Copies exécutoires RÉPUBLIQUE FRANÇAISE

délivrées aux parties le : AU NOM DU PEUPLE FRANÇAIS

COUR D’APPEL DE PARIS

Pôle 4 – Chambre 9 – A

ARRÊT DU 22 MAI 2025

(n° , 11 pages)

Numéro d’inscription au répertoire général : N° RG 24/02984 – N° Portalis 35L7-V-B7I-CI5B7 – Jonction avec le dossier RG N° 24/03036

Décision déférée à la Cour : Jugement du 11 décembre 2023 – Tribunal de proximité de PARIS – RG n° 23/03868

APPELANTE

La SOCIETE GENERALE, société anonyme prise en la personne de sa direction commerciale régionale de [Localité 8], représentée par son directeur domicilié audit siège

N° SIRET : 552 120 222 00013

[Adresse 4]

[Localité 6]

représentée et assistée de M^e Dominique FONTANA de la SELARL DREYFUS FONTANA, avocat au barreau de PARIS, toque : K0139

INTIMÉ

Monsieur [Y] [F]

né le [Date naissance 3] 1930 à [Localité 12] (38)

[Adresse 2]

[Localité 7]

représenté par M^e Matthieu BOCCON GIBOD de la SELARL LX PARIS-VERSAILLES-REIMS, avocat au barreau de PARIS, toque : C2477

substitué à l’audience par M^e Parna SERESSHGI, avocat au barreau de PARIS, toque : A540

COMPOSITION DE LA COUR :

En application des dispositions des articles 805 et 907 du code de procédure civile, l’affaire a été débattue le 18 mars 2025, en audience publique, les avocats ne s’y étant pas opposés, devant M^me Sophie COULIBEUF, Conseillère, chargée du rapport.

Ce magistrat a rendu compte des plaidoiries dans le délibéré de la Cour, composée de :

M^me Muriel DURAND, Présidente de chambre

M^me Laurence ARBELLOT, Conseillère

M^me Sophie COULIBEUF, Conseillère

Greffière, lors des débats : M^me Camille LEPAGE

ARRÊT :

— CONTRADICTOIRE

— par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

— signé par M^me Muriel DURAND, Présidente et par M^me Camille LEPAGE, Greffière à laquelle la minute de la décision a été remise par le magistrat signataire.

FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES

M. [Y] [F] est titulaire d’un compte courant ouvert dans les livres de la Société Générale sous le n° [XXXXXXXXXX05] et a adhéré au service « banque à distance ».

M. [F] a déposé une plainte au commissariat de police le 7 novembre 2022 pour escroquerie expliquant avoir été contacté le 4 novembre 2022 par une personne prétendant être employé du service de sécurité de la Société Générale et lui affirmant qu’il avait été victime d’une fraude et qu’il convenait de procéder rapidement à des virements sur un nouveau compte bancaire qu’elle venait de lui ouvrir à son nom et ce afin de préserver ses comptes de ladite fraude, qu’il s’est alors exécuté en procédant via son application bancaire sur son téléphone à deux virements de 4 000 euros chacun, l’un le 4 novembre 2022 et le second le 6 novembre 2022.

Il a complété sa plainte le 22 novembre 2022 en indiquant avoir été victime d’un phishing Améli quelques temps auparavant.

M. [F] a sollicité dès le 8 novembre 2022 auprès de sa banque le remboursement de la somme de 8 000 euros correspondant aux deux virements effectués via son application bancaire et par courrier en date du 19 janvier 2023 la société Sogessur, en tant qu’assureur Quietis du compte de M. [F], a refusé d’opérer le remboursement indiquant que le sinistre déclaré n’était pas couvert par les garanties présentes au contrat.

Le 31 janvier 2023, le conseil de M. [F] a mis en demeure la Société Générale d’avoir à le rembourser la somme de 8 000 euros estimant qu’il s’agissait d’opérations de paiement non autorisées.

