 5.000 euros au titre de l’article 700 du Code de procédure civile ainsi qu’aux entiers dépens.

Dans le dernier état de ses écritures signifiées par la voie électronique le 7 janvier 2025, auxquelles il est expressément renvoyé pour un exposé complet de ses moyens et prétentions, Mme [T] [C] divorcée [R] demande à la Cour de :

— confirmer l’Ordonnance de référé rendue le 7 mai 2024 par le Président du Tribunal Judiciaire de Perpignan dans toutes ses dispositions

— débouter la société BNP Paribas de l’ensemble de ses demandes à l’encontre de Mme [T] [C] divorcée [R]

— condamner la BNP Paribas à payer à Mme [T] [C] divorcée [R] la somme de 5 000 ' au titre des frais irrépétibles d’appel sur le fondement des dispositions de l’article 700 du Code de procédure civile

— condamner la BNP Paribas aux entiers dépens.

MOTIFS

Sur la demande de provision

Mme [T] [C] divorcée [R], intimée fonde sa demande de provision sur la responsabilité de plein droit de la banque prévue à l’article L 133 – 18 du code monétaire et financier en matière d’opérations de paiement non autorisées signalées par l’utilisateur à la suite d’un virement frauduleux dont elle a été victime sur son compte professionnel le 1er décembre 2023à hauteur d’une somme de 46'550 '. Elle affirme n’avoir jamais donné son consentement à l’exécution de cette opération, n’avoir jamais communiqué au fraudeur ses données personnelles, et avoir informé la banque de ce virement litigieux dès qu’elle en a eu connaissance, soit le lendemain de son exécution et alors que la banque ne fournit aucun élément de preuve de ce que le fraudeur a employé la technique frauduleuse dénommée « pishing » destinée à la leurrer pour l’inciter à lui communiquer ses données personnelles, cette opération s’étant effectuée à son insu. Elle fait valoir que les contestations de la banque à ce titre ne reposent sur aucun élément de preuve permettant de démontrer les prétendues négligences qu’elle aurait commises et qu’en tout état de cause de telles négligences ne sont pas considérées comme suffisamment graves pour engager la responsabilité de l’utilisateur de services de paiement.

Elle fonde en second lieu sa demande sur la responsabilité contractuelle de la banque en application de l’article 1937 du code civil pour manquement à son devoir de vigilance pour ne pas avoir détecté les anomalies liées au fonctionnement de son compte afin de la protéger de cette fraude.

La société BNP Paribas, appelante s’oppose à cette demande en présence de contestations sérieuses dès lors qu’elle a respecté ses obligations relatives à la sécurisation des opérations en ligne de Mme [R] et imposées par l’article L 133-4 du code monétaire et financier par la mise en place d’une clé digitale, système d’authentification forte pour les opérations en ligne, laquelle est rattachée à un unique appareil mobile et associée à un numéro de téléphone renseigné par le client sur son espace en ligne et que le virement litigieux n’a pu s’effectuer que grâce à la transmission au fraudeur des données et codes de reconnaissance personnalisés dont seule Mme [R] avait la garde de sorte que la transaction litigieuse n’a été affectée d’aucune déficience technique imputable au système d’authentification mise en place par la banque et que c’est uniquement en raison d’une négligence grave commise par Mme [R] qui a divulgué ses données confidentielles que la fraude a pu se réaliser en application de l’article L 133-16 du code montaire et financier.

Elle ajoute que Mme [R] ne peut pas agir sur un autre fondement que celui du régime juridique spécial des services de paiement défini aux articles L 133- 18 à L. 133-24 du code monétaire et financier et ne peut pas rechercher la responsabilité de la banque sur le fondement d’un prétendu manquement à son devoir de vigilance, selon une jurisprudence constante tant de la cour de justice européenne que de la Cour de cassation. Elle affirme en tout état de cause qu’ elle n’a commis aucune faute à ce titre.

L’article 835 alinéa 2 du code de procédure civile prévoit que, dans les cas où l’existence de l’obligation n’est pas sérieusement contestable le président du tribunal judiciaire statuant en référé peut accorder une provision au créancier ou ordonner l’exécution de l’obligation, même s’il s’agit d’une obligation de faire.

Il convient de rappeler qu’il appartient au demandeur d’établir l’existence de l’obligation qui fonde sa demande de provision.

Il est exact, ainsi que le fait valoir la Banque que dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, comme en l’espèce, seul est applicable le régime spécial de responsabilité défini aux articles L 133-18 à L. 133-24 du code monétaire et financier, à l’exclusion de tout régime alternatif de responsabilité résultant du droit commun. Mme [R] ne saurait donc fonder sa demande de provision sur un éventuel manquement contractuel au devoir de vigilance de la banque.

Aux termes de l’article L 133-6 du code monétaire et financier, ' I. Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution….'

L’article L 133-7 du même code prévoit que ' le consentement est donné sous la forme convenue entre le payeur et son prestataire de service de paiement. Le consentement peut être donné par l’intermédiaire du bénéficiaire ou d’un prestataire de services de paiement fournissant un service d’initiation de paiement mentionné au 7° du II de l’article L 314-1. En l’absence d’un tel consentement, l’opération ou la série d’opérations de paiement est réputée non autorisée…'

En application de l’article L. 133-18 dudit code, 'En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écri tà la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur établit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu…'

Selon l’article L 133-19 'V de ce code 'Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte prévue à l’article L 133-44.'

Le même article en son ' IV prévoit également que 'Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L 133-16 et L. 133-17" .

Enfin, aux termes de l’article L. 133-23, ' Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par la payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de service de paiement, fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement'

Il ressort de l’ensemble de ces textes que pour engager la responsabilité de plein droit de la banque, le payeur doit avoir signalé sans tarder à son prestataire de service l’opération non autorisée en cause et au plus tard dans les treize mois suivant la date du débit sous peine de forclusion en application de l’article L 133-24 du code monétaire et financier. En l’espèce, il n’est pas contesté que Mme [R] a agi avec diligence pour avoir adressé sa contestation à la banque le jour même du débit résultant du virement litigieux.

Il se déduit également des textes précités que l’opération de paiement non autorisée ne doit pas résulter d’une négligence grave du payeur aux obligations mentionnées aux articles L 133-16 et L 133-17 du code monétaire et financier, à savoir l’obligation de préserver la sécurité de ses données de sécurité personnalisées et celle d’informer le prestataire de la perte, du vol, du paiement, ou des données qui lui sont liées. A ce titre, il incombe, en l’espèce, à la banque , conformément aux dispositions des articles L. 133-19 IV et L. 133-23 précités, de rapporter la preuve que Mme [R] qui nie avoir autorisé l’opération de paiement en cause a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations légales.

Il n’est pas contesté par Mme [R] que la banque a mis en oeuvre dans leurs relations contractuelles un dispositif de sécurisation des instruments de paiement dit 'd’authentification forte’ tel que défini à l’article L 133-4 f du code monétaire et financier et permettant à celle-ci grâce à des données personnalisées de vérifier l’identité de son client, utilisateur du service de paiement particulièrement pour les opérations en ligne, ce dispositif intitulé 'clef digitale’ consistant en l’usage associée d’un code personnel et d’une application installée sur le téléphone portable du client.

La société BNP Paribas ne conteste pas non plus que le virement litigieux n’a pas été autorisée par Mme [R], ce que confirme le relevé informatique des opérations du compte de cette dernière produit par l’appelante et qui fait apparaître comme la banque l’explique qu’une adresse IP étrangère utilisée par le fraudeur s’est connectée à l’espace en ligne de Mme [R] à compter du 24 novembre 2023, que le 29 novembre suivant, ce fraudeur via cette adresse IP a fait transférer sur son propre téléphone la clé digitale de Mme [R] installée jusqu’alors sur le téléphone mobile de cette dernière selon le dispositif d’authentification forte mis en place par la banque, ce transfert ayant permis ensuite au fraudeur de valider lui-même le virement grâce au SMS reçu sur son téléphone. L’appelante soutient que pour que ce transfert de clé digitale ait été possible, Mme [R] a nécessairement reçu préalablement sur son téléphone une notification par SMS relative à l’activation de la clé digitale comportant un lien afin de finaliser l’enrôlement sur le nouvel appareil mobile et que Mme [R] a donc nécessairement communiqué au fraudeur le lien contenu dans ce SMS, ce qu’elle conteste formellement. Elle ajoute que Mme [R] a joué un rôle d’autant plus actif et déterminant dans la réalisation de la fraude qu’elle a reçu deux courriels sur son adresse mail l’informant de l’opération de transfert et de l’ajout d’un nouveau bénéficiaire de virement sans réaction de sa part.

Néanmoins, et alors qu’il n’appartient pas au juge des référés de trancher la question de la détermination d’un manquement grave de Mme [R] à ses obligations contractuelles, dont l’appréciation relève du seul juge du fond, la contestation soulevée à ce titre par l’appelante ne peut être considérée comme suffisamment sérieuse pour faire obstacle à la demande de provision formée par Mme [R].

En effet, la preuve d’une négligence grave de Mme [R] ne saurait se déduire du seul relevé informatique produit par la Banque qui ne fait que démontrer que l’instrument de paiement ou les données personnelles de Mme [R] qui lui sont liées ont été effectivement utilisés par le fraudeur pour valider l’opération. Il n’est pas établi d’une part par ce relevé informatique, ni par d’autres pièces que Mme [R] aurait été victime d’un 'pishing’ par l’envoi d’un SMS ou d’un courriel du fraudeur destiné à se faire remettre ses identifiants et codes d’accès. A supposer établi qu’elle ait, comme le soutient la banque, communiqué ces coordonnées personnelles ayant permis au fraudeur d’accèder à son espace en ligne, l’existence d’une négligence grave de Mme [R] à ce titre ne peut être appréciée qu’à la vue des circonstances ayant entouré cette prise de contact du fraudeur et de nature à démontrer qu’elle avait les moyens de soupçonner voire de détecter le piège tendu par celui-ci grâce au contenu du message qui lui a été adressé et susceptible de contenir des termes ou expressions faisant douter de son origine fiable. En l’absence du ou des messages en provenance du fraudeur, il ne peut être porté aucune appréciation sur l’existence et la gravité d’une éventuelle négligence de Mme [R]. Si le relevé informatique de la banque fait apparaître, en outre, que des courriels automatiques ont été adressés par la banque à Mme [R] lors de de l’activation d’une clé digitale et du processus d’authentification lors de la validation du virement frauduleux, pour l’informer de ces opérations, cette seule circonstance est insuffisante à démontrer une négligence grave de Mme [R].

Les éléments invoqués par la banque sont ainsi insuffisants à considérer avec l’évidence requise en référé que Mme [R] aurait contribué par sa faute ou par négligence grave à la réalisation de l’opération frauduleuse, ni que le dispositif d’authentification mis en place n’était pas affecté d’une défaillance technique et ne sauraient donc constituer une contestation sérieuse faisant obstacle à sa demande de provision résultant de la responsabilité de plein droit de la banque en vertu des dispositions du code monétaire et financier précitées.

Il convient donc de confirmer l’ordonnance entreprise en ce qu’elle a condamné la SA BNP Paribas à verser à Mme [R] une provision de 46 550 ' représentant son préjudice résultant du virement frauduleux non consenti par elle, outre les pénalités de retard à compter du 7 décembre 2023 en vertu de l’article L 133-18 du code monétaire et financier.

Sur l’article 700 du code de procédure civile et les dépens

Il est inéquitable de laisser à la charge de Mme [R] les sommes exposées par elle et non comprises dans les dépens. L’appelante sera condamnée à lui payer la somme de 1500 ' au titre de l’article 700 du code de procédure civile.

La demande formée sur le même fondement par la SA BNP Paribas qui succombe en son appel sera rejetée.

Pour les mêmes motifs, elle supportera la charge des dépens de l’instance d’appel.

PAR CES MOTIFS

La cour,

Confirme l’ordonnance entreprise en toutes ses dispositions,

Y ajoutant,

Condamne la SA BNP Paribas à payer à Mme [T] [C] divorcée [R] la somme de 1500 ' au titre de l’article 700 du code de procédure civile ;

Déboute la SA BNP Paribas de sa demande fondée sur l’article 700 du code de procédure civile ;

Condamne la SA BNP Paribas aux dépens de l’instance d’appel.

LE GREFFIER LA PRÉSIDENTE