Copies exécutoires REPUBLIQUE FRANCAISE

délivrées aux parties le : AU NOM DU PEUPLE FRANCAIS

COUR D’APPEL DE PARIS

Pôle 5 – Chambre 6

ARRET DU 22 OCTOBRE 2025

(n° , 7 pages)

Numéro d’inscription au répertoire général : N° RG 24/08224 – N° Portalis 35L7-V-B7I-CJLVC

Décision déférée à la Cour : Jugement du 16 Février 2024 – tribunal judiciaire de Créteil 3ème chambre – RG n° 22/04399

APPELANTE

Madame [Y] [I]

née le [Date naissance 4] 1958 à [Localité 9]

[Adresse 5]

[Localité 7]

Représentée par M^e Anne CADORET, avocat au barreau de Paris, toque : C 1902, avocat plaidant

INTIMÉE

S.A. BRED BANQUE POPULAIRE

[Adresse 1]

[Localité 6]

N°SIREN : 552 091 795

agissant poursuites et diligences de ses représentants légaux domiciliés en cette qualité audit siège

Représentée par M^e Jean-Philippe GOSSET de la SELEURL CABINET GOSSET, avocat au barreau de Paris, toque : B0812, avocat plaidant

COMPOSITION DE LA COUR :

En application des dispositions des articles 805 et 907 du code de procédure civile, l’affaire a été débattue le 11 Septembre 2025, en audience publique, les avocats ne s’y étant pas opposés, devant M^me Laurence CHAINTRON,conseillère entendue en son rapport, et M^me Anne BAMBERGER,conseillère.

Ces magistrats ont rendu compte des plaidoiries dans le délibéré de la Cour, composée de :

M. Vincent BRAUD, président de chambre

M^me Laurence CHAINTRON, conseillère

M^me Anne BAMBERGER, conseillère

Greffier, lors des débats : M^me Mélanie THOMAS

ARRET :

— contradictoire

— par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

— signé par Vincent BRAUD, président de chambre et par Mélanie THOMAS, greffier, présent lors de la mise à disposition.

* * * * *

FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES

Mme [Y] [I] est titulaire d’un compte bancaire ouvert dans les livres de la SA BRED Banque populaire (la BRED).

Le 10 mars 2021, deux virements ont été émis au débit du compte de Mme [I] pour des montants de 6 000 et 4 000 euros au profit d’une dénommée [J] [M]. Mme [I] a contesté être à l’origine de ces virements et a demandé à la banque le remboursement des sommes débitées, ce que cette dernière a refusé.

Par acte d’huissier du 16 juin 2022, Mme [I] a fait assigner la BRED devant le tribunal judiciaire de Créteil aux fins d’obtenir le remboursement des sommes litigieuses, outre des dommages et intérêts.

Par ordonnance du 21 mars 2023, le juge de la mise en état de ce tribunal, saisi d’un incident par la BRED, a rejeté l’exception de nullité de l’assignation soulevée par celle-ci.

Par jugement contradictoire du 16 février 2024, le tribunal judiciaire de Créteil a :

— débouté Mme [Y] [I] de sa demande de remboursement,

— débouté Mme [Y] [I] de sa demande de dommages et intérêts,

— condamné Mme [Y] [I] au paiement des dépens,

— rejeté les demandes de condamnation au titre des frais irrépétibles,

— rappelé que l’exécution provisoire de la décision est de droit.

Par déclaration du 6 mai 2024, Mme [I] a relevé appel de ce jugement.

Par conclusions notifiées par voie électronique le 25 septembre 2024, Mme [I] demande, au visa des articles 1353 du code civil, L. 123-16, L. 123-17, L. 123-19 et L. 123-23 du code monétaire et financier, à la cour de :

— la déclarer recevable et bien fondée en son appel de la décision rendue le 16 février 2024 par le tribunal judiciaire de Créteil,

Y faisant droit,

— infirmer le jugement sus énoncé et daté en ce qu’il l’a déboutée :

— de sa demande de remboursement à hauteur de 10 000 euros avec intérêt au taux légal à compter du 16 avril 2021, sous astreinte de 100 euros par jour de retard à compter du septième jour suivant la notification du jugement à intervenir ;

— de sa demande de dommages et intérêts à hauteur de 2 500 euros ;

— de sa demande de paiement au titre de l’article 700 du code de procédure civile à hauteur de 2 500 euros ;

