Copies exécutoires

RÉPUBLIQUE FRANÇAISE

délivrées aux parties le : AU NOM DU PEUPLE FRANÇAIS

COUR D’APPEL DE PARIS

Pôle 5 – Chambre 6

ARRÊT DU 27 FÉVRIER 2019

(n° 2019/126, 8 pages)

Numéro d’inscription au répertoire général : 17/06905 – N° Portalis 35L7-V-B7B-B27RI

Décision déférée à la Cour : Jugement du 16 Février 2017 – Tribunal de Commerce de PARIS – RG n° 2015045163

APPELANTE

SARL JETSET VOYAGES prise en la personne de ses représentants légaux

Immatriculée au RCS de Paris sous le numéro 338 405 319

[…]

[…]

Représentée par M^e Bénédicte BONNERY-FOUTER de l’ASSOCIATION BONNERY DUBARRY, avocat au barreau de PARIS, toque : E2101

INTIMÉE

BRED BANQUE POPULAIRE prise en la personne de ses représentants légaux

Immatriculée au RCS de Paris sous le numéro 552 091 795

[…]

[…]

Représentée par M^e B C D, avocat au barreau de PARIS, toque : P0241

Représentée par M^e Antoine JUARISTI du PARTNERSHIPS HERBERT SMITH FREEHILLS PARIS LLP, avocat au barreau de PARIS, toque : J025, avocat substitué par M^e Laetitia LAMY du PARTNERSHIPS HERBERT SMITH FREEHILLS PARIS LLP, avocat au barreau de PARIS

COMPOSITION DE LA COUR :

L’affaire a été débattue le 15 Janvier 2019, en audience publique, devant la Cour composée de :

Madame Françoise CHANDELON, Présidente de chambre

Monsieur Marc BAILLY, Conseiller

Madame Pascale GUESDON, Conseillère

qui en ont délibéré,

Un rapport a été présenté à l’audience dans les conditions prévues par l’article 785 du code de procédure civile.

Greffier, lors des débats : Madame Y Z

ARRÊT :

— contradictoire,

— par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile,

— signé par Françoise CHANDELON, Présidente de chambre et par Y Z, Greffier, présent lors de la mise à disposition.

*****

Vu le jugement du 16 février 2017 du tribunal de commerce de Paris qui, à la suite de l’assignation délivrée par la s.à.r.l. Jetset Voyages à sa banque, la société BRED Banque Populaire, en remboursement des causes d’un virement de 84 390 euros du 12 février 2015 décrit comme frauduleux dont elle a été débitée et en indemnisation d’un préjudice complémentaire, qui a débouté la demanderesse de toutes ses prétentions, l’a condamné aux dépens ainsi qu’à payer la somme de 2 000 euros en application de l’article 700 du code de procédure civile ;

Vu l’appel interjeté par la s.à.r.l. Jetset Voyages par déclaration en date du 30 mars 2017 ;

Vu les dernières conclusions de la s.à.r.l. Jetset Voyages, agence de voyage spécialisée dans le continent Nord-Américain, en date du 21 décembre 2018 qui fait valoir :

— qu’en application des articles L.133-18 et suivant du code monétaire et financier, s’agissant d’un virement frauduleux, non autorisé puisque réalisé par un pirate informatique au moyen d’un cheval de Troie, dont elle a immédiatement averti sa banque et du chef duquel porté plainte, la banque est tenue de le lui rembourser, d’autant qu’il appartient au prestataire qui délivre un instrument de paiement de s’assurer que les dispositifs de sécurité personnalisés ne sont pas accessibles aux tiers selon l’article L.133-15 du code monétaire et financier,

— que, contrairement à ce que prévoient les conditions générales du service TransBRED sur l’authentification par un code Pin, pour l’accès au dit service et la confirmation de l’ordre, valant acceptation du virement, il ne ressort pas des pièces qu’il aurait été composé, le tribunal ayant eu tort de ne pas tirer les conséquences de ses propres constatations, la simple connexion au serveur s’en distinguant à cet égard,

