RÉPUBLIQUE FRAN’AISE

AU NOM DU PEUPLE FRAN’AIS

COUR D’APPEL DE PARIS

Pôle 5 – Chambre 6

ARRÊT DU 07 MAI 2025

(n° , 12 pages)

Numéro d’inscription au répertoire général : N° RG 23/05632 – N° Portalis 35L7-V-B7H-CHLEY

Décision déférée à la Cour : Jugement du 17 Mars 2023 – tribunal judiciaire de Paris 9ème chambre 3ème section – RG n° 22/02383

APPELANTE

S.A. BNP PARIBAS

[Adresse 3]

[Localité 5]

N°SIREN : 662 042 449

agissant poursuites et diligences de ses représentants légaux domiciliés en cette qualité audit siège

Représentée par M^e Dominique PENIN du cabinet MORGAN LEWIS & BOCKIUS UK LLP, avocat au barreau de Paris, toque : J11, avocat plaidant

INTIMÉ

Monsieur [J] [I]

né le [Date naissance 2] 1993 à [Localité 7]

[Adresse 4]

[Localité 6]

Représenté par M^e Antoine GENTY de la SCP BODIN GENTY, avocat au barreau de Paris, toque : P0182, avocat plaidant

COMPOSITION DE LA COUR :

L’affaire a été débattue le 04 Mars 2025, en audience publique, devant la Cour composée de :

M. Marc BAILLY, président de chambre

M. Vincent BRAUD, président de chambre

M^me Pascale SAPPEY-GUESDON, conseillère

qui en ont délibéré, un rapport a été présenté à l’audience par M. Vincent BRAUD dans les conditions prévues par l’article 804 du code de procédure civile.

Greffier, lors des débats : M^me Mélanie THOMAS

ARRÊT :

— contradictoire

— par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

— signé par Marc BAILLY, président de chambre et par Mélanie THOMAS, greffier, présent lors de la mise à disposition.

* * * * *

FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES

[J] [I] est titulaire d’un compte de dépôt dans les livres de la société anonyme BNP Paribas.

Soutenant que deux chèques avaient été encaissés à son insu sur son compte, puis rejetés pour impayés et constatant que des virements, des retraits d’espèces et des opérations de payement par carte bancaire avaient été effectués sans son autorisation, [J] [I] a fait opposition aux cartes de payement le 5 novembre 2020 et déposé une plainte le 7 novembre 2020. Il signalait à cette occasion que ses deux cartes de payement Visa Classic no 4974 xxx 1813 et Visa Premier no 4974 xxx 3848, et un relevé d’identité bancaire lui avaient été dérobés.

La banque s’est opposée au remboursement des opérations dénoncées par [J] [I] comme étant frauduleuses, à l’exception de quatre payements par carte bancaire, et a procédé à la clôture du compte qui présentait un solde débiteur, le 12 juillet 2021.

Par exploit en date du 15 février 2022, [J] [I] a assigné la société anonyme BNP Paribas devant le tribunal judiciaire de Paris.

Par jugement contradictoire en date du 17 mars 2023, le tribunal judiciaire de Paris a :

' Condamné la société anonyme BNP Paribas à payer à [J] [I] la somme de 11 082 euros au titre des opérations non autorisées, avec intérêts au taux légal à compter de la présente décision ;

' Débouté [J] [I] du surplus de ses demandes en payement formées contre la société anonyme BNP Paribas ;

' Condamné [J] [I] à payer à la société anonyme BNP Paribas la somme de 3 518,97 euros au titre du solde débiteur du compte ;

' Condamné la société anonyme BNP Paribas à payer à [J] [I] la somme de 2 500 euros au titre de l’article 700 du code de procédure civile ;

' Condamné la société anonyme BNP Paribas aux dépens ;

' Rappelé que le présent jugement est revêtu de l’exécution provisoire de droit.

Par déclaration du 22 mars 2023, la société BNP Paribas a interjeté appel du jugement.