— de sa demande de paiement au titre des entiers dépens et des frais irrépétibles ;

Jugeant et statuant à nouveau,

— condamner la société BRED Banque populaire à lui payer la somme de 10 000 euros avec intérêts au taux légal à compter du 16 avril 2021, sous astreinte de 100 euros par jour de retard à compter du septième jour suivant la notification de l’arrêt à intervenir ;

— débouter la société BRED Banque populaire de l’ensemble de ses demandes, fins et prétentions;

— condamner la société BRED Banque populaire à lui payer la somme de 3 000 euros au titre de dommages et intérêts ;

— condamner la société BRED Banque populaire à lui payer la somme de 5 000 euros au titre des dispositions de l’article 700 du code de procédure civile, et aux entiers dépens.

Par conclusions notifiées par voie électronique le 18 septembre 2024, la BRED demande, au visa des articles 1103, 1358 et 1362 du code civil et L.133-18 et suivants du code monétaire et financier, à la cour de :

— la recevoir en ses conclusions, l’y déclarant bien fondée ;

— juger que Mme [I] ne peut obtenir le remboursement des opérations de paiement en ligne qu’elle conteste en présence d’opérations conformément authentifiées et donc autorisées et, en toute hypothèse, exécutées suite à ses négligences graves,

— débouter Mme [I] de l’intégralité de ses demandes, fins et prétentions,

— confirmer en conséquence le jugement rendu en date du 16 février 2024 par le tribunal judiciaire de Créteil,

— condamner Mme [I] à lui verser la somme de 1 000 euros au titre de l’article 700 du code de procédure civile,

— la condamner solidairement aux entiers dépens.

Pour un plus ample exposé des faits, de la procédure, des moyens et des prétentions des parties, il est expressément renvoyé au jugement déféré et aux dernières conclusions écrites déposées en application de l’article 455 du code de procédure civile.

L’ordonnance de clôture a été rendue le 17 juin 2025 et l’audience fixée au 11 septembre 2025.

MOTIFS

Sur la demande de remboursement

Le tribunal a retenu que les virements n’étaient pas autorisés et que Mme [I] avait commis une négligence grave.

Mme [I] poursuit l’infirmation du jugement déféré en ce que bien qu’il ait retenu qu’elle n’avait pas donné son consentement à l’exécution des deux ordres de virements d’un montant total de 10 000 euros, il a néanmoins considéré qu’elle avait commis une négligence grave.

Elle fait principalement valoir, au visa des articles L. 123-16, L. 123-17, L. 123-19 et L. 123-23 (en réalité L. 133-16, L. 133-17, L. 133-19 et L. 133-23) du code monétaire et financier, que :

— elle a été victime de deux virements frauduleux le 10 mars 2021, dont elle n’est pas à l’origine,

— la banque a eu conscience du caractère anormal de ces virements puisqu’elle l’a avertie dès le lendemain pour lui demander si elle était l’auteur des virements et elle a en outre tenté de récupérer les sommes prélevées,

— la banque ne prouve pas que les virements ont été authentifiés ni que son système ne présentait pas de défaillance technique,

— le fait que les opérations litigieuses aient été réalisées depuis son espace personnel est inopérant et totalement insuffisant,

— si elle reconnaît avoir reçu un courriel le 27 janvier 2021 émanant prétendument de la BRED, elle conteste l’avoir ouvert et suivi le lien qui y était mentionné et avoir communiqué ses 'codes',

— à supposer qu’elle l’ait ouvert, ce mail, outre qu’il est antérieur de près de deux mois aux virements litigieux, ne comportait pas d’anomalies lui permettant de déceler son caractère frauduleux,

— il est probable que les escrocs aient créé à son insu un compte de messagerie en usurpant son identité,

— la banque ne démontre pas davantage qu’elle ait commis une négligence grave,

— l’intimée doit donc être condamnée à lui rembourser la somme de 10 000 euros correspondant aux virements frauduleux et à l’indemniser de son préjudice moral à hauteur de la somme de 3 000 euros.

