Cour d'appel de Paris, Pôle 5 chambre 6, 17 décembre 2025, n° 23/18685

TGI Paris 3 novembre 2023

CA Paris
Infirmation partielle 17 décembre 2025

Arguments

Le contenu a été généré à l’aide de l’intelligence artificielle. Pensez à vérifier son exactitude.

Signaler une erreur.

Rejeté
Opération de paiement non autorisée
La cour a estimé que Monsieur [Z] a commis une négligence grave en communiquant ses codes d'accès à un tiers, ce qui a permis la fraude.
Rejeté
Préjudice moral subi suite à la fraude
La cour a confirmé le rejet de cette demande, considérant qu'aucun préjudice financier indemnisable n'a été démontré.
Rejeté
Frais exposés pour la procédure
La cour a décidé de rejeter cette demande, considérant qu'il n'est pas inéquitable de laisser chaque partie supporter ses propres frais.

Résumé par Doctrine IA

Dans cette décision de la Cour d'appel de Paris du 17 décembre 2025, M. [Z] conteste un virement de 10 000 euros effectué depuis son compte chez HSBC Continental Europe, qu'il qualifie de fraude, et demande son remboursement. Le tribunal de première instance a condamné le prestataire de services de paiement (PSP) à rembourser cette somme, mais a débouté M. [Z] de sa demande de dommages et intérêts. En appel, le PSP conteste cette décision, arguant que M. [Z] a fait preuve de négligence grave en communiquant ses codes d'accès à un escroc. La Cour d'appel, après avoir examiné les preuves, conclut que M. [Z] a effectivement commis une négligence grave, infirmant ainsi le jugement de première instance concernant le remboursement, tout en confirmant le rejet de la demande de dommages et intérêts. M. [Z] est débouté de ses demandes et condamné aux dépens.

Le contenu a été généré à l’aide de l’intelligence artificielle. Pensez à vérifier son exactitude.

Commentaire • 0

Augmentez la visibilité de votre blog juridique : vos commentaires d’arrêts peuvent très simplement apparaitre sur toutes les décisions concernées.

Sur la décision

Référence :	CA Paris, pôle 5 ch. 6, 17 déc. 2025, n° 23/18685
Juridiction :	Cour d'appel de Paris
Numéro(s) :	23/18685
Importance :	Inédit
Décision précédente :	Tribunal de grande instance de Paris, 3 novembre 2023, N° 22/02345
Dispositif :	Autre
Date de dernière mise à jour :	26 décembre 2025
Lire la décision sur le site de la juridiction

Sur les parties

Avocat(s) :	Audrey FERREREugénie CHOAYAnne-Gaëlle LE MERLUS
Cabinet(s) :	LUSSAN
Parties :	la société HSBC Continental Europe à la suite de la réalisation en date du 1er janvier 2024 de l' apport partiel d'actif soumis au régime des scissions par lequel la société HSBC Continental Europe a apporté son activité de banque de détail en France à la société CCF, CCF

Texte intégral

RÉPUBLIQUE FRAN’AISE

AU NOM DU PEUPLE FRAN’AIS

COUR D’APPEL DE PARIS

Pôle 5 – Chambre 6

ARRÊT DU 17 DECEMBRE 2025

(n° , 6 pages)

Numéro d’inscription au répertoire général : N° RG 23/18685 – N° Portalis 35L7-V-B7H-CIR54

Décision déférée à la Cour : Jugement du 03 Novembre 2023 – tribunal judiciaire de Paris 9ème chambre 3ème section – RG n° 22/02345

APPELANTE

CCF venant aux droits de la société HSBC Continental Europe à la suite de la réalisation en date du 1er janvier 2024 de l’apport partiel d’actif soumis au régime des scissions par lequel la société HSBC Continental Europe a apporté son activité de banque de détail en France à la société CCF

[Adresse 2]

[Localité 4]

N°SIREN : 315 769 257

agissant poursuites et diligences de ses représentants légaux domiciliés en cette qualité audit siège

Représentée par M^e Anne-Gaëlle LE MERLUS de la SCP LUSSAN, avocat au barreau de Paris, toque : P77, substituée à l’audience par M^e Audrey FERRER de la SCP LUSSAN, avocat au barreau de Paris, toque : P77