Aux termes de ses dernières conclusions déposées le 3 octobre 2023, la société anonyme BNP Paribas demande à la cour de :

Déclarer BNP Paribas recevable et bien fondée en son appel,

Infirmer le jugement rendu le 17 mars 2023 par le Tribunal judiciaire de Paris en ce qu’il a :

Condamné la société anonyme BNP Paribas à payer à monsieur [J] [I] la somme de 11.082 euros au titre des opérations non autorisées, avec intérêts au taux légal à compter de la présente décision ;

Condamné la société anonyme BNP Paribas à payer à monsieur [J] [I] la somme de 2.500 euros au titre de l’article 700 du code de procédure civile ;

Condamné la société anonyme BNP Paribas aux dépens.

Confirmer le jugement rendu le 17 mars 2023 en ce qu’il a condamné Monsieur [I] à la somme de 3.518,97 euros au titre du solde débiteur du compte n°[XXXXXXXXXX01] et débouter Monsieur [I] de sa demande de dommages et intérêts.

Et statuant à nouveau :

Débouter Monsieur [I] de l’intégralité de ses demandes à toutes fins qu’elles comportent.

Condamner Monsieur [I] à rembourser à BNP Paribas les sommes payées au titre de l’exécution provisoire.

Y ajoutant, condamner Monsieur [I] à verser à BNP Paribas la somme de 3.500 ' au titre de l’article 700 du Code de procédure civile ainsi qu’aux entiers dépens de première instance et d’appel.

Aux termes de ses dernières conclusions déposées le 13 septembre 2023, [J] [I] demande à la cour de :

— déclarer la société BNP Paribas irrecevable et mal fondée en son appel,

— déclarer Monsieur [J] [I] recevable et bien fondé en son appel incident,

A titre principal :

Vu les articles L133-18, L133-19 et L133-20 du Code monétaire et financier,

— confirmer le jugement rendu le 17 mars 2023 par le Tribunal judiciaire de Paris en ce qu’il a condamné la société BNP Paribas à payer à Monsieur [J] [I] la somme de 11.082 euros au titre des opérations litigieuses avec intérêts au taux légal à compter du jugement et ce qu’il a condamné la société BNP Paribas à payer à Monsieur [J] [I] la somme de 2.500 euros au titre de l’article 700 du code de procédure civile,

— infirmer le jugement en ce qu’il a condamné Monsieur [J] [I] à payer à la société BNP Paribas la somme de 3.518,97 ' au titre du solde débiteur du compte bancaire,

— Statuant à nouveau de ce chef :

' débouter la société BNP Paribas de sa demande en paiement de la somme de 3.518,97 '

' condamner la BNP Paribas à rembourser à Monsieur [J] [I] la somme de 3.518,97 ' payée au titre de l’exécution provisoire ,

' débouter la société BNP Paribas de l’intégralité de ses demandes à toutes fins qu’elles comportent,

— Y ajoutant, condamner la société BNP Paribas à payer à Monsieur [I] la somme de 3.500 ' au titre de l’article 700 du Code de procédure civile,

Condamner ma société BNP Paribas aux entiers dépens de première instance et d’appel.

A titre subsidiaire,

Vu les dispositions des articles 1240 et 1241 du Code civil,

Dire et juger que la banque a commis une faute dont il est résulté un préjudice en lien direct avec cette faute,

Condamner en conséquence la BNP PARIBAS à payer à Monsieur [J] [I] la somme de 15.000 ' à titre de dommages et intérêts.

En tout état de cause,

Dire et juger que les condamnations seront assorties de l’intérêt au taux légal à compter du prononcé de l’arrêt à intervenir,

Condamner la banque BNP PARIBAS à payer à Monsieur [J] [I] la somme de 5.000 ' au titre de l’Article 700 du Code de Procédure Civile ainsi qu’aux entiers dépens de première instance et d’appel.

Pour l’essentiel, les parties développent les moyens et arguments suivants.

Sur la négligence de [J] [I] :

BNP Paribas fait valoir que l’ensemble des opérations ont été réalisées en raison de la seule et unique négligence de l’intimé. Elle fait valoir l’application des articles L.133-16 et L.133-23 du code monétaire et financier sur l’authentification du client. Les opérations contestées par le requérant ont toutes été validées à l’aide du mécanisme d’authentification forte via l’usage de sa « clé digitale ». Or, l’argument de l’intimé selon lequel il aurait été victime de « SIM Swap » ne saurait être retenu puisqu’il ne s’est jamais plaint de la perte de sa ligne téléphonique. La banque rappelle que le système de « clé digitale » est une forme d’authentification forte reconnue. La clé digitale n’est pas qu’un minimessage mais une notification détaillée de l’opération à valider sur son téléphone (qui a été identifié) : le payeur doit alors valider ou non l’opération au moyen de son téléphone portable (associé à son espace client) d’une part, et d’autre part, en composant un code secret unique qu’il a lui-même créé et qu’il est le seul à connaître.