La banque réplique, au visa des articles L.133-18 et suivants du code monétaire et financier, que :

— les virements contestés ont été authentifiés et autorisés au sens des dispositions du code monétaire et financier,

— il ressort de l’article 9 de ses conditions générales que : 'Les enregistrements informatiques générés et conservés par la Banque des consultations, interrogations, instructions, opérations et ordres donnés ainsi que leur éventuelle reproduction sur un support papier ou électronique, constituent la preuve que ceux-ci ont été effectués par l’Abonné et lui sont imputables.',

— elle a conformément à l’article L. 133-21 du code monétaire et financier fait une tentative dite de recall d’opérations de paiement, qui ne vaut pas reconnaissance de responsabilité,

— la fraude alléguée n’a été possible que du fait qu’un tiers a été mis en possession de l’identifiant du compte et du mot de passe strictement personnels au titulaire dudit compte, l’ajout d’un nouveau bénéficiaire ayant été effectué sous la seule responsabilité de Mme [I],

— la banque justifie de l’authentification forte mise en 'uvre concernant l’autorisation des virements en ligne litigieux qui constitue la preuve du consentement de l’appelante à cette opération,

— il n’existe aucune déficience technique,

— il n’existait pas de devoir d’alerte supplémentaire du fait du principe de non ingérence,

— les virements n’ont été possibles que du fait de la négligence grave de Mme [I] puisqu’elle a permis à un tiers d’être en possession de l’identifiant de son compte et de son mot de passe, sans lesquels il aurait été impossible de procéder aux virements, après réception d’un mail du 27 janvier 2021 émanant prétendument de la BRED et présentant des anomalies apparentes.

Mme [I] recherche la responsabilité de la banque en raison d’opérations non autorisées sur le fondement, notamment, des articles L. 133-16, L. 133-17, L. 133-19 et L. 133-23 du code monétaire et financier.

L’article L. 133-23 du code monétaire et financier dispose que :

'Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière.

Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.'

L’article L. 133-24 de ce code prévoit que :

'L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III.'.

En l’espèce, si la BRED soutient que les opérations litigieuses ont été effectuées via son service sécurisé de banque à distance, il n’en ressort pas pour autant que l’utilisation de l’instrument de paiement telle qu’enregistrée par elle suffit à prouver que les opérations ont été autorisées, encore moins qu’elles résultent d’une négligence grave de Mme [I].

Au contraire, il est constant que Mme [I] a immédiatement contacté sa banque pour faire opposition aux opérations litigieuses.

Le contenu de la plainte déposée le 17 mars 2021 pour 'Hacking piratage accès non autorisé’ entre les mains du commissariat de police de [Localité 8] dans laquelle elle indique ne pas avoir divulgué ses 'comptes d’accès’ à son application bancaire, les échanges de courriers entre les parties et les échanges de courriels entre Mme [I] et un prétendu conseiller de la BRED démontrent l’existence d’une escroquerie dont Mme [I] a été victime.

La BRED ne conteste pas vraiment que Mme [I] n’a pas donné son consentement aux opérations litigieuses puisqu’elle indique dans ses écritures que l’appelante a été victime de hameçonnage via un 'courriel frauduleux.'

Il s’en induit que les deux opérations de virements effectués par Mme [I] le 10 mars 2021 n’étaient pas autorisées au sens des dispositions légales précitées.

L’article L. 133-18, alinéa 1, du code monétaire et financier pose le principe du remboursement par la banque des opérations non autorisées dans les termes suivants :

'En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.'

Par dérogation, l’article L. 133-19 de ce code, paragraphe IV, dispose, dans le cas particulier des instruments de paiement dotés de données de sécurité personnalisées que :

'Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17', lesquels lui font obligation de préserver la sécurité de ses données.

Il ressort de l’article 5.3 des conditions générales applicables aux services de la convention de services personnes physiques de la BRED (pièce n° 5) que :

'L’accès à l’espace sécurisé n’est possible qu’au moyen des codes personnels. L’Abonné doit prendre toutes les mesures propres à assurer la garde et la sécurité de ses codes confidentiels, en évitant toute imprudence pouvant favoriser un usage frauduleux de l’espace sécurisé dont l’Abonné devrait alors assumer les conséquences vis à vis de la BRED et de ses Partenaires. Il doit donc tenir absolument secret ses codes personnels et ne pas les communiquer à qui que ce soit. L’Abonné ne doit pas notamment les inscrire sur un document.

L’Abonné est entièrement responsable de la conservation et de l’utilisation de ses codes personnels et, le cas échéant des conséquences de leur divulgation ou de leur utilisation par des tiers.'

