RÉPUBLIQUE FRAN’AISE

AU NOM DU PEUPLE FRAN’AIS

COUR D’APPEL DE PARIS

Pôle 5 – Chambre 6

ARRÊT DU 22 JANVIER 2025

(n° , 7 pages)

Numéro d’inscription au répertoire général : N° RG 22/18871 – N° Portalis 35L7-V-B7G-CGVF5

Décision déférée à la Cour : Jugement du 04 Octobre 2022 – tribunal de commerce de Créteil – RG n° 2020/00921

APPELANTE

S.A.S. LINCOTEK [Localité 7]

[Adresse 2]

[Localité 3]

N° SIREN : 311 126 825

agissant poursuites et diligences de son représentant légal domicilié en cette qualité audit siège

Représentée par M^e Guillaume PIERRE, avocat au barreau de Paris, toque : A0259, substitué à l’audience par M^e Yue-Hong CHOU, avocat au barreau de Paris

INTIMÉE

S.A. CREDIT LYONNAIS

[Adresse 1]

[Localité 4]

N° SIREN : 954 509 741

agissant poursuites et diligences de son représentant légal domicilié en cette qualité audit siège

Représentée par M^e Magali TARDIEU-CONFAVREUX de l’AARPI TARDIEU GALTIER LAURENT DARMON associés, avocat au barreau de Paris, toque : R010, avocat plaidant

COMPOSITION DE LA COUR :

L’affaire a été débattue le 18 Novembre 2024, en audience publique, devant la Cour composée de :

M. Marc BAILLY, président de chambre

M. Vincent BRAUD, président de chambre

M^me Laurence CHAINTRON, conseillère

qui en ont délibéré, un rapport a été présenté à l’audience par M. Marc BAILLY dans les conditions prévues par l’article 804 du code de procédure civile.

Greffier, lors des débats : M^me Mélanie THOMAS

ARRÊT :

— contradictoire

— par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

— signé par Marc BAILLY, président de chambre et par Mélanie THOMAS, greffier, présent lors de la mise à disposition.

* * * * *

FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES

La société LINCOTEK [Localité 7] a pour activité le traitement et le revêtement des métaux et dispose d’un compte bancaire dans les livres du CREDIT LYONNAIS LCL auprès de l’agence située à [Localité 7].

La société LINCOTEK [Localité 7] dit avoir été victime de plusieurs virements frauduleux d’un montant total de 168 338 euros, ordonnés le 23 novembre 2020. Ces ordres de virements ont été effectués via l’espace bancaire en ligne mis à la disposition des utilisateurs par la banque.

Le responsable de la société LINCOTEK [Localité 7], M. [C], a déposé plainte pour le compte de la société et a sollicité la restitution des fonds au CREDIT LYONNAIS LCL.

La société LINCOTEK [Localité 7] prétend qu’aucun utilisateur de la société n’était connecté sur le site bancaire le jour des faits litigieux, ce que le CREDIT LYONNAIS LCL conteste en produisant des extractions des données bancaires.

Le CREDIT LYONNAIS LCL a, par ailleurs, sollicité le rappel des fonds auprès des banques bénéficiaires. Seule la somme de 9 975 euros a été récupérée et recréditée sur le compte de la société LINCOTEK [Localité 7].

Parallèlement, suivant ordonnance du juge des libertés et de la détention, une saisie pénale de la somme de 40 775 euros a été effectuée.

Par exploit du 21 décembre 2020, la société LINCOTEK TARBES a fait assigner le CREDIT LYONNAIS LCL devant le tribunal de commerce de Créteil afin de le voir condamner à lui verser la somme de 158 363 euros outre les intérêts au taux légal à compter de la mise en demeure du 25 novembre 2020, la somme de 30 000 euros à titre de dommages et intérêts ainsi que la somme de 15 000 euros au titre de l’article 700 du code de procédure civile.