INTIMÉ

Monsieur [B] [Z]

né le [Date naissance 1] 1982 à [Localité 6]

[Adresse 3]

[Localité 5]

Représenté par M^e Eugénie CHOAY, avocat au barreau de Paris, toque : R255, avocat plaidant

COMPOSITION DE LA COUR :

L’affaire a été débattue le 04 Novembre 2025, en audience publique, devant la Cour composée de :

M. Vincent BRAUD, président de chambre

M^me Valérie CHAMP, présidente de chambre

M^me Laurence CHAINTRON, conseillère

qui en ont délibéré, un rapport a été présenté à l’audience par M^me Valérie CHAMP dans les conditions prévues par l’article 804 du code de procédure civile.

Greffier, lors des débats : M^me Mélanie THOMAS

ARRÊT :

— contradictoire

— par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

— signé par Vincent BRAUD, président de chambre et par Mélanie THOMAS, greffier, présent lors de la mise à disposition.

* * * * *

FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES

M. [Z] est titulaire d’un compte de dépôt dans les livres de la société HSBC Continental Europe, aux droits de laquelle vient la société CCF (le PSP).

Le 18 février 2021, un virement d’un montant de 10 000 euros a été émis au débit du compte de M. [Z], lequel a contesté être à son origine, a dénoncé une fraude et a demandé au PSP de procéder à la procédure de rappel de fonds. Le même jour, M. [Z] a déposé plainte.

Par lettres recommandées avec accusé de réception des 24 février 2021, puis 2 mars 2021, M. [Z] a mis en demeure le PSP de lui rembourser la somme débitée de son compte, en vain.

Par exploit d’huissier du 17 février 2022, M. [Z] a assigné le PSP devant le tribunal judiciaire de Paris en paiement.

Par jugement du 3 novembre 2023, le tribunal judiciaire de Paris, a :

— condamné le PSP à payer à M. [Z] la somme de 10 000 euros, avec intérêts au taux légal à compter du 3 novembre 2023 ;

— débouté M. [Z] de sa demande de dommages et intérêts ;

— condamné le PSP à payer à M. [Z] la somme de 2 000 euros au titre de l’article 700 du code de procédure civile ;

— condamné le PSP aux dépens.

Le 22 novembre 2023, le PSP a interjeté appel de ce jugement.

Aux termes de ses dernières conclusions notifiées par voie électronique du 29 septembre 2025, le PSP demande à la cour de :

— infirmer le jugement du 3 novembre 2023, en ce qu’il a condamné le PSP à payer à M. [Z] la somme de 10 000 euros, avec intérêts au taux légal à compter du 3 novembre 2023, celle de 2 000 euros au titre de l’article 700 du code de procédure civile et a débouté le PSP de ses demandes ;

— confirmer le jugement en ce qu’il a rejeté la demande de dommages et intérêts et en ce qu’il a rejeté le surplus des demandes,

En conséquence,

— débouter M. [Z] de ses demandes et de son appel incident ;

— le condamner à lui verser la somme de 5 000 euros au titre de l’article 700 du code de procédure civile ;

— les condamner aux dépens, dont distraction au bénéfice de la SCP Lussan.

Aux termes de ses dernières conclusions notifiées par voie électronique du 29 septembre 2025, M. [Z] demande à la cour de :

— confirmer le jugement rendu le 3 novembre 2023 par le tribunal judiciaire de Paris en ce qu’il a condamné le PSP à lui payer la somme de 10 000 euros, avec intérêts au taux légal à compter du 3 novembre 2023, celle de 2 000 euros au titre de l’article 700 du code de procédure civile et aux dépens,

— infirmer le jugement précité, en ce qu’il a rejeté sa demande de dommages et intérêts,

Statuant à nouveau,

— condamner le PSP à lui verser une somme de 3 000 euros à titre de dommages et intérêts pour préjudice moral,

— condamner le PSP à lui payer la somme de 2 000 euros au titre des frais irrépétibles d’appel et aux dépens,

— ordonner la capitalisation des intérêts en application de l’article 1343-2 du code civil.

