COUR D’APPEL D’ORLÉANS

CHAMBRE COMMERCIALE, ÉCONOMIQUE ET FINANCIÈRE

GROSSES + EXPÉDITIONS : le 09/01/2025

la SCP DERUBAY – KROVNIKOFF

M^e Heloïse ROULET

ARRÊT du : 09 JANVIER 2025

N° : 6 – 25

N° RG 22/02556

N° Portalis DBVN-V-B7G-GVQK

DÉCISION ENTREPRISE : Jugement du TJ hors JAF, JEX, JLD, J. EXPRO, JCP d’ORLEANS en date du 06 Octobre 2022

PARTIES EN CAUSE

APPELANTS :- Timbre fiscal dématérialisé N°: 1265279770551816

Monsieur [L] [R]

né le [Date naissance 3] 1959 à [Localité 7]

[Adresse 5]

[Localité 4]

Ayant pour avocat M^e Helene KROVNIKOFF, membre de la SCP DERUBAY – KROVNIKOFF, avocat au barreau d’ORLEANS

Madame [Y] [C] épouse [R]

née le [Date naissance 2] 1961 à [Localité 8]

[Adresse 5]

[Localité 4]

Ayant pour avocat M^e Helene KROVNIKOFF, membre de la SCP DERUBAY – KROVNIKOFF, avocat au barreau d’ORLEANS

D’UNE PART

INTIMÉE : – Timbre fiscal dématérialisé N°: 1265291224499608

S.A. BNP PARIBAS

[Adresse 1]

[Localité 6]

Ayant pour avocat postulant M^e Heloïse ROULET, avocat au barreau d’ORLEANS, et pour avocat plaidant M^e Dominique PENIN, membre du LLP KRAMER LEVIN NAFTALIS & FRANKEL LLP, avocat au barreau de PARIS

D’AUTRE PART

DÉCLARATION D’APPEL en date du : 03 Novembre 2022

ORDONNANCE DE CLÔTURE du : 10 Octobre 2024

COMPOSITION DE LA COUR

Lors des débats à l’audience publique du JEUDI 24 OCTOBRE 2024, à 14 heures, Madame Carole CHEGARAY, Président de la chambre commerciale à la Cour d’Appel d’ORLEANS, Madame Fanny CHENOT, Conseiller, et Monsieur Damien DESFORGES, Conseiller en charge du rapport, , ont entendu les avocats des parties en leurs plaidoiries, avec leur accord, par application de l’article 805 et 907 du code de procédure civile.

Après délibéré au cours duquel Madame Carole CHEGARAY, Président de la chambre commerciale à la Cour d’Appel d’ORLEANS, Madame Fanny CHENOT, Conseiller, et Monsieur Damien DESFORGES, Conseiller, ont rendu compte à la collégialité des débats à la Cour composée de :

Madame Carole CHEGARAY, Président de la chambre commerciale à la Cour d’Appel d’ORLEANS,

Madame Fanny CHENOT, Conseiller,

Monsieur Damien DESFORGES, Conseiller,

Greffier :

Madame Marie-Claude DONNAT, Greffier lors des débats et du prononcé,

ARRÊT :

Prononcé publiquement par arrêt contradictoire le JEUDI 09 JANVIER 2025 par mise à la disposition des parties au Greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

EXPOSE DU LITIGE ET DE LA PROCÉDURE :

Les époux [L] [R] et [Y] [C] sont titulaires de comptes bancaires au sein de la banque BNP Paribas.

Expliquant avoir été victimes d’une escroquerie et ne pas avoir obtenu de leur banque le remboursement d’opérations effectuées à leur préjudice sur leur compte bancaire pour un montant de 9300 euros, les époux [R] ont fait assigner la société BNP Paribas devant le tribunal judiciaire d’Orléans, par acte du 10 janvier 2022, afin d’obtenir le remboursement de cette somme sur le fondement des articles L 133-18 et L 133-23 du code monétaire et financier, outre la réparation d’un préjudice moral à hauteur de 2000 euros et une indemnité de 3000 euros au titre de leurs frais irrépétibles.

Par jugement du 6 octobre 2022, le tribunal judiciaire d’Orléans a débouté les époux [R] de l’ensemble de leurs prétentions et les a condamnés à payer à la société BNP Paribas une indemnité de 2000 euros en application de l’article 700 du code de procédure civile, ainsi que les dépens.

Les époux [R] ont interjeté appel de l’intégralité des chefs de ce jugement par déclaration en date du 3 novembre 2022.