Par jugement contradictoire rendu le 4 octobre 2022, le tribunal de commerce de Créteil a :

— dit la société LINCOTEK [Localité 7] mal fondée en ses demandes et l’a débouté ;

— condamné la société LINCOTEK [Localité 7] à payer au CREDIT LYONNAIS LCL la somme de 2 000 euros au titre de l’article 700 du code de procédure civile, débouté le CREDIT LYONNAIS LCL du surplus de sa demande et débouté la société LINCOTEK [Localité 7] de sa demande formée de ce chef ;

— rappelé que l’exécution provisoire est de droit ;

— condamné la société LINCOTEK [Localité 7] aux dépens.

Par déclaration remise au greffe de la cour d’appel le 7 novembre 2022, la société LINCOTEK TARBES a interjeté appel de cette décision contre le CREDIT LYONNAIS LCL.

Par conclusions notifiées le 25 janvier 2023, la société LINCOTEK [Localité 7] fait valoir :

— que conformément aux dispositions de l’article L. 133-18 du code monétaire et financier, en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse immédiatement au payeur le montant de l’opération non autorisée et, le cas échéant, rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. Aux termes des articles L. 133-6 et L. 133-7 du même code, une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. Le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement. En l’absence d’un tel consentement, l’opération ou la série d’opération de paiement est réputée non autorisée. Ainsi, le banquier ne peut se dessaisir valablement des fonds que sur les ordres du titulaire du compte ou de son représentant. Ces dispositions sont d’ordre public et ne permettent pas à la banque de se prévaloir d’une quelconque convention de compte courant l’exonérant de toute responsabilité en cas de virement revêtu d’une signature aporcyphe non décelable à première vue par une personne normalement avisée et qui n’aurait pas fait l’objet d’une opposition préalable. Aussi, dès lors qu’une opération n’est pas valablement autorisée, le prestataire de paiement doit rembourser immédiatement le donneur d’ordre. En l’espèce, le CREDIT LYONNAIS LCL est responsable de plein droit et est tenu à une obligation de remboursement, la société LINCOTEK [Localité 7] ayant immédiatement signalé les faits litigieux.

— qu’elle a fait expertiser l’ordinateur prétendument utilisé au moment des faits litigieux. La société DIATHESE a analysé les connexions et a démontré qu’au moment des virements litigieux, aucun utilisateur n’était connecté sur le site bancaire du LCL. Comme l’a également démontré l’enquête pénale, la défaillance ne vient pas de la société LINCOTEK, ni de sa comptable Mme [U]. C’est en effet, un salarié du CREDIT LYONNAIS LCL qui a piraté les codes d’accès, un certain [N] [G] ;

— que le CREDIT LYONNAIS LCL ne peut se dédouaner de sa propre responsabilité en tentant d’obtenir la responsabilité de la société LINCOTEK [Localité 7] ou en opposant les conditions générales excluant sa responsabilité en cas de fraude avérée. En effet, ces clauses créent un déséquilibre significatif étant donné que l’objectif du certificat électronique vendu par le CREDIT LYONNAIS LCL a vocation à sécuriser les règlements informatiques et prévenir les intrusions de tiers. Or, en l’espèce, ce système est défaillant,

— que le CREDIT LYONNAIS LCL a fait preuve de négligence grave dans l’exécution de son obligation de sécurité,

— que contrairement à ce qui est invoqué, la société LINCOTEK [Localité 7] n’a pas donné son consentement aux virements litigieux par l’utilisation du token de Mme [U]. En effet, l’enquête de police démontre le mode opératoire du salarié de la banque qui a accédé aux comptes clients afin de modifier les informations pour obtenir de nouveaux codes d’accès puis effectuer des virements vers plusieurs comptes. Si la banque conteste sa responsabilité, elle ne conteste pas que la société LINCOTEK [Localité 7] ait été victime d’un virement frauduleux comme le démontre les demandes de retour des fonds et la restitution de la somme de 9 975 euros,