Par acte d’huissier en date du 17 mars 2023, M. [F] a fait assigner la Société générale devant le juge des contentieux de la protection du tribunal judiciaire de Paris, afin d’obtenir sa condamnation au paiement de la somme de 8 000 euros, correspondant aux deux virements.

Par jugement contradictoire rendu le 11 décembre 2023, le juge des contentieux de la protection du tribunal judiciaire de Paris a :

— déclaré la Société Générale responsable du dommage matériel subi par M. [F] suite au débit de son compte de deux virements, d’un montant de 4 000 euros chacun, réalisés les 4 et 6 novembre 2022,

— condamné en conséquence la Société Générale au paiement à M. [F] de la somme de 8 000 euros à titre de dommages-intérêts en réparation de son préjudice moral avec intérêts au taux légal à compter du prononcé de la présente décision,

— ordonné la capitalisation des intérêts dus à compter du 17 mars 2023,

— rejeté la demande de majoration de cinq points des intérêts formée par M. [F],

— condamné la Société Générale au paiement à M. [F] d’une somme de 1 200 euros au titre de l’article 700 du code de procédure civile, ainsi qu’aux dépens de l’instance,

— rejeté la demande d’indemnité formulée par la Société Générale au titre de l’article 700 du code de procédure civile,

— rejeté le surplus des demandes,

— condamné la Société Générale aux dépens,

— rappelé que la présente décision est exécutoire de droit à titre provisoire.

Pour statuer ainsi, le juge des contentieux de la protection a examiné successivement les deux moyens soulevés par M. [F] au soutien de sa demande principale, fondés l’un sur l’article L. 133-18 du code monétaire et financier et l’autre sur les articles 1240 et 1241 du code civil.

Il a tout d’abord relevé que selon la Cour de cassation, il résulte des articles L. 133-16, -17, – 3, – 6, – 18, -19 et – 23 du code monétaire et financier que « c’est au prestataire de services de paiement qu’il incombe de rapporter la preuve que l’utilisateur qui nie avoir autorisé une opération de paiement a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave aux obligations qui lui incombent, cette preuve ne pouvant se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont effectivement été utilisés ».

Puis il a retenu que M. [F] avait donné son consentement à l’exécution des deux virements litigieux d’un montant de 4 000 euros chacun, de sorte que les opérations de paiement avaient bien été autorisées au sens de l’article L. 133-6 du code monétaire et financier et qu’ainsi les dispositions de l’article L. 133-18 du code monétaire et financier ne pouvaient trouver application au cas d’espèce.

Il a ensuite examiné le fondement de la demande au visa des articles 1240, 1241 du code civil’en indiquant que la responsabilité contractuelle de la banque nécessitait la démonstration d’une faute, d’un préjudice et d’un lien de causalité.

Il a ainsi estimé, sur le fondement des articles L. 133-21 et L. 133-4 b) du code monétaire et financier que la Société Générale, en sa qualité de banque du donneur d’ordre, était responsable de l’exécution de l’opération de paiement conformément à l’identifiant unique fourni par l’utilisateur de services de paiement ; qu’aucune vérification supplémentaire n’incombait donc à la banque Société Générale et que dès lors aucune responsabilité contractuelle ne pouvait être recherchée.

En revanche il a retenu qu’en qualité de banque du bénéficiaire des virements litigieux, la Société Générale devait veiller à l’exécution des conditions auxquelles le donneur d’ordre avait entendu subordonner le transfert des fonds, tels qu’un contrôle de la concordance entre le nom du bénéficiaire et les coordonnées bancaires indiquées sur l’ordre de virement.

Le juge a souligné que la Société Générale ne justifiant pas de cette vérification, avait commis une faute engageant sa responsabilité délictuelle et entraînant le remboursement à M. [F] de la somme de 8 000 euros.

