RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS

ARRÊT N°

N° RG 24/01638 -

N° Portalis DBVH-V-B7I-JGDR

MPF

TJ JCP D'[Localité 7]

15 avril 2024

RG : 23/00507

[X]

C/

SA

CREDIT LYONNAIS

Copie exécutoire délivrée

le 02 octobre 2025

à :

M^e Virginie Cres

M^e Jean-Marie Chabaud

COUR D’APPEL DE NÎMES

CHAMBRE CIVILE

1ère chambre

ARRÊT DU 02 OCTOBRE 2025

Décision déférée à la cour : jugement du tribunal judiciaire d’Alès en date du 15 avril 2024, N°23/00507

COMPOSITION DE LA COUR LORS DES DÉBATS :

M^me Marie-Pierre Fournier, magistrate à titre honoraire, a entendu les plaidoiries en application de l’article 805 du code de procédure civile, sans opposition des avocats, et en a rendu compte à la cour lors de son délibéré.

COMPOSITION DE LA COUR LORS DU DÉLIBÉRÉ :

M^me Isabelle Defarge, présidente de chambre,

M^me Alexandra Berger, conseillère,

M^me Marie-Pierre Fournier, magistrate à titre honoraire

GREFFIER :

M^me Nadège Rodrigues, greffière, lors des débats et du prononcé de la décision

DÉBATS :

A l’audience publique du 23 juin 2025, où l’affaire a été mise en délibéré au 18 septembre 2025 et prorogé au 02 octobre 2025.

Les parties ont été avisées que l’arrêt sera prononcé par sa mise à disposition au greffe de la cour d’appel.

APPELANTE :

Mme [N] [X] épouse [M]

née le [Date naissance 1] 1970 à [Localité 8]

[Adresse 3]

[Localité 5]

Représentée par M^e Virginie Cres de la Scp Cabinet M. Allheilig & V. Cres, plaidante/postulante, avocate au barreau d’Alès

INTIMÉE :

La Sa CREDIT LYONNAIS, prise en la personne de son représentant légal en exercice domicilié en cette qualité

[Adresse 4]

[Localité 6]

Représentée par M^e Jean-Marie Chabaud de la Selarl Sarlin-Chabaud-Marchal & associés, postulante, avocate au barreau de Nîmes

Représentée par M^e Pierre Buisson, plaidant, avocat au barreau de Lyon

ARRÊT :

Arrêt contradictoire, prononcé publiquement et signé par M^me Isabelle Defarge, présidente de chambre, le 02 octobre 2025, par mise à disposition au greffe de la cour

FAITS ET PROCEDURE :

Mi-mars 2022, Mme [N] [X] épouse [M] a constaté que son compte bancaire ouvert à la banque LCL avait été débité le 7 mars 2022 de la somme de 6 000 euros à la suite d’un virement émis à l’ordre d’un dénommé [V] [L].

Soutenant que cette opération avait été réalisée à son insu, elle a déposé plainte le 1er avril 2022 pour escroquerie et demandé le remboursement de la somme prélevée à la banque qui lui a opposé un refus.

Par acte du 7 avril 2023, elle a assigné à cette fin la banque LCL devant le juge du contentieux de la protection du tribunal judiciaire d’Alès qui, par jugement du 15 avril 2024 l’a déboutée de l’ensemble de ses demandes

Mme [N] [X] épouse [M] a interjeté appel de ce jugement par déclaration au greffe du 14 mai 2024.

Par ordonnance du 7 février 2025, l’affaire a été fixée à l’audience du 23 juin 2025 et la procédure clôturée avec effet différé au 10 juin 2025.

PRÉTENTIONS ET MOYENS DES PARTIES :

Au terme de ses dernières conclusions régulièrement signifiées le 10 juin 2025, Mme [N] [X] épouse [M], appelante, demande à la cour

— d’infirmer le jugement en toutes ses dispositions

et, statuant à nouveau

— de condamner la société Crédit Lyonnais :

— à lui rembourser la somme de 6 000 euros majorée selon les dispositions de l’article L.113- 18 du code monétaire et financier

— à lui payer la somme de 1 500 euros sur le fondement de l’article 700 du code de procédure civile.

Au terme de ses dernières conclusions régulièrement signifiées le 10 juin 2025 la société Crédit Lyonnais intimée demande à la cour :

— de confirmer le jugement,

— de débouter l’appelante de toutes ses demandes,

— de la condamner aux dépens d’appel, avec application de l’article 699 du code de procédure civile au bénéfice de la Selarl Sarlin – Chabaud – Marchal & Associés, avocat.

Il est fait expressément référence aux dernières écritures des parties pour plus ample exposé de leurs prétentions et moyens par application des dispositions des articles 455 et 954 du code de procédure civile.

MOTIVATION

Aux termes de l’article L.133-4 du code monétaire et financier un instrument de paiement s’entend, alternativement ou cumulativement, de tout dispositif personnalisé et de l’ensemble de procédures convenu entre l’utilisateur de services de paiement et le prestataire de services de paiement et utilisé pour donner un ordre de paiement.

Face aux risques d’utilisation frauduleuse des instruments de paiement, la directive 2007/64/CE du Parlement européen et du Conseil du 13 novembre 2007 puis la directive 2015/2366/CE du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur (directive DSP2) ' transposées en droit interne – articles L 133-1 et suivants du code monétaire et financier – ont renforcé la protection du consommateur.

A été ainsi instauré le principe selon lequel, en cas d’opération de paiement non autorisée, le prestataire de services de paiement du payeur rembourse immédiatement au payeur le montant de l’opération non autorisée.

*dispositions applicables au présent litige

Le 28 février 2022 à 11h18 la banque a adressé sur le téléphone portable de Mme [N] [X] épouse [M] correspondant à la ligne téléphonique [XXXXXXXX02] un SMS : « LCL : Iphone (SFR) veut s’enregistrer et accéder à vos comptes, pour l’autoriser saisir dans M^es Comptes le code 089260». Le même jour à 11h19, un nouvel appareil de confiance a été enregistré via l’application mobile « Mes comptes/LCL» ( cf pièce n°3 de l’intimée). Simultanément à cet enregistrement, la banque a adressé à 11h19 à sa cliente un second SMS : « LCL : votre Iphone validera prochainement les opérations sur votre compte. En cas de doute, changez votre code d’accès personnel».

Le 7 mars 2022, ont été successivement exécutées :

— la modification du contrat consistant dans l’augmentation du plafond de virement par internet et l’ajout de nouveaux pays destinataires de virements ' Italie, Maroc, Lettonie'

— le virement de la somme de 6 000 euros à l’ordre d'[V] [L].

Mme [N] [X] épouse [M] conteste être à l’origine tant de ce virement que de la modification de son contrat et du changement d’appareil de confiance.

Les dispositions applicables au présent litige sont celles des articles L.133-15 et suivants du code monétaire et financier relatives à la relation entre le prestataire de services de paiement et l’utilisateur de ce service.

En effet, aux termes de l’article L.133-23 du même code, lorsque l’utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, la charge de la preuve que le paiement a été autorisé pèse sur le prestataire de services de paiement.

La société Crédit Lyonnais pour rapporter cette preuve allègue que le consentement à l’exécution du virement a été donné selon les formes convenues entre elle et sa cliente, notamment par l’utilisation d’un appareil de confiance enregistré au moyen d’un code à usage unique communiqué par SMS sur le téléphone portable en possession de celle-ci lors de l’opération litigieuse.

La seule mise en 'uvre des modalités prédéfinies entre les parties ne suffit cependant à démontrer que la cliente qui le conteste a autorisé elle-même le virement de 6 000 euros ainsi que le rappelle l’article L.133-23 précité : « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ».

L’intimée soutient donc à tort qu’ayant autorisé le paiement litigieux, sa cliente ne peut se prévaloir des dispositions de l’article L 113-18 du code monétaire et financier lui permettant de demander le remboursement du montant d’une opération de paiement non autorisée.

*exonération de responsabilité du prestataire de service de paiement

Si l’article L.133-18 a posé en principe l’irresponsabilité de l’utilisateur du service de paiement, le prestataire de service de paiement peut toutefois être exonéré de son obligation de rembourser le montant de l’opération non autorisée s’il rapporte la preuve d’une négligence grave de l’utilisateur.

La banque fait ici grief à sa cliente d’être restée passive quand elle lui a adressé le 28 février 2022 sur son téléphone portable enregistré comme appareil de confiance deux SMS, le premier lui communiquant un code à usage unique pour enregistrer un nouvel appareil de confiance et le second l’informant que désormais ce nouvel appareil validera ses opérations. Elle soutient qu’en découvrant le contenu de ces SMS, sa cleinte aurait dû immédiatement l’informer ce qui aurait permis d’empêcher la réalisation du virement frauduleux sept jours plus tard.

Mme [N] [X] épouse [M] qui conteste avoir reçu les deux SMS du 28 février 2022 conteste avoir commis aucune négligence grave et relève au visa des dispositions de l’article L. 123-33 du code monétaire et financier que la banque ne démontre pas que l’opération de paiement en cause a été authentifiée, enregistrée et comptabilisée et n’a pas été affectée par une déficience technique ou autre.

Aux termes de l’article L. 123-33 du code monétaire et financier invoqué « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre ».

Il incombe donc à la banque de prouver que les opérations litigieuses ont été authentifiées, dûment enregistrées et comptabilisées et qu’elles n’ont pas été affectées par une déficience technique ou autre, autrement dit que les opérations ont été correctement exécutées et que le paiement litigieux n’est pas imputable à une faille de son système informatique.

Selon les conditions générales des services en ligne LCL versés aux débats, pour accéder à son espace personnel, le client s’authentifie par l’utilisation des données de sécurité personnalisées, à savoir son identifiant et son code personnel d’accès.

Le procédé d’authentification forte requise pour la réalisation de certaines opérations repose d’une part sur l’identifiant et le code personnel d’accès, et sur la transmission d’un code à usage unique (SMS sur mobile) ou l’identification via un appareil de confiance, d’autre part.

Ce document précise que l’appareil de confiance est défini comme un matériel connecté (smartphone, tablette') que le client enregistre en tant que tel via l’application M^es Comptes-LCL, étant précisé qu’il ne peut disposer que d’un seul appareil de confiance dont il peut changer à tout moment en enregistrant son nouvel appareil via l’application mobile «Mes comptes-LCL».

La société Crédit Lyonnais produit au soutien de sa prétention une pièce n°3 comportant l’historique des connexions propres selon elle à établir l’authentification, l’enregistrement comptable et l’absence de déficience technique.

Cette pièce se présente comme une liste des connexions sur l’espace client présentée sous forme de tableau à quatre colonnes, la première relative à la date de la connexion, la seconde relative au canal par lequel l’utilisateur s’est connecté à l’espace client (internet, agence, application mobile), la troisième relative à la nature de l’opération, la quatrième relative à des informations complémentaires.

La banque ne démontre pas, par la seule production de cette pièce que son système informatique a enregistré à la date des opérations litigieuses une connexion avec l’identifiant et le code personnel d’accès de Mme [N] [X] épouse [M].

De plus, cette liste montre que dès que le virement litigieux a été passé, l’agence a elle-même bloqué l’accès à l’espace client « 22/03/2007, désassociation Appareil de confiance, blocage organisation ».

C’est d’ailleurs le blocage de l’accès à son espace client qui a conduit la cliente à se rapprocher de sa banque qui selon la pièce n°3 a procédé au déblocage de l’accès le 1er avril 2022.

Mme [N] [X] épouse [M] a alors découvert le virement frauduleux exécuté le 7 mars 2022.

Ce blocage de l’accès à l’espace client à la seule initiative de la banque quelques heures après le virement frauduleux n’est pas expliqué par l’intimée qui évoque elle-même un problème technique ayant affecté le dispositif d’authentification forte.

L’ordre de paiement étant associé aux procédés d’authentification du titulaire du compte tels que définis par les conditions générales susvisées, il ne suffit pas à la banque de démontrer l’existence d’une connexion de l’appareil de confiance avec l’application mobile, encore faut-il qu’elle prouve aussi que l’utilisateur s’est authentifié avec son identifiant et son code d’accès personnel.

En effet, selon les conditions générales de vente, le procédé d’authentification forte requise pour la réalisation de certaines opérations repose sur l’identifiant et le code personnel d’accès, d’une part et la transmission d’un code à usage unique (SMS sur mobile) ou l’identification via un appareil de confiance, d’autre part.

Faute de prouver que les opérations litigieuses ont été authentifiées, c’est-à-dire que les données de sécurité personnalisées de l’utilisateur ont bien été utilisées pour permettre les opérations litigieuse, la banque doit supporter toutes les pertes qui y sont liées.

Le jugement est donc infirmé et la société Crédit Lyonnais condamnée à payer à Mme [N] [X] épouse [M] la somme de 6 000 euros avec intérêts légal majoré de quinze points à compter du 7 avril 2022 par application de l’article L.133-18 du code monétaire et financier.

La société Crédit Lyonnais qui succombe doit supporter les dépens de l’entière instance.

Il n’apparait pas inéquitable de la condamner à payer à l’appelante la somme de 1 500 euros au titre de ses frais irrépétibles.

PAR CES MOTIFS

La cour,

Infirme le jugement en toutes ses dispositions,

Statuant à nouveau,

Condamne la société Crédit Lyonnais à payer à Mme [N] [X] épouse [M] la somme de 6 000 euros avec intérêts au taux légal majoré de quinze points à compter du 7 avril 2022,

La condamne aux dépens,

La condamne à payer à Mme [N] [X] épouse [M] la somme de 1 500 euros au titre de l’article 700 du code de procédure civile.

Arrêt signé par la présidente et par la greffière.

LA GREFFIÈRE, LA PRÉSIDENTE,