Cour d'appel de Paris, Pôle 5 chambre 6, 13 mai 2026, n° 24/05308

TJ Paris 13 février 2024

CA Paris
Confirmation 13 mai 2026

Résumé par Doctrine IA

Monsieur [D] a fait appel d'un jugement qui avait rejeté sa demande de remboursement de sommes débitées frauduleusement de son compte bancaire. Il soutenait que les opérations n'étaient pas autorisées et que la banque n'avait pas prouvé une négligence grave de sa part.

La cour d'appel a examiné les articles L.133-18 et L.133-19 du code monétaire et financier, qui régissent la responsabilité des prestataires de services de paiement en cas d'opérations non autorisées. Elle a constaté que Monsieur [D] avait transmis des codes d'accès reçus par SMS à un interlocuteur se présentant comme un employé de la banque.

La cour a jugé que cette transmission constituait une négligence grave de la part de Monsieur [D], lui permettant de supporter les pertes occasionnées par les opérations frauduleuses. Par conséquent, la cour d'appel a confirmé le jugement de première instance qui avait débouté Monsieur [D] de ses demandes.

Le contenu a été généré à l’aide de l’intelligence artificielle. Pensez à vérifier son exactitude.

Commentaire • 0

Augmentez la visibilité de votre blog juridique : vos commentaires d’arrêts peuvent très simplement apparaitre sur toutes les décisions concernées.

Sur la décision

Référence :	CA Paris, pôle 5 ch. 6, 13 mai 2026, n° 24/05308
Juridiction :	Cour d'appel de Paris
Numéro(s) :	24/05308
Importance :	Inédit
Décision précédente :	Tribunal de grande instance de Paris, 13 février 2024, N° 22/02424
Dispositif :	Autre
Date de dernière mise à jour :	27 mai 2026
Lire la décision sur le site de la juridiction

Sur les parties

Avocat(s) :	Dikpeu-Eric BALEBelgin PELIT-JUMELAurélien ATTALI
Cabinet(s) :	BELGIN PELIT-JUMEL AVOCATBALE & KOUDOYOR
Parties :	S.A. ING BANK NV

Texte intégral

Copies exécutoires REPUBLIQUE FRANCAISE

délivrées aux parties le : AU NOM DU PEUPLE FRANCAIS

COUR D’APPEL DE PARIS

Pôle 5 – Chambre 6

ARRET DU 13 MAI 2026

(n° , 7 pages)

Numéro d’inscription au répertoire général : N° RG 24/05308 – N° Portalis 35L7-V-B7I-CJDSZ

Décision déférée à la Cour : Jugement du 13 Février 2024 – tribunal judiciaire de Paris 9ème chambre 1ère section – RG n° 22/02424

APPELANT

Monsieur [Q] [D]

né le [Date naissance 1] 1976 à [Localité 1]

[Adresse 1]

[Localité 2]

Représenté par M^e Dikpeu-Eric BALE de la SELARL BALE & KOUDOYOR, avocat au barreau de Paris, toque : D1635

INTIMÉE

S.A. ING BANK NV, société de droit néerlandais, dont le siège social est sis [Adresse 2] (Pays-Bas), immatriculée au registre du commerce d’Amsterdam sous le numéro 33031431 prise en sa succursale française de Paris

[Adresse 3]

[Localité 3]

N°SIREN : 791 866 890

agissant poursuites et diligences de ses représentants légaux en exercice domiciliés en cette qualité audit siège

Représentée par M^e Belgin PELIT-JUMEL de la SELEURL BELGIN PELIT-JUMEL AVOCAT, avocat au barreau de Paris, toque : D1119

Ayant pour avocat plaidant M^e Aurélien ATTALI de L’AARPI DARTEVELLE DUBEST BELLANCA, avocat au barreau de Paris, toque : L15

COMPOSITION DE LA COUR :

En application des dispositions des articles 805 et 907 du code de procédure civile, l’affaire a été débattue le 16 Mars 2026, en audience publique, les avocats ne s’y étant pas opposés, devant M^me Valérie CHAMP, présidente de chambre entendue en son rapport, et M^me Laurence CHAINTRON, conseillère.