Pour un plus ample exposé des faits, de la procédure, des moyens et des prétentions des parties, il est expressément renvoyé au jugement déféré et aux dernières conclusions écrites déposées en application de l’article 455 du code de procédure civile.

L’ordonnance de clôture est intervenue le 30 septembre 2025 et l’affaire a été fixée à l’audience des plaidoiries du 4 novembre 2025.

MOTIFS

Sur le droit au remboursement de l’opération de paiement

Le PSP soutient que le payeur part du postulat que l’ordre de paiement a été émis à l’occasion d’une fraude dont il aurait été victime, qu’il ne justifie cependant ni d’une infraction caractérisée, ni du contexte exact, ce qui ne saurait résulter du simple dépôt de plainte effectué, de sorte qu’il n’est pas fondé à rechercher sa responsabilité.

Il expose subsidiairement que sa responsabilité ne saurait être retenue, dès lors qu’il établit que l’opération a été initiée via l’outil de sécurisation HSBC Secure Key Mobile fourni par lui, que l’utilisation de cet outil, grâce aux données personnelles de connexion, formalise le consentement du payeur et que les mesures d’authentification renforcée ont été suivies. Il ajoute qu’aucune anomalie apparente n’est établie, qui pourrait déclencher un devoir de vigilance à son encontre, tant s’agissant de la domiciliation du compte du bénéficiaire du virement, que de son montant, qui n’avait rien d’anormal.

Il souligne rapporter la preuve de l’authentification forte en produisant en appel un extrait de ses fichiers informatiques et fait grief au tribunal d’avoir dénaturé les faits de l’espèce sur ce point.

Il soutient que les solutions dégagées par la jurisprudence en matière d’hameçonnage par faux mails sont transposables à la présente espèce et que la négligence grave du payeur, qui ne décèle pas l’escroquerie et en donne les moyens, doit être retenue. Il soutient encore que la version des faits avancée par M. [Z] démontre qu’il a commis des négligences graves quant à la préservation de ses données personnelles et confidentielles.

Il expose enfin qu’à supposer même qu’un manquement puisse, par extraordinaire, lui être imputé, aucun préjudice financier indemnisable, ni lien de causalité ne sont démontrés par M. [Z] et qu’il ne justifie pas plus en cause d’appel de l’existence et du quantum du préjudice moral invoqué.

M. [Z] expose avoir été victime des agissements d’un faux conseiller bancaire et être bien fondé au regard des circonstances de l’espèce à solliciter le remboursement du virement litigieux.

Il demande que le virement frauduleux, qu’il qualifie d’opération de paiement non autorisée, soit remboursé sur le fondement des articles L. 133-18, L.133-19 III et V, et L.133-23 du code monétaire et financier (CMF).

Il ajoute que pour invoquer une négligence grave du payeur, le PSP doit au préalable rapporter la preuve d’une telle authentification forte, solution consacrée depuis l’arrêt de la Cour de cassation du 30 août 2023, pourvoi n° 22-11.707, de sorte qu’une telle négligence ne peut être valablement retenue.

Il soutient subsidiairement que le PSP succombe à rapporter la preuve qui lui incombe de l’existence d’une négligence grave, dès lors que celle-ci ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisées et ajoute avoir alerté le PSP du virement non autorisé dès le lendemain, de sorte qu’aucun retard de signalement ne peut lui être opposé.

Selon l’article L. 133-6 I du code monétaire et financier, « Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. »

L’article L. 133-7 alinéa 1 de ce code précise que : « Le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement. »

L’article L. 133-23 dispose que : "Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière.

Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement."

L’article L. 133-18, alinéa 1, du code monétaire et financier pose le principe du remboursement par la banque des opérations non autorisées dans les termes suivants :

« En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. »

Il énonce, en outre, au dernier alinéa :

« Le payeur et son prestataire de services de paiement peuvent décider contractuellement d’une indemnité complémentaire. »

Par dérogation, l’article L. 133-19 de ce code, paragraphe IV, dispose, dans le cas particulier des instruments de paiement dotés de données de sécurité personnalisées que :

« Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 », lesquels lui font obligation de préserver la sécurité de ses données.