— que le CREDIT LYONNAIS LCL n’a pas crédité son compte des fonds débités la laissant sans trésorerie et dans l’impossibilité d’utiliser et de faire fonctionner ledit compte normalement. Il convient de préciser que le CREDIT LYONNAIS LCL a fait preuve d’une différence de traitement entre la société LINCOTEK [Localité 7] et les autres victimes de fraude, de sorte qu’elle demande à la cour de :

— INFIRMER le jugement rendu le 4 octobre 2022 en toutes ses dispositions et statuant à nouveau :

— DEBOUTER LE CREDIT LYONNAIS ' LCL de l’ensemble de ses demandes,

— DIRE ET JUGER que la société LINCOTEK [Localité 7] n’a pas réalisé les trois virements de 59.588 euros, de 98.775 euros et de 9.975 euros,

— CONDAMNER en conséquence LE CREDIT LYONNAIS – LCL à verser à la société LINCOTEK [Localité 7] la somme de 158.363 euros outre intérêts au taux légal à compter de la mise en demeure du 25 novembre 2020,

— CONDAMNER en conséquence LE CREDIT LYONNAIS – LCL à verser à la société LINCOTEK [Localité 7] la somme de 30.000 à titre de dommages et intérêts pour résistance abusive,

— CONDAMNER LE CREDIT LYONNAIS – LCL à verser à la société LINCOTEK [Localité 7] la somme de 15.000,00 € au titre de l’article 700 du Code de Procédure Civile.

— CONDAMNER LE CREDIT LYONNAIS – LCL aux entiers dépens de l’instance,

— ORDONNER la capitalisation des intérêts échus depuis plus d’un an en vertu des dispositions de l’article 1343-2 du Code Civil.

Par conclusions notifiées le 21 avril 2023, le CREDIT LYONNAIS LCL expose :

— que les articles 1937 et 1992 visés dans le dispositif de l’appelante sont inapplicables au présent litige. En effet, le régime de responsabilité des prestataires de services de paiement transposé par le législateur aux articles L133-1 et suivants du code monétaire et financier est exclusif de tout régime national de responsabilité civile contractuelle,

— que par ailleurs, l’article L 133-18 du code monétaire et financier est également inapplicable au profit de l’article L133-19 du même code. En effet, ce dernier vise spécialement les instruments de paiement dotés de données de sécurité personnalisées, ce qui a été nécessairement utilisé en l’espèce. La différence est d’importance car l’article L133-18 du code monétaire et financier suppose d’établir que l’opération de paiement n’a pas été autorisée, ce qui n’est pas le cas en l’espèce et l’article L133-2 du même code, permet de déroger aux dispositions de l’article L133-19 et L133-23 lorsque l’utilisateur du service de paiement est un professionnel et qu’une telle dérogation a été convenue entre les parties, ce qui est le cas en l’espèce.

— qu’en application de l’article L133-23 du code monétaire et financier, que les opérations litigieuses ont été autorisées. En effet, conformément à la jurisprudence, une procédure d’authentification forte permet de qualifier un paiement, d’opération autorisée. Par conséquent, la responsabilité de la banque ne saurait être engagée lorsque l’opération de paiement a été réalisée dans le respect d’un parcours d’authentification forte convenu entre la banque et son client. En l’espèce, il sera relevé que l’initiation d’une opération de virement sur l’espace bancaire en ligne est une action soumise à authentification forte reposant sur un mot de passe, un identifiant, un token et son code confidentiel. Le CREDIT LYONNAIS LCL établit que les virements litigieux ont été signés électroniquement par M. [U] via le token comme le démontre le compte rendu de remise, l’extraction d’un fichier .xml sur lequel figure ledit numéro de série puis la preuve de l’utilisation dudit token pour signer l’ordre ainsi qu’un listing permettant d’établir que le numéro de série du token remis à Mme [U] est « GATP00169427 » et correspond donc à celui utilisé afin de procéder à la validation de l’opération de paiement. Le technicien mandaté par la société LINCOTEK [Localité 7] ne prend pas en considération que la connexion peut intervenir depuis n’importe quel poste ou tablette. Ensuite, même sur ledit poste, il admet qu’il a existé une multitude de connexion dans la journée du 23 novembre 2020, date des virements litigieux. L’authentification, via le token détenu par l’entreprise, exclut que les virements aient pu être réalisés par un escroc extérieur à l’entreprise.

