RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS

------------------------------------

COUR D’APPEL DE NANCY

DEUXIÈME CHAMBRE CIVILE

ARRÊT N° /22 DU 24 FEVRIER 2022

Numéro d’inscription au répertoire général :

N° RG 21/01643 – N° Portalis DBVR-V-B7F-EZR3

Décision déférée à la Cour :

jugement du tribunal judiciaire de NANCY, R.G. n° 21/00011, en date du 14 juin 2021,

APPELANT :

Monsieur X Y, demeurant […]

Représenté par M^e Bruno ZILLIG de la SCP LAGRANGE ET ASSOCIÉS, avocat au barreau de NANCY

INTIMÉE :

S.A. BNP PARIBAS, prise en la personne de son représentant légal pour ce domicilié au siège social […] inscrite au Registre du Commerce et des Sociétés de Paris sous le numéro 662 042 449

Représentée par M^e Juliette MIGUEL-BREBION, avocat au barreau de NANCY

COMPOSITION DE LA COUR :

En application des dispositions des articles 786 et 907 du Code de Procédure Civile, l’affaire a été débattue le 20 Janvier 2022, en audience publique, les avocats ne s’y étant pas opposés, devant Monsieur Francis MARTIN, Président, et Fabienne GIRARDOT conseillère, chargée du rapport ;

Ces magistrats ont rendu compte des plaidoiries dans le délibéré de la Cour, composée de :

Monsieur Francis MARTIN, Président de chambre,

Madame Fabienne GIRARDOT, Conseillère

Madame Nathalie BRETILLOT, conseillère

,

Greffier, lors des débats : Monsieur Ali ADJAL.

A l’issue des débats, le Président a annoncé que la décision serait rendue par mise à disposition au greffe le 24 Février 2022, en application du deuxième alinéa de l’article 450 du code de procédure civile ;

ARRÊT : contradictoire, rendu par mise à disposition publique au greffe le 24 Février 2022, par Monsieur Ali ADJAL, greffier, conformément à l’article 450 alinéa 2 du Code de Procédure Civile ;

signé par Monsieur Francis MARTIN, Président de la deuxième chambre civile, Président de chambre, et par Monsieur Ali ADJAL, Greffier ;

-------------------------------------------------------------------------------------------------------------

Copie exécutoire délivrée le à

Copie délivrée le à

-------------------------------------------------------------------------------------------------------------

EXPOSE DU LITIGE

Le 26 septembre 2019, M. X Y a déposé plainte à la brigade de gendarmerie de

Champenoux en dénonçant avoir été victime d’un virement frauduleux de 6 000 euros à partir de son compte bancaire détenu dans les livres de la SA BNP Paribas suite à la réception d’un courriel du 25 septembre 2019, semblant émaner de sa banque, et lui demandant de confirmer le numéro de

t é l é p h o n e r a t t a c h é à s o n c o m p t e p e r s o n n e l e n s e c o n n e c t a n t à u n e a d r e s s e i n t i t u l é e

' https://mabanque.bnpparibas/fr/connexion ', dans une démarche de sécurité.

Par courriel du 12 octobre 2019, la SA BNP Paribas a indiqué à M. X Y que l’opération de retour des fonds devait prendre environ quatre semaines. Le 17 octobre 2019, la SA BNP Paribas a précisé qu’elle n’avait pas eu retour des fonds. Par courriel du 29 octobre 2019, la SA BNP Paribas a informé M. X Y d’un refus de retour des fonds par la banque bénéficiaire du virement.

Par courrier recommandé avec avis de réception du 29 octobre 2019, M. X Y a demandé à la SA BNP Paribas de prendre en charge le détournement de fonds dont il a été victime sur le fondement des articles L. 133-17 et suivants du code monétaire et financier.

Par courriel du 30 octobre 2019, confirmé par un courrier du 13 novembre 2019, la SA BNP Paribas

a refusé de rembourser les fonds à M. X Y au motif qu’en se connectant à son application, il avait malencontreusement validé l’ajout d’un bénéficiaire de virements grâce à l’utilisation de sa la clé digitale, s’agissant d’un processus mis en oeuvre par la banque considéré comme une authentification forte par leurs services.

Le 28 mai 2020, le médiateur de la consommation de la SA BNP Paribas, saisi par M. X Y,

a conclu qu’il ne pouvait proposer à la SA BNP Paribas de prendre en charge tout ou partie de son préjudice.

L’enquête préliminaire a fait l’objet d’un procès-verbal de clôture du 5 mai 2020, et a permis

d’identifier le bénéficiaire ayant reçu la somme de 6 000 euros comme détenant un compte auprès de la Bank Commerzbank à Berlin (Allemagne), qui n’a pas déféré à la réquisition tendant à la communication de l’identité du titulaire du compte, étant précisé que le code source du message électronique reçu par M. X Y, localisé à A B, était très utilisé.

***

Par acte d’huissier en date du 17 décembre 2020, M. X Y a assigné la SA BNP Paribas devant le tribunal judiciaire de Nancy afin de la voir condamnée à titre principal à lui verser la somme de 6 000 euros à titre de dommages et intérêts sur le fondement de l’article L. 133-19 du code monétaire et financier, dans la mesure où il n’a commis aucun agissement frauduleux ni aucune négligence grave.

M. X Y a exposé que dans la soirée du 25 septembre 2019, il avait supprimé le nouveau compte bénéficiaire de virement ajouté suite à sa réponse au courriel reçu, ayant l’apparence d’une correspondance de la SA BNP Paribas, mais avait constaté qu’un virement d’un montant de 6 000 euros était saisi et demeurait en attente, expliquant qu’il avait alors contacté son conseiller financier afin de le faire annuler, mais que le virement avait été opéré dans la nuit, suite à l’indication de ce dernier de la fermeture du service en charge des virements jusqu’au lendemain.

La SA BNP Paribas n’a pas constitué avocat en première instance.

Par jugement en date du 14 juin 2021, le tribunal judiciaire de Nancy a :

- débouté M. X Y de sa demande en paiement de la somme de 6 000 euros formée contre la

SA BNP Paribas, ainsi que de sa demande formée au titre des dispositions de l’article 700 du code de procédure civile,

- laissé les dépens à la charge de M. X Y.

Le tribunal a constaté que M. X Y avait signalé l’opération de virement litigieuse à la SA

BNP Paribas, prestataire de services, dans le délai stipulé à l’article L. 133-24§1 du code monétaire et financier, et que le fait de cliquer sur un lien malveillant ne saurait s’analyser en un agissement frauduleux de M. X Y ou une négligence grave de sa part mentionnée aux articles L. 133-16 et L. 133-17 du code monétaire et financier. Pour autant, le tribunal a retenu un défaut de prudence élémentaire de M. X Y qui a exécuté les consignes demandées par le fraudeur en étant

r e d i r i g é s u r l e s i t e f r a u d u l e u x d e l a S A B N P P a r i b a s p a r l e c o u r r i e l , e t a t r a n s m i s malencontreusement son code à six chiffres ayant eu pour effet de valider l’ajout d’un bénéficiaire, puis de permettre l’exécution d’un virement à son profit, et que compte tenu de la suppression de

l’ajout d’un nouveau bénéficiaire à 8h24, la prudence lui imposait de vérifier la situation de son compte rapidement afin de faire annuler le virement le jour même, alors que le virement frauduleux

n’avait été constaté par M. X Y qu’aux alentours de 17h45 et avait été réalisé dans la nuit qui a suivi. Le tribunal a jugé qu’en application des dispositions des articles L. 133-16 et L. 133-19

IV du code monétaire et financier, M. X Y devait supporter les conséquences de son imprudence.

***

Par déclaration reçue au greffe le 29 juin 2021, M. X Y a interjeté appel du jugement du 14 juin 2021 tendant à son infirmation en tous ses chefs critiqués.
Dans ses dernières conclusions transmises le 12 octobre 2021, auxquelles il convient de se reporter pour l’exposé détaillé de ses prétentions et moyens, M. X Y, appelant, demande à la cour sur le fondement de l’article L. 133-19 du code monétaire et financier :

- de condamner la SA BNP Paribas à lui verser la somme de 6 000 euros, outre ntérêts de droit à compter du 29 octobre 2019, date de mise en demeure,

- de condamner par ailleurs la SA BNP Paribas à lui verser une indemnité de 3 000 euros par application des dispositions de l’article 700 du code de procédure civile, au titre de ses frais irrépétibles de première instance et d’appel,

- de condamner la SA BNP Paribas aux entiers dépens,

- de rejeter les demandes de la SA BNP Paribas.

Au soutien de ses demandes, M. X Y fait valoir en substance :

- que dix minutes après avoir confirmé son numéro de téléphone sur le lien figurant au courriel du 25 septembre 2019, il a reçu le message qu’un nouveau compte bénéficiaire avait été ajouté aux comptes sur lesquels il pouvait faire des virements, et que n’étant pas à l’origine de cette opération il a immédiatement supprimé ce nouveau bénéficiaire conformément au message ;

- que le jugement critiqué a été prononcé en violation des dispositions de l’article 16 du code de procédure civile, en ce que la prétendue imprudence résultant d’un défaut de surveillance de

l’évolution du compte retenue par le tribunal n’a pas été débattue et n’a pas fait l’objet d’une demande

d’observation entre la mise en délibéré et le prononcé de la décision ;

- qu’il n’a commis aucun agissement frauduleux ni négligence grave entendue comme un défaut de prudence élémentaire, n’ayant pas validé au moyen de son téléphone portable et de ses codes

l’opération frauduleuse et le bénéficiaire du virement ; qu’il n’a fait que répondre à un message semblant émaner de sa banque et ne présentant aucune anomalie, lui demandant de confirmer son numéro de téléphone, et a immédiatement supprimé le nouveau compte bénéficiaire tel que conseillé par la banque ; qu’il a prévenu son banquier dès qu’il a constaté qu’un virement était en attente ; qu’il

a suivi les instructions données par la banque aux termes de ces courriels ; qu’il a supprimé le nouveau compte bénéficiaire à 8h24 qui a pourtant été destinataire du virement litigieux dans la nuit

; que son appel à 17h45 n’a donné lieu à aucune mesure immédiate ; que la banque a manqué à son obligation de résultat en termes de sécurité des fonds de ses clients et a ainsi causé directement le sinistre ;

- que l’imprudence visée aux articles L. 133-16 et L. 133-19 du code monétaire et financier n’est pas en cause, en ce qu’elle concerne la livraison des moyens d’accès au fraudeur, que ne saurait concerner son numéro de téléphone, et que le tribunal se fonde sur son attitude postérieure liée à l’absence de vérification de l’évolution du compte suffisamment tôt, qui n’a pas de rôle causal dans la survenance du sinistre, dans la mesure où il n’est pas contesté qu’un conseiller de la banque a été contacté avant la réalisation du virement frauduleux ;
- que sa plainte a été classée sans suite à défaut pour la banque du bénéficiaire du virement frauduleux de donner suite à la réquisition de communiquer l’identité du titulaire du compte.

Dans ses dernières conclusions transmises le 14 septembre 2021, auxquelles il convient de se reporter pour l’exposé détaillé de ses prétentions et moyens, la SA BNP Paribas, intimée, demande à la cour :

- de confirmer en toutes ses dispositions le jugement du 14 juin 2021 rendu par le tribunal judiciaire de Nancy,

Y ajoutant,

- de condamner M. X Y à lui payer la somme de 2 500 euros au titre de l’article 700 du code de procédure civile, outre aux entiers dépens.

Au soutien de ses demandes, la SA BNP Paribas fait valoir en substance :

- que la banque n’a commis aucune faute, en ce que M. X Y, après réception du courriel

d’hameçonnage (ne comportant pas de ponctuation, émanant d’un expéditeur ne faisant pas mention du nom de la banque et comportant des fautes d’orthographe et des phrases sans aucun sens), s’est identifié sur le faux site copiant celui de BNP Paribas et a accédé à son faux espace personnel en ligne à l’aide de son code secret d’authentification (les données de connexion étant saisies sur le vrai site BNP afin d’accéder à l’espace client permettant aux escrocs d’introduire un bénéficiaire), et qu’il est à l’origine de la validation d’un nouveau bénéficiaire de virement dans sa liste de confiance, étrangement dénommé 'COBADEFFXX', avec son téléphone via l’usage de sa clé digitale (le client recevant une notification détaillée de l’opération à valider sur son téléphone identifié par le numéro

IMEI avec un code confidentiel qu’il a créé et personnalisé) ; qu’il n’a pas annulé l’opération tel que proposé lors de la notification, de sorte que le virement litigieux n’a été réalisé qu’en raison de cette seule et unique négligence de M. X Y qui a manqué à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et qui a permis au fraudeur de détourner les dispositifs de sécurité mis en place par la banque ; que la banque

s’est conformée aux exigences de l’article L. 133-23 du code monétaire et financier dans sa version en vigueur au 25 septembre 2019 quant à l’authentification des opérations réalisées par les clients en vue de leur sécurisation ; que M. X Y doit être considéré comme ayant agi avec négligence grave et qu’il doit supporter les pertes occasionnées par les opérations de paiement non autorisées au sens de l’article L. 133-19 IV dudit code ; que l’appréciation de la conscience de la fraude est faite in abstracto.

***

La clôture de l’instruction a été prononcée le 20 octobre 2021.

MOTIFS DE LA DECISION

Sur le respect du principe du contradictoire
Le tribunal a débouté M. X Y de sa demande en paiement de dommages et intérêts formée à

l’encontre de la SA BNP Paribas au visa de l’article L. 133-19 du code monétaire et financier au motif 'qu’en application des dispositions des articles L. 133-16 et L. 133-19 IV du code monétaire et financier, M. X Y doit supporter les conséquences de son imprudence'.

L’article L. 133-19 IV du code monétaire et financier dispose que ' le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. '

Or, M. X Y expose lui-même dans ses conclusions que la négligence grave est entendue comme un défaut de prudence élémentaire.

Ainsi, le tribunal a qualifié 'd’imprudence’ le défaut de prudence élémentaire caractérisé au regard de la chronologie des faits rapportés dans le débat, en indiquant que 'la prudence lui imposait de vérifier la situation de son compte rapidement après la suppression par ses soins du bénéficiaire, ce qui lui aurait permis de constater l’existence du virement frauduleux beaucoup plus tôt dans la journée et de contacter sa banque afin de faire annuler le virement le jour même, avant qu’il ne soit réalisé dans la nuit qui a suivi.'

Dans ces conditions, il y a lieu de constater que le tribunal n’a soulevé d’office aucun moyen de droit, ni retenu des moyens ou explications sans que M. X Y n’ait été à même d’en débattre contradictoirement.

Au surplus, il y a lieu de constater que l’appel de M. X Y ne tend pas à l’annulation du jugement déféré.

Sur la responsabilité de la SA BNP Paribas

L’article L. 133-19 IV du code monétaire et financier dispose que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

Or, l’article L. 133-16 du code monétaire et financier dispose que dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées.

De même, l’article L. 133-17 I dudit code ajoute que lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de

l’instrument, son prestataire ou l’entité désignée par celui-ci.

M. X Y soutient que, dans la mesure où il n’a fait que répondre à un message semblant émaner de sa banque, ne présentant aucune anomalie et lui demandant de confirmer son numéro de téléphone, et qu’il a immédiatement supprimé le nouveau compte bénéficiaire créé par les fraudeurs lors de sa notification et a prévenu son banquier dès qu’il a constaté qu’un virement était en attente au profit de ce nouveau bénéficiaire, la banque a manqué à son obligation de résultat en terme de sécurité des fonds de ses clients et a ainsi causé directement le sinistre caractérisé par le virement de fonds non autorisé.

En l’espèce, il ressort des termes de la plainte de M. X Y que le 25 septembre 2019 avant

8h21, M. X Y s’est connecté sur un site frauduleux de BNP Paribas par le biais d’un lien envoyé par courriel et qu’il s’est identifié sur ce site frauduleux grâce à sa clé digitale (code choisi par

M. X Y lors de la création) et a indiqué son numéro de téléphone, objet de la demande reçue, puis a constaté la création d’un nouveau bénéficiaire, inconnu, sur son compte BNP, qu’il a aussitôt supprimé.

Or, si les relevés télématiques de BNP Paribas à la date du 25 septembre 2019, repris aux conclusions de la SA BNP Paribas, établissent que le fraudeur s’est connecté à l’espace client de M.

X Y à 8h21 (depuis l’adresse IP 51.79.80.79), puis a ajouté son RIB à la liste de confiance des bénéficiaires de virement à 8h24 (depuis l’adresse IP 90.46.405.93), en revanche, ils font état qu’à cette même heure, le RIB a été validé au moyen de la clé digitale de M. X Y depuis son téléphone mobile, alors que M. X Y a soutenu avoir annulé, lors de leur notification,

l’ensemble des données concernant l’opération liée à l’ajout du nouveau bénéficiaire dénommé '

COBADEFFXXX '.

En outre, ces relevés télématiques font état qu’à 8h24, l’adresse IP habituelle de M. X Y

(92.138.46.80) s’est connectée à son espace client sans y apporter de modifications dans la mesure où

à 8h25, le virement litigieux de 6 000 euros a été ordonné à partir de l’adresse IP des fraudeurs, témoignant de l’absence de suppression par M. X Y du nouveau bénéficiaire du virement litigieux.

Ainsi, il en résulte d’une part que le bénéficiaire du virement a pu se connecter au compte client de

M. X Y grâce à la communication par ce dernier de ses codes d’accès confidentiels en utilisant le lien vers un faux site de la banque indiqué dans le contenu d’un mail frauduleux, et d’autre part que la création d’un nouveau bénéficiaire de virement a été validée au moyen d’une notification reçue sur son téléphone identifié par son numéro IMEI.

Or, la notification sollicitant la validation d’ajout de bénéficiaire est le dispositif de sécurité mis en place dans le cadre d’un virement.

Dans ces conditions, M. X Y ne peut utilement soutenir que la SA BNP Paribas a manqué à son obligation de résultat en termes de sécurité des fonds de ses clients.

Sur la négligence grave de M. X Y

La SA BNP Paribas indique que les pertes subies par M. X Y, qui a manqué à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et qui a permis au fraudeur de détourner les dispositifs de sécurité mis en place par la banque, résultent d’une négligence grave de sa part, induisant qu’il supporte toutes les pertes occasionnées par l’opération de paiement non autorisée.
Il est constant que le virement litigieux n’a pas été autorisé par M. X Y de sorte qu’il incombe à la SA BNP Paribas de rapporter la preuve d’une négligence grave de celui-ci.

En l’espèce, il ressort de la comparaison du mail frauduleux envoyé à M. X Y le 25 septembre 2019 à 8h13, lui demandant de confirmer son numéro de téléphone sur le lien y figurant, avec le mail de la SA BNP Paribas envoyé le même jour à 8h24, l’informant de l’ajout d’un nouveau bénéficiaire et l’invitant le cas échéant à le supprimer de sa liste et à vérifier ses dernières opérations

s’il n’est pas à l’origine de cette opération, que les présentations sont similaires et contiennent une même image pouvant laisser penser à son destinataire que le mail frauduleux émane de BNP Paribas.