L’article 3.4 des conditions générales relatives à la « Banque à distance » stipule, quant à lui, que :

« le Client s’interdit de communiquer son identifiant, son code secret, sa réponse mémorable et de transmettre son HSBC SECURE KEY à un tiers » ; « d’une manière générale, l’ensemble des données de connexion aux services « Ma banque en ligne » et « Ma banque mobile » constituent des données de sécurité personnalisées dont le client doit préserver la sécurité et la confidentialité avec le plus grand soin ».

Il est, en outre, prévu que :

« la seule utilisation des moyens de connexion à l’espace sécurisé du Client permet donc :

1. de s’assurer de l’identité de l’utilisateur réputé être le client,

2. de présumer ainsi que toute opération effectuée après authentification émane nécessairement du Client,

3. de considérer que toute opération initiée par le Client depuis son espace « Ma banque en ligne » ou « Ma banque mobile » a été autorisée par le Client ».

Les conditions générales du contrat comportent également les dispositions suivantes :

Article 3.7 : « L’attention du client est attirée sur l’existence d’actes de cybercriminalité par exemple du type « phishing ». Le client s’oblige à prendre connaissance des conseils de sécurité disponibles sur le site Internet de la Banque préconisant notamment l’installation par le client d’un antivirus et d’un firewall sur son matériel informatique. Le client s’engage à être vigilant et à informer sans délai la banque de tout acte ou tentative de cybercriminalité dont il pourrait être victime et préciser s’il a recours à des prestataires de services d’initiation de paiement ou à des prestataires de service d’information sur les comptes visés à l’article 3.4. La responsabilité de la banque ne saurait être engagée en dehors des cas d’opérations de paiement non autorisées dans les conditions prévues par la convention de compte ».

Il sera rappellé que si le PSP soutient que l’opération litigieuse a été effectuée via son service sécurisé de banque à distance, il n’en ressort pas pour autant que l’utilisation de l’instrument de paiement telle qu’enregistrée par lui suffit à prouver que l’opération a été autorisée, encore moins qu’elle résulte d’une négligence grave de M. [Z].

Il ressort ensuite de l’audition de M. [Z] par les services de police le 18 février 2021 que celui-ci a déclaré avoir été contacté téléphoniquement par un homme s’étant présenté comme un conseiller HSBC du service d’opposition qui lui a indiqué que deux opérations suspectes avaient été identifiées sur son compte et lui a proposé de renforcer la sécurité de sa carte bancaire, qu’au bout de 15 minutes il lui a demandé son identifiant, qu’il a refusé de lui répondre dans un premier temps, mais qu’il a fini par lui donner ses codes, dès lors que celui-ci s’est montré convaincant en lui indiquant qu’il connaissait ses nom, prénom, adresse et numéro de carte bancaire, que le même jour à 22h07, il a reçu un mail l’informant de l’ajout d’un bénéficiaire et qu’il a tenté en vain de joindre sa banque.

Il se déduit de ces éléments que l’opération critiquée n’a pas été autorisée et qu’elle est le résultat d’une fraude.

Le PSP produit en appel les pièces n° 7, 8 et 13 relatives à l’historique des connexions, à l’historique d’utilisation de HSBC Secure Key et au descriptif des modes de connexion à « Ma banque en ligne » et à « Banque mobile ». Il apparaît que lors d’une connexion à :

— « Ma banque en ligne », l’authentification forte « CAM 40 Secure Key Mobile » est générée par la saisie d’un identifiant à 11 chiffres, d’une réponse mémorable ayant 6 caractères minimum, un code confidentiel de 6 à 9 caractères alphanumériques ou biométrie et un code à usage unique de 6 chiffres,

— « Banque mobile », l’authentification forte « CAM 40 Secure Key Mobile » est générée par la saisie d’un identifiant à 11 chiffres et d’un code confidentiel de 6 à 9 caractères alphanumériques ou biométrie.