Il a rejeté toute négligence fautive commise par M. [F] puisqu’aucun manquement à l’article L. 133-16 et aux conditions générales contractuelles n’était établi ; il a insisté sur le fait que n’avaient pas été communiqués par M. [F] ses codes confidentiels ; qu’en tout état de cause l’éventuelle négligence du client n’enlevait pas le caractère fautif au manquement commis par la banque.

Sur le fondement de l’article 1343-2 du code civil, il a ordonné la capitalisation des intérêts mais a rejeté la demande de majoration des intérêts comme étant fondée sur l’article L. 133-18 du code monétaire et financier n’ayant pas vocation à s’appliquer au litige.

Par déclaration enregistrée le 2 février 2024, la Société Générale a formé appel de ce jugement.

Par ses dernières conclusions enregistrées par RPVA le 24 janvier 2025, elle demande à la cour :

— de déclarer M. [F] mal fondé en son appel incident,

— en conséquence,

— de l’en débouter,

— de la déclarer recevable et bien fondée en son appel,

— y faisant droit,

— d’infirmer le jugement du 11 décembre 2023 rendu par le pôle civil de proximité du tribunal judiciaire de Paris en ce qu’il l’a condamnée à payer à M. [F] la somme de 8 000 euros avec intérêts au taux légal à compter du prononcé de la décision et capitalisation des intérêts ainsi que la somme de 1 200 euros au titre de l’article 700 du code de procédure civile et les dépens,

— statuant à nouveau,

— de débouter M. [F] de toutes ses demandes,

— de condamner M. [F] à lui verser la somme de 3 000 euros au titre des dispositions de l’article 700 du code de procédure civile, ainsi qu’aux entiers dépens.

La Société Générale indique tout d’abord que le tribunal a à juste titre écarté les dispositions de l’article L. 133-18 code monétaire et financier et rappelle que la directive DSP2 a fait l’objet d’une harmonisation totale et qu’ainsi la responsabilité contractuelle et délictuelle de la banque au titre de prétendus manquements à l’obligation de vigilance ne peut être recherchée puisque seul le régime découlant de la directive européenne DSP2 doit s’appliquer.

Elle considère que le tribunal s’est trompé en estimant que le banquier bénéficiaire des virements devait procéder à un contrôle de correspondance entre le nom du bénéficiaire et les coordonnées bancaires indiquées sur l’ordre de virement car ni la banque du bénéficiaire ni celle du donneur d’ordre n’avaient à effectuer ce type de vérification et que sa responsabilité ne pouvait être engagée en l’absence de tout manquement aux dispositions de l’article L. 133-21 du code monétaire et financier.

Par ailleurs, elle souligne que l’enregistrement du compte destinataire et les virements objets du litige ont été faits par M. [F] via un dispositif d’authentification forte mis à sa disposition dans la cadre de son application « banque à distance » et que c’est donc à juste titre que le tribunal a rejeté l’application des dispositions de l’article L. 133-18 du code monétaire et financier puisque M. [F], titulaire du compte, a autorisé les opérations (enregistrement du compte et virements) en saisissant le code qu’il avait créé le 23 octobre 2021.

S’agissant de sa responsabilité en qualité de banque donneur d’ordre, elle précise que le compte bénéficiaire que M. [F] avait enregistré était intitulé « [O] [F] » par simple erreur matérielle de frappe qui ne correspondait pas à une anomalie que la banque aurait dû relever.

Elle estime donc ne pas avoir manqué à son obligation de vigilance puisqu’aucune information lui avait été transmise lui permettant de détecter une fraude, que les opérations ne présentaient pas d’anomalie apparente et rappelle le principe de non-ingérence d’une banque dans les opérations effectuées par son client.

S’agissant de sa responsabilité délictuelle en qualité d’établissement bénéficiaire des virements, elle souligne ne pas avoir manqué à ses obligations lors de l’ouverture du compte bénéficiaire du virement et que M. [F] en tout état de cause n’établit pas ses allégations et l’existence d’une faute de sa part à cette occasion.