Ces magistrats ont rendu compte des plaidoiries dans le délibéré de la Cour, composée de :

M. Vincent BRAUD, président de chambre

M^me Valérie CHAMP, présidente de chambre

M^me Laurence CHAINTRON, conseillère

Greffier lors des débats : M^me Mélanie THOMAS

ARRET :

— contradictoire

— par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

— signé par M. Vincent BRAUD, président de chambre et par M^me Mélanie THOMAS, greffier, présent lors de la mise à disposition.

* * * * *

FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES

1.M. [D] est titulaire d’un compte bancaire ouvert dans les livres de la société ING Bank NV (la banque) et bénéficie pour ses paiements par carte bancaire d’un système d’authentification forte.

2.Le 26 mai 2021, M. [D] a reçu un appel téléphonique d’une personne l’informant de prélèvements frauduleux effectués sur son compte bancaire et se présentant comme un intervenant de la banque.

3.Le même jour quatre paiements par carte bancaire ont été effectués pour une somme totale de 3 500,80 euros, puis un virement de 4 300 euros, M. [D] ayant constaté lesdites opérations deux jours plus tard.

4.Le 31 mai 2021, M. [D] a fait opposition à sa carte bancaire et a sollicité auprès de sa banque le remboursement desdites opérations. Le 1er juin 2021, il a déposé plainte.

5.Le 3 juin 2021, la banque a refusé tout remboursement en exposant que celui-ci avait communiqué à son interlocuteur les codes d’accès renforcés reçus par SMS en violation des stipulations contractuelles.

6.Par exploit d’huissier du 8 février 2022, M. [D] a assigné la banque devant le tribunal judiciaire de Paris.

7.Par jugement contradictoire du 13 février 2024, le tribunal judiciaire de Paris a rejeté ses demandes, condamné M. [D] aux dépens et à payer à la banque une somme de 2 000 euros au titre de l’article 700 du code de procédure civile.

8.Par déclaration du 12 mars 2024, M. [D] a relevé appel de cette décision.

9.Par conclusions notifiées par voie électronique le 11 décembre 2024, M. [D] demande, au visa de l’article 1231-1 du code civil, des articles L.133-4, L.133-6, L.133-18, L.133-44 et L.133-23 du code monétaire et financier, de l’article L.561-10-2 du même code et de l’article 12 du code de procédure civile, à la cour de':

— ' infirmer le jugement en toutes ses dispositions,

Et, statuant à nouveau,

— condamner la banque à lui payer la somme de 7 800,80 euros, en réparation de son préjudice matériel, au titre du remboursement des opérations frauduleuses,

— condamner la banque à lui payer la somme de 134,87 euros, en réparation de son préjudice matériel, au titre des frais bancaires indûment prélevés,

ces deux sommes avec intérêts au taux légal à compter de l’assignation,

— condamner la banque à lui payer la somme de 4 500 euros, en réparation de son préjudice moral,

— condamner la banque à lui payer une somme de 3 000 euros pour résistance abusive,

— condamner la banque à lui payer la somme de 5 000 euros, au titre des dispositions de l’article 700 du code de procédure civile en première instance et 6 500 euros en cause d’appel,

— condamner la banque aux entiers dépens, avec distraction au profit de Maître Bale, dans les conditions de l’article 699 du code de procédure civile.

10.Par conclusions notifiées par voie électronique le 10 février 2026, la banque demande à la cour, de':

— rejeter l’intégralité des demandes de M. [D],

— confirmer le jugement entrepris en toutes ses dispositions,

'Y ajoutant,'

'- condamner M. [D] à’ lui payer’ une’ somme de 5 000 euros sur le fondement des dispositions de l’article 700 du code de procédure civile, ainsi qu’aux dépens.

11.En application des dispositions de l’article 455 du code de procédure civile, il est fait expressément référence aux conclusions des parties visées ci-dessus quant à l’exposé du surplus de leurs prétentions et de leurs moyens.

12.L’ordonnance de clôture est intervenue le 10 février 2026 et l’affaire a été fixée à l’audience du 16 mars 2026.