BNP Paribas soutient qu’il existe des zones d’ombres entourant la remise à l’encaissement de deux chèques sur le compte de [J] [I]. En effet, les deux chèques de 1 987,22 euros et 1 978,37 euros ont été déposés sur le compte de [J] [I]. La banque suggère qu’il s’agisse d’une « escroquerie au chèque volé ». Effectivement, les chèques ont été encaissés le 3 novembre puis des virements ont eu lieu au profit de nouveaux bénéficiaires peu après.

La banque soulève la « malchance aggravée » de l’intimé qui a perdu ses codes bancaires, ses moyens de payement et désormais sa carte SIM. Toutefois, la banque précise que [J] [I] était bien en possession de l’appareil téléphonique avec lequel l’authentification forte a pu être réalisée. Dès lors, l’escroc a forcément dû se connecter sur l’espace client de [J] [I], afin d’ajouter les bénéficiaires. De ce fait l’escroc a eu possession des informations confidentielles de l’intimé. De surcroît, il a également été nécessaire de se connecter à l’espace client pour modifier les plafonds de payements et de retraits des cartes bleues de [J] [I] le 10 octobre 2020 à 2 heures 55. La banque met ainsi en avant le comportement négligent de [J] [I]. L’appelante indique que [J] [I] occulte la vérité puisque l’ajout des bénéficiaires n’a pu être fait qu’avec la clé digitale enrôlée depuis son téléphone.

La BNP Paribas soutient que c’est à tort que cette responsabilité a été écartée parce que la banque n’a pas pu rapporter la preuve que [J] [I] aurait reçu les notifications d’ajouts de bénéficiaires. Or, il est impossible pour la banque de rapporter cela. Cependant, les données informatiques des serveurs permettent de mettre en avant qu’une demande de validation de l’ajout de chaque bénéficiaire détaillée a été envoyée respectivement les 30 et 31 octobre 2020 et 2 novembre 2020 sur le téléphone portable de [J] [I]. L’appelante met en avant le relevé télématique où ressortent le nom des bénéficiaires et leur numéro de compte (pièce no 6). Comme expliqué précédemment les validations de ce type d’opération ne peuvent être faites que sur le téléphone de [J] [I]. Il a donc bien reçu les notifications et a choisi d’ajouter les bénéficiaires au lieu de choisir l’option « annuler ». En effet, sans la validation de ces notifications sur le téléphone, en la seule possession de [J] [I], aucun virement n’aurait pu être fait au profit des comptes ainsi ajoutés. La BNP Paribas rappelle que la jurisprudence sanctionne les utilisateurs de services de payement négligents comme l’aurait été [J] [I] en l’espèce.

La BNP Paribas soutient également que la négligence grave de [J] [I] est avérée concernant les six virements (le 30 octobre 2020 à 21 heures 47, 1 virement ; le 31 octobre 2020 à 0 heure 55 et 0 heure 58, 2 virements ; le 31 octobre 2020 à 3 heures 57 et 3 heures 23, 2 virements ; le 2 novembre 2020 à 22 heures 57, 1 virement) et des deux chèques (contrepassés le 5 novembre 2020). La banque précise que l’argument du « SIM swap », en plus de ne pas être prouvé est impossible car la « clé digitale » est liée au téléphone de [J] [I], non à la carte SIM, étant précisé que cette « clé digitale » est liée à son appareil mobile depuis le 6 septembre 2020 donc avant les évènements frauduleux.