Elle ajoute que ne peut lui être reproché de ne pas avoir entamé une procédure conservatoire de recall des fonds, alors que ceux-ci avaient déjà été transférés sur un compte ouvert dans un autre établissement et le compte clôturé lorsque M. [F] s’est plaint d’une escroquerie, que les virements ayant été exécutés, les ordres étaient irrévocables, qu’elle ne pouvait opérer de retour des fonds sans l’autorisation du bénéficiaire même en cas de suspicion de fraude et qu’enfin, dès qu’elle a été informée de la fraude, elle a fait en sorte qu’aucune nouvelle opération frauduleuse puisse être accomplie.

En dernier lieu, elle invoque des négligences graves de la part du client qui a fourni tous ses renseignements personnels le 1er novembre 2022 en réponse à un SMS suspect provenant soit disant d’Ameli puis a reçu un appel le 4 novembre 2022 depuis un téléphone mobile d’un soi-disant membre de la sécurité de la Société Générale sans pour autant vérifier la provenance de cet appel en contactant par exemple sa banque et sans protéger ses données de sécurité personnalisées.

Elle soutient également qu’elle informe régulièrement ses clients sur les nouveaux moyens de fraude et les avertit des risques de « phishing », de « vishing », de « smishing » et de « spoofing », par les campagnes de sensibilisation qu’elle mène depuis 2020, que M. [F] a été victime de vishing, c’est-à-dire d’une usurpation d’identité.

Elle considère que l’âge de M. [F] ne peut être invoqué pour excuser sa négligence ou son absence de méfiance puisqu’il utilisait régulièrement son espace « banque à distance », aurait dû déceler immédiatement l’escroquerie en analysant les propos incohérents de son interlocuteur, avait le temps suffisant pour procéder à des vérifications, pouvait joindre les services d’urgence de la banque à tous moments.

Aux termes de ses dernières conclusions déposées par RPVA le 20 décembre 2024, M. [F] demande à la cour :

— de confirmer en toutes ses dispositions le jugement du 11 décembre 2023 sauf en ce qu’il a rejeté la demande de majoration de 5 points des intérêts formée par M. [F],

— d’infirmer le jugement de ce seul chef,

— statuant à nouveau,

— de condamner la Société Générale au paiement d’intérêts majorés de cinq points,

— de condamner la Société Générale à lui verser la somme de 4 000 euros au titre des frais irrépétibles en appel outre les entiers dépens,

— de débouter la Société Générale de l’ensemble de ses demandes indemnitaires dirigées à son encontre notamment au titre des frais irrépétibles et les dépens.

L’intimé explique être âgé de 92 ans au moment des faits, client depuis de nombreuses années de la Société Générale, avoir reçu un appel téléphonique d’une personne se présentant comme un employé du service de sécurité de la banque l’informant qu’il avait été victime d’une fraude et lui demandant de procéder rapidement à des virements sur un nouveau compte bancaire qu’il venait de lui ouvrir à son nom, et ce afin de préserver ses comptes.

Il indique avoir obtempéré et effectué deux virements de 4 000 euros chacun au bénéfice du « nouveau » compte, pensant qu’il était le bénéficiaire de ces virements.

Il soutient donc que ces deux opérations de virement sont des opérations de paiement non autorisées puisqu’il n’a jamais consenti à faire des virements au bénéficiaire réel de ces opérations et qu’en application des articles L. 133-16 et suivants du code monétaire et financier la banque doit lui restituer les sommes versées sauf à ce qu’elle n’établisse qu’il a commis une négligence grave.

