Copies exécutoires REPUBLIQUE FRANCAISE

délivrées aux parties le : AU NOM DU PEUPLE FRANCAIS

COUR D’APPEL DE PARIS

Pôle 5 – Chambre 6

ARRET DU 22 NOVEMBRE 2023

(n° , 7 pages)

Numéro d’inscription au répertoire général : N° RG 22/00913 – N° Portalis 35L7-V-B7G-CFAOZ

Décision déférée à la Cour : Jugement du 27 Octobre 2021 -TJ hors JAF, JEX, JLD, J. EXPRO, JCP de PARIS – RG n° 20/01733

APPELANTE

Madame [D] [U]

[Adresse 3]

[Localité 4]

Représentée par M^e Maryline LUGOSI de la SELARL Selarl MOREAU GERVAIS GUILLOU VERNADE SIMON LUGOSI, avocat au barreau de PARIS, toque : P0073

INTIMEE

S.A. BNP PARIBAS

[Adresse 1]

[Localité 2]

Représentée par M^e Julien MARTINET, avocat au barreau de PARIS, toque : T04, avocat

substitué à l’audience par M^e Jérémie MENAT, avocat au barreau de PARIS

COMPOSITION DE LA COUR :

En application des dispositions de l’article 805 et 907 du code de procédure civile, l’affaire a été débattue le 02 Octobre 2023, en audience publique, les avocats ne s’y étant pas opposés, devant M. Marc BAILLY, président de chambre entendu en son rapport, et MME Laurence CHAINTRON.

Ces magistrats ont rendu compte des plaidoiries dans le délibéré de la Cour, composée de :

M. Marc BAILLY, Président de chambre chargé du rapport

MME Pascale SAPPEY-GUESDON, Conseillère

MME Laurence CHAINTRON, Conseillère

Greffier, lors des débats : M^me Mélanie THOMAS

ARRET :

— CONTRADICTOIRE

— par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

— signé par Marc BAILLY, Président de chambre et par Mélanie THOMAS, Greffier, présent lors de la mise à disposition.

* * * * *

Vu le jugement du tribunal judiciaire de Paris en date du 27 octobre 2021 qui, sur l’assignation délivrée le 20 février 2020 par Mme [D] [U], artiste lyrique, à la société Bnp Paribas dans les livres de laquelle elle détenait des comptes en condamnation à lui rembourser des virements de son compte bancaire d’un montant total de 30 000 euros, effectués à son préjudice au moyen d’une escroquerie, ainsi qu’en paiement de dommages-intérêts, qui l’a déboutée de toutes ses demandes et dit n’y avoir lieu à condamnation au titre des frais irrépétibles :

Vu l’appel interjeté par Mme [D] [U] par déclaration au greffe en date du 7 janvier 2022 ;

Vu les dernières conclusions en date du 28 août 2023 de Mme [D] [U] qui expose :

— qu’ainsi qu’elle l’a déclaré dans sa plainte pénale du 11 juillet 2019, elle a été sollicitée au téléphone le 25 juin 2019, après plusieurs courriels auquel elle n’avait, en revanche, pas répondu, par une personne se présentant comme préposé de la banque connaissant les virements qu’elle avait initiés la semaine précédente et, sans remettre ses identifiants et code, a suivi la demande qui lui était faite de valider au moyen d’une clé digitale les nouvelles coordonnées bancaires de ces bénéficiaires,

— qu’elle a ensuite eu la surprise d’un appel de son chargé de clientèle le 2 juillet 2019 s’inquiétant d’un double virement ordonné et qu’il a alors été découvert que du 25 juin au 1er juillet 2019, six virements pour un total de 30 000 euros avaient été effectués à son insu,

— qu’en vertu des articles L133-6 et suivants du code monétaire et financier, il incombe à la banque de rembourser les opérations frauduleuses réalisées sauf si elle démontre que le client a manqué à ses obligations de prudence et de diligence dans la conservation de ses moyens de paiement ou a fait preuve de négligence grave sans que l’utilisation de l’instrument de paiement ou de données personnelles ne suffise à l’établir,

— qu’en l’espèce, elle n’a commis aucune négligence grave alors que l’escroc a pu accéder à la plate forme d’interface de son compte bancaire, qu’elle a été mise en confiance par son interlocuteur qui connaissaient les virements qu’elle avait réellement initiés la semaine précédente, que le contrôle a été pris à distance sur son compte aux fins que soient ordonnés les virements à son insu, qu’elle n’a jamais communiqué ses identifiants et code secret à son interlocuteur,

— que loin d’avoir laissé accès à sa plate-forme interface bancaire, elle n’a rien divulgué, que la banque, en revanche, ne s’explique pas sur la connaissance qu’avait son interlocuteur de ses mouvements de compte ce qui établit la fragilité du système de sécurité, qu’elle n’avait aucune raison de croire à une escroquerie en validant sur son interface la clé digitale sollicitée dans ces conditions,

— que la banque est au contraire fautive en ce que le modus operandi est bien connu des établissements bancaires, que les virements ont été effectués au bénéfice de personnes détenant des comptes ouverts au près de sociétés émettrices de carte prépayées, critiquées comme étant très peu sécurisées, qu’ensuite elle ne justifie pas être intervenue auprès des établissements teneur des comptes de ces bénéficiaires aux fins de récupérer les sommes, de sorte qu’elle demande à la cour de :

'- Infirmer le jugement rendu le 27 octobre 2021 (…) en ce qu’il a débouté Madame [D] [U] de toutes ses demandes,

En conséquence,

— Condamner la société BNP PARIBAS à payer à Madame [D] [U] une somme de 30 000 €, assortie des intérêts légaux ayant couru depuis le 8 juillet 2019, date de la première réclamation formulée par Madame [U] ou, à tout le moins, depuis le 18 septembre 2019, date de la mise en demeure adressée à la banque par le conseil de la requérante ;

— Condamner la société BNP PARIBAS à verser à Madame [D] [U] la somme de 10 000 € à titre de dommages et intérêts ;

— Condamner la société BNP PARIBAS à verser à Madame [D] [U] la somme de 5.000 € au titre des dispositions de l’article 700 du Code de procédure civile, outre les entiers dépens de l’instance'.

Vu les dernières conclusions en date du 4 septembre 2023 de la société Bnp PARIBAS qui poursuit la confirmation du jugement et la condamnation de Mme [U] à lui payer une somme de 3 000 euros au titre des frais irrépétibles en exposant :

— qu’au mois de mars 2019 a été mis en place une clé digitale sur le téléphone de Mme [U] de sorte que les opérations sensibles telle l’ajout d’un bénéficiaire doit faire l’objet d’une validation par le code secret personnel de l’utilisateur,

— qu’en dehors de l’obligation de remboursement d’une opération non autorisée de l’article L133-18 du code monétaire et financier existe le régime particulier des instruments dotés de données de sécurités personnalisées des articles L133-16 et 133-17 comme en l’espèce qui imposent de supporter les pertes occasionnées par des opérations non autorisées notamment si l’utilisateur n’a pas satisfait intentionnellement ou par négligence grave aux obligations y mentionnées,

— qu’en l’espèce, Mme [U] a fait preuve de négligence grave en validant 'sans faire gaffe’ comme elle l’a déclaré dans sa plainte à la gendarmerie, une opération qui lui était présentée comme l’ajout de bénéficiaires à la demande d’un tiers,

— que pourtant elle alerte tous ses clients, dont Mme [U], sur les risques de fraude et dispense des conseils de sécurité, que Mme [U] déclare n’avoir précisément pas répondu aux courriels précédant le coup de téléphone et a répondu à la sixième tentative sans s’étonner de cette insistance suspecte du prétendu préposé,

— que les allégations de Mme [U] sur les failles de sécurité du système sont infondées, les informations sur l’état de ses comptes ayant pu être obtenus par de nombreux biais indépendamment de la banque, rien ne venant le démontrer,

— qu’en vertu de l’article L133-16 du code monétaire et financier il lui appartenait de conserver ses données de sécurité personnalisées et donc de ne pas donner suite à des sollicitations d’un tiers,

— qu’en outre elle s’est abstenue de toute démarche pendant environ une semaine alors même qu’elle s’est connectée à trois reprises pour voir l’état de son compte pendant cette période, le jugement méritant une entière confirmation.

L’ordonnance de clôture a été rendue le 5 septembre 2023.