En outre, s’il est constant que l’adresse d’envoi du mail frauduleux émane de ' BNP paribas

- e n l i g n l e i s @ b g l . l u ' a l o r s q u e l e s e c o n d m e n t i o n n e ' B N P P A R I B A S – c l i e n t @ notification.bnpparibas.com', et que le mail frauduleux présente quelques erreurs liées à des fautes

d’orthographe et l’emploi de quelques mots dans un sens inapproprié, tels que ' nous vous prions de bien vouloir confirmer votre attention dans un délai de 48H, tous les détails demandés afin d’évitez tout disfonctionnement lié à votre compte ', en revanche, ces éléments ne constituent pas des indices permettant à un utilisateur normalement attentif de douter de sa provenance quant à sa forme et son contenu.

Aussi, l’utilisation par M. X Y de sa clé digitale afin de se connecter au lien figurant au mail frauduleux sous l’intitulé ' https : //ma banque.bnpparibas/fr/connexion ', s’agissant d’une adresse apparemment sécurisée et reprenant la nom de la banque, ne saurait caractériser une négligence de sa part quant à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés.

En outre, s’il ressort des relevés télématiques de BNP Paribas que M. X Y a validé l’ajout frauduleux d’un nouveau bénéficiaire de virement dans sa liste de confiance le 25 septembre 2019 à

8h24, pour autant, cette négligence ne présentait pas un caractère de gravité dans la mesure où cette validation n’avait pas pour conséquence d’autoriser le virement frauduleux, et qu’un utilisateur normalement attentif ne pouvait faire un rapprochement avec le faux mail de la BNP reçu onze minutes plus tôt lui demandant de se connecter sur l’adresse frauduleuse (avec sa clé digitale) afin de confirmer son numéro de téléphone.

Ainsi, la SA BNP Paribas ne rapporte pas la preuve d’une négligence grave de M. X Y ayant occasionné le virement frauduleux de 6 000 euros à son préjudice .

Dans ces conditions, la SA BNP Paribas devra supporter la perte occasionnée à M. X Y par

l’opération de virement non autorisée à hauteur de 6 000 euros, somme qui sera augmentée des intérêts au taux légal courant à compter de la mise en demeure adressée le 29 octobre 2019.

Dès lors, le jugement déféré sera infirmé sur ce point.

Sur les demandes accessoires

Le jugement critiqué sera infirmé en ses dispositions relatives aux frais irrépétibles et aux dépens.
La SA BNP Paribas qui succombe à hauteur de cour sera condamnée aux dépens de première instance et d’appel, et sera condamnée à payer à M. X Y la somme de 3 000 euros au titre des frais irrépétibles engagés en première instance et à hauteur de cour, lesdites condamnations emportant nécessairement rejet des prétentions de la SA BNP Paribas formées à ces titres.

PAR CES MOTIFS

LA COUR, statuant par arrêt contradictoire prononcé publiquement par mise à disposition au greffe, conformément aux dispositions de l’article 450 alinéa 2 du Code de procédure civile,

INFIRME le jugement déféré en toutes ses dispositions, et statuant à nouveau,

CONDAMNE la SA BNP Paribas à payer à M. X Y la somme de 6 000 € (six mille euros), augmentée des intérêts au taux légal à compter du 29 octobre 2019,

CONDAMNE la SA BNP Paribas aux dépens de première instance,

Y ajoutant,

DEBOUTE la SA BNP Paribas de sa demande sur le fondement de l’article 700 du code de procédure civile,

CONDAMNE la SA BNP Paribas à payer à M. X Y la somme de 3 000 € (trois mille euros) au titre de l’article 700 du code de procédure civile,

CONDAMNE la SA BNP Paribas aux dépens d’appel.

Le présent arrêt a été signé par M. Francis MARTIN, Président de chambre à la Cour d’Appel de

NANCY, et par M. Ali ADJAL, Greffier auquel la minute de la décision a été remise par le magistrat signataire.