Or, il conteste avoir commis toute négligence, soulignant que même s’il a saisi et validé les opérations, il reste âgé de 92 ans et est profane en informatique, qu’il n’est pas expert en outils informatiques et est vulnérable face aux évolutions « effrénées et novatrices ». Il ajoute que la démonstration d’une information suffisante délivrée par la banque au sujet de la fraude, n’est pas rapportée, car il s’agit d’informations générales consultables sur le site internet et non des informations transmises directement au client. Il souligne n’avoir communiqué aucune donnée personnelle lors des appels téléphoniques dont il a fait l’objet. Enfin, il explique ne pas avoir contacté la banque en urgence car il a été appelé le vendredi à 19h30 pour procéder aux opérations et ne s’est rendu compte de la man’uvre frauduleuse que le lundi matin suivant.

Subsidiairement, il soutient que la responsabilité de la banque peut être engagée en raison de son manquement au devoir de vigilance, qu’en effet, la banque peut être poursuivie en cas d’opération de paiement non autorisé sur le fondement de l’article L. 133-18 du code monétaire et financier et en cas d’opération de paiement autorisé, dans le cadre du régime de la responsabilité contractuelle ou délictuelle classique.

Il estime que la Société Générale a commis plusieurs manquements à son devoir de vigilance :

' à l’ouverture du compte bénéficiaire des virements, en ne vérifiant pas l’identité du client, qu’elle ne communique au demeurant pas, ne permettant ainsi pas une procédure de retour de fonds,

' lors de l’exécution des virements, en ne vérifiant pas la correspondance entre le nom du bénéficiaire et le n° IBAN indiqué, puisque le nom « [F] [O] » est mentionné comme étant le titulaire du compte bénéficiaire alors que ce n’est pas le cas,

' la banque a également manqué à son obligation de vigilance en ne prenant pas en compte le caractère inhabituel des opérations au regard des habitudes financières de M. [F] puisque son compte n’avait jamais été débiteur alors que dès le 5 novembre 2022, au lendemain du premier virement litigieux, son compte présentait un découvert important qui, lors du second virement, était encore plus conséquent puisque le transfert d’une somme de plus de 15 000 euros depuis son livret A n’a eu lieu que le 7 novembre, puisqu’il ne procédait à des virements qu’à destination de son petit-fils et puisque l’ajout d’un nouveau bénéficiaire 20 minutes avant le virement aurait dû alerter la banque sur l’anormalité des opérations.

Il conclut que ces manquements ont facilité l’escroquerie dont il a été l’objet et ce d’autant qu’il s’agit d’une escroquerie bien réalisée et qu’il est âgé et vulnérable.

Il soutient enfin que la banque aurait pu limiter les effets de l’escroquerie et bloquer le transfert de fonds le 7 novembre 2022 mais que l’agence où il s’est rendu le lundi, en raison de la fermeture de sa propre agence ce jour-là, n’a pas souhaité « s’occuper de lui ».

Il ajoute solliciter l’infirmation de la première décision au sujet de la majoration de cinq points des intérêts à compter de la mise en demeure du 31 janvier 2023 au motif qu’il est en droit d’obtenir la somme de 8 000 euros avec intérêts au taux légal majoré car il n’a pas été négligent.

Pour un plus ample exposé des faits, moyens et prétentions des parties, il est renvoyé aux écritures de celles-ci conformément aux dispositions de l’article 455 du code de procédure civile.

L’ordonnance de clôture a été rendue le 18 février 2025 et l’affaire a été appelée à l’audience le 18 mars 2025.

MOTIFS DE LA DÉCISION

Sur la responsabilité de la banque

Il résulte des articles L. 133-3, L. 133-6 et L. 133-7 du code monétaire et financier que la détermination du caractère autorisé d’une opération ne dépend pas de l’obligation sous-jacente qui est sans conséquence sur la validité de l’ordre, mais du consentement du payeur lequel est donné « sous la forme convenue entre le payeur et son prestataire ».