— que l’étude non contradictoire du cabinet Deloitte, trois mois après l’assignation et à l’instigation de la Bred n’a qu’une valeur probante discutable, qu’aucun mésusage du service ne lui est imputable, qu’aucun fait non maîtrisable par la banque n’est démontré et qu’elle doit supporter les conséquences d’un éventuel virus informatique, qu’il n’est nullement démontré que la demande de virement a été authentifiée, dûment enregistrée et comptabilisée,

— que le caractère frauduleux du virement n’est au demeurant pas contestable au vu de l’enquête pénale ayant entraîné une entraide internationale avec les autorités Roumaines avant d’aboutir à un

non lieu, seulement faute d’identification des acteurs,

— qu’elle n’a aujourd’hui reçu aucune indemnisation dans le cadre d’un gel des fonds par la Raiffeisen Bank, destinataire de ceux-ci en Roumanie,

— que la BRED ne démontre nullement une négligence grave qui lui soit imputable quant à son propre système informatique, qu’elle a averti le banque dans le délai imposé par la loi, dès le 20 février 2015, lorsqu’elle s’est aperçue du virement frauduleux,

— que les articles L.133-18 du code monétaire et financier sur le principe général de remboursement en cas d’opérations non autorisées et L.133-19 sur le cas particulier des instruments de paiement dotés de systèmes de sécurité personnalisés sont complémentaires et non exclusifs l’un de l’autre, qu’il est en outre inexact de prétendre que les conditions générales de la BRED seraient dérogatoires à l’article L.133-19 et qu’en tout état de cause, elles le seraient à tort, puisqu’il s’agit d’une disposition d’ordre public, à l’obligation de remboursement prévue à son article L.133-18 auquel il ne peut être dérogé, qu’en toute hypothèse, les conditions générales du 15 octobre 2003 ne peuvent déroger aux dispositions issues de la Directive du 15 juillet 2009 qui s’imposent,

— que la BRED a manqué à son obligation de vigilance compte tenu des anomalies apparentes cumulées de l’ordre de virement quant à son montant, quant à son incidence sur l’encours du compte bancaire puisqu’il représentait 95% du solde, quant au bénéficiaire inhabituel, quant à son libellé 'Bien' alors qu’elle offre des services, de sorte que si l’obligation de remboursement n’était pas consacrée, la somme objet du virement serait due, subsidiairement, à titre de dommages-intérêts,

— qu’elle a subi des préjudices distincts du fait du manque de trésorerie, des frais de traduction rendus nécessaires et d’avocat qui peuvent être chiffrés à la somme de 25 000 euros, de sorte qu’elle demande à la cour :

— de réformer le jugement entrepris en toutes ses dispositions,

— à titre principal, de condamner la banque à lui rembourser la somme de 84 932,94 euros avec intérêts au taux légal à compter du 5 mai 2015,

— subsidiairement de condamner la banque à lui payer la somme de 84 932,94 euros avec intérêts au taux légal à compter du 5 mai 2015 à titre de dommages-intérêts,

— en tout état de cause, de la condamner à lui payer la somme de 25 000 euros de dommages-intérêts,

— de la condamner à lui payer la somme de 15 000 euros en application de l’article 700 du code de procédure civile ;

Vu les dernières conclusions de la société BRED Banque Populaire du 3 janvier 2019 qui sollicite la confirmation du jugement, le débouté des demandes et la somme de 15 000 euros au titre des frais irrépétibles en faisant valoir :

— que l’article L.133-2 du code monétaire et financier autorise, entre professionnels comme en l’espèce, des dérogations aux dispositions qui lui suivent et spécialement à l’article L.132-19,