Concernant les trois payements par carte bancaire, au-delà du fait que [J] [I] aurait pu faire opposition plus tôt pour bloquer les payements, il est sûr que sans leur validation par la clé digitale, l’escroc ne pouvait pas finaliser ces trois payements. Selon le relevé télématique trois demandes de validation de payement ont été envoyées le 3 novembre 2020 entre 21 heures 42 et 23 heures 11 sur le téléphone portable de [J] [I]. Dès lors, ces payements ont dûment été authentifiés par l’intimé. [J] [I] n’a fait aucune réclamation auprès des sociétés Lydia ou S. N. C. F. auprès desquelles les payements ont été faits. Une nouvelle fois [J] [I] a fait preuve de négligence en ne lisant pas ce qui était affiché sur son téléphone lors de la validation de l’opération.

Concernant les deux retraits par carte bancaire au distributeur de billet, la banque rappelle qu’il est nécessaire de composer le code confidentiel unique qui est associé à la carte pour les réaliser. Dès lors, [J] [I] a concouru au retrait des sommes de 600 euros avec la carte XXX1813 et de 1 000 euros avec la carte XXX3848 le 5 novembre 2020, car de telles opérations ont nécessairement supposé la composition, sur le guichet automatique de banque, du code secret qui est associé à la carte dont il avait la garde.

Au regard de tous ces éléments, la BNP Paribas remet en question le scénario de fraude exposé par [J] [I], du 30 octobre 2020 au 5 novembre 2020, en sachant que [J] [I] s’est aperçu de la fraude le jeudi 5 novembre 2020 à 11 heures en se rendant à sa banque.

[J] [I] fait valoir qu’il n’est ni à l’origine ni responsable des prélèvements frauduleux contre lesquels il a porté plainte. [J] [I] s’appuie sur les articles L. 133-18, L.133-19 et L.133-20 du code monétaire et financier. Dès lors que la BNP Paribas n’établit pas sa mauvaise foi, puisque quatre prélèvements ont été remboursés, il convient que le montant total des sommes prélevées frauduleusement soit remboursé. [J] [I] demande la confirmation du jugement en ce qu’il a condamné la BNP Paribas à lui payer la somme de 11 082 euros, puisque comme l’a retenu le tribunal judiciaire de Paris la banque ne démontre pas que les opérations litigieuses aient été autorisées par [J] [I] ou que ce dernier ait commis une faute lourde.

[J] [I] réfute l’argument de la banque selon lequel les opérations auraient été réalisées à son détriment en raison uniquement de sa négligence. [J] [I] aurait en réalité perdu son porte-carte dans lequel se trouvaient ses cartes de crédit et un relevé d’identité bancaire. [J] [I] indique que la banque laisserait sous-entendre qu’il aurait été complice de l’escroquerie, ce qu’il réfute.

Concernant les chèques, ils ont pu être déposés sur un automate, nécessitant la carte bancaire et le code secret, ou à un guichet sans qu’il soit nécessaire de fournir quoi que ce soit. Lors du dépôt de plainte [J] [I] a constaté l’encaissement de ces deux chèques rejetés pour impayé. Il ne les a pas endossés sauf que la banque n’a pas vérifié l’endos de ces chèques ni comment ils ont été remis.

Concernant l’ajout des quatre bénéficiaires, les payements par carte bancaire et les retraits, [J] [I] rejette les arguments de la banque selon lesquels l’intimé aurait été négligent en confirmant ces opérations sur son téléphone ou avec son code de carte bancaire.

[J] [I] fait également valoir concernant les retraits que les distributeurs de billets sont surveillés par des caméras mais qu’aucune donnée filmée n’a été exploitée.

[J] [I] rappelle que saisir un code confidentiel ne constituerait pas une négligence grave. Il ajoute que le système d’authentification forte de BNP Paribas n’est pas inviolable puisque y a été ajouté le dispositif 3D Secure. En outre, la BNP Paribas tenterait d’ignorer l’existence de techniques de piratage telles que l’hameçonnage, le clonage ou le « SIM swapping », en l’espèce. Cette dernière technique permet de prendre le contrôle d’un numéro de téléphone. [J] [I] a été victime de l’une de ces escroqueries.

[J] [I] rappelle que les opérations contestées ont toutes été faites pendant une fin de semaine et que la plainte a été déposée sans délai.

