Copies exécutoires REPUBLIQUE FRANCAISE

délivrées aux parties le : AU NOM DU PEUPLE FRANCAIS

COUR D’APPEL DE PARIS

Pôle 5 – Chambre 6

ARRET DU 15 AVRIL 2026

(n° , 8 pages)

Numéro d’inscription au répertoire général : N° RG 24/16467 – N° Portalis 35L7-V-B7I-CKC7H

Décision déférée à la Cour : Jugement du 30 Août 2024 – tribunal judiciaire de Paris – RG n° 23/12248

APPELANTE

S.A. SOCIETE GENERALE

[Adresse 1]

[Localité 1]

N°SIREN : 552 120 222

agissant poursuites et diligences de son représentant légal domicilié en cette qualité audit siège

Représentée par M^e Dominique FONTANA de la SELARL DREYFUS FONTANA, avocat au barreau de Paris, toque : K0139, avocat plaidant

INTIMÉE

Madame [J] [Z]

née le [Date naissance 1] 1980 à [Localité 2]

[Adresse 2]

[Localité 3]

Représentée par M^e Maude HUPIN, avocat au barreau de Paris, toque : G0625

COMPOSITION DE LA COUR :

En application des dispositions des articles 805 et 907 du code de procédure civile, l’affaire a été débattue le 26 Février 2026, en audience publique, les avocats ne s’y étant pas opposés, devant Madame Laurence CHAINTRON, conseillère, entendue en son rapport.

Ce magistrat a rendu compte des plaidoiries dans le délibéré de la Cour, composée de :

M. Vincent BRAUD, président de chambre

M^me Laurence CHAINTRON, conseillère

M^me Anne BAMBERGER, conseillère

Greffier lors des débats : M^me Mélanie THOMAS

ARRET :

— contradictoire

— par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

— signé par Vincent BRAUD, président de chambre et par Mélanie THOMAS, greffier, présent lors de la mise à disposition.

* * * * *

FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES

Mme [J] [Z] est titulaire d’un compte ouvert dans les livres de la Société Générale.

Elle expose avoir été victime d’une fraude au faux conseiller au titre de neuf opérations réalisées sur son compte au moyen de sa carte bancaire et du code associé, pour une somme totale de 20 420,70 euros, à savoir :

—  5 retraits d’un montant de 7 500 euros, se décomposant comme suit :

—  700 euros le 2 août 2023 à 14 heures 41,

—  800 euros le 2 août 2023 à 14 heures 43,

—  3 000 euros le 2 août 2023 à 14 heures 45,

—  2 000 euros le 3 août 2023 à 0 heure 06,

—  1 000 euros le 3 août 2023 à 0 heure 07,

—  4 achats d’un montant de 12 920,70 euros, se décomposant comme suit :

—  91,70 euros au profit de Guirand le 2 août 2023,

—  5 500 euros au profit de Dior Couture le 2 août 2023,

—  6 850 euros au profit de Dior Couture le 2 août 2023,

—  479 euros au profit de Apple Store le 2 août 2023.

Mme [Z] a déposé plainte le 4 août 2023.

Par courrier du 4 août 2023, Mme [Z] a sollicité auprès de la Société Générale, le remboursement de ces sommes. La banque a, par lettre du 22 août rejeté cette demande.

Par exploit d’huissier du 26 septembre 2023, Mme [J] [Z] a fait assigner la Société Générale devant le tribunal judiciaire de Paris afin, notamment, d’obtenir le remboursement de ces opérations et l’indemnisation de son préjudice.

Par jugement contradictoire rendu le 30 août 2024, le tribunal a :

— condamné la Société Générale à payer à Mme [J] [Z] les sommes suivantes :

—  20 420,70 euros en remboursement des sommes correspondant aux opérations frauduleuses avec intérêts au taux légal majoré de 15 points à compter de la présente décision ;

—  2 500 euros au titre de l’article 700 du code de procédure civile ;

— ordonné la capitalisation des intérêts dans le cadre de l’anatocisme en application de l’article 1343-2 du code civil ;

— débouté Mme [J] [Z] de sa demande au titre du préjudice moral ;

— débouté les parties du surplus de leurs demandes ;

— condamné la Société Générale aux dépens ;

— rappelé que l’exécution provisoire est de droit.

Par déclaration du 20 septembre 2024, la Société Générale a relevé appel de ce jugement.

