Copies exécutoires RÉPUBLIQUE FRANÇAISE

délivrées aux parties le : AU NOM DU PEUPLE FRANÇAIS

COUR D’APPEL DE PARIS

Pôle 4 – Chambre 9 – A

ARRÊT DU 19 JUIN 2025

(n° , 8 pages)

Numéro d’inscription au répertoire général : N° RG 23/16507 – N° Portalis 35L7-V-B7H-CILHX

Décision déférée à la Cour : Jugement du 8 septembre 2023 – Juridiction de proximité d'[Localité 12] – RG n° 23/00097

APPELANTE

La société [Adresse 9], société anonyme prise en la personne de son représentant légal domicilié en ctte qualité audit siège

N° SIRET : 313 811 515 02140

[Adresse 1]

[Adresse 16]

[Localité 5]

représentée et assistée de M^e Dominique PENIN du PARTNERSHIPS MORGAN LEWIS & BOCKIUS UK LLP, avocat au barreau de PARIS, toque : J008

INTIMÉS

Monsieur [Z], [F] [U]

né le [Date naissance 4] 1954 à [Localité 15] (92)

[Adresse 2]

[Localité 6]

représenté par M^e Sandra OHANA de l’AARPI OHANA ZERHAT Cabinet d’Avocats, avocat au barreau de PARIS, toque : C1050

Madame [P] [C] épouse [N]

née le [Date naissance 3] 1951 à [Localité 11] (18)

[Adresse 2]

[Localité 6]

représentée par M^e Sandra OHANA de l’AARPI OHANA ZERHAT Cabinet d’Avocats, avocat au barreau de PARIS, toque : C1050

COMPOSITION DE LA COUR :

En application des dispositions des articles 805 et 907 du code de procédure civile, l’affaire a été débattue le 6 mai 2025, en audience publique, les avocats ne s’y étant pas opposés, devant M^me Laurence ARBELLOT, Conseillère, chargée du rapport.

Ce magistrat a rendu compte des plaidoiries dans le délibéré de la Cour, composée de :

M^me Muriel DURAND, Présidente de chambre

M^me Laurence ARBELLOT, Conseillère

M^me Sophie COULIBEUF, Conseillère

Greffière, lors des débats : M^me Camille LEPAGE

ARRÊT :

— CONTRADICTOIRE

— par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

— signé par M^me Muriel DURAND, Présidente et par M^me Camille LEPAGE, Greffière à laquelle la minute de la décision a été remise par le magistrat signataire.

FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES

Mme [P] [C] épouse [N] et M. [Z] [U] ont souscrit auprès de la société Carrefour Banque un crédit renouvelable utilisable par fractions d’un montant maximal de 1 800 euros associé à une carte « Carte Pass » remboursable par mensualités de 80 euros chacune, au TAEG révisable de 21,03 % selon le montant utilisé. L’offre prévoyait une possibilité d’effectuer des achats par internet au moyen de la carte Pass depuis l’espace client « www.carrefour-banque.fr » ou depuis l’application mobile.

Mme [C] s’est plainte d’avoir été victime les 29 et 30 mars 2022, d’une escroquerie avec utilisation de sa carte Pass pour les achats suivants, effectués le 30 mars 2022 à 13h27 : un achat comptant LDLC SA pour 39 euros et un achat comptant LDLC SA pour 1 738,95 euros soit un total de 1 777,95 euros puis une tentative d’achat au profit de Sephora à hauteur de 189 euros le 30 mars 2022 après-midi refusée du fait de la désactivation de la carte Pass intervenue entre temps.

Mme [C] avait reçu un SMS d’alerte de la société [Adresse 9] pour lui signaler a posteriori l’opération d’achat LDLC puis la tentative d’achat en ligne auprès de la société Sephora avant de former réclamation auprès de la société [Adresse 9] le 31 mars 2022 et de déposer plainte le 16 mai 2022 pour utilisation frauduleuse de sa carte bancaire à hauteur de 1 782,90 euros.

Suivant courrier du 10 mai 2022, la banque a refusé le remboursement en invoquant le fait que la transaction contestée avait été authentifiée à partir de l’espace client et validée via un code clé Secure.

N’ayant pas obtenu le remboursement des sommes, M. [U] et Mme [C] ont fait assigner, par actes de commissaires de justice délivrés le 29 décembre 2022, les sociétés Carrefour Banque et Carma devant le pôle de proximité du tribunal judiciaire d’Évry-Courcouronnes, aux fins d’obtenir principalement de la société [Adresse 9] le remboursement de la somme de 1 777,95 euros outre 3 400 euros de dommages et intérêts.