MOTIFS

Sur la demande de remboursement

Moyens des parties

13.M. [D] soutient, notamment au visa des dispositions des articles L. 133-17 et suivants du code monétaire et financier, qu’il n’a jamais donné un quelconque consentement aux virements frauduleux, ce dont il a fait part à sa banque.

Il fait valoir que':

— les opérations critiquées sont des opérations non autorisées, qu’il n’a consenti ni à leur montant, ni à leur bénéficiaire,

— la banque n’établit pas que les opérations critiquées aient fait l’objet d’une authentification forte,

— celle-ci ne rapporte pas la preuve de la commission d’agissements frauduleux ou de manquement intentionnel/négligence grave de sa part,

— la banque est responsable de plein droit, en matière d’opérations de paiement non autorisées et n’a pas respecté son obligation de remboursement des fonds, conformément aux dispositions des articles L. 133-18 et suivants du code monétaire et financier,

— le comportement de la banque lui a causé non seulement un préjudice financier, mais également moral qu’elle est tenue d’indemniser. Elle a enfin fait preuve de résistance abusive.

14.La banque fait valoir que':

— en application des conditions générales et du contrat Porteur, reprenant les règles des réseaux de cartes bancaires, pour donner son consentement d’abord à un paiement par carte bancaire et autoriser une opération de paiement par carte bancaire, le client est tenu de renseigner, de manière cumulative, le numéro de sa carte bancaire ainsi que la date d’expiration au recto de la carte, le cryptogramme visuel au verso de sa carte et son code d’accès afin de valider l’opération de paiement par carte, ensuite à un virement, le client est tenu de renseigner son code d’accès afin de valider l’opération,

— M. [D] a communiqué au fraudeur les codes d’accès reçus permettant ainsi à celui-ci d’effectuer les opérations litigieuses, ainsi qu’en atteste les traces informatiques des serveurs de la banque,

— la jurisprudence retient la négligence grave d’un utilisateur de services de paiement qui communique les codes d’accès reçus sur son téléphone portable au profit de son interlocuteur,

— le régime de responsabilité du prestataire de services de paiement à l’égard de l’utilisateur de services de paiement en cas d’opération non autorisée, établi par la directive 2007/64/CE puis par la directive (UE) 2015/2366 concernant les services de paiement dans le marché intérieur, codifiée en France aux articles L.133-1 et suivants du code monétaire financier est exclusif du régime de responsabilité de droit commun.

Réponse de la cour

15.L’article L. 133-23 du code monétaire et financier dispose :

« Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière.

Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement."

16.L’article L. 133-24 de ce code prévoit :

« L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. »

17.En l’espèce, si la banque soutient que les opérations litigieuses ont été effectuées via son service sécurisé de banque à distance, il n’en ressort pas pour autant que l’utilisation de l’instrument de paiement telle qu’enregistrée par elle suffise à prouver que les opérations ont été autorisées, encore moins qu’elles résultent d’une négligence grave de M. [D].

18.Au contraire, il est constant que M. [D] a contacté sa banque dans les quarante huit heures pour faire opposition à sa carte bancaire et signaler les opérations litigieuses.

19.Il ressort de la plainte déposée par M. [D] que celui-ci a déclaré que :

«  Le 26/05/2021, je suis contacté par téléphone par le numéro [XXXXXXXX01] [']. La personne m’a alerté sur des transactions douteuses ayant eu lieu sur mon compte, notamment celle concernant l’opération « [L] [X] [Y] » car, selon lui, l’adresse de facturation n’était pas habituelle. La personne m’a demandé que nous procédions à des vérifications sur certaines opérations sur mon compte. La personne m’a demandé de confirmer mon état civil et voyant qu’il le connaissait, j’ai suivi les recommandations de cette personne. La personne connaissait mon nom et mon prénom.

Je reçois donc simultanément des messages provenant du 38975 mentionnant des modifications et enregistrement de destinataires. La personne m’expliquait que celui qui avait fait l’opération « [L] [X] [Y] » continuait à essayer d’ajouter des destinataires et il m’a donc été demandé de valider les codes temporaires que je recevais sur mon téléphone.