Par conclusions notifiées par voie électronique le 7 mai 2025, la Société Générale demande à la cour de :

— déclarer la Société Générale recevable et bien fondée en son appel,

— déclarer Mme [J] [Z] mal fondée en son appel incident,

En conséquence,

— infirmer le jugement rendu par la 9ème chambre – 3ème section du tribunal judiciaire de Paris le 30 août 2024 en ce qu’il a :

— condamné la Société Générale à payer à Mme [J] [Z] les sommes suivantes :

—  20 420,70 euros en remboursement des sommes correspondant aux opérations frauduleuses avec intérêts au taux légal majoré de 15 points à compter de la présente décision ;

—  2 500 euros au titre de l’article 700 du code de procédure civile ;

— ordonné la capitalisation des intérêts ;

— confirmer le jugement rendu par la 9ème chambre – 3ème section du tribunal judiciaire de Paris le 30 août 2024 en ce qu’il a débouté Mme [J] [Z] de sa demande de dommages et intérêts au titre d’un préjudice moral ;

Statuant à nouveau,

— débouter Mme [J] [Z] de toutes ses demandes ;

— condamner Mme [J] [Z] à payer à la Société Générale la somme de 3 000 euros au titre de l’article 700 du code de procédure civile ;

— condamner Mme [J] [Z] aux entiers dépens en application de l’article 696 du code de procédure civile.

Par conclusions communiquées par voie électronique le 8 janvier 2026, Mme [Z] demande, au visa des articles L. 133-6 et suivants du code monétaire et financier et 1343-2 du code civil, à la cour de :

— déclarer Mme [J] [Z] bien fondée en ses demandes, fins et conclusions,

— débouter la Société Générale de l’ensemble de ses demandes, fins et prétentions,

— confirmer le jugement rendu par le tribunal judiciaire de Paris en date du 30 août 2024 en toutes ses dispositions, sauf sur le point de départ des intérêts majorés fixés à tort à compter de la décision entreprise du 30 août 2024,

Et statuant à nouveau,

— débouter la Société Générale de l’ensemble de ses demandes, fins et prétentions,

— condamner la Société Générale à payer à Mme [J] [Z] la somme de 20 420,70 euros en remboursement des sommes détournées, outre les intérêts au taux légal majoré de quinze points, à compter du mois suivant la fraude soit le 3 septembre 2023,

— ordonner la capitalisation des intérêts,

— condamner la Société Générale à payer à Mme [J] [Z] la somme de 3 000 euros au titre du préjudice moral,

— condamner la Société Générale au paiement de la somme de 3 500 euros au titre de l’article 700 du code de procédure civile,

— condamner la Société Générale aux entiers dépens.

Pour un plus ample exposé des faits, de la procédure, des moyens et des prétentions des parties, il est expressément renvoyé au jugement déféré et aux dernières conclusions écrites déposées en application de l’article 455 du code de procédure civile.

L’ordonnance de clôture a été rendue le 20 janvier 2026 et l’audience fixée au 26 février 2026.

MOTIFS

Sur la responsabilité de la banque

La Société Générale critique le jugement déféré en ce qu’il a considéré qu’elle ne justifiait pas de la négligence grave de sa cliente au motif que les circonstances de la fraude ne sont pas explicitées.

Elle expose, au visa de l’article L. 133-23 du code monétaire et financier, qu’elle prouve l’authentification des opérations et l’absence de déficience technique, ainsi que l’existence d’une négligence grave de Mme [J] [Z], de sorte que conformément aux dispositions de l’article L. 133-19 IV du code monétaire et financier, celle-ci n’a pas droit au remboursement des opérations contestées.

S’agissant de l’authentification des opérations dans l’espace 'Banque à distance', la Société Générale expose que :

— le numéro de téléphone de sécurité de Mme [Z] enregistré par la banque n’a pas été modifié depuis son enregistrement le 13 mai 2023,

— Mme [Z] était, durant la fraude, en possession de son téléphone mobile qui n’a pas été déclaré ni perdu, ni volé,

— sa ligne de téléphone n’a pas connu de dysfonctionnement,

— Mme [Z] a reçu sur son numéro de téléphone de sécurité ([XXXXXXXX01]) enregistré dans le contrat « Banque à distance », un code à usage unique envoyé par la banque en réponse à la demande reçue qui a permis l’enrôlement le 2 août 2023 à 14 heures 39 du Pass Sécurité permettant ainsi au fraudeur d’accéder à distance aux données de son compte et de le faire fonctionner en le faisant bénéficier de sa signature électronique au moyen du Pass Sécurité,

— à la suite de l’activation du nouveau Pass Sécurité, une notification a été, d’une part, envoyée par SMS à Mme [Z] et d’autre part, générée sur son espace client,

— le fraudeur a ainsi pu modifier la capacité de retrait et de paiement de la carte bancaire le 2 août à 14 heures 45 et 16 heures 34, puis le 3 août à 00 heure 04 et 00 heure 06, chaque augmentation de plafond ayant généré une notification sur l’espace client de Mme [Z],

— elle a également reçu des notifications sur son espace client l’informant d’opérations par carte 'à risque', la première de ces notifications ayant été effectuée le 2 août 2023 à 14 heures 41.