Une des formes convenues envisagée par la loi est l’usage d’un dispositif de paiement avec données de sécurité personnalisées défini à l’article L. 133-4 du code monétaire et financier qui permettent d’authentifier son auteur. En vertu de l’article L. 133-44 du même code, le prestataire de services de paiement applique l’authentification forte du client définie au f de l’article L. 133-4 lorsque le payeur :

1° accède à son compte de paiement en ligne ;

2° initie une opération de paiement électronique ;

3° exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse.

Les articles L. 133-16 et L. 133-17 du même code imposent à la banque qui délivre un instrument de paiement :

— de s’assurer que les données de sécurité personnalisées telles que définies à l’article L. 133-4 ne sont pas accessibles à d’autres personnes que l’utilisateur autorisé à utiliser cet instrument,

— de mettre en place, à titre gratuit, les moyens appropriés permettant à l’utilisateur de procéder à tout moment à l’information prévue à l’article’L. 133-17,

— et d’empêcher toute utilisation de l’instrument de paiement après avoir été informé, conformément aux dispositions de l’article L. 133-17, de sa perte, de son vol, de son détournement ou de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées.

De son côté l’utilisateur doit :

— aux termes de l’article L. 133-16 du même code, prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées et utiliser l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées,

— aux termes de l’article L. 133-17 du même code, dès qu’il en a connaissance prévenir sa banque de toute perte, vol, détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées aux fins de blocage.

Il résulte des dispositions de l’article L. 133-23 du code monétaire et financier :

— que lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre,

— que la seule utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière et que le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.

Il résulte par ailleurs des articles L. 311-18 et L. 311-19 du code monétaire et financier que ce n’est que dans le cas où une opération n’est pas autorisée par le client et qu’il l’a signalée dans les conditions prévues à l’article’L. 133-24 que le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France.

Lorsque l’opération de paiement non autorisée est consécutive à la perte ou au vol de l’instrument de paiement, le payeur ne supporte, avant l’information prévue à l’article L. 133-17, que les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 euros sauf si l’opération non autorisée a été effectuée sans utilisation des données de sécurité personnalisées ou que la perte ou le vol d’un instrument de paiement ne pouvait être détecté par le payeur avant le paiement, ou que la perte est due à des actes ou à une carence d’un salarié, d’un agent ou d’une succursale d’un prestataire de services de paiement ou d’une entité vers laquelle ses activités ont été externalisées.

La responsabilité du payeur n’est pas non plus engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées, ni en cas de contrefaçon de l’instrument de paiement si, au moment de l’opération de paiement non autorisée, le payeur était en possession de son instrument.

Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l’information aux fins de blocage de l’instrument de paiement prévue à l’article L. 133-17.

En revanche, le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

Enfin, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44.

Il résulte donc de l’enchevêtrement de ces textes que pour éviter toute fraude, la banque se doit de mettre en 'uvre des procédés techniques de protection des opérations au moyen d’éléments personnels d’identification de l’utilisateur, que plus l’opération nécessite l’utilisation de données d’authentification, plus elle est considérée comme ayant été autorisée par l’utilisateur, lequel peut néanmoins toujours nier l’avoir autorisée, que dans ce cas la banque doit :

1/ prouver que ce sont bien les données d’authentification de l’utilisateur qui ont été utilisées et qu’il n’y a pas eu de défaillance technique,

et 2/ même dans le cas où l’authentification est renforcée et où ces données ont été utilisées, fournir des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.

L’utilisateur qui nie avoir autorisé une opération réalisée avec ses données d’authentification forte se doit de prévenir sa banque dès qu’il en a connaissance.

D’autre part l’utilisateur qui se doit de préserver ses données d’authentification forte doit être vigilant à réception de messages ou d’informations lui demandant la communication des données censées protéger les ordres de paiement mais il ne commet pas nécessairement de négligence fautive s’il se les fait dérober. Il a ainsi pu être jugé que ne commettait pas de faute l’utilisateur qui, répondant à un numéro d’appel apparaissant sur son téléphone portable comme étant celui de sa banque, procédait à la validation d’opérations mais que commettait une négligence grave celui qui répondait à des messages dont la nature frauduleuse aurait dû lui apparaître ou cliquait sur des liens douteux.

En l’espèce, il n’est pas contesté par la banque que M. [F] a été victime le 4 novembre 2022 d’une escroquerie commise par un individu se faisant passer pour un employé chargé de la sécurité à la Société Générale où il dispose de son compte depuis plusieurs années.

Les opérations qui ont été passées sur le compte n° [XXXXXXXXXX09] et que M. [F] nie avoir autorisées sont :

— le 4 novembre 2022 à 18': 56 : l’ajout d’un compte tiers n° [XXXXXXXXXX010] au nom de [F] [O],'

— le 4 novembre 2022 à 19': 21': 01 : un virement de 4 000 euros à [F] [O],

— le 6 novembre 2022 à 8': 26': 08 : un virement de 4 000 euros à [F] [O].

La banque soutient que les opérations litigieuses ont été effectuées via le pass sécurité avec les données d’authentification de l’utilisateur qui ont été utilisées.

A l’appui de ses allégations, elle produit :

— une capture d’écran faisant apparaître l’ajout par le client le 4 novembre 2022 d’un compte France au format BIC/IBAN numéro de compte ° [XXXXXXXXXX010],

une capture d’écran intitulée « détail d’un envoi » concernant l’opération d’ajout d’un bénéficiaire qui apparaît avoir été faite via l’application PRI Sécurité sans plus de précision, avec envoi d’un SMS au [XXXXXXXX01] dont il n’est pas justifié qu’il s’agisse du numéro de téléphone de M. [F],

— une capture d’écran intitulée « opérations techniques d’un périphérique »'qui mentionne une dernière utilisation le 6 novembre 2022 à 08':26':07 mais dans l’historique des opérations techniques sur ce périphérique de sécurité n’apparaissent que trois opérations : le 23 octobre 2021 à 10':20':00 l’enrôlement du terminal par le client, le 9 novembre 2022 à 11':12':41 la résiliation du terminal par’ « Ibad ou interface web » et la désinstallation de l’application par le client le 9 novembre 2022 à 12':09':14. Il apparaît dès lors que parmi les opérations techniques sur le périphérique n’apparaissent pas les opérations d’ajout d’un compte bénéficiaire le 4 novembre 2022,

— le détail des deux virements effectués les 4 et 6 novembre 2022 depuis le compte de M. [F] ouvert à la Société Générale sur un compte qu’il a ouvert à la Société Générale à son nom avec une simple erreur matérielle d’orthographe de son prénom.

La cour observe que la banque ne prouve pas que la procédure d’autorisation a été réalisée correctement alors que M. [F] nie avoir opéré les trois opérations litigieuses.

Au vu des pièces versées, l’hypothèse d’une défaillance technique ne peut être écartée.

Aucune fraude n’est imputée par la Société Générale à M. [F] auquel il n’est pas reproché d’avoir trompé la banque.

S’agissant de la négligence grave dont la banque soutient que M. [F] s’est rendu coupable, il convient de relever que l’appel qui a eu lieu un vendredi en fin de journée sur le téléphone personnel de M. [F] l’avertissant qu’un piratage de son compte bancaire était en train de se commettre et qu’il fallait rapidement réagir en opérant des virements de son compte habituel, afin de le préserver, sur un nouveau compte ouvert dans le même établissement bancaire, a légitimement créé un sentiment d’urgence chez M. [F] alors âgé de 92 ans comme étant né le [Date naissance 3] 1930.

Cet appel, à la différence d’un courriel, diminuait également la vigilance du client, et ce d’autant que le transfert de fonds se faisait à l’intérieur du même établissement bancaire au nom du client.

La cour soulève au surplus que M. [F] n’a commis aucune négligence, n’ayant jamais transmis ses coordonnées personnelles, telles que ses identifiants ou ses codes secrets, à son interlocuteur téléphonique ou par courriel.

M. [F] n’a pas non plus commis de faute dans le cadre de la dénonciation de la fraude puisqu’il a tenté d’y procéder dès l’ouverture des banques le lundi 7 novembre matin, après avoir déposé plainte au commissariat de police et expliquant être allé dans une autre agence que la sienne, fermée le lundi, qui n’a pas voulu prendre son formulaire de contestation comme n’étant pas un client habituel de cette agence.

Il justifie avoir déposé le formulaire le 8 novembre 2022 dans son agence de [Localité 11].

Par ailleurs, en application de l’article L. 133-21 du code monétaire et financier, il incombait à la Société Générale en tant que prestataire de services de paiement du donneur d’ordre à défaut de récupérer les fonds, de communiquer le plus rapidement possible au payeur toutes les informations utiles qu’il détient pouvant documenter le recours en justice du payeur en vue de récupérer les fonds ; or lors de son dépôt de plainte le 7 novembre 2022 M. [F] ne disposait pas de ces informations et ce n’est que le 22 novembre 2022 lors de son complément de plainte qu’il pouvait indiquer que le bénéficiaire s’appelait [T] [X] et communiquer aux services de police le numéro de téléphone portable de ce dernier.

La Société Générale ne peut donc invoquer l’impossibilité de faire prospérer une procédure de recall des fonds dont elle était de fait informée dès le 7 novembre 2022 et officiellement le 8 novembre 2022, alors que d’une part M. [F] a bien, dans le délai de cinq jours prévus par l’article L. 133-17 du code de monétaire et financier, informé la banque de l’escroquerie, et que d’autre part, le bénéficiaire du compte pouvait être ou était déjà identifié, que le compte litigieux avait été ouvert dans la même banque que celle de M. [F] avant que les fonds ne soient réexpédiés dans un autre établissement, simplifiant ainsi les démarches.

En raison de ces informations tardives, M. [F] n’a jamais pu récupérer par sa banque les fonds qui ont été frauduleusement virés sur un autre compte que le sien.

Dès lors M. [F] n’a jamais autorisé les opérations litigieuses et la banque est responsable du préjudice subi.

Le jugement doit être confirmé en ce qu’il a condamné la société générale à rembourser le montant des sommes détournées.

'

S’agissant de la majoration automatique des intérêts fondée sur l’article L. 313-3 du code monétaire et financier, elle s’appliquera sur les dommages et intérêts ordonnés, cette majoration concernant toute condamnation au paiement de somme d’argent’même pour une faute délictuelle ; le jugement de première instance sera donc infirmé de ce chef.

Sera également appliquée la capitalisation des intérêts en application de l’article 1343-2 alinéa 2 du code civil et le jugement confirmé sur ce point.

Sur les autres demandes

La Société Générale doit être condamnée aux dépens d’appel et il apparaît en outre équitable de lui faire supporter la charge des frais irrépétibles engagés par M. [F] à hauteur d’une somme de 2 000 euros.

PAR CES MOTIFS

LA COUR,

Statuant par arrêt contradictoire en dernier ressort,

Confirme le jugement en toutes ses dispositions sauf en ce qu’il a débouté M. [Y] [F] de sa demande de majoration de cinq points du taux d’intérêts légal ;

Y ajoutant,

Dit que la condamnation au paiement d’intérêts au taux légal assortissant la somme de 8 000 euros portera majoration de 5 points conformément aux dispositions de l’article L. 313-3 du code monétaire et financier ;

Condamne la Société Générale à payer à M. [Y] [F] la somme de 2 000 euros sur le fondement de l’article 700 du code de procédure civile ;

Condamne la Société Générale aux dépens d’appel ;

Rejette toute demande plus ample ou contraire.

La greffière La présidente