Suite à ça, la personne a généré un nouveau code secret qui serait, selon lui, validé 48 heures après. Il m’a expliqué que je ne devais pas me connecter pour ne pas bloquer mon compte. Je ne me suis donc pas connecté à mon compte pendant ces 48 heures. Les faits se sont produits pendant ce laps de temps. "

20.La banque ne conteste pas vraiment que M. [D] n’a pas donné son consentement aux opérations litigieuses puisqu’elle indique dans ses écritures que l’appelant a transmis les codes d’accès renforcés qu’il a reçus par SMS sur son propre téléphone, ayant permis l’ajout d’un compte bénéficiaire sur son espace client ING Bank, le changement de plafond de sa carte bancaire, l’enrôlement d’un nouveau téléphone sur son espace client ING Bank, la validation des opérations CB contestées et la validation du virement contesté à destination du compte bénéficiaire préalablement ajouté.

21.Il s’en induit que les quatre paiements effectués par carte bancaire et le virement effectués le 26 mai 2021 n’étaient pas autorisées au sens des dispositions légales précitées.

22.L’article L. 133-18, alinéa 1, du code monétaire et financier pose le principe du remboursement par la banque des opérations non autorisées dans les termes suivants :

« En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. »

23.Par dérogation, l’article L. 133-19 de ce code, paragraphe IV, dispose, dans le cas particulier des instruments de paiement dotés de données de sécurité personnalisées que :

« Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 », lesquels lui font obligation de préserver la sécurité de ses données.

24. Il est jugé qu’il résulte de l’article L. 133-19, IV, du code monétaire et financier, dans sa rédaction antérieure à celle issue de l’ordonnance n° 2017-1252 du 9 août 2017, que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées s’il n’a pas satisfait par négligence grave, exclusive de toute appréciation de sa bonne foi, à l’obligation, imposée à l’utilisateur de services de paiement par l’article L. 133-16 du même code, dans sa rédaction antérieure à celle issue de la même ordonnance, de prendre toute mesure raisonnable pour préserver la sécurité du dispositif de sécurité personnalisé mis à sa disposition (Com., 1er juillet 2020, n° 18-21.487, publié).

25.En l’espèce, il résulte des conditions générales du compte courant ING, applicables au 1er janvier 2021et du contrat Porteur offre intégrale, carte Gold Mastercard applicable au 8 décembre 2020, dont l’applicabilité n’est pas contesté par M. [D] que pour effectuer une opération de paiement par carte bancaire à distance ou un virement, le client doit renseigner son code d’accès aux fins de valider l’opération de paiement en cours, qu’il saisit au moyen de son téléphone portable enrôlé sur son espace client.

26.L’article 26 des conditions générales stipule en particulier que :

« ING met à la disposition du Client des Instruments de Paiement (la carte bancaire et les données qui lui sont associées, la procédure d’accès à l’Espace Client) assortis de Données de Sécurité Personnalisées (le code confidentiel de la carte bancaire, le Code d’Accès ou le Code d’Accès Renforcé) permettant au Client d’initier des opérations de paiement. »,

27.L’article 10 des mêmes conditions prévoit que :

« Lorsque le Client se connecte à son Espace Client depuis son téléphone portable ou sa tablette, il peut choisir d’enrôler cet appareil auprès d’ING.

Le Client autorise ainsi ING à lui adresser sur cet appareil des notifications lui permettant notamment de valider certaines opérations. »

28.L’article 30.1.2 des conditions générales stipule :

« Le consentement du Client à l’émission d’un Virement (ou d’une série de Virements) est réputé donné :

' pour un Virement initié depuis l’Espace Client : par la saisie du Code d’Accès et/ou du Code d’Accès Renforcé (selon le cas) après saisie en ligne des informations visées au 30.1.1 ci-dessus »

29.Il résulte ensuite des fichiers informatiques des serveurs de la banque que chaque opération de paiement par carte bancaire a généré la création d’une notification sur le téléphone portable enrôlé par M. [D] l’invitant à valider l’opération en saisissant son code d’accès et que la demande en paiement a été validée après saisie du code d’accès, le statut de l’opération confirmant sa validation par la mention « Success ».