Suivant jugement réputé contradictoire rendu le 8 septembre 2023 auquel il convient de se reporter, le juge des contentieux de la protection a :

— constaté le désistement d’instance à l’égard de la société Carma,

— condamné la société [Adresse 9] à rembourser aux demandeurs la somme de 1 777,95 euros correspondant au montant des opérations frauduleuses du 30 mars 2022 ainsi que tous les frais, agios et échéances du crédit générés par cette opération en recréditant les sommes au compte lié à l’utilisation de la carte Pass,

— débouté les demandeurs de leur demande de dommages et intérêts,

— dit que les sommes produiront intérêts au taux légal et « anatocisme dans les conditions des articles 1231-6 et 1344-1 du code civil »,

— condamné la société Carrefour Banque au paiement d’une somme de 500 euros au titre des frais exposé par les demandeurs et aux dépens,

— dit qu’en application des dispositions de « l’article L.11-8 du code des procédure civiles d’exécution » les éventuels frais d’exécution seront à la charge de la société [Adresse 9].

Aux termes de sa décision, le juge a retenu que si la banque démontrait que l’enrôlement de la clé Secure était bien identifié et rattachable à Mme [C], l’établissement de crédit échouait à apporter la preuve d’une négligence grave de sa cliente au sens des articles L. 133-19 et L. 133-23 du code monétaire et financier.

Il a relevé que si Mme [C] avait reconnu avoir reçu, la veille des opérations, le 29 mars 2022 à 11 h 44, un email libellé comme suit « Confirmation Mobile Innactif » puis avait cliqué sur le lien présent dans le message le lendemain, la preuve n’était pas rapportée qu’elle avait elle-même validé les opérations, et alors que le courriel ne présentait pas en soi d’anomalie apparente, de faute d’orthographe ou de syntaxe ou autre indice de nature à interpeller le client normalement vigilant et à éveiller sa suspicion.

Il a relevé que le logo du prêteur était très bien reproduit même s’il manquait le terme « assurance », que le terme « bank » pouvait ne pas apparaître comme une faute d’orthographe dans la mesure où de nombreux établissements utilisaient dorénavant ce terme. Il a relevé également que si les mentions légales en bas de page concernaient une autre société, il ne pouvait s’en déduire une négligence grave de la part de la cliente. Il a également retenu que la banque aurait dû faire preuve de plus de vigilance au regard des opérations intervenues non bloquées et ce compte tenu des dépenses habituelles faites par Mme [C].

Il a fait droit à la demande de remboursement sur le fondement de l’article L. 311-18 du code monétaire et financier et a rejeté les demandes d’indemnisations complémentaires fondées sur l’existence d’une résistance abusive de la banque non démontrée.

La société [Adresse 9] a interjeté appel de ce jugement par déclaration enregistrée électroniquement le 9 octobre 2023.

Aux termes de ses conclusions déposées par voie électronique le 4 janvier 2024, elle demande à la cour :

— de la recevoir en son appel,

— en conséquence, d’infirmer le jugement sauf quant au constat de désistement,

— statuant à nouveau,

— de juger que les opérations contestées ont été authentifiées, dûment enregistrées et comptabilisées par le biais d’un système d’authentification forte fourni par elle et qu’elles n’ont pas été affectées par une défaillance technique ou autre,

— de juger que Mme [C] a, par négligences graves au sens de l’article L. 133-18 du code monétaire et financier, manqué à ses obligations de préservation de la sécurité de son instrument de paiement,

— de juger qu’elle n’est aucunement tenue d’indemniser le préjudice de Mme [C] et de son époux dans ces conditions,

— de juger qu’il n’y a pas lieu de l’indemniser au titre de l’article 700 du code de procédure civile,

— de débouter les intimés de l’intégralité de leurs demandes contraires,

— de les condamner à lui verser une somme de 1 000 euros au titre de l’article 700 du code de procédure civile et aux entiers dépens.

Sur les faits, elle tient à rappeler que comme elle l’a indiqué dans sa lettre de réclamation puis dans le cadre de son dépôt de plainte, Mme [C] a soutenu avoir été victime les 29 et 30 mars 2022 d’une escroquerie en expliquant avoir reçu un mail avec le logo de « CARREFOUR » lui demandant de mieux sécuriser sa carte Pass et que l’escroc est parvenu à lui faire croire qu’elle devait sécuriser sa carte bancaire en activant la « Confirmation mobile », et que cette opération nécessitait son concours et que pour cela, elle a reconnu avoir cliqué le 30 mars 2022 à 9h25, sur le lien et dans un espace où on lui demandait son numéro de téléphone pour envoyer un code permettant d’activer la clé Secure puis avoir reçu un texto lui demandant de saisir le code reçu. Elle observe que Mme [C] a reçu rapidement un SMS d’alerte de la société [Adresse 9] ce qui a permis d’éviter la persistance de l’incident.