MOTIFS

Il résulte des explications de Mme [U], de la société Bnp PARIBAS et des pièces produites que :

— que les parties étaient dans les liens d’une convention d’ouverture de compte ancienne depuis 1984 et qu’à compter du 2 mars 2019, un service dit de 'clé digitale’ a été instauré pour les opérations les plus sensibles parmi lesquelles l’adjonction d’un nouveau bénéficiaire potentiel de virement correspondant à l’emploi imposé, en plus des identifiants et code habituel de connexion au site internet de la banque, d’un code secret connu du seul client,

— que Mme [U] a déclaré aux services de police lors de sa plainte pénale du 11 juillet 2019 qu’elle avait reçu des courriels qu’elle pensait émaner de la société Bnp PARIBAS lui demandant de valider des clés digitales de modification des bénéficiaires dont les références bancaires auraient changé les 24 et 25 juin 2019 mais qu’elle n’y a pas répondu,

— qu’elle a ensuite répondu au sixième appel du 25 juin 2019 au cours duquel une personne se présentant comme préposé de la banque a évoqué ces courriels, lui a exposé que les références de bénéficiaires de deux virements qu’elle avait effectivement demandés la semaine précédente au profit de la communauté de communes d’Aiguebelette et la Réunion des musées nationaux avaient changées et qu’il lui fallait valider les nouvelles références sur le site au moyen de clés digitales,

— qu’elle s’est connectée à l’application mais que cette dernière ne répondait pas, que son interlocuteur lui a demandé de raccrocher et de réessayer, ce qu’elle a fait en validant la clé digitale qui est apparue 'sans faire gaffe’ quant au point de savoir s’il s’agissait de virements plutôt que d’ajout d’un bénéficiaire,

— que six virements auxquels elle n’a pas consentis sont ensuite venus débiter son compte, de 6 000 euros le 25 juin, de 4 000 et 2 000 euros le 26 juin, de 6 000 euros les 27, 28 juin et 1er juillet pour un total de 30 000 euros,

— qu’elle a été alertée le 2 juillet par un préposé de la banque s’inquiétant de sa réelle volonté de procéder à un nouveau virement de 6 000 euros semblant faire double emploi.

Il résulte de l’article 34, VIII, 3°, de l’ordonnance n° 2017-1252 du 9 août 2017, que l’article L. 133-44 du code monétaire et financier, auquel renvoie son article L. 133-19, V est entré en vigueur le 14 septembre 2019, dix-huit mois après l’entrée en vigueur du règlement délégué (UE) 2018/389 de la Commission du 27 novembre 2017 complétant la directive (UE) 2015/2366 par des normes techniques de réglementation relatives à l’authentification forte du client et à des normes ouvertes communes et sécurisées de communication.

En conséquence, à la date des faits litigieux, les dispositions du code monétaire et financier applicables étaient les suivantes :

— article L133-18 :

'en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.

— article L133-19 :

'I. ' En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17, les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 €.

Toutefois, la responsabilité du payeur n’est pas engagée en cas :

' d’opération de paiement non autorisée effectuée sans utilisation des données de sécurité personnalisées ;

' de perte ou de vol d’un instrument de paiement ne pouvant être détecté par le payeur avant le paiement ;

' de perte due à des actes ou à une carence d’un salarié, d’un agent ou d’une succursale d’un prestataire de services de paiement ou d’une entité vers laquelle ses activités ont été externalisées.

II. ' La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées.

Elle n’est pas engagée non plus en cas de contrefaçon de l’instrument de paiement si, au moment de l’opération de paiement non autorisée, le payeur était en possession de son instrument.

III. ' Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l’information aux fins de blocage de l’instrument de paiement prévue à l’article L. 133-17.

IV . ' Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

V et VI Inapplicables avant le 14 septembre 2019'

— article L133-16 :

'Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés.

Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation'.

— article L133-17 alinéa 1er, le second étant relatif aux cartes de paiement :

'I. ' Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci.'

En l’espèce la banque ne conteste pas que les opérations litigieuses ne sont pas autorisées, au sens où elles n’ont pas été consenties par Mme [U] selon l’article L 133-6 du code monétaire et financier, ce que les données techniques permettent de conforter puisque les connexions ayant donné lieu à des virements ont toutes été faites à partir d’une même adresse IP qui n’est pas l’une de celles habituellement utilisée par la cliente.

Etant observé, d’une part, qu’il est constant que seule la validation de la clé digitale faite à la demande de tiers a constitué une authentification forte et qu’en revanche les virements ont été demandé sans cette authentification forte et qu’en tout état de cause, les conséquences juridiques de l’usage d’une authentification forte ne sont tirées par l’entrée en vigueur des articles L133-44 et 133-19 du code monétaire et financier dans leur rédaction issue de l’ordonnance du 9 août 2017, postérieures aux faits litigieux comme étant du 14 septembre 2019, il résulte des textes rapportés ci-dessus que la banque est, en principe, tenue de rembourser à sa cliente les sommes virées sans son autorisation, sauf à démontrer que celle-ci a agi frauduleusement ou encore n’a pas satisfait à son obligation de préservation de la sécurité du dispositif de sécurité personnalisé, et ce, soit intentionnellement ou par négligence grave.