Aux termes de leurs dernières conclusions notifiées le 18 janvier 2024, les époux [L] [R] et [Y] [C] demandent à la cour, au visa des articles L 133-18, L 133-16 et L 133-23 du code monétaire et financier de :

— infirmer le jugement entrepris dans toutes ses dispositions,

statuant à nouveau :

— condamner la BNP Paribas à leur rembourser l’intégralité des montants correspondant aux opérations frauduleuses, soit la somme de 9300 euros, sauf à la diminuer d’un montant égal à deux fois 199 euros, avec intérêts au taux légal à compter du 22 novembre 2021, date de la mise en demeure,

— condamner la BNP Paribas à leur payer la somme de 2000 euros à titre de dommages et intérêts en réparation de leur préjudice moral,

— débouter la BNP Paribas de l’ensemble de ses demandes et de toutes autres demandes, moyens ou prétentions contraires,

— la condamner, en outre, au paiement d’une somme de 3000 euros sur le fondement de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens.

Aux termes de ses dernières conclusions notifiées le 10 octobre 2023, la société BNP Paribas demande à la cour de :

— débouter M. [L] [R] et Mme [Y] [R] de l’intégralité de leurs demandes à toutes fins qu’elles comportent,

— en conséquence, confirmer en toutes ses dispositions le jugement rendu le 6 octobre 2022 par le tribunal judiciaire d’Orléans,

— y ajoutant, condamner les époux [R] à lui verser la somme de 5000 euros au titre de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens de première instance et d’appel.

Pour un plus ample exposé des faits et des moyens des parties, il convient de se reporter à leurs dernières conclusions récapitulatives.

L’instruction a été clôturée par ordonnance du 10 octobre 2024. L’affaire a été plaidée le 24 octobre suivant et mise en délibéré à ce jour.

MOTIFS :

Sur la demande en remboursement des sommes frauduleusement prélevées :

Il résulte du procès-verbal de leur dépôt de plainte en date du 10 septembre 2021, de leurs échanges de mails avec leur conseillère bancaire, de l’historique de leur compte, d’une copie d’écran de la page d’accueil du site la marque Moustache, d’un mail de confirmation de commande, et du traçage des opérations de paiement litigieuses par la BNP (pièces 7 et 8 BNP), que les époux [R] ont été victimes d’une escroquerie le 8 septembre 2021 ayant conduit au prélèvement successif des sommes suivantes sur leur compte bancaire au profit de l’auteur du délit :

—  199 euros dans le cadre d’un premier paiement par carte bancaire autorisé par les victimes elles-mêmes vers 12h58,

—  199 euros après un second paiement par carte bancaire validé à 13h02 à partir d’une adresse IP d’un tiers,

—  199 euros à la suite d’un virement autorisé une première fois par les époux [R] à 15h30,

—  199 euros, puis 1500 euros, puis 1000 euros, 1000 euros, et enfin 5000 euros au moyen de virements opérés à partir de l’adresse IP du même tiers entre 15h58 et 16 h,

soit 9296 euros, montant auquel les appelants ajoutent la commission de virements instantanés prélevée à cette occasion par la banque pour un montant de 4 euros, pour retenir un préjudice financier total de 9300 euros.

Devant la cour, les époux [R] concluent à la condamnation de la BNP Paribas à leur rembourser cette somme de 9300 euros « sauf à la diminuer d’un montant égal à deux fois 199 euros, avec intérêts au taux légal à compter du 22 novembre 2021, date de la mise en demeure ».

Les appelants sollicitent donc, en définitive, la condamnation de la société BNP Paribas à leur payer la somme de 8902 euros (9300-199-199) outre intérêts, au titre des opérations de paiement non autorisées par eux. Ils expliquent en effet avoir autorisé deux paiements de 199 euros, le premier par carte bancaire, le second par virement après que l’escroc leur a fait croire à l’échec de leur tentative de paiement par carte.

Selon l’article L 133-6 I du code monétaire et financier, une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. L’article L 133-7 précise qu’en l’absence d’un tel consentement, l’opération de paiement est réputée non autorisée.

Les articles L 133-16 et L 133-17 du même code précisent qu’il incombe à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées, et d’informer sans tarder son prestataire lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, aux fins de blocage de l’instrument.

Selon les dispositions de l’article L 133-18, « en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes

raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. ».

L’article L 133-19 dispose enfin que :

«IV. ' Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

V. ' Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 ».

Les époux [R] font valoir qu’en vertu de ces textes, la BNP Paribas doit supporter les pertes occasionnées par les opérations de paiements qu’ils n’ont pas autorisées, non seulement parce qu’elle échoue à rapporter la preuve, qui lui incombe, d’une négligence grave de leur part dans la préservation de la sécurité de leurs données personnalisées, mais encore parce que ces opérations ont été effectuées sans qu’elle n’ait exigé une authentification forte.

Sur ce dernier point, l’article L 133-44 du code monétaire et financier auquel renvoie l’article L 133-19 prévoit, en matière d’authentification, que :

« I. ' Le prestataire de services de paiement applique l’authentification forte du client définie au f de l’article L. 133-4 lorsque le payeur :

1° Accède à son compte de paiement en ligne ;

2° Initie une opération de paiement électronique ;

3° Exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse.