Elle fait valoir que les opérations contestées sont deux paiements réalisés à partir de la carte bancaire de Mme [C] puis validés par ses soins à l’aide du mécanisme d’authentification forte de Carrefour Banque via sa connexion depuis son espace client puis l’usage de sa « Clé Secure », que les opérations ont été dûment enregistrées et n’ont pas été affectées par une défaillance technique ou autre.

Elle fait valoir que Mme [C] n’a pas été méfiante car elle n’a pas tenu compte du fait que la société [Adresse 9] n’était pas l’émetteur du mail et qu’il comportait de nombreuses fautes d’orthographe et de syntaxe, alors que la banque appelait spécifiquement ses clients à la vigilance sur ces points. Elle note en particulier que l’adresse provenait d’un email « [Courriel 13] » et se revendiquait du « Service Client Carrefour Bank », que le courriel avait pour objet « Confirmation Mobile Innactif », que le corps du courriel affichait un logo différent du sien, qu’il reprenait la même orthographe « [Adresse 8] » à trois reprises, ce qui, au-delà de n’être pas le nom de la banque, était en outre incohérent avec le logo affiché. Elle ajoute que les mentions légales figurant en pied de page de l’email étaient celles d’une autre société, dont l’identité a probablement été usurpée par l’escroc auprès d’autres victimes à savoir « FLOA, Société Anonyme au capital de 41 228 000 euros (') ».

Elle soutient que contrairement à ce qu’affirme le jugement entrepris, ces anomalies flagrantes sont autant de fautes d’orthographe, de syntaxe, et d’indices de nature à interpeller le client normalement vigilant et à attirer la suspicion, ce d’autant plus dans un contexte notoire de fraudes sur lequel elle avait pris soin d’alerter ses clients à de nombreuses reprises. Elle note qu’en dépit de ces anomalies, qui auraient dû conduire Mme [C] à ignorer l’email et à bloquer l’expéditeur, cette dernière reconnaît avoir « de suite effectué le clic sur le lien », puis validé l’opération d’autorisation d’achat à hauteur de 1 782,90 euros initiée par le fraudeur, finalement scindée en deux paiements dont le total est inférieur à cette somme, comme il est fréquemment pratiqué par les commerçants pour les réservations d’hôtel, de location de véhicules, ou par les stations d’essence.

Elle rappelle avoir bien pris soin d’adresser à sa cliente un SMS d’alerte et indique que le fait d’avoir répondu « 2 » au SMS, ce qui dénoterait par là que la cliente contestait a posteriori être l’auteur de la transaction, n’avait pas vocation à empêcher sa réalisation puisqu’elle avait déjà été authentifiée, mais à empêcher d’autres opérations frauduleuses postérieures avec le même outil de paiement. Elle ajoute que c’est grâce à ce message que la carte a été bloquée et les autres opérations empêchées et observe que Mme [C] a du reste attendu que la banque lui recommande de porter plainte pour envisager de se retourner contre le ou les véritables escrocs, croyant visiblement que sa banque se chargerait d’indemniser le préjudice dont elle est pourtant la seule responsable et qui a été rendu possible par sa grave négligence. Elle indique qu’elle n’a d’ailleurs pas suivi toutes les consignes et conseils prodigués par la banque en cas de doute quant à l’authenticité d’une demande.

Elle en conclut que seul le défaut de vigilance et l’imprudence de la cliente expliquent l’escroquerie déplorée et que le système informatique et la Clé Secure n’a assurément pas concouru à la fraude.

Aux termes de ses conclusions déposées par voie électronique le 14 mars 2024, M. [U] et Mme [C] demandent à la cour :

— de confirmer le jugement,

— de condamner la société [Adresse 9] au paiement de la somme de 3 100 euros au titre du préjudice de résistance abusive outre une somme de 2 500 euros au titre des dispositions de l’article 700 du code de procédure civile et aux entiers dépens,

— de dire et juger qu’en application des dispositions de l’article L. 111-8 du code des procédures civiles d’exécution, les éventuels frais d’exécution forcée seront à la charge de la société Carrefour Banque.

