Copies exécutoires REPUBLIQUE FRANCAISE

délivrées aux parties le : AU NOM DU PEUPLE FRANCAIS

COUR D’APPEL DE PARIS

Pôle 5 – Chambre 6

ARRET DU 03 JUIN 2026

(n° , 8 pages)

Numéro d’inscription au répertoire général : N° RG 25/01173 – N° Portalis 35L7-V-B7J-CKU2H

Décision déférée à la Cour : Jugement du 05 Novembre 2024 – tribunal judiciaire d’Auxerre – RG n° 24/00044

APPELANTE

[Adresse 1] BANQUE POPULAIRE BOURGOGNE FRANCHE-COMTE

[Adresse 2]

[Localité 1]

N°SIREN : 542 820 352

agissant poursuites et diligences de son représentant légal domicilié en cette qualité audit siège

Représentée par M^e Alain THUAULT de la S.C.P. THUAULT-FERRARIS-CORNU, avocat au barreau d’Auxerre

INTIMÉS

Monsieur [V] [G]

né le [Date naissance 1] 1964 à [Localité 2]

[Adresse 3]

[Localité 3]

Madame [B] [K] épouse [G]

née le [Date naissance 2] 1970 à [Localité 4]

[Adresse 3]

[Localité 3]

Représentés par M^e Thierry FLEURIER de la SCP REGNIER-SERRE-FLEURIER-FELLAH-GODARD, avocat au barreau de Sens

COMPOSITION DE LA COUR :

En application des dispositions des articles 805 et 907 du code de procédure civile, l’affaire a été débattue le 09 Avril 2026, en audience publique, les avocats ne s’y étant pas opposés, devant Madame Laurence CHAINTRON, conseillère, chargée du rapport.

Ce magistrat a rendu compte des plaidoiries dans le délibéré de la Cour, composée de :

M. Vincent BRAUD, président de chambre

M^me Laurence CHAINTRON, conseillère

M^me AnneBAMBERGER, conseillère

Greffier lors des débats : M^me Mélanie THOMAS

ARRET :

— contradictoire

— par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

— signé par M. Vincent BRAUD, président de chambre et par M^me Mélanie THOMAS, greffier, présent lors de la mise à disposition.

* * * * *

FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES

M. [V] [G] et Mme [B] [K] épouse [G], sont titulaires d’un compte bancaire ouvert dans les livres de 1'agence de la Banque Populaire Bourgogne Franche-Comté de [Localité 5] (89).

Ils exposent que :

— le 5 mai 2023, ils ont reçu un appel téléphonique d’une personne se faisant passer pour une conseillère de la Banque Populaire Bourgogne Franche-Comté qui leur a indiqué que des mouvements suspects affectaient le fonctionnement normal de leur compte courant et les a informés de la mise en opposition de leur carte bancaire,

— le même jour, M. [V] [G] a reçu sur son portable un SMS de la banque lui confirmant l’opposition de la carte bancaire, puis il a reçu un second SMS lui indiquant que des remboursements avaient été réalisés,

— par la suite, leur interlocutrice téléphonique a demandé à M. [G] de confirmer l’authentification sur son application bancaire afin de recevoir les remboursements, ce qu’il a fait,

— le 6 mai 2023, M. [G] a reçu un nouvel appel téléphonique d’une personne se présentant comme une conseillère de la Banque Populaire Bourgogne Franche-Comté qui l’a informé que malgré 1'opposition faite sur sa carte bancaire, de nouveaux prélèvements suspects avaient été réalisés sur son compte et lui a indiqué qu’il allait recevoir un SMS lui précisant les chiffres à saisir de l’IBAN de sécurisation,

— sur instruction de son interlocutrice, M. [G] a saisi cet IBAN et a effectué un virement d’un montant de 1 500 euros,

— M. [G] a également utilisé la reconnaissance faciale,

— au total une somme de 4 058,98 euros (trois virements d’un montant respectif de 1 500 euros, 900 euros et 500 euros débités le 6 mai 2023 et trois virements de 419 euros, 389,89 euros et 349,99 euros débités le 10 mai 2023) a été détournée de leur compte bancaire,

— le 10 mai 2023, ils se sont rendus à leur agence bancaire et ont pris conscience qu’ils avaient été victimes d’une fraude bancaire.

Les époux [G] ont déposé plainte.

Par courrier en date du 3 août 2023, les époux [G] ont mis en demeure la Banque Populaire Bourgogne Franche-Comté de leur rembourser la somme de 4 058,98 euros frauduleusement prélevée.

Par courrier en date du 26 décembre 2023, le médiateur de la consommation de la Banque Populaire Bourgogne Franche-Comté, saisi par M. [V] [G], a donné une suite défavorable à sa demande.

Par exploit de commissaire de justice en date du 27 mai 2024, M. [V] [G] et Mme [B] [K] épouse [G] ont assigné en remboursement et en indemnisation la Banque Populaire Bourgogne Franche-Comté devant le tribunal judiciaire d’Auxerre.

Par jugement contradictoire rendu le 5 novembre 2024, le tribunal judiciaire d’Auxerre a :

— condamné la Banque Populaire Bourgogne Franche-Comté à payer à M. [V] [G] et Mme [B] [K] épouse [G], la somme de 4 058,88 euros (quatre mille cinquante-huit euros et quatre-vingt-huit centimes) au titre des virements frauduleusement prélevés ;

— débouté M. [V] [G] et Mme [B] [K] épouse [G] de leur demande de dommages et intérêts ;

— condamné la Banque Populaire Bourgogne Franche-Comté à payer à M. [V] [G] et Mme [B] [K] épouse [G] la somme de 800 euros (huit cents euros) au titre de l’article 700 du code de procédure civile ;

— débouté la Banque Populaire Bourgogne Franche-Comté de sa demande au titre de l’article 700 du code de procédure civile ;

— condamné la Banque Populaire Bourgogne Franche-Comté à supporter les dépens de 1'instance ;

— rappelé que l’exécution provisoire du présent jugement est de droit.