S’agissant de la négligence grave de Mme [Z], la banque fait valoir qu’il ressort de la lecture de la plainte déposée le 4 août 2023, que préalablement à la fraude :

— Mme [Z] a fait l’objet d’un phishing, via un faux SMS envoyé depuis un numéro de mobile chronopost,

— elle a cliqué sur le lien proposé en divulguant ses données d’identité et numéro de téléphone,

— elle a ensuite reçu un appel d’un individu se faisant passer pour un membre du personnel de la Société Générale provenant du numéro du service d’assistance et d’assurance de la carte Visa Premier, sans aucun lien avec les services fraude ou opposition de la banque,

— elle a nécessairement communiqué à cet individu qu’elle ne connaissait pas et dont elle ne pouvait vérifier ni l’identité, ni les fonctions, les données permettant d’accéder à son compte en ligne,

— elle a désinstallé l’application mobile permettant d’accéder à ses comptes à distance,

— elle a suivi les instructions du fraudeur sans avoir vérifié son identité et sans vérifier les messages authentiques de sa banque dont celui reçu par SMS l’informant de l’enrôlement du Pass Sécurité,

— elle a remis sa carte bancaire à un coursier inconnu,

— l’usage frauduleux de la carte et des données de sécurité a été signalé tardivement puisqu’elle a attendu le lendemain des opérations, soit le 3 août 2023, pour contacter les services de la banque et faire opposition à sa carte bancaire, alors que le coursier a récupéré sa carte bancaire le 2 août, autour de 14 heures 30.

La banque ajoute que ses conditions générales d’utilisation du service « Banque à distance » insistent sur le caractère personnel et confidentiel du code de sécurité, le client étant responsable de l’emploi et de la sauvegarde du code et que depuis plusieurs années, elle attire l’attention de ses clients sur les risques de fraude ainsi que cela ressort des avertissements produits avant le mois d’août 2023.

Mme [Z] réplique que les opérations litigieuses n’étaient pas autorisées et que c’est à la banque de rapporter la preuve qu’elle a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations. Elle affirme avoir averti sa banque dans le délai imposé par la loi, dès qu’elle s’est aperçue des opérations frauduleuses.

Elle soutient que la banque ne démontre pas l’authentification forte au motif que celle-ci ne produit pas tous les éléments techniques attestant de la mise en 'uvre du dispositif lors des opérations litigieuses. Elle relève à cet égard que la banque ne produit aucun SMS, ni aucune trace d’envoi des codes de confirmation et d’ajouts de bénéficiaires, le seul élément technique produit étant un récapitulatif des types de validation, adresse IP, nom d’hébergeur, numéro de mobile et des pièces illisibles.

Elle soutient que la banque ne rapporte pas la preuve d’une négligence grave de sa part. En effet, elle n’a pas reçu de code de confirmation et n’a pas ainsi validé l’opération. Elle conteste avoir transmis une quelconque information personnelle et, notamment, le code de sa carte et ses codes de connexion à son espace client. Elle estime que la remise à un coursier de sa carte bancaire coupée en deux ne suffit pas à justifier l’existence d’une négligence grave et que l’appel téléphonique d’un inconnu se faisant passer pour un conseiller bancaire est de nature à exclure toute responsabilité de sa part dans la réalisation des opérations contestées, sa vigilance ayant été trompée par le fait que le numéro d’appel était un numéro de sa banque qu’elle a vérifié et que son interlocuteur était en mesure de lui communiquer des informations personnelles.

Mme [Z] recherche la responsabilité de la banque en raison d’opérations non autorisées sur le fondement, notamment, des articles L. 133-16, L. 133-17, L. 133-19 et L. 133-23 du code monétaire et financier.

L’article L. 133-23 du code monétaire et financier dispose que :

'Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière.

Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.'

L’article L. 133-24 de ce code prévoit que :

'L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III.'.