Ils expliquent que le 29 mars 2022 à 11 h44, Mme [C] a reçu un courriel avec le logo de [Adresse 9] l’invitant à mieux sécuriser sa « carte PASS » et que le lendemain, à 09 h 25, un code lui a été envoyé par texto par l’établissement l’invitant à enregistrer sa clé Secure puis qu’elle a reçu un nouveau texto le même jour l’invitant à confirmer un paiement de 1 782,90 euros, ce à quoi elle a répondu par la négative et a fait opposition à sa carte. Ils affirment que logiquement, dès qu’elle a répondu « 2 » soit « non », le paiement aurait dû être refusé.

Ils soutiennent qu’il ne fait aucun doute que la société Carrefour Banque a manqué à ses obligations de sécurisation et que Mme [C] a bien fait opposition aussi rapidement que possible.

Sur le fondement des articles L. 113-18 et 19 du code monétaire et financier, ils demandent le remboursement de la somme de 1 971,90 euros faute pour la banque de démontrer une quelconque fraude ou négligence grave commise par Mme [C] et de voir rétablir le compte débité dans l’état où il se serait trouvé si cette opération n’avait pas eu lieu.

Pour un plus ample exposé des faits, moyens et prétentions des parties, il est renvoyé aux écritures de celles-ci conformément aux dispositions de l’article 455 du code de procédure civile.

L’ordonnance de clôture a été rendue le 17 décembre 2024 et l’affaire a été appelée à l’audience du 6 mai 2025 pour être mise en délibéré au 19 juin 2025 par mise à disposition au greffe.

MOTIFS DE LA DÉCISION

La décision déférée doit être confirmée en ce qu’elle a constaté le désistement des demandeurs à l’encontre de la société Carma.

Sur la demande de remboursement des sommes prélevées

Aux termes des articles L. 133-16 et L. 133-17 du code monétaire et financier, il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité des dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées.

Cependant, c’est à ce prestataire qu’il appartient en application des articles L. 133-19 IV et L. 133-23 du même code de rapporter la preuve que l’utilisateur qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave, à ses obligations.

Il est admis que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés.

En cas d’utilisation d’un dispositif de sécurité personnalisé, il appartient également au prestataire de prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

En l’espèce, il est acquis que les deux achats litigieux du 30 mars 2022 à 13 h 27 auprès de la société LDLC pour 39 euros et 1 738,95 euros et la tentative d’achat du même jour au profit de la société Sephora à hauteur de 189 euros ont été effectués à partir de la carte Pass de Mme [C] et validés à l’aide du mécanisme d’authentification forte de [Adresse 9] via une connexion depuis l’espace client puis l’usage de sa « Clé Secure ».

La société Carrefour Banque démontre notamment en ses pièces 11 et 12 que les opérations d’achat ont fait l’objet d’une authentification forte avec validation au moyen du code reçu par texto sur le numéro de téléphone mobile de Mme [C] enregistré dans son espace personnel de la banque en ligne.

Pour chaque transaction apparaissent les date et heure, le numéro de la carte à débiter, le numéro de l’autorisation, le type d’opération, le commerçant, le montant de l’opération, la devise d’achat, le pays d’achat, l’option (comptant) et la mention « transaction autorisée ».

Ces opérations n’ont pu être réalisées que par l’utilisation des données et des codes de reconnaissance personnalisés du client, dont le code confidentiel d’accès à l’espace sécurisé en ligne de M. [C] sur l’application mobile ou internet et les codes de confirmation reçus par SMS sur son téléphone portable à répercuter dans les minutes suivantes pour valider chaque paiement et ce sans qu’aucune anomalie technique n’ait été constatée au cours de l’enregistrement des opérations et de leur comptabilisation.

Mme [C] conteste avoir donné son consentement aux paiements effectués et affirme qu’au départ, elle s’est contentée de répondre à un courriel de sa banque l’invitant à mieux sécuriser sa carte Pass puis à réception de SMS de sa banque du 30 mars 2022, avoir répondu par la négative soit la réponse « 2 » à la validation du paiement de 1 782,90 euros puis du paiement de 189 euros en faveur de la société Sephora.

Mme [C] a formé opposition puis réclamation auprès de sa banque le 31 mars 2022 et a déposé plainte le 16 mai suivant auprès des services de la gendarmerie de [Localité 14]. Elle explique aux termes de sa plainte et de son courrier, que le 29 mars 2022, à 11 heures 44, elle a reçu un mail avec le logo de « [Adresse 7] » stipulant qu’elle n’avait pas activé la confirmation mobile pour bénéficier des dernières mises à jour de sécurité, qu’elle a alors effectué un clic sur le lien proposé le 30 mars 2022 à 9h25 et dans un espace où on lui demandait son numéro de téléphone pour envoyer un code permettant d’activer la clé Secure puis avoir reçu un texto lui demandant de saisir le code reçu, ce qu’elle a fait. Elle ajoute avoir reçu rapidement le même jour à 15 heures 28 un SMS d’alerte de la société Carrefour Banque lui demandant si cet achat était de son fait et avoir répondu par la négative et fait opposition.