— que l’opération a été valablement autorisée par la société Jetset Voyages dans les conditions prévues entre elle et la banque selon les conditions générales exigeant l’ouverture d’une session de connexion, qui n’est désormais plus contestée, l’utilisation d’un certificat valable 'kit trust me card' et du code Pin personnel et confidentiel comme le montrent les données de connexion, que le virement litigieux de 16h01 a d’ailleurs été suivi d’un autre à 16h23, strictement identique informatiquement mais non discuté quant à lui, que l’utilisation du code Pin de la personne habilitée au sein de la

société appelante, M^me A X, est donc nécessairement et indiscutablement intervenue,

— que l’absence de contestation du second virement est étrange et que le contenu des critiques qui lui sont faites permet de douter de la bonne foi de l’appelante en l’espèce puisque les conditions générales dérogatoires prévoient que toute force probante est accordée aux données obtenues par la banque lors de l’utilisation du service,

— que le virement a été authentifié, enregistré et comptabilisé dans les conditions prévues par l’article L.133-23 du Code monétaire et financier, que l’article L.133-2 du code monétaire et financier permet aux professionnels de convenir de dérogations notamment à l’article L.133-19 et que tel a été le cas en l’espèce des conditions générales qui font de l’usage du code Pin une acceptation irréfragable de l’exécution de l’ordre, de l’utilisation du certificat d’authenticité et du code Pin une reconnaissance irréfragable de l’imputabilité de l’ordre au client et des enregistrements de la BRED une preuve,

— qu’elle n’est pas partie à la procédure pénale, que l’utilisation d’un cheval de Troie n’est pas démontrée mais qu’il ressort des pièces que la société Jetset Voyages pourrait être indemnisée compte tenu de la demande du procureur de Paris à son homologue roumain, une double indemnisation ne pouvant être obtenue,

— qu’elle n’a pas manqué à son obligation de vigilance compte tenu du caractère non anormal de l’opération, de sa conciliation nécessaire avec le principe de non immixtion et de la faute de la victime puisque le système TransBRED permettant une sécurité certaine, les opérations sont ensuite accomplies sous réserve du respect de la procédure par les clients sur lesquels et sur le système desquels elle ne peut agir, les anomalies intellectuelles étant sans pertinence et le caractère anormal du virement, en tout état de cause, non démontré,

— que la demande de remboursement ne repose sur aucun fondement puisque l’article L.133-18 du code monétaire et financier n’est pas relatif aux services de paiements sécurisés personnalisés comme en l’espèce, prévus à l’article L.133-19, expressément 'dérogatoire' au précédent dans la Directive dont il est la transposition, les deux articles étant exclusifs l’un de l’autre étant rappelé qu’il a été dérogé contractuellement au second, seul applicable, comme cela est permis par l’article L.133-2 du code monétaire et financier, cet aménagement conventionnel, même antérieur à la transposition, étant expressément applicable en vertu des dispositions transitoires prévues par l’ordonnance du 15 juillet 2009,

— que les parties ont conventionnellement exclu sa responsabilité en cas de virus informatique affectant l’ordinateur du client utilisé pour réaliser le virement, ce qui est le cas d’un cheval de Troie dont la réalité n’est pas démontrée alors que la défaillance ne relève que du système informatique de la société Jetset Voyages non opposable à la banque en vertu des stipulations conventionnelles qui l’exonèrent de l’usage impropre, du fait du client, de la non conservation des données de sécurité et des effets d’un virus,

— qu’il appartenait donc à la société Jetset Voyages de s’assurer d’un anti virus efficace et de la sécurité de son système ce qu’elle démontre insuffisamment par une attestation générale de l’un de se préposés,

— que la société Jetset Voyages ne peut prétendre à un remboursement pour avoir commis plusieurs négligences graves dans l’utilisation de TransBRED au sens des articles L.133-16 et L.133-17 du code monétaire et financier puisque toutes les préventions d’une défaillance n’ont pas été accomplies, comme cela résulte des déclarations de M^me X et que la garde du certificat d’authentification et du code Pin incombait à la cliente, d’autant que le virement du 12 février n’a été signalé que le 20 février suivant, cette latence étant une négligence grave dont les conséquences ne sauraient être mises à sa charge alors que la comptable aurait immédiatement pu constater le virement,

