ARRÊT n°

Grosse + copie

délivrées le

à

COUR D’APPEL DE MONTPELLIER

4e chambre civile

ARRET DU 10 AVRIL 2025

Numéro d’inscription au répertoire général :

N° RG 23/03075 – N° Portalis DBVK-V-B7H-P3NS

Décision déférée à la Cour :

Jugement du 05 juin 2023

Tribunal judiciaire de Narbonne – N° RG 22/01718

APPELANTE :

S.A. Caisse d’Epargne et de Prévoyance du Languedoc-Roussillon (CELR)

Banque coopérative régie par les art. L 512-85 et s. du Code monétaire et financier – SA à Directoire et Conseil d’Orientation et de Surveillance – capital social 370 000 000 euros – RCS Montpellier 383 451 267 ' Siège social [Adresse 4] 'Intermédiaire d’assurance immatriculé à l’ORIAS sous le n° 07 005 729- Titulaire de la carte professionnelle 'Transactions sur immeubles et fonds de commerce, sans perception de fonds, effets ou valeurs’ n°2008/34/2106, délivrée par la Préfecture de l’Hérault, garantie par CEGC [Adresse 2]

représentée par le président de son Directoire en exercice

[Adresse 4]

[Localité 6]

Représentée sur l’audience par M^e Léa DI-JORIO substituant M^e Alexia ROLAND de la SELARL VPNG, avocat au barreau de MONTPELLIER

INTIME :

Monsieur [T] [F]

né le [Date naissance 5] 1999 à [Localité 7]

de nationalité Française

[Adresse 3]

[Localité 1]

Représenté sur l’audience par M^e Marion SELMO substituant M^e Bruno BLANQUER de la SCP BLANQUER/CROIZIER/CHARPY, avocat au barreau de NARBONNE

COMPOSITION DE LA COUR :

En application de l’article 907 du code de procédure civile, l’affaire a été débattue le 10 FEVRIER 2025, en audience publique, le magistrat rapporteur ayant fait le rapport prescrit par l’article 804 du même code, devant la cour composée de :

M. Philippe SOUBEYRAN, Président de chambre

M. Philippe BRUEY, Conseiller

M^me Marie-José FRANCO, Conseillère

qui en ont délibéré.

Greffier lors des débats : M^me Henriane MILOT

ARRET :

— contradictoire ;

— prononcé par mise à disposition de l’arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile ;

— signé par M. Philippe SOUBEYRAN, Président de chambre, et par M^me Henriane MILOT, Greffier.

*

* *

FAITS ET PROCÉDURE

1- Le 3 septembre 2021, Monsieur [T] [F] a été victime d’une escroquerie par appel téléphonique, l’interlocuteur se faisant passer pour un conseiller du service fraudes de sa banque, la Caisse d’épargne et de prévoyance du Languedoc Roussillon, ces manoeuvres permettant un virement d’un montant de 4 995 '.

2- Après avoir découvert l’escroquerie par une communication de sa banque, M. [F] a déposé plainte le 8 septembre 2021 et sollicité le remboursement de la somme escroquée.

Par courrier du 28 septembe 2021, la Caisse d’épargne a refusé sa demande de remboursement.

3- C’est dans ce contexte que, par acte du 30 novembre 2022, M. [F] a assigné la Caisse d’épargne et de prévoyance du Languedoc Roussillon devant le tribunal judiciaire de Narbonne afin d’obtenir le remboursement de la somme escroquée.

4- Par jugement du 5 juin 2023, le Juge des contentieux et de la protection du tribunal judiciaire de Narbonne a :

— Condamné la Caisse d’épargne à payer M. [F] la somme de 4 995 ' suite à l’opération bancaire non consentie du 3 septembre 2021 ;

— Débouté M. [F] de sa demande de dommages et intérêts ;

— Rejeté le surplus des demandes ;

— Condamné la Caisse d’épargne à payer à M. [F] la somme de 1 000 ' au titre de l’article 700 du Code de procédure civile ;

— Rappelé que la présente décision est exécutoire de plein droit ;

— Condamné la Caisse d’épargne aux entiers dépens de l’instance.

5- La Caisse d’épargne a relevé appel de ce jugement le 15 juin 2023.

PRÉTENTIONS

6- Par dernières conclusions remises par voie électronique le 29 novembre 2024, la Caisse d’épargne et de prévoyance du Languedoc Roussillon demande en substance à la cour de :

— Infirmer le jugement sauf en ce qu’il a débouté M. [F] de sa demande de dommages-intérêts en réparation du prétendu préjudice résultant du défaut de paiement.

Statuant à nouveau,

— Juger que M. [F] a commis une négligence grave en communiquant le code reçu par SMS à un inconnu.

— Juger que c’est précisément cette négligence qui a rendu possible l’opération litigieuse.

— Par conséquent, juger que M. [F] doit supporter les conséquences pécuniaires de sa négligence.

— Quoi faisant, débouter M. [F] de l’ensemble de ses demandes.