II. ' Pour les opérations de paiement électronique à distance, l’authentification forte du client définie au f de l’article L. 133-4 comporte des éléments qui établissent un lien dynamique entre l’opération, le montant et le bénéficiaire donnés.

III. ' En ce qui concerne l’obligation du I, les prestataires de services de paiement mettent en place des mesures de sécurité adéquates afin de protéger la confidentialité et l’intégrité des données de sécurité personnalisées des utilisateurs de services de paiement. ».

Suivant l’article L 133-4 f, « une authentification forte du client s’entend d’une authentification reposant sur l’utilisation de deux éléments ou plus appartenant aux catégories « connaissance » (quelque chose que seul l’utilisateur connaît), « possession » (quelque chose que seul l’utilisateur possède) et « inhérence » (quelque chose que l’utilisateur est) et indépendants en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d’authentification ».

La preuve du recours à l’authentification forte appartient au prestataire de paiement, conformément à l’article L 133-23 du même code qui dispose que « lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique

ou autre.».

Il résulte de ces textes que, sauf agissements frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur (Cass.com, 30 août 2023, n°22-11.707).

En premier lieu, c’est par une lecture erronée de l’historique des ordres de paiement tel qu’il figure sur le relevé produit par la BNP (pièce 8) et plus précisément une inversion des titulaires des adresses IP rattachées aux ordres de paiement que les premiers juges ont cru pouvoir considérer que les époux [R] avaient eux-mêmes exécuté et validé l’ensemble des paiements et virements litigieux, à l’exception du virement de 199 euros à 15h30 qui ne pouvait leur être attribué avec certitude puisque provenant d’une adresse IP différente. En réalité et à l’inverse de ce que le tribunal a relevé, la lecture de cet historique informatique confirme que seul ce premier virement de 199 euros effectué à 15h30 a été opéré à partir du terminal utilisé par les époux [R] (adresse IP 92.160.201.170), virement que les intéressés ont toujours indiqué avoir effectué puisqu’ils croyaient ainsi s’acquitter du coût du vélo qui leur avait été faussement vendu. En revanche, les virements ultérieurs, que les intéressés réfutent avoir autorisés, ont été réalisés à partir du terminal utilisé par l’escroc (adresse IP 50.7.151.65 localisée en région parisienne -pièce 17 époux [R]), ce que la société BNP Paribas admet d’ailleurs dans ses écritures (conclusions BNP Paribas page 10). Ce relevé informatique tend ainsi à confirmer au contraire, si besoin était, que les époux [R] n’ont jamais entendu permettre des paiements de plusieurs milliers d’euros. L’inverse aurait été surprenant dans la mesure où ces montants dépassent de loin la seule somme de 199 euros qu’ils croyaient devoir payer pour obtenir le vélo promis par le faux site de la marque Moustache.

En second lieu, la BNP Paribas n’apporte aucunement la preuve de ce que de tels paiements, que les époux [R] réfutent donc avoir autorisés, auraient été validés au moyen du système d’authentification forte, lequel lui était pourtant imposé par les textes précités depuis de nombreux mois, par suite de la transposition d’une directive européenne.

Il résulte au contraire des explications circonstanciées des époux [R], corroborées par les relevés informatiques des achats litigieux versés par la banque (Pièce 7 BNP Paribas), que les paiements par carte bancaire ont été validés par simple envoi d’un code contenu dans un SMS adressé sur leur numéro de portable, et non pas par clé digitale, comme l’intimée l’indique dans ses écritures, ni même par un autre moyen d’authentification forte tel qu’un SMS renforcé.

Or le seul envoi d’un code reçu par SMS sur le téléphone du payeur ne satisfait pas aux conditions de l’authentification forte définies par l’article L 133-4 f précité, en ce sens que toute compromission du téléphone par un pirate compromet par la même occasion le code envoyé sur ledit téléphone, ce alors que parallèlement aucun code de connexion connu du seul payeur ou aucun élément inhérent (tel qu’une empreinte digitale) n’est requis, comme tel est le cas en cas de recours à une clé digitale ou à un autre moyen d’identification forte.

Quant aux virements litigieux, si les époux [R] ne discutent pas avoir volontairement ajouté un nouveau bénéficiaire à la demande de leur interlocuteur pour tenter de payer leur achat après l’échec apparent de leur paiement par carte bancaire, il n’en demeure pas moins que les virements qui ont suivi ce premier virement volontaire de 199 euros, à savoir pas moins de cinq transferts réalisés en moins de deux minutes pour plusieurs milliers d’euros, et qu’ils contestent vigoureusement avoir autorisés, ont tous été effectués sans authentification forte préalable.

Or l’ajout d’un bénéficiaire au moyen d’une authentification forte ne dispensait évidemment pas l’établissement bancaire de requérir à nouveau une authentification forte pour toute opération de paiement ultérieurement initiée au profit de ce bénéficiaire, et ce conformément aux articles L 133-19 et L 133-44 précités, ce que la BNP Paribas ne démontre ni même ne prétend avoir fait.

En définitive, dès lors que les époux [R] réfutent avoir autorisé les opérations de paiement litigieuses en dehors d’un seul paiement par carte bancaire de 199 euros et d’un seul virement du même montant, et que de son côté la BNP Paribas échoue à démontrer qu’elle a, pour chacune des opérations contestées, exigé une authentification forte, elle doit supporter les conséquences financières de ces opérations, et ce conformément aux articles L 133-18, L 133-19 V et L 133-23 précités, sans qu’il ne soit alors nécessaire de s’interroger sur une éventuelle négligence grave de la part des époux [R] dans la préservation de la sécurité de leurs données de paiement personnalisées.

Il s’ensuit que par infirmation du jugement déféré, la BNP Paribas doit être condamnée à rembourser aux époux [R] la somme de 8898 euros obtenue après retranchement des deux paiements autorisés de 199 euros, ainsi que de la commission de virements de 4 euros qui leur a été remboursée suivant le mail de leur conseillère bancaire qu’ils produisent en pièce 8.

Cette somme portera intérêts au taux légal à compter du 22 novembre 2021, date de la mise en demeure.

Sur la demande en réparation d’un préjudice moral :

Si la cour regrette le manque d’explication de la part des époux [R] sur la cause de la suppression de leurs échanges avec l’escroc via Messenger, il n’en demeure pas moins que ceux-ci ont été victimes d’un hameçonnage plutôt habile et bien monté, ce dont témoigne l’ensemble des pièces produites y compris les copies d’écran du faux site Moustache.

Il en est résulté un préjudice moral indéniable, lequel s’est trouvé aggravé par les atermoiements de leur banque qui ne pouvait pourtant ignorer qu’elle n’avait pas satisfait à ses obligations en matière de sécurisation des paiements en ligne telles qu’elle résultaient d’une directive européenne applicable depuis de nombreux mois. En outre ses propres relevés informatiques lui avaient permis de se convaincre que les paiements contestés par ses clients avaient bel et bien été opérés par un tiers. Pourtant, la BNP Paribas, après avoir feint l’incompréhension en faisant état d’un litige commercial au sujet d’un achat non livré et dans lequel elle ne pouvait prendre parti, a dans un second temps reproché aux époux [R] d’avoir eux-mêmes effectué

les opérations contestées, en dépit des éléments en sa possession, pour leur opposer une fin de non-recevoir.

Une telle attitude face au désarroi des époux [R], alors même que ceux-ci la renvoyaient à ses obligations résultant du code monétaire et financier, constitue une faute contractuelle. Elle justifie l’indemnisation du préjudice moral supplémentaire qui en est résulté à hauteur de 500 euros, ce en application de l’article 1231-1 du code civil.

La BNP Paribas sera ainsi condamnée au paiement de cette somme à titre de dommages et intérêts, par infirmation du jugement déféré.

Sur les demandes accessoires :

La BNP Paribas, qui succombe, supportera la charge des dépens de première instance et d’appel et sera condamnée à verser aux époux [R] la somme de 3 000 euros en application de l’article 700 du code de procédure civile, au titre des frais irrépétibles engagés par ces derniers pour l’ensemble de la procédure. Le jugement déféré sera infirmé en ce sens.

PAR CES MOTIFS

Infirme le jugement déféré en toutes ses dispositions,

Statuant à nouveau,

Condamne la BNP Paribas à rembourser aux époux [L] [R] et [Y] [C] la somme de 8898 euros au titre des opérations de paiement non autorisées sur leur compte en date du 8 septembre 2021, augmentée des intérêts au taux légal à compter du 22 novembre 2021,

Condamne la BNP Paribas à verser en outre aux époux [R] la somme de 500 euros en indemnisation de leur préjudice moral,

Condamne la BNP Paribas à payer aux époux [R] la somme de 3000 euros en application de l’article 700 du code de procédure civile, au titre des frais irrépétibles engagés par ces derniers pour l’ensemble de la procédure,

Condamne la BNP Paribas aux dépens de première instance et d’appel.

Arrêt signé par Madame Carole CHEGARAY, Président de la chambre commerciale à la Cour d’Appel d’ORLEANS, présidant la collégialité et Madame Marie-Claude DONNAT, Greffier auquel la minute de la décision a été remise par le magistrat signataire.

LE GREFFIER LE PRÉSIDENT