— que selon la jurisprudence, les fichiers de preuve versés aux débats dont la valeur probante a été convenue aux termes des conditions générales, suffisent à démontrer l’absence d’une prétendue déficience technique,

— que M. [N] [G], dont le nom apparait dans ledit procès-verbal de synthèse, était bien salarié du CREDIT LYONNAIS LCL jusqu’à son licenciement par ladite banque ; toutefois, il n’exerçait pas les fonctions d’informaticien mais de conseiller clientèle au sein d’une agence parisienne de ladite banque. Il n’a jamais été le conseiller clientèle de la société LINCOTEK [Localité 7] dont les comptes sont ouverts dans les livres d’une agence LCL de [Localité 7], ni n’a interagi sur son compte et encore moins n’est impliqué de quelque manière que ce soit dans les virements objets de la présente procédure, à la connaissance de la concluante. L’OPJ rédacteur dudit procès-verbal a par ailleurs écrit à l’avocat du CREDIT LYONNAIS LCL « Je vous confirme que les conclusions de cet avocat sont complètement fausses et qu’il ne peut absolument pas être imputé à Monsieur [G] les faits commis au préjudice de la société LINCOTEK ».,

— que, par ailleurs, la société LINCOTEK [Localité 7] a fait usage de moyens déloyaux en révélant des pièces couvertes par le secret dans le cadre de l’enquête pénale. Enfin, la banque a cherché à récupérer les fonds que son client lui disait ne pas avoir voulu virer, ce qui ne signifie ni qu’elle reconnait que les ordres de paiement n’ont pas été authentifiés, ni sa responsabilité.

— qu’en tout état de cause, les dispositions générales de la banque et les conditions générales [Adresse 6] mentionnent que la responsabilité de la banque est exclue lorsque l’ordre est exécuté conformément à ses termes. Ces clauses claires dérogent au principe de responsabilité posé par l’article L133-19 du code monétaire et financier et à la charge de la preuve du caractère autorisé du paiement prévu par l’article L133-23 du code monétaire et financier,

— s’agissant du déséquilibre significatif invoqué par la société LINCOTEK [Localité 7], qu’il est précisé que l’appelante ne vise aucune disposition légale mais que la demande évoque les dispositions de l’article L132-1 du code de la consommation. Néanmoins, une convention de compte professionnelle à laquelle est partie une personne morale agissant pour ses besoins professionnels, ne saurait être soumise aux dispositions protectrices susvisées. En tout état de cause, la clause ne présente aucun déséquilibre significatif. En effet, il est légitime de stipuler que l’ordre est autorisé et la responsabilité de la fraude incombe au client lorsqu’il a permis, volontairement ou non, le détournement des moyens d’authentification,

— que sa responsabilité ne peut être engagée en raison de la négligence grave commise par la société LINCOTEK [Localité 7]. En effet, la qualification de négligence grave est appréciée selon le critère de l’utilisateur normalement attentif selon les dispositions des articles L133-19 et L133-16 du code monétaire et financier. La qualification de négligence grave peut être retenue lorsque le titulaire d’un compte est victime d’une fraude, et notamment lorsque celui-ci a divulgué à un tiers des informations confidentielles permettant d’effectuer des ajouts de bénéficiaires et des virements bancaires. Le CREDIT LYONNAIS LCL établit que les ordres de virements ont été signés électroniquement par la société LINCOTEK [Localité 7]. Il en résulte nécessairement une négligence grave que Mme [U] soit à l’origine de cette signature ou non : soit elle a elle-même validé les virements litigieux, soit elle a communiqué à un tiers les codes émis par le token permettant cette validation. Cette négligence est à l’origine du préjudice de la demanderesse.