Sur le devoir de vigilance de la banque :

BNP Paribas fait valoir qu’elle n’a pas manqué à son devoir de vigilance car elle n’avait aucune obligation de s’enquérir des opérations de [J] [I]. En qualité de teneur de compte la banque devait simplement exécuter les ordres de son client. Le devoir de non-immixtion ne saurait être remis en question en obligeant le banquier à réaliser des vérifications sur chaque opération de ses clients. Le banquier n’est tenu que de vérifier l’identité du donneur d’ordre et d’assurer l’exécution des ordres de virement si le compte est suffisamment provisionné. En l’espèce aucune anomalie n’était apparente dès lors la banque n’était pas tenue d’être vigilante sur les activités de son client.

[J] [I] fait valoir que la banque a commis un manquement à son devoir de vigilance. Il estime qu’elle aurait dû l’alerter de ses dépenses au regard de ses revenus. En effet dans certaines banques un tel système existe. La banque n’a pas informé [J] [I] des mouvements bancaires inhabituels sur son compte bancaire et elle n’a pas non plus cherché à obtenir des informations. La banque est tenue d’un devoir de vigilance lors du fonctionnement du compte. Le banquier doit relever les anomalies apparentes, particulièrement les mouvements de fonds.

Sur la faute de la banque :

BNP Paribas fait valoir que la demande de [J] [I] de dommages et intérêts de 15 000 euros n’est pas justifiée. La banque n’a pas commis de faute. Dès lors ni le quantum ni l’existence du préjudice ne sont justifiés. La cour devra confirmer le jugement en ce qu’il a rejeté la demande de [J] [I].

[J] [I] fait valoir que la banque a commis une faute lui ayant causé un préjudice direct. Il se fonde sur les article 1240 et 1241 du Code civil. La BNP Paribas a accepté des payements à hauteur de presque 12 000 euros alors qu’elle n’accordait à son client une facilité de caisse que de 100 euros. Il est demandé à la cour de condamner la banque à payer 15 000 euros de dommages et intérêts du chef des sommes frauduleusement prélevées et du solde débiteur du compte bancaire.

Sur la condamnation de [J] [I] :

BNP Paribas fait valoir que le compte no [XXXXXXXXXX01] de [J] [I] présente un solde débiteur de 3 518,97 euros au 11 août 2021 qui doit être remboursé à la banque. Cette dernière demande la confirmation du jugement sur ce point.

[J] [I] fait valoir que le débit de son compte bancaire résulte directement des prélèvements frauduleux. La conséquence de la fraude comprend les intérêts débiteurs et les divers frais bancaires engendrés. Il est donc demandé l’infirmation du jugement en ce qu’il a condamné l’intimé à payer la somme de 3 518,97 euros à la BNP Paribas.

Pour un plus ample exposé des faits, de la procédure, des moyens et des prétentions des parties, il est expressément renvoyé au jugement déféré et aux dernières conclusions écrites déposées en application de l’article 455 du code de procédure civile.

L’ordonnance de clôture a été rendue le 28 janvier 2025 et l’audience fixée au 4 mars 2025.

CELA EXPOSÉ,

Sur la demande de [J] [I] contre la société BNP Paribas :

À titre principal, [J] [I] invoque les dispositions du du code monétaire et financier.

À la date des faits litigieux, les dispositions du code monétaire et financier applicables étaient les suivantes.

Aux termes de l’article L. 133-6, paragraphe premier, alinéa premier, du code monétaire et financier, une opération de payement est autorisée si le payeur a donné son consentement à son exécution.

L’article L. 133-16 du même code dispose :

« Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées.

« Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées. »

Aux termes de l’article L. 133-17, paragraphe premier, du même code, lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de payement ou des données qui lui sont liées, l’utilisateur de services de payement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci.

L’article L. 133-18, alinéa premier, du même code dispose :

« En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. »

L’article L. 133-19 du même code dispose :

« I. ' En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17, les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 '.

« Toutefois, la responsabilité du payeur n’est pas engagée en cas :

« ' d’opération de paiement non autorisée effectuée sans utilisation des données de sécurité personnalisées ;

« ' de perte ou de vol d’un instrument de paiement ne pouvant être détecté par le payeur avant le paiement ;

« ' de perte due à des actes ou à une carence d’un salarié, d’un agent ou d’une succursale d’un prestataire de services de paiement ou d’une entité vers laquelle ses activités ont été externalisées.

« II. ' La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées.