— que l’imputabilité du préjudice complémentaire, partiellement établi, n’est pas démontrée alors même qu’elle n’a commis aucune faute qui puisse lui être reprochée ;

Vu l’ordonnance de clôture rendue le 8 janvier 2019 ;

MOTIFS

L’agence de voyage s.à.r.l. Jetset Voyages est liée à la BRED notamment par un contrat TransBRED.net daté du 15 octobre 2003 consistant en un service d’échanges de données informatisées par internet s’appuyant sur une technologie de certification numérique de sécurisation des transactions par l’utilisation d’un 'kit trust me card' par l’utilisateur, composé d’une carte à puce, d’un lecteur de carte et d’un CD-Rom permettant l’identification et l’authentification de l’utilisateur, le tout associé à un code Pin.

Les conditions particulières prévoient que figurent au nombre des utilisateurs autorisés au sein de la société Jetset Voyages, notamment M^me A X, comptable.

Le 12 février 2015, à 16h01, par le biais du service TransBRED a été réalisé un virement de la somme de 84 930 euros à partir du compte de la société Jetset à destination d’un compte dans les livres de l’agence de Bucarest de la Raiffeisenf Bank ouvert au nom de Davito Agrohold Srl, sous le 'motif économique 'E01 Bien'.

Le même jour à 16h23 un autre virement a été réalisé de 1 700 dollars à destination de Rey Royal Excursion LLC sous le motif économique 'EO6 Tourisme', quant à lui non contesté.

Le 20 février 2015, le directeur financier de la société Jetset Voyages a porté plainte au commissariat du 16^e arrondissement de Paris exposant avoir reçu un courrier de la BRED le jour même l’informant de l’exécution du virement et dénonçant le caractère frauduleux de celui-ci, invoquant la découverte par son service informatique d’un cheval de Troie.

Le même jour, les faits ont été dénoncés à la BRED qui a sollicité le blocage et le retour des fonds par plusieurs messages Swift, infructueusement pour ce qui est du retour des fonds en vertu de la législation roumaine selon les réponses de la Raiffeisen Bank qui a exposé être sans nouvelles de son client bénéficiaire.

Une procédure d’entraide pénale internationale a été initiée dans le cadre de laquelle le titulaire du compte en Roumanie, de nationalité lettonne et qui avait fait domicilier la société bénéficiaire exerçant dans le domaine agricole dans le village de Dobrovat, n’a pu être retrouvé non plus que la somme de 84 930 euros, bloquée dans les comptes de la Raiffeisen Bank, non restitués à raison de difficultés juridiques selon la société Jetset Voyages.

Compte tenu de la date du virement, les obligations respectives du payeur qu’est la société Jetset Voyages et du prestataire de service de paiement qu’est la BRED sont régies par les articles L133-1 et suivants du code monétaire et financier dans leurs versions issues de l’ordonnance du 15 juillet 2009 transposant la Directive 2007/64/CE du 13 novembre 2007 antérieures à l’ordonnance du 9 août 2017.

L’article L.133-6 dispose qu’ 'une opération de paiement est autorisée si le payeur a donné son consentement à son exécution'.

L’article L.133-23 prévoit que 'Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre' et que ' l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière', tandis que l’article L.133-24 prévoit que l’utilisateur doit avertir le prestataire d’une utilisation non autorisée ' sans tarder' et ' au plus tard dans le délai de treize mois.'

L’article L.133-18 prévoit notamment que 'en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L.133-24, le prestataire de services de paiement du payeur rembourse immédiatement au payeur le montant de l’opération non autorisée et, le cas échéant, rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.'

L’article L.133-19 dispose que :

'I. ' En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L.133-17, les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 150 euros.