S’il n’est pas contestable que Mme [C] a été victime d’un stratagème destiné à la mettre suffisamment en confiance afin de l’amener à valider des opérations de paiement, force est de constater qu’elle a manqué de vigilance en répondant favorablement aux consignes figurant dans le courriel reçu le 29 mars 2022 au regard des éléments suivants qui auraient dû l’alerter :

— le nom complet de la banque tel que figurant sur le contrat et tous les documents adressés à ses clients est « [Adresse 10] » alors que le message porte un logo qui ne correspond pas tout à fait à celui de l’appelante à savoir « Carrefour Banque »,

— l’adresse provenait d’un email « [Courriel 13] » et se revendique du « Service Client [Adresse 8] », ces éléments ne correspondant à aucun élément connu contractuellement,

— le message a pour objet « Confirmation Mobile Innactif », ce qui au-delà de la faute d’orthographe, interroge quant à l’objectif poursuivi,

— le corps du courriel reprend à trois reprises le nom de « CARREFOUR Bank » alors qu’il ne s’agit pas du nom de la banque et cela apparaît en contradiction avec le logo affiché en début de message,

— les mentions légales figurant en pied de page du courriel sont celles d’une autre société, à savoir « FLOA, Société Anonyme au capital de 41 228 000 euros (') ».

Le message est atteint d’anomalies flagrantes de nature à interpeller un client normalement vigilant et à éveiller sa suspicion quant à son authenticité de sorte que Mme [C] s’est montrée imprudente en cliquant sur le lien proposé ayant permis la réalisation de la fraude, étant observé que ce n’est que parce que la banque a elle-même adressé des SMS à sa cliente postérieurement aux deux achats réalisés que l’opération suivante a pu être bloquée. Il doit également être relevé que la société [Adresse 9] démontre sensibiliser régulièrement des clients quant aux risques de fraude en leur délivrant par courriels ou sur sa page internet des consignes de prudences notamment lors de l’utilisation de l’espace en ligne afin d’y effectuer des achats et en les sensibilisant aux risques de type phishing/hameçonnage avec explication des stratagèmes de personnes se faisant passer pour Carrefour banque.

Il en résulte que Mme [C] a fait preuve de négligence grave en ne prenant pas de mesure raisonnable afin d’assurer la préservation de la sécurité des dispositifs de sécurité personnalisés mis à sa disposition et que celle-ci doit le priver de la garantie prévue à l’article L. 133-18 du code monétaire et financier.

Il convient donc d’infirmer le jugement ayant condamné la société [Adresse 9] à rembourser la somme de 1 777,95 euros correspondant au montant des opérations frauduleuses du 30 mars 2022 ainsi que tous les frais, agios et échéances du crédit générés par cette opération en recréditant les sommes au compte lié à l’utilisation de la carte Pass et de débouter les intimés de leurs demandes. Le jugement doit être confirmé quant au rejet des demandes indemnitaires complémentaires.

Le jugement doit être infirmé en ce qu’il a condamné la banque aux dépens et à verser aux demandeurs une somme de 500 euros sur le fondement de l’article 700 du code de procédure civile.

M. [U] et Mme [C] qui succombent sont tenus aux dépens de première instance et d’appel et devront verser une somme de 1 000 euros à la société Carrefour Banque en application des dispositions de l’article 700 du code de procédure civile.

PAR CES MOTIFS

LA COUR,

Statuant par arrêt contradictoire,

Infirme le jugement en toutes ses dispositions sauf en ce qu’il a rejeté les demandes d’indemnisation ;

Statuant à nouveau et y ajoutant,

Déboute Mme [P] [C] épouse [N] et M. [Z] [U] de l’intégralité de leurs demandes à l’encontre de la société [Adresse 9] ;

Condamne Mme [P] [C] épouse [N] et M. [Z] [U] in solidum aux dépens de première instance et d’appel ;

Condamne Mme [P] [C] épouse [N] et M. [Z] [U] in solidum à payer à la société Carrefour Banque une somme de 1 000 euros par application des dispositions de l’article 700 du code de procédure civile ;

Déboute les parties de toute autre demande plus ample ou contraire.

La greffière La présidente