— que la procédure pénale étant en cours, il n’est pas établi que la société LINCOTEK [Localité 7] ne pourra pas obtenir réparation du préjudice causé par les virements litigieux par le ou les auteurs de l’infraction. Par ailleurs, en application de l’article 706-164 du code de procédure pénale, la société a vocation à percevoir la somme de 40 775 euros ayant fait l’objet d’une saisie pénale. La société LINCOTEK [Localité 7] ne saurait obtenir réparation dès lors que son préjudice n’est pas certain, de sorte qu’elle demande, en conséquence à la cour de :

— CONFIRMER le jugement entrepris en toutes ses dispositions ;

— DÉBOUTER la société LINCOTEK [Localité 7] de l’intégralité de ses demandes ;

— CONDAMNER la société LINCOTEK [Localité 7] à payer au CREDIT LYONNAIS une somme de 5.000 € au titre de l’article 700 du Code de Procédure Civile et à supporter les dépens de l’instance qui pourront être distrait par M^e TARDIEU CONFAVREUX conformément aux dispositions de l’article 699 du Code des Procédures Civiles d’exécution.

L’ordonnance de clôture a été rendue le 8 octobre 2024.

MOTIFS

Les trois virements litigieux datés du 23 novembre 2020 ont été effectués par le biais de l’interface électronique du compte alors que la société Lincotek était avec la société Le Crédit Lyonnais dans les liens d’une convention 'Espace Professionnel’ du 21 mars 2016 avec souscription du service 'Identité’ qui prévoit la possession par l’utilisateur d’un boîtier électronique générant des codes à usage uniques dit 'token’ outre la connaissance de l’identifiant de connexion au compte et du mot de passe d’accès, la société Lincotek ayant expressément désigné notamment Mme [U], salariée comptable, comme autorisée à mouvementer le compte.

Il résulte des articles L 133-6 et L 133-7 du code monétaire et financier qu’une opération de paiement est autorisée si le payeur a donné son consentement à son exécution, lequel est donné sous la forme convenue entre le payeur et son prestataire de services de paiement.

L’article L 133-19, paragraphe II, alinéa premier dispose que 'la responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées’ et son article L133-23 que 'lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement'.

L’article 9 des conditions générales de la convention 'Espace professionnel.', – qui ne porte pas sur les responsabilités mais fixe la forme convenue entre les parties du consentement donné par le payeur – stipule que 'l’initiation ou la validation d’un message ou d’une instruction au moyen de l’authentification attribuée à une personne désignée par le client fait preuve de son imputabilité au Client et vaut signature de sa part sous réserve de la nécessité d’une confirmation de l’ordre pour certaines prestations spécifiquement décrites dans le descriptif des Services des conditions générales et des Conditions particulières. L’enregistrement par les appareils de LE CRÉDIT LYONNAIS des messages ou instructions ou papier, fait preuve de ces instructions et constitue la justification de leur imputation au compte du client ou leur reproduction sur un support informatique'.

En l’espèce, la banque a produit aux débats les relevés informatiques afférents aux opérations contestées (compte rendu des remises, extraction des données comprenant le numéro de série du token) qui objectivent outre l’utilisation de l’identifiant et du code d’accès à l’espace en ligne, l’utilisation d’un 'token’ généré par le boîtier attribué à Mme [U] et les relevés de compte sont produits aux débats par l’appelante, de sorte que Le Crédit Lyonnais justifie, d’une part, que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre et, d’autre part, que le consentement de la société Lincotek est présumé donné conformément à la forme convenue entre les parties.

La circonstance, démontrée par le rapport d’une société Diathese requise par la société Lincotek, que les ordinateurs professionnels de Mme [U] et de son dirigeant, M. [C], n’ait pas été connectés à l’interface bancaire au moment de la réalisation des opérations litigieuses ne suffit pas, à elle seule, à démontrer que le consentement aux opérations n’était pas donné dans les formes convenues entre les parties dès lors qu’un autre poste pouvait être utilisé à cet effet au moyen des identifiants et codes de connexion puis de l’usage du code unique de transaction généré par le boîtier confié à la société Lincotek.