Toutefois, la responsabilité du payeur n’est pas engagée en cas d’opération de paiement non autorisée effectuée sans utilisation du dispositif de sécurité personnalisé.

1.

'II. ' La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées.

Elle n’est pas engagée non plus en cas de contrefaçon de l’instrument de paiement si, au moment de l’opération de paiement non autorisée, le payeur était en possession de son instrument.

1.

III. ' Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l’information aux fins de blocage de l’instrument de paiement prévue à l’article L.133-17.

IV. ' Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.133-16 et L.133-17.'

En l’espèce, si la BRED soutient que le relevé de la connexion informatique de la société Jetset Voyages au service TransBRED montre l’exécution, sans anomalie apparente, du virement litigieux, il n’en ressort pas pour autant que l’utilisation de l’instrument de paiement telle qu’enregistrée par elle suffit à prouver que l’opération a été autorisée au sens de l’article L.133-6 du code monétaire et financier.

Il résulte, au contraire, de la protestation de la société Jetset Voyages, de la plainte qu’elle a déposée, de l’entraide pénale internationale à laquelle elle a donné lieu, de la destination des fonds sans aucun rapport avec son activité habituelle d’agence de voyages aux Etats-Unis et de l’absence de tout soupçon porté sur ses préposés, qu’elle n’avait pas donné son consentement à l’opération de paiement litigieuse, qui n’était donc pas autorisée au sens de ce texte.

L’article L.133-18 du code monétaire et financier, constituant l’article unique de la sous-section 'régime de responsabilité' pose le principe général de la responsabilité du prestataire de service de paiement en cas d’opérations non autorisées, puisqu’il lui incombe de rembourser son client, et

l’article L.133-19 prévoit, dans le cas particulier des instruments de paiement dotés d’un dispositif de paiement de sécurité personnalisé, que l’utilisateur ne supporte pas les conséquences des opérations non autorisées lorsqu’il y a eu perte ou vol de l’instrument de paiement, détournement de ce dernier à son insu, contrefaçon alors qu’il était en possession du dit instrument ou encore lorsque le prestataire ne lui a pas fourni un moyen déblocage de l’instrument, et ce, sauf lors que l’utilisateur a agi soit frauduleusement c’est à dire lorsqu’il a, intentionnellement ou par négligence grave, manqué à ses obligations de préservation de la sécurité de l’instrument.

La Directive 2007/64, au regard de laquelle cette disposition de transposition doit être interprétée, conforte cette analyse puisqu’elle prévoit, dans son article 60, le principe du remboursement du payeur par le prestataire en cas d’opération non autorisée, tandis que son article 61 régit, – 'par dérogation' ce qui suppose l’application de la règle de principe à laquelle il est dérogé- les cas et/ou les limites de la responsabilité du payeur qui supporte les conséquences de l’opération non autorisée, essentiellement si elle résulte d’une fraude de sa part ou d’une négligence grave ou intentionnelle.

Or, en principe, en vertu des articles L.133-19 IV et L.133-23 du code monétaire et financier, c’est au prestataire de service de paiement qu’il incombe de rapporter la preuve soit que l’opération a été autorisée soit que l’utilisateur a agi frauduleusement ou n’a pas satisfait, intentionnellement ou par négligence grave, aux obligations lui incombant en vertu des articles L.133-16 et L.133-17 sur la préservation de la sécurité de ses dispositifs de sécurité personnalisés et sur l’alerte à donner au prestataire.

Toutefois en l’espèce, c’est à juste titre que la BRED fait valoir que l’article L.133-2 du code monétaire et financier permet aux parties à un contrat de prestation de service de paiement, qui ne sont pas des personnes physiques agissant pour des besoins non professionnels comme c’est le cas de la société Jetset Voyage, de déroger notamment aux articles L.133-19 et L.133-23 du code monétaire et financier.