— Le condamner au paiement d’une somme de 2 000 ' au titre des frais irrépétibles, ainsi qu’aux entiers dépens.

7- Par dernières conclusions remises par voie électronique le 17 janvier 2025, M. [F] demande en substance à la cour, au visa des articles L.113-16 et suivants du Code monétaire et financier et 1240 du Code civil, de :

— Rejeter tous arguments contraires comme étant injustifiés et infondés,

— Confirmer le jugement rendu le 5 juin 2023 en toutes ses dispositions, sauf en ce qu’il a débouté M. [F] de sa demande de dommages et intérêts du préjudice résultant de la résistance abusive de la Caisse d’épargne ;

— Dire et juger, conformément à l’article L.133-23 du Code monétaire et financier, qu’il revient à la Caisse d’épargne de prouver que l’opération frauduleuse subie par son client a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre, et constater qu’elle échoue à rapporter cette preuve ;

— Dire et juger qu’en permettant la fuite des données du concluant puis leur achat sur le darknet, et enfin le piratage de son numéro de téléphone, la défaillance de la Caisse d’épargne dans son système d’authentification est caractérisée ;

— Dire et juger qu’en permettant l’ajout d’un bénéficiaire et instantanément la réalisation d’un virement au profit de celui-ci, après création d’un code 3D Secur, alors même que la médiatrice bancaire recommandait dès 2019, en pareilles circonstances de geler l’opération débitrice, la Caisse d’épargne a encore failli dans son système d’authentificiation ;

— Dire et juger qu’en ne transmettant qu’un code reçu par SMS, à un interlocuteur ayant pu récupérer ses données bancaires et son identifiant, et ayant pu pirater le numéro de téléphone de la Caisse d’épargne, M. [F] n’a pas commis la négligence grave requise par l’article L.133-16 du Code monétaire et financier ;

— Réformer le jugement rendu le 5 juin 2023 s’agissant de l’indemnisation du préjudice subi par M. [F] ;

— Condamner la Caisse d’épargne à payer la somme de 1 000 ' de dommages et intérêts en réparation de son préjudice lié à l’absence de remboursement de la somme de 4 995 ' par la banque depuis le mois de septembre 2021 ;

— Condamner la Caisse d’épargne à payer à M. [F] la somme de 2 500 ' sur le fondement de l’article 700 du Code de procédure civile en cause d’appel ;

— Condamner la même aux entiers dépens de première instance et d’appel.

8- Vu l’ordonnance de clôture en date du 20 janvier 2025.

Pour un plus ample exposé des éléments de la cause, moyens et prétentions des parties, il est fait renvoi aux écritures susvisées, conformément à l’article 455 du code de procédure civile.

MOTIFS

9- Il résulte des articles L. 133-19, IV, et L. 133-23 du code

monétaire et financier, dans leur rédaction issue de l’ordonnance n° 2009-866 du 15 juillet 2009, que s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17 de ce code, le prestataire de services de paiement doit aussi prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.(Com., 12 novembre 2020, pourvoi n°19-12.112 Com., 20 novembre 2024, pourvoi n° 23-15.099.)

10- La banque soutient en l’espèce la négligence grave de M.[F] mais doit auparavant, en application des textes et jurisprudences précitées, prouver que l’opération en cause a été authentifée, dûment enregistrée et qu’elle n’a pas été affectée par une déficience technique ou autre.

11- Il convient d’énoncer qu’en l’espèce l’opération non autorisée résulte d’une escroquerie dont M. [F] a été victime le 3 septembre 2021, au cours de laquelle l’escroc, utilisant le numéro de téléphone de la banque, se fait passer pour un membre du service des fraudes de la banque et parvient, sous l’allégation d’une opération anormale en cours sur le compte, à se faire communiquer le code de sécurité envoyé par SMS sur la ligne téléphonique du titulaire du compte, et après avoir alors accédé à l’espace client, crée un nouveau destinataire auquel il procède à un virement non autorisé, de 4995' en l’espèce.

12- Contrairement à ce que soutient M. [F], l’opération non autorisée n’intéresse pas la protection de ses données bancaires mais seulement la sécurisation d’une ou plusieurs opérations sur son compte. Il ne peut être reproché à la banque de défaillance dans la conservation des données bancaires de M. [F] qui pour de multiples opérations du quotidien est amené à les réveler, à ses créanciers notamment, et qui peuvent être détournées sans qu’il soit possible de déterminer à quel moment elles l’ont été, figurant souvent sur le darknet offert à l’achat des escrocs.

Pas plus la connaissance de son numéro téléphone par l’escroc, la préservation n’en incombant pas à la banque, n’est en causalité avec un quelconque manquement de la banque dans le respect d’une obligation de vigilance à l’égard de coordonnées qu’elle n’est pas seule à détenir.