L’article 9-6 de ces mêmes conditions générales dispose que :

'Les enregistrements informatiques générés et conservés par la Banque des consultations, interrogations, instructions, opérations et ordres donnés ainsi que leur éventuelle reproduction sur un support papier ou électronique, constituent la preuve que ceux-ci ont été effectués par l’Abonné et lui sont imputables. Ces enregistrements justifient des conséquences qui en découlent (par exemple, prise en compte d’un ordre de virement). Ils font foi de l’identité de l’Abonné concerné, des dates et heures associées, de l’engagement de l’Abonné, par les instructions données, de la forme et du contenu afférents à l’opération visée. Les enregistrements sont divers et peuvent notamment consister en les éléments suivants : actions et événements (enregistrement de connexion par exemple), confirmations électroniques d’opération ou de prise en compte d’instruction, accusés de réception électroniques, messages électroniques, traces, informations diverses, base de données des applications de réception des instructions, etc.'

Il en ressort que le client est seul responsable de la conservation de ses informations confidentielles.

En l’espèce, il ressort du listing informatique communiqué par la banque que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre (pièce n° 1).

La BRED fournit des éléments afin de prouver la négligence grave commise par l’utilisateur de services de paiement, notamment au regard de l’article L. 133-16 du code monétaire et financier qui impose à ce dernier de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées, et d’utiliser l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation.

La négligence grave du payeur est exclusive de toute appréciation de sa bonne foi (Com., 1er juillet 2020, n° 18-21.487).

Comme l’a relevé le tribunal, Mme [I] a reçu un mail le 27 janvier 2021 qui présentait de nombreuses anomalies apparentes de nature à appeler son attention (pièce n° 2 de la banque).

En effet, si 1'expéditeur est identifié comme 'BREDConnect', l’adresse mail qui apparaît est la suivante : '+4CinegsaeeqFaw.com'.

Ce mail, invitant Mme [I] à consulter sa boîte de messagerie et à suivre un lien, a été envoyé à 1 heure l6 du matin, soit un horaire inhabituel pour qu’un 'directeur de la relation client’ prenne attache avec elle.

En outre, les quelques mots qui composent ce message comportent des erreurs typographiques et des fautes d’orthographe, à savoir :

— 'siegesociale',

— 'Consu lter'

— 'nous tenons de vous rappeler (…)'

L’adresse du siège social mentionnée est erronée et incohérente '[Adresse 3]" au lieu de '[Adresse 2]'.

Le mail mentionne une pièce jointe dont l’intitulé est incompréhensible : 'TRFK- ;TY.GIF'.

Enfin, l’objet du mail est particulièrement énigmatique : 'Un nouveau rappel est reçu.'

Il peut se déduire de la chronologie des faits et des circonstances de l’espèce que Mme [I] a cliqué sur ce lien et que cette négligence grave a permis à l’auteur de l’escroquerie d’avoir accès aux données de sécurité personnalisées de Mme [I] sans lesquelles aucune fraude n’aurait été possible, étant également relevé que Mme [I] n’a pas utilisé le service de paiement mis à sa disposition conformément aux conditions régissant sa délivrance et son utilisation.

Mme [I] doit en conséquence supporter toutes les pertes occasionnées par les opérations de paiement non autorisées.

En conséquence de ce qui précède, il y a lieu de confirmer le jugement entrepris en ce qu’il a débouté Mme [I] de toutes ses demandes.

Sur les dépens et les frais irrépétibles

Aux termes de l’article 696, alinéa premier, du code de procédure civile, la partie perdante est condamnée aux dépens, à moins que le juge, par décision motivée, n’en mette la totalité ou une fraction à la charge d’une autre partie. L’appelante sera donc condamnée aux dépens.

En application de l’article 700 du code de procédure civile, le juge condamne la partie tenue aux dépens ou qui perd son procès à payer à l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens. En l’espèce, il n’apparaît pas inéquitable de laisser à la charge de la banque les frais irrépétibles qu’elle a été contrainte d’engager dans la présente instance pour assurer la défense de ses intérêts. Elle sera par conséquent déboutée de sa demande au titre de l’article 700 du code de procédure civile.

LA COUR, PAR CES MOTIFS,

CONFIRME le jugement du tribunal judiciaire de Créteil du 16 février 2024 ;

Y ajoutant,

DIT n’y avoir lieu à application de l’article 700 du code de procédure civile ;

CONDAMNE Mme [Y] [I] aux entiers dépens d’appel ;

REJETTE toute autre demande.

* * * * *

Le Greffier Le Président