En l’espèce, si la Société Générale soutient que les opérations litigieuses ont été effectuées via son service sécurisé de banque à distance, il n’en ressort pas pour autant que l’utilisation de l’instrument de paiement telle qu’enregistrée par elle suffit à prouver que les opérations ont été autorisées, encore moins qu’elles résultent d’une négligence grave de Mme [Z].

Le contenu de la plainte déposée le 4 août 2023 pour 'Escroquerie’ entre les mains du commissariat de police du [Localité 3] dans laquelle elle indique avoir été victime d’un escroc qui l’a contactée par téléphone en se faisant passer pour un conseiller bancaire et lui a indiqué qu’elle devait sécuriser son compte et qu’il lui envoyait un coursier à son domicile pour récupérer sa carte bancaire démontrent l’existence d’une escroquerie dont Mme [Z] a été victime.

La Société Générale ne conteste pas vraiment que Mme [Z] n’a pas donné son consentement aux opérations litigieuses, mais soutient que les pertes occasionnées par les opérations de paiement résultent d’un manquement grave de sa part.

Il s’en induit que les neuf opérations de retraits et paiements effectuées par Mme [Z] les 2 et 3 août 2023 n’étaient pas autorisées au sens des dispositions légales précitées.

L’article L. 133-18, alinéa 1, du code monétaire et financier pose le principe du remboursement par la banque des opérations non autorisées dans les termes suivants :

'En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.'

Par dérogation, l’article L. 133-19 de ce code, paragraphe IV, dispose, dans le cas particulier des instruments de paiement dotés de données de sécurité personnalisées que :

'Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17', lesquels lui font obligation de préserver la sécurité de ses données.

En l’espèce, Mme [Z] ne conteste pas bénéficier du système d’authentification forte 'Pass Sécurité’ mis en place par la banque.

L’enrôlement du Pass Sécurité nécessite la connaissance du code client 'Banque à distance', du code secret 'Banque à distance’ et du code d’activation à usage unique envoyé par SMS sur le téléphone de sécurité enregistré sur le contrat 'Banque à distance'.

En l’espèce, la banque produit :

— le journal des connexions au service 'Banque à distance’ de Mme [Z] qui démontre que toutes les opérations ont été validées sur cet espace au moyen de ses identifiant et mot de passe,

— les certificats d’authentification des différents retraits et paiements litigieux qui permettent de confirmer l’utilisation du code confidentiel de Mme [Z] pour valider les opérations,

— les traces informatiques des serveurs de la banque qui établissent d’une part, que le Pass Sécurité de Mme [Z] a été enregistré le 2 août 2023 à 14 heures 39 et activé à partir de son téléphone personnel, le numéro de téléphone destinataire du code envoyé par SMS étant bien le sien et d’autre part, qu’une notification a également été générée sur son espace en ligne,

— l’ensemble des documents permettant de confirmer l’augmentation des plafonds de paiement et de retrait le 2 août 2023 à 14 heures 45 et 16 heures 34, puis le 3 août 2023 à 00 heure 04 et 00 heure 06, cette augmentation des plafonds ayant généré une notification sur l’espace client de Mme [Z] auquel elle avait accès,

— les notifications d’informations des opérations par cartes à Mme [Z] précisant 'Transaction risquée’ en date des 2 août et 3 août 2023 à des horaires concomitants aux augmentations des plafonds de paiement.

La banque justifie par conséquent que les opérations litigieuses ont été validées selon le processus sécurisé d’authentification forte mis en place, qu’elles ont été dûment enregistrées et comptabilisées et qu’elles n’ont pas été affectées par une déficience technique ou autre.

De plus, comme le relève la banque, le numéro de téléphone de sécurité de Mme [Z] n’a pas été modifié depuis son enregistrement le 13 mai 2023, celle-ci est restée en possession de son téléphone mobile durant la fraude, aucune déclaration de perte ou de vol n’a été effectuée et il n’est pas allégué que sa ligne de téléphone ait connu un dysfonctionnement.

La Société Générale fournit, contrairement à ce qu’a retenu le tribunal, des éléments afin de prouver la négligence grave commise par l’utilisateur de services de paiement, notamment au regard de l’article L. 133-16 du code monétaire et financier qui impose à ce dernier de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées et d’utiliser l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation.

La négligence grave du payeur est exclusive de toute appréciation de sa bonne foi (Com., 1er juillet 2020, n° 18-21.487).