Ainsi que le soutient le PSP, il ressort de la lecture de ces pièces et en particulier de des pièces n° 7 et 8 correspondant à l’historique des connexions et à celui d’utilisation de HSBC Secure Key par M. [Z] que le 17 février 2021 à 20h32 un code d’activation AC1 a été généré et envoyé sur le téléphone portable de M. [Z], qu’à 20h33, la connexion en CAM 40 a été réussie, de même que les suivantes, qui ont eu lieu entre 20h41 et 22h24, que cela a permis l’ajout d’un bénéficiaire, puis le virement litigieux.

Il se déduit de ces constatations que la preuve est rapportée que l’opération critiquée a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a été affectée d’aucune déficience technique ou autre.

Ces éléments permettent également d’établir la négligence grave commise par l’utilisateur de services de paiement, notamment au regard de l’article L. 133-16 du code monétaire et financier qui impose à ce dernier de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées, et d’utiliser l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation, étant rappelé qu’il est jugé que la négligence grave du payeur est exclusive de toute appréciation de sa bonne foi (Com., 1er juillet 2020, n° 18-21.487, publié).

En outre, M. [Z] a déclaré, p. 2 de ses conclusions d’appel, avoir été contacté sur son téléphone portable à 20h20 par une personne s’étant présentée comme un conseiller HSBC, que lorsque celle-ci lui a demandé de communiquer ses codes d’accès à son compte en ligne, il a refusé dans un premier temps, puis qu’il les a communiqués, dès lors que la personne connaissait ses nom, prénom, adresse, téléphone et numéro de carte bancaire. Or, ce déroulé des faits atteste que M. [Z] a eu un doute, qu’il a cependant accepté de communiquer ses codes, sans vérifier le numéro appelant, ce qu’il a fait postérieurement une fois qu’il a reçu un mail l’informant de l’ajout d’un bénéficiaire et a découvert qu’il correspondait à un répondeur de la banque BNP Paribas.

Il s’ensuit que le PSP rapporte la preuve d’une négligence grave de M. [Z] et que celle-ci a permis à l’auteur de l’escroquerie d’avoir accès aux données de sécurité personnalisées de celui-ci sans lesquelles aucune fraude n’aurait été possible.

M. [Z] doit, en conséquence, supporter toutes les pertes occasionnées par les opérations de paiement non autorisées.

En conséquence de ce qui précède, il y a lieu d’infirmer le jugement entrepris en ce qu’il a fait droit à la demande de remboursement de M. [Z].

Compte tenu du sens de la présence décision, il sera, en revanche, confirmé en ce qu’il a rejeté la demande de dommages et intérêts formée par M. [Z].

Sur les dépens et les frais irrépétibles

Aux termes de l’article 696, alinéa premier, du code de procédure civile, la partie perdante est condamnée aux dépens, à moins que le juge, par décision motivée, n’en mette la totalité ou une fraction à la charge d’une autre partie. L’intimé sera donc condamné aux dépens, dont distraction au bénéfice de la SCP Lussan, conformément aux dispositions de l’article 699 du code de procédure civile.

En application de l’article 700 du code de procédure civile, le juge condamne la partie tenue aux dépens ou qui perd son procès à payer à l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens. Il ne paraît pas inéquitable en l’espèce de laisser à la charge de chaque partie les frais irrépétibles exposés. Les demandes formées à ce titre seront donc rejetées.

PAR CES MOTIFS

INFIRME le jugement du 3 novembre 2023, en ce qu’il a condamné la société HSBC Continental Europe, aux droits de laquelle vient la société CCF, à payer à M. [Z] la somme de 10 000 euros, avec intérêts au taux légal à compter du 3 novembre 2023, celle de 2 000 euros au titre de l’article 700 du code de procédure civile et l’a déboutée de ses demandes ;

CONFIRME le jugement en ce qu’il a rejeté la demande de dommages et intérêts de M. [Z] et en ce qu’il a rejeté le surplus de ses demandes ;

Statuant à nouveau,

DÉBOUTE M. [Z] de ses demandes et de son appel incident ;

CONDAMNE M. [Z] aux dépens, dont distraction au bénéfice de la SCP Lussan, conformément aux dispositions de l’article 699 du Code de procédure civile ;

REJETTE les demandes formées au titre de l’article 700 du code de procédure civile ;

REJETTE toute autre demande.

Le greffier Le président