« Elle n’est pas engagée non plus en cas de contrefaçon de l’instrument de paiement si, au moment de l’opération de paiement non autorisée, le payeur était en possession de son instrument.

« III. ' Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l’information aux fins de blocage de l’instrument de paiement prévue à l’article L. 133-17.

« IV. ' Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

« V. ' Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44.

« VI. ' Lorsque le bénéficiaire ou son prestataire de services de paiement n’accepte pas une authentification forte du payeur prévue à l’article L. 133-44, il rembourse le préjudice financier causé au prestataire de services de paiement du payeur. »

L’article L. 133-23 du même code dispose :

« Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

« L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement. »

Aux termes de l’article L. 133-24, alinéa premier, du même code, l’utilisateur de services de payement signale, sans tarder, à son prestataire de services de payement une opération de payement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de payement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de payement conformément au chapitre IV du titre Ier du livre III.

En l’occurrence, [J] [I] nie avoir autorisé les opérations de payement suivantes, dont il demande le remboursement :

' virement en ligne du 30 octobre 2020, d’un montant de 900 euros, au bénéfice de [G] [T] [O] ;

' virement en ligne du 2 novembre 2020, d’un montant de 1 100 euros, au bénéfice de [M] [B] ;

' virement en ligne du 2 novembre 2020, d’un montant de 1 000 euros, au bénéfice de [F] [L] ;

' virement en ligne du 2 novembre 2020, d’un montant de 100 euros, au bénéfice de [F] [L] ;

' virement en ligne du 2 novembre 2020, d’un montant de 1 400 euros, au bénéfice de [M] [B] ;

' virement en ligne du 3 novembre 2020, d’un montant de 3 300 euros, au bénéfice de [W] [H] ;

' payement en ligne par carte no 4974 xxx 3848 du 3 novembre 2020, d’un montant de 850 euros ;

' payement en ligne par carte no 4974 xxx 1813 du 3 novembre 2020, d’un montant de 800 euros ;

' payement en ligne par carte no 4974 xxx 3848 du 3 novembre 2020, d’un montant de 32 euros ;

' retrait par carte no 4974 xxx 1813 au distributeur automatique de billets du 3 novembre 2020, d’un montant de 600 euros ;

' retrait par carte no 4974 xxx 3848 au distributeur automatique de billets du 3 novembre 2020, d’un montant de 1 000 euros.

Il est constant que [J] [I] les a signalées à la société BNP Paribas dans les treize mois suivant les dates de débit.

Pour décliner le remboursement de ces opérations de payement, l’appelante ne soutient pas qu’elles aient été autorisées au sens de l’article L. 133-6 précité ni ne conteste l’escroquerie dont son client a été victime, mais elle oppose au payeur sa négligence grave qui a permis le succès de la fraude.

En application de l’article L. 133-23, alinéa premier, précité, il incombe d’abord à la société BNP Paribas de prouver que ces opérations ont été authentifiées, dûment enregistrées et comptabilisées et qu’elles n’ont pas été affectées par une déficience technique ou autre.

Elle produit à cette fin les relevés télématiques de virements (sa pièce no 6), les relevés télématiques des payements du 3 novembre 2020 (sa pièce no 11), les traces des opérations des deux cartes bancaires de [J] [I] (sa pièce no 19) et les relevés de compte du 11 octobre 2020 au 11 novembre 2020 (sa pièce no 20). Elle justifie de la sorte que les virements et les payements litigieux ont été authentifiés, dûment enregistrés et comptabilisés et qu’ils n’ont pas été affectés par une déficience technique ou autre.

En revanche, les seules pièces fournies relatives aux retraits d’espèces contestés, à savoir la trace du relèvement du plafond de retrait le 10 octobre 2020 et les relevés du compte bancaire (pièces nos 19 et 20), ne suffisent pas à prouver que les deux retraits du 3 novembre 2020 aient été authentifiés, dûment enregistrés et comptabilisés et qu’ils n’aient pas été affectés par une déficience technique ou autre. Il résulte des articles L. 133-19, paragraphe IV, et L. 133-23, alinéa premier, précités que le prestataire de services de payement ne peut par suite faire supporter à l’utilisateur de l’instrument de payement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par ces opérations de payement non autorisées (Com., 20 nov. 2024, no 23-15.099). Le jugement querellé sera donc confirmé en ce qu’il condamne la société BNP Paribas à rembourser à [J] [I] le montant desdits retraits.

Quant aux virements et aux payements litigieux, il s’ensuit des textes précités que la banque est, en principe, tenue de rembourser à son client les sommes débitées sans son autorisation, sauf à démontrer que celui-ci a agi frauduleusement ou encore n’a pas satisfait à son obligation de préservation de la sécurité du dispositif de sécurité personnalisé, et ce, soit intentionnellement ou par négligence grave.

S’agissant des virements contestés, la société BNP Paribas reproche à [J] [I] d’avoir d’abord permis à l’escroc d’accéder à son espace personnel en ligne, puis d’avoir imprudemment validé l’ajout de quatre bénéficiaires alors qu’il n’en était pas l’auteur.

Il est constant que l’ajout de bénéficiaires de virement nécessite d’abord d’accéder à l’espace personnel du titulaire du compte, en utilisant l’identifiant de celui-ci et son mot de passe. Or, la perte ou le vol des cartes bancaires et du relevé d’identité bancaire de [J] [I] ne permettait pas à un tiers de connaître l’identifiant et le mot de passe de leur titulaire. Aussi bien [J] [I] ne l’explique-t-il que par un piratage dont il aurait été victime, tel qu’un hameçonnage par lequel lui auraient été soutirés ces renseignements personnels. Les circonstances d’une telle escroquerie n’étant cependant pas connues, alors qu’il incombe au prestataire de services de payement de rapporter la preuve d’une négligence grave de son client, une telle négligence ne saurait être tenue pour caractérisée du seul fait qu’un tiers ait pu saisir de nouveaux bénéficiaires dans l’espace personnel de [J] [I].

Il ressort des relevés télématiques versés aux débats que l’ajout de bénéficiaires fut ensuite validé au moyen de la « clé digitale » fournie par la société BNP Paribas. Ladite « clé digitale » consiste pour le client à saisir sur son téléphone portable personnel le code confidentiel choisi par lui à l’origine, avant l’activation de ce service. En l’occurrence, [J] [I] était en possession de son appareil lorsque les nouveaux bénéficiaires de virement ont été validés. Il prétend qu’il aurait pu faire l’objet d’une escroquerie dite SIM swapping consistant à voler virtuellement une carte SIM de façon à recevoir les appels et les minimessages destinés à la victime.

Toutefois, le recours à la « clé digitale » ne repose pas sur l’envoi par minimessage d’un code secret à usage unique que le destinataire devrait saisir pour valider une opération, mais sur l’envoi d’une notification détaillée de l’opération, que le client doit ensuite valider à partir de son téléphone personnel, identifié comme tel, en composant le code secret qu’il est seul à connaître. La « clé digitale » étant associée au téléphone portable et non à la carte SIM, et [J] [I] étant resté en possession de son appareil, il ne peut qu’être à l’origine de la validation de l’ajout des bénéficiaires des virements litigieux. En validant l’ajout de ces quatre bénéficiaires inconnus, au lieu d’annuler l’opération comme il en avait la faculté, il n’a pas utilisé l’instrument de payement conformément aux conditions régissant sa délivrance et son utilisation. Du fait de cette négligence grave, le payeur doit supporter toutes les pertes occasionnées par les opérations de payement non autorisées réalisées au profit de bénéficiaires qu’il n’avait pas lui-même ajoutés dans son espace personnel. Le jugement attaqué sera infirmé en ce qu’il condamne la société BNP Paribas à rembourser à [J] [I] le montant desdits virements.

S’agissant des payements par carte contestés, la société BNP Paribas reproche à [J] [I] d’avoir imprudemment validé les payements alors qu’il n’était pas l’auteur des achats en cause.

Il ressort des relevés télématiques versés aux débats que les payements furent validés au moyen de la « clé digitale ». Pour les mêmes motifs que ci-avant, en validant le payement d’achats qu’il n’avait pas faits, au lieu d’annuler l’opération comme il en avait la faculté, [J] [I] a commis une négligence grave, de sorte qu’il doit supporter toutes les pertes occasionnées par les opérations de payement non autorisées. Le jugement attaqué sera infirmé en ce qu’il condamne la société BNP Paribas à rembourser à [J] [I] le montant desdits payements.

Ce jugement étant revêtu de l’exécution provisoire, son infirmation entraîne de plein droit la restitution des sommes versées avec intérêts au taux légal à compter de la signification du présent arrêt, sans qu’il soit besoin de statuer de ce chef.

À titre subsidiaire, [J] [I] invoque les dispositions des articles 1240 et 1241 du code civil, reprochant un défaut de surveillance à la banque. Il résulte cependant de l’arrêt de la Cour de justice de l’Union européenne du 16 mars 2023, Beobank (C-351/21), que le régime de responsabilité des prestataires de services de payement prévu à l’article 60, paragraphe premier, de la directive no 2007/64 ainsi qu’aux articles 58 et 59 de cette directive a fait l’objet d’une harmonisation totale et que sont incompatibles avec ladite directive tant un régime de responsabilité parallèle au titre d’un même fait générateur qu’un

régime de responsabilité concurrent qui permettrait à l’utilisateur de services de payement d’engager cette responsabilité sur le fondement d’autres faits générateurs. Dès lors, la responsabilité délictuelle résultant de l’article 1240 du code civil n’est pas applicable en présence de ce régime de responsabilité exclusif (Com., 23 mai 2024, no 22-18.098).

Sur la demande de la société BNP Paribas contre [J] [I] :

Le solde débiteur du compte de l’intimé résulte de l’ensemble des mouvements du compte, et non des seuls payements non autorisés, dont [J] [I] doit au demeurant supporter une partie des pertes qu’ils ont occasionnées. C’est donc à juste titre que le tribunal a condamné [J] [I] à s’acquitter dudit solde débiteur. Le jugement critiqué sera confirmé de ce chef.

Sur les dépens et les frais irrépétibles :

Aux termes de l’article 696, alinéa premier, du code de procédure civile, la partie perdante est condamnée aux dépens, à moins que le juge, par décision motivée, n’en mette la totalité ou une fraction à la charge d’une autre partie. L’intimé supportera donc la charge des dépens de l’appel, tandis que la société BNP Paribas conservera celle des dépens de première instance.

En application de l’article 700 du code de procédure civile, le juge condamne la partie tenue aux dépens ou qui perd son procès à payer :

1o À l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens ;

2o Et, le cas échéant, à l’avocat du bénéficiaire de l’aide juridictionnelle partielle ou totale une somme au titre des honoraires et frais, non compris dans les dépens, que le bénéficiaire de l’aide aurait exposés s’il n’avait pas eu cette aide. Dans ce cas, il est procédé comme il est dit aux alinéas 3 et 4 de l’article 37 de la loi no 91-647 du 10 juillet 1991.

Dans tous les cas, le juge tient compte de l’équité ou de la situation économique de la partie condamnée. Il peut, même d’office, pour des raisons tirées des mêmes considérations, dire qu’il n’y a pas lieu à ces condamnations.

Les parties peuvent produire les justificatifs des sommes qu’elles demandent.

La somme allouée au titre du secundo ne peut être inférieure à la part contributive de l’État majorée de 50 %.

En considération des condamnations réciproques à payement prononcées entre les parties, chacune conservera la charge de ses frais irrépétibles.

LA COUR, PAR CES MOTIFS,

INFIRME PARTIELLEMENT le jugement en ce qu’il :

' Condamne la société anonyme BNP Paribas à payer à [J] [I] la somme de 11 082 euros au titre des opérations non autorisées, avec intérêts au taux légal à compter de la présente décision ;

' Condamne la société anonyme BNP Paribas à payer à [J] [I] la somme de 2 500 euros au titre de l’article 700 du code de procédure civile ;

Statuant à nouveau dans cette limite et y ajoutant,

CONDAMNE la société anonyme BNP Paribas à payer à [J] [I] la somme de 1 600 euros au titre des opérations non autorisées, avec intérêts au taux légal à compter de la présente décision ;

DIT n’y avoir lieu à condamnation sur le fondement de l’article 700 du code de procédure civile ;

CONFIRME toutes les autres dispositions non contraires ;

CONDAMNE [J] [I] aux dépens d’appel ;

REJETTE toute autre demande plus ample ou contraire.

* * * * *

LE GREFFIER LE PRÉSIDENT