Or, précisément, dans la convention les liant du 15 octobre 2003, il était stipulé :

— que 'l’identification d’un client et/ou d’un utilisateur au moyen du Kit Trust me card et du Code PIN vaut de manière irréfragable imputabilité des ordres effectués par celui-ci, la confirmation des ordres par le client et/ou l’utilisateur au moyen de la saisie de son code PIN constitue une signature électronique qui a, entre les parties, la même valeur qu’une signature manuscrite",

— que 'les enregistrements sur support informatique de la BRED Banque Populaire constituent la preuve des opérations effectuées par le client', que le 'client convient et accepte de considérer que les enregistrements de documents conservés dans le système d’information de la BRED Banque Populaire, dans des conditions raisonnables de sécurité, constituent entre les parties la preuve des transactions réalisées, des données reçues et des ordres d’exécution correspondant dans le cadre du service TransBRED',

— que le client est tenu de vérifier que l’équipement informatique est exempt de virus et une exonération de responsabilité de la BRED est prévue pour notamment 'difficultés liées à la preuve et/ou à la signature électronique… erreur de certificat browser, virus, erreur de certificat fournisseur, pertes de données…',

— que 'le client et/ou l’utilisateur est pleinement responsable de l’utilisation de sa Trust me card et de son code Pin. Il reconnaît et accepte les opérations ainsi initiées et leurs caractéristiques, dont la preuve est constituée par l’enregistrement électronique. Le client s’engage à assurer la garde et la confidentialité de ces moyens d’identification, en évitant toute imprudence pouvant favoriser l’usage frauduleux du service transBRED.Net dont il devrait alors assumer seule les conséquences'.

La circonstance que ces conditions générales aient été convenues antérieurement à l’entrée en

vigueur de l’ordonnance transposant la Directive, laquelle prévoit précisément qu’il peut être dérogé à certaines de ses dispositions, ne modifie pas la commune intention des parties et la convention s’applique dès lors qu’il ne résulte d’aucune disposition de l’ordonnance une exigence d’adaptation des contrats existants qui y sont soumis.

En conséquence, si la société Jetset Voyages établit à suffisance le caractère non autorisé de l’opération au sens des articles L.133-6 et L.133-23 du code monétaire et financier, les stipulations conventionnelles liant les paries excluent la responsabilité de la BRED dans l’hypothèse d’un virus et d’un usage frauduleux affectant le système informatique de sa cliente comme cette dernière le soutient.

La société Jetset Voyages n’établit pas un manquement de la BRED à ses obligations issues de l’article L.133-15 sur la préservation de l’inaccessibilité des instruments de paiement aux tiers, le manquement allégué ne pouvant se déduire de la seule constatation de l’exécution de l’opération non autorisée.

Compte tenu de l’utilisation d’un instrument doté d’un dispositif de paiement de sécurité personnalisé et compte tenu du devoir de non immixtion de la banque, en l’espèce, ni le montant du virement, non spécialement inhabituel au regard des précédents fournis, ni son incidence sur le compte, encore créditeur après exécution, ni la destination des fonds ni même sa nomenclature dans 'bien' aux lieu et place de celle plus habituellement utilisée par la société Jetset Voyages 'toursime', ne constituaient des anomalies qui caractérisent un manquement de celle-ci à une obligation de vigilance.

En conséquence de ce qui précède, il y a lieu de confirmer le jugement entrepris en toutes ses dispositions, de condamner la société Jetset Voyages aux dépens, l’équité commandant de ne pas prononcer de condamnation au titre des frais irrépétibles.

PAR CES MOTIFS

Confirme le jugement entrepris en toutes ses dispositions ;

Dit n’y avoir lieu au prononcé d’une condamnation au titre de l’article 700 du code de procédure civile ;

Condamne la société Jetset Voyages aux dépens de la présente instance qui seront recouvrés par Maître B C-D, comme il est disposé à l’article 699 du code de procédure civile.

LE GREFFIER LA PRÉSIDENTE