30.Pour le virement de 4 300 euros, il ressort de ces mêmes documents que celui-ci a été validé au moyen des deux codes d’accès renforcé envoyés par la banque sur le téléphone portable de M. [D], que celui-ci reconnaît avoir transmis à son interlocuteur, la communication de ces codes ayant permis, respectivement, d’ajouter le bénéficiaire du virement litigieux sur l’espace client de M. [D] et de valider ledit virement. La modification du plafond de la carte bancaire est intervenue à la suite du même process dont la justification est établie également par la trace informatique suivante "à 17 heures 26 minutes et 45 secondes, un Code d’Accès Renforcé et le message suivant l’accompagnant : « ING : Modification des plafonds de votre carte se terminant par 2587. Votre code temporaire est le 700965 »", M. [D] ayant également admis avoir transmis ce code à son interlocuteur.

31.Il ressort enfin de la pièce n°1 de l’appelant que les cinq SMS reçus par celui-ci aux fins de communication des codes d’accès mentionnaient clairement leur objet, à savoir :

1. « ING : Pour valider l’enregistrement de votre appareil iPhone, utilisez le code temporaire 186206»

2. « ING : Modification des plafonds de votre carte se terminant par 2587. Votre code temporaire est le 700965 »

3. « ING : Validation de l’ajout d’un compte externe se terminant par 9961. Votre code temporaire est le 306761 »

4. « ING : Validation de votre virement vers un compte externe d’un montant de 4300.00 euros. Votre code temporaire est le 723210 »

5. « ING : RecreA’ation de votre code secret. Votre code temporaire est le 152181 », de sorte que M. [D] a pu difficilement ne pas être interpellé par la démarche de son interlocuteur, en ce que ces SMS n’avaient pas pour objet d’annuler de prétendues opérations frauduleuses.

32.Ainsi, en transmettant ses codes d’accès reçus sur son téléphone portable à son interlocuteur, M. [D], a commis une négligence grave laquelle a permis à l’auteur de l’escroquerie d’avoir accès à ses données de sécurité personnalisées sans lesquelles aucune fraude n’aurait été possible.

33. Il sera enfin observé que si M. [D] soutient qu’il a été victime d’un spoofing, il ne démontre pas que son interlocuteur ait usurpé le numéro de sa banque.

34.Il se déduit de ces éléments que la preuve est rapportée par la banque que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. Ceux-ci permettent également de retenir que la preuve de la négligence grave commise par l’utilisateur de services de paiement est établie, notamment au regard de l’article L. 133-16 du code monétaire et financier qui impose à ce dernier de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées, et d’utiliser l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation.

35.M. [D] doit par suite supporter toutes les pertes occasionnées par les opérations de paiement non autorisées.

36.En conséquence de ce qui précède, il y a lieu de confirmer le jugement entrepris en ce qu’il a débouté M. [D] de toutes ses demandes.

Sur les dépens et les frais irrépétibles

37.Aux termes de l’article 696, alinéa premier, du code de procédure civile, la partie perdante est condamnée aux dépens, à moins que le juge, par décision motivée, n’en mette la totalité ou une fraction à la charge d’une autre partie. L’appelant sera donc condamné aux dépens.

38.En application de l’article 700 du code de procédure civile, le juge condamne la partie tenue aux dépens ou qui perd son procès à payer à l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens. En l’espèce, il n’apparaît pas inéquitable de laisser à la charge de la banque les frais irrépétibles qu’elle a été contrainte d’engager dans la présente instance pour assurer la défense de ses intérêts. Elle sera par conséquent déboutée de sa demande au titre de l’article 700 du code de procédure civile.

PAR CES MOTIFS,

CONFIRME le jugement entrepris ;

Y ajoutant,

DIT n’y avoir lieu à application de l’article 700 du code de procédure civile ;

CONDAMNE M. [D] aux entiers dépens d’appel ;

REJETTE toute autre demande.

* * * * *

Le greffier Le président