13- En revanche, il appartient à la banque de prouver que le système d’authentification par elle mise en oeuvre pour la validation d’une opération est suffisamment sûr au regard du critère de la double authentification de l’article L. 133-4 du code de monétaire financier, défini ainsi :

'Une authentification forte du client s’entend d’une authentification reposant sur l’utilisation de deux éléments ou plus appartenant aux catégories « connaissance » (quelque chose que seul l’utilisateur connaît), « possession » (quelque chose que seul l’utilisateur possède) et « inhérence » (quelque chose que l’utilisateur est) et indépendants en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d’authentification'.

14- Les deux éléments necéssaires relevant soit de la connaissance soit de la possession soit de l’inhérence visés par le texte doivent être indépendants et tels que la compromission de l’un ne remette pas en question la fiabilité des autres.

En l’espèce, le code transmis à M. [F] relevait de sa seule connaissance et il était seul en possession de son téléphone portable sur lequel il a reçu l’information confidentielle. La preuve est rapportéé que l’opération litigieuse a dument été authentifiée, étant observé que M. [F] ne développe aucun moyen ni ne propose d’argument dans un manquement quelconque de la banque dans l’enregistrement ou la comptabilisation de l’opération, lesquels sont alors présumés satisfaits.

15- Quant au défaut de vigilance de la banque quant à la sécurisation de son numéro de téléphone, il relève assurément de la responsabilité des opérateurs téléphoniques qui jusqu’alors n’ont pas su contrer l’usage de logiciels spécialisés utilisés à des fins malveillantes.

16- Quant au grief fait à la banque d’une absence d’authentification quant à l’ajout d’un bénéficiaire, il n’est pas celui visé par la double authentification définie à l’article L.133-14 et se trouve sans causalité adéquate avec le préjudice subi par M.[F] qui n’est que la conséquence de la fourniture à un tiers des données de sécurité personnelles permettant l’accès à son espace bancaire en ligne où est proposé le service de l’ajout d’un bénéficiaire en vue d’un virement instantané. Cette deuxième vérification que M. [F] tente d’imposer à la banque ne ressort pas en l’état des dispositions du code monétaire et financier seul applicable aux relations des parties à l’exclusion de tout autre régime de responsabilité.

17- La Caisse d’Epargne entend faire supporter à M. [F], utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17 du code monétaire et financier., le premier de ces textes disposant que l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées.

Il appartient ainsi à la banque de démontrer la négligence grave dont elle se prévaut. Elle met alors particulièrement en exergue le fait d’avoir adressé à M. [F] le 5 août 2021 un courriel sur la thématique des bonnes pratiques concernant les fraudes en ligne, la reconnaissance de M. [F] dans sa lettre de contestation de sa négligence, d’autant plus avérée qu’il indiquait dans son dépôt de plainte avoir déjà été victime de fraude.

18- Si dans d’autres espèces, des juridictions ont pu retenir que la négligence commise par le client dans des circonstanes similaires n’était pas suffisamment grave pour le priver du remboursement par la banque (ainsi par exemple l’arrêt de la cour d’appel de Versailles du 28 mars 2023 RG 21-07299, validé par la Cour de cassation dans son arrêt du 23 octobre 2024 n° 23-16.267 qui a retenu qu’en l’état des circonstances de l’espèce, la cour de Versailles 'a pu déduire que la négligence grave’ du client 'n’était pas caractérisée'), il en va différemment dans la présente espèce où la négligence de M. [F] est telle qu’elle doit être qualifiée de grave puisqu’il est justifié par la banque que le 5 août 2021, elle lui a adressé, comme à d’autres, un message d’alerte explicite mettant en garde ses clients contre la méthode de spoofing où l’escroc se présente comme un conseiller bancaire.

Elle en justifie par la production tant du spécimen de courrier (l’entête M. [W] n’étant que l’expression du specimen) que par les extraits d’écrans informatiques intégrés à ses écritures qui caractérisent la délivrance de ce mail à M. [F] le 5 août 2021, qui conteste sans offre de preuve n’avoir jamais reçu ce mail sur une adresse dont il ne conteste pas être le détenteur.

Ainsi, étant particulièrement averti du danger et en communiquant malgré ce son code d’identification à celui qui se présentait comme un salarié du service des fraudes de la banque, M. [F] a fait preuve d’une négligence que la cour ne peut que qualifier de suffisamment grave pour le priver de son droit à remboursement par la banque.

Le jugement sera infirmé en conséquence.

19- Partie perdante au sens de l’article 696 du code de

procédure civile, M. [F] supportera les dépens de première instance et d’appel.

PAR CES MOTIFS

Statuant contradictoirement

Confirme le jugement en ce qu’il a débouté M. [T] [F] de sa demande de dommages et intérêts

l’infirme pour le surplus, statuant à nouveau et y ajoutant

Déboute M. [T] [F] de sa demande en remboursement de la somme de 4995'

Condamne M. [T] [F] aux dépens de première instance et d’appel.

Dit n’y avoir lieu à application des dispositions de l’article 70à du code de procédure civile.

LE GREFFIER LE PRESIDENT