En l’espèce, il doit être relevé que c’est pertinemment que Mme [U] fait valoir qu’elle n’a pas divulgué à des tiers ses identifiants ou son mot de passe ou encore même un code réputé connu d’elle seule dont elle a seulement elle-même fait usage sur l’interface internet de la banque puisque le mode opératoire qu’elle décrit et qui n’est contredit par aucune donnée technique, ne l’établit pas.

Contrairement à ce que soutient la société Bnp PARIBAS, la circonstance que Mme [U], plutôt que d’autoriser l’ajout d’un nouveau bénéficiaire comme le tiers le lui demandait, aurait directement demandé les virements au moyen de l’usage de la clé digitale comme l’a évoqué le gendarme recueillant sa plainte est contredit par les données techniques sur les dates des dits virements, lesquels ont été effectués postérieurement, sans système d’authentification forte, de sorte que Mme [U] n’a plus eu de rôle actif à jouer.

La circonstance que des courriels ayant le même objet que l’appel téléphonique auquel Mme [U] a finalement répondu, ont été envoyés préalablement de même que la répétition des appels ont été de nature à conditionner celle-ci en lui laissant croire à l’urgence de la nécessité de son intervention.

Il en est de même de la connaissance par son interlocuteur de virements précédents qu’elle avait effectivement ordonnés, ce qui n’est réputé connu que d’elle-même, de la banque et des bénéficiaires, ces éléments ne pouvant que la conforter dans la croyance que c’était bien avec un préposé de la banque qu’elle s’entretenait.

Compte tenu de ces éléments et peu important les alertes dispensées aux clients de la banque, il n’est pas démontré par cette dernière que le fait que Mme [U] ait obtempéré à la demande d’un tiers comme elle l’a fait, c’est à dire non en divulguant une information confidentielle mais en agissant, au moyen de ses données de connexions conservées secrètes, directement sur l’interface internet de la banque dans la croyance qu’un préposé du cette dernière le lui demandait, ait constitué une négligence grave l’exonérant de son obligation de remboursement.

Dès lors que les virements ne se sont étalés que pendant une durée de quinze jours, que Mme [U] a signalé leur caractère non autorisé bien avant l’expiration du délai de 13 mois prévu à l’article L133-24 du code monétaire et financier, la circonstance que ses connexions sont répertoriées pendant cette période mais sans que les opérations alors faites ne soient connues, ne vient pas exonérer la banque de son obligation de remboursement ou l’amoindrir.

En conséquence, il y a lieu de condamner la société Bnp PARIBAS à rembourser à Mme [D] [U] la somme de 30 000 euros avec intérêts au taux légal à compter de la mise en demeure du 18 septembre 2019.

En revanche, Mme [U] ne démontre pas que la société Bnp PARIBAS, au-delà de cette obligation de remboursement, a engagé sa responsabilité et n’objective pas, en particulier, de manquements qui lui soient imputables dès lors qu’il n’est pas établi que la connaissance des mouvements de son compte aient été portés à la connaissance de tiers par son fait, que les sommes ont rejoint un compte dans les livres d’uns société disposant de tous les agréments alors qu’il n’est fait obligation par aucune disposition légale à la banque de l’utilisateur de moyen de paiement de vérifier l’identité du destinataire des fonds.

Le jugement est confirmé en ce qu’il a débouté Mme [D] [U] de sa demande de dommages-intérêts.

Il y a lieu de condamner la société Bnp PARIBAS aux entiers dépens ainsi qu’à payer à Mme [U] la somme de 4 000 euros en application de l’article 700 du code de procédure civile.

PAR CES MOTIFS

CONFIRME le jugement entrepris en ce qu’il a débouté Mme [D] [U] de sa demande de dommages-intérêts ;

Le RÉFORME pour le surplus,

Et, statuant à nouveau,

CONDAMNE la société Bnp PARIBAS à payer à Mme [D] [U] la somme de 30 000 euros avec intérêts au taux légal à compter de la mise en demeure du 18 septembre 2019 ;

CONDAMNE la société Bnp PARIBAS à payer à Mme [D] [U] la somme de 4 000 euros en application de l’article 700 du code de procédure civile ;

CONDAMNE la société Bnp PARIBAS aux entiers dépens.

* * * * *

LE GREFFIER LE PRESIDENT