Il ressort en effet de la plainte déposée par Mme [Z] le 4 août 2023 que :

— le 31 juillet 2023, elle a reçu un SMS émanant prétendument de chronopost et a cliqué sur un lien qui était mentionné dans ce message lequel l’a dirigée sur une page lui demandant de remplir ses nom, prénom, date de naissance et adresse,

— le 2 août 2023 à 13 heures 29, elle a reçu un appel téléphonique d’un faux conseiller bancaire prétendant faire partie du service fraude de la Société Générale qui lui a indiqué qu’il y avait une suspicion de fraude d’un paiement à l’étranger en Belgique et qu’elle devait sécuriser son compte,

— elle a suivi les instructions de cette personne qu’elle ne connaissait pas et dont elle ne pouvait vérifier ni l’identité, ni les fonctions et a ainsi, désinstallé à sa demande l’application, coupé sa carte bancaire en deux afin de la remettre à un coursier, puis a reçu à 14 heures 36 un nouvel appel du fraudeur l’informant que le coursier était présent, soit quelques minutes avant l’enregistrement du Pass Sécurité qui a permis ensuite la réalisation des opérations litigieuses.

Bien que Mme [Z] indique dans cette plainte qu’elle n’a pas donné à l’escroc ses identifiants, il ressort néanmoins de ses propres déclarations qu’elle a fait preuve d’une particulière négligence en cliquant sur un lien figurant dans un SMS adressé par chronopost, en renseignant sur un site internet des données personnelles (nom, prénom, date de naissance, adresse), en suivant les instructions d’un inconnu, en désinstallant à sa demande son application et enfin en remettant à un coursier sa carte bancaire coupée en deux, ce qui a permis au fraudeur de récupérer la puce de la carte bancaire, tout en disposant de son numéro, de sa date de fin de validité ainsi que du numéro à trois chiffres au verso.

Il en résulte que ces diverses opérations ont nécessairement permis la réalisation de la fraude au préjudice de l’intimée.

Ces éléments permettent également de retenir que Mme [Z] a manqué à son obligation de préserver la sécurité de ses données de sécurité personnalisées, comprenant nécessairement celle de préserver la confidentialité des codes d’activation ou de validation qui lui sont adressés. Ce manquement caractérise une négligence grave en ce qu’il a permis l’enrôlement du Pass Sécurité qui a servi par la suite aux opérations frauduleuses et a par là-même contribué au contournement du système de sécurisation du service de paiement.

De surcroît, alors que les premiers retraits et paiements ont commencé le 2 août 2023 à 14 heures 41 pour se poursuivre jusqu’à minuit, Mme [Z] n’a fait opposition à sa carte bancaire que le lendemain, 3 août 2023.

Il y a donc lieu d’infirmer le jugement déféré en ce qu’il a condamné la Société Générale à payer à Mme [J] [Z] la somme de 20 420,70 euros en remboursement des sommes correspondant aux opérations frauduleuses avec intérêts au taux légal majoré de 15 points à compter de la décision et de débouter Mme [Z] de l’ensemble de ses demandes.

Sur les dépens et les frais irrépétibles

Aux termes de l’article 696, alinéa premier, du code de procédure civile, la partie perdante est condamnée aux dépens, à moins que le juge, par décision motivée, n’en mette la totalité ou une fraction à la charge d’une autre partie. L’intimée sera donc condamnée aux dépens, le jugement déféré étant infirmé en ce qu’il a condamné la Société Générale aux dépens.

En application de l’article 700 du code de procédure civile, le juge condamne la partie tenue aux dépens ou qui perd son procès à payer à l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens. En l’espèce, il n’apparaît pas inéquitable de laisser à la charge de la banque les frais irrépétibles qu’elle a été contrainte d’engager dans la présente instance pour assurer la défense de ses intérêts. Elle sera par conséquent déboutée de sa demande au titre de l’article 700 du code de procédure civile, le jugement déféré étant infirmé en ce qu’il a condamné la Société Générale au paiement de la somme de 2 500 euros à ce titre.

LA COUR, PAR CES MOTIFS,

INFIRME le jugement du tribunal judiciaire de Paris du 30 août 2024, sauf en ce qu’il a débouté Mme [J] [Z] de sa demande de dommages et intérêts au titre de son préjudice moral ;

Statuant à nouveau des chefs de la décision infirmée,

DÉBOUTE Mme [J] [Z] de l’ensemble de ses demandes ;

Y ajoutant,

DIT n’y avoir lieu à application de l’article 700 du code de procédure civile ;

CONDAMNE Mme [J] [Z] aux entiers dépens de première instance et d’appel ;

REJETTE toute autre demande.

* * * * *

Le greffier Le président