C’est en outre vainement que la société Lincotek invoque une procédure pénale ayant concerné un préposé de la banque pour contester le caractère autorisé des virements dès lors que s’il résulte du procès-verbal de synthèse d’enquête du 16 juillet 2021 que l’un des employés avait frauduleusement viré des sommes de comptes de clients vers des comptes ouverts au moyen de faux documents, il est constant que le mis en cause, convoqué pour son licenciement, n’était plus employé au moment des virements litigieux.

Il résulte en effet de la lecture combinée du dit procès-verbal de synthèse d’une enquête conduite à [Localité 5], lieu du domicile du concerné qui officiait dans une agence parisienne de la banque et de la réponse apporté au conseil de la banque par l’enquêteur – car une enquête est également en cours à [Localité 7] à la suite de la plainte du 24 novembre 2020 de la société Lincotek – que le point commun entre les deux affaires est constitué par la circonstance qu’un compte, frauduleusement ouvert dans une banque tierce, a été réceptionnaire à la fois du dernier virement de la société Lincotek d’un montant 9 975 euros et de sommes provenant des agissements du mis en cause, le policier enquêteur précisant toutefois qu’il n’y a pas d’autre lien entre les agissements de ce dernier (qui ont consisté à générer et utiliser de nouveaux codes de clients pour frauder)et 'le type d’escroquerie dont a été victime LINCOTEK’ où 'il s’agit d’une méthode connue de nos services. En général, il s’agit de prise de contact avec la société victime afin de se faire passer pour le service fraude de la banque (vous en l’occurrence) et d’inviter l’interlocuteur à soit fournir ses codes, soit exécuter des manoeuvres pour accéder aux comptes et faire des virements'.

Il doit être ajouté que dans le cadre de l’enquête tarbaise, une ordonnance du juge des libertés et de la détention du tribunal judiciaire de cette ville du 3 décembre 2020 a prononcé la saisie pénale d’une somme de 40 775 euros qui proviendrait de l’escroquerie dont la société Lincotek a été victime sans que cette dernière ne s’explique plus avant ni ne sollicite le sursis à statuer dans l’attente du résultat de cette procédure.

En conséquence, sans qu’il soit besoin de se prononcer sur la légalité de la clause conventionnelle portant sur la responsabilité des opérations non autorisées, il résulte de ce qui précède que la banque prouve, sans être utilement contre dite par une preuve contraire, que les opérations litigieuses ont été authentifiées, dûment enregistrées et comptabilisées, qu’elles n’ont pas été affectées par une déficience technique et que le consentement du payeur a été donné dans les formes convenues entre les parties, de sorte qu’il ne peut être fait droit aux demandes de la société Lincotek.

C’est en outre à juste titre compte tenu du caractère autorisé des opérations que la société Le Crédit Lyonnais fait valoir que la société Lincotek ne peut utilement se prévaloir des dispositions du code civil sur le contrat de dépôt.

Il résulte de tout ce qui précède qu’il y a lieu de confirmer le jugement entrepris en toutes ses dispositions, de condamné la société Lincotek aux dépens d’appel ainsi qu’à payer à la société Le Crédit Lyonnais la somme de 2 000 euros en application de l’article 700 du code de procédure civile.

PAR CES MOTIFS

CONFIRME le jugement entrepris en toutes ses dispositions ;

Y ajoutant,

CONDAMNE la société Lincotek [Localité 7] à payer à la société Le Crédit Lyonnais la somme de 2 000 euros en application de l’article 700 du code de procédure civile ;

CONDAMNE la société Lincotek [Localité 7] aux dépens d’appel de la présente instance qui seront recouvrés par M^e Tardeux-Confavreux comme il est disposé à l’article 699 du code de procédure civile.

* * * * *

LE GREFFIER LE PRÉSIDENT