Par déclaration du 30 décembre 2024, la Banque Populaire Bourgogne Franche-Comté a relevé appel de cette décision contre les époux [G].

Par conclusions notifiées par voie électronique le 14 octobre 2025, la Banque Populaire Bourgogne Franche-Comté demande, au visa des articles L. 133-1 et suivants du code monétaire et financier, des conventions des parties et les règles de preuve admises entre elles sous l’article 8 de la convention de compte (pièces 8 & 9) en conformité avec l’article 1356 du code civil et l’article L. 133-16 du code monétaire et financier, de l’absence de preuve par les époux [G] d’avoir satisfait à leurs obligations concernant la sécurité de leurs données attachée à leurs moyens de paiement, à la cour de :

— infirmer le jugement dont appel en toutes ses dispositions,

Statuant à nouveau

— juger que les époux [G], en validant l’ensemble des opérations ayant permis le virement litigieux, cela exclut que celui-ci puisse résulter d’une déficience technique, et que ces opérations démontrent qu’elles ont été authentifiées, dûment enregistrées et comptabilisées,

— juger pareillement que les actes accomplis, décrits et reconnus par les époux [G] à partir de leurs téléphone portable et l’utilisation qu’ils ont faite des clefs de sécurité strictement personnelles qui leur ont été confiées par la BPBFC constituent des négligences graves excluant toute responsabilité de ladite banque,

— les débouter de l’ensemble de leurs prétentions,

— les condamner à verser à la BPBFC 1 500 euros au titre de l’article 700 du code de procédure civile.

Par conclusions notifiées par voie électronique le 24 mars 2025, les époux [G] demandent, au visa des articles 1103 et suivants du code civil et L. 133-18 et suivants du code monétaire et financier, à la cour de :

— confirmer la décision rendue le 5 novembre 2024 par le tribunal judiciaire d’Auxerre en ce qu’elle a :

— condamné la Banque Populaire Bourgogne Franche-Comté à payer à M. [V] [G] et à Mme [B] [K] épouse [G], la somme de 4 058,88 euros,

— condamné la Banque Populaire Bourgogne Franche-Comté à payer à M. [V] [G] et Mme [B] [K] épouse [G], la somme de 800 euros au titre de l’article 700 du code de procédure civile,

— débouté la Banque Populaire Bourgogne Franche-Comté de sa demande au titre de l’article 700 du code de procédure civile,

— condamné la Banque Populaire Bourgogne Franche-Comté à supporter les dépens de l’instance,

Y ajoutant,

— condamner la Banque Populaire Bourgogne Franche-Comté à payer à M. [V] [G] et Mme [B] [K] épouse [G], la somme de 2 500 euros au titre de l’article 700 du code de procédure civile.

Pour un plus ample exposé des faits, de la procédure, des moyens et des prétentions des parties, il est expressément renvoyé au jugement déféré et aux dernières conclusions écrites déposées en application de l’article 455 du code de procédure civile.

L’ordonnance de clôture a été rendue le 24 février 2026 et l’affaire a été fixée à l’audience du 9 avril 2026.

MOTIFS

Sur la responsabilité de la banque

La Banque Populaire Bourgogne Franche-Comté fait valoir, au visa des articles L. 133-1 et suivants du code monétaire et financier qu’elle n’est pas tenue de restituer les sommes détournées aux époux [G].

Elle soutient que :

— les époux [G] ne versent pas aux débats les SMS émanant prétendument de la banque,

— elle justifie par la production d’un fichier informatique que les opérations litigieuses ont été authentifiées, dûment enregistrées et comptabilisées et n’ont pas été affectées par une déficience technique,

— le dispositif d’authentification forte mis en place implique d’enrôler un appareil mobile de confiance grâce à un code unique reçu par SMS sur le téléphone du titulaire du compte et l’utilisation d’un code personnel qui permet d’établir que le client est à l’origine de l’opération,

— les conditions générales de la convention de compte particulier énoncent en pages 49 et suivantes les conditions générales du service Cyberplus qui précisent que le client doit préserver la sécurité de son instrument de paiement (paragraphe 1.3) et que « toutes les connexions et opérations effectuées au moyen de l’identifiant et du dispositif d’authentification de l’Abonné sont réputées avoir été effectuées par l’Abonné et équivalent à sa signature » (paragraphe 8).

Elle en déduit que les époux [G] ont commis une négligence grave en manquant à leurs obligations contractuelles.

Les époux [G] rappellent qu’il appartient à la banque de démontrer la négligence grave de son client et que dans le cas d’un 'spoofing', la Cour de cassation considère que « Le client qui se fait piéger au téléphone par un faux conseiller bancaire ne peut se voir reprocher par sa banque d’avoir commis une négligence grave » et a donc le droit d’être remboursé par sa banque des virements frauduleux (Com., 23 octobre 2024, n° 23-16267).

Ils exposent qu’ils n’ont commis aucune négligence grave aux motifs que :

— la prétendue conseillère bancaire qui a téléphoné le vendredi 5 mai 2023 à 11 heures 54 sur le portable de M. [G] employait un phrasé très professionnel et avait en sa possession le numéro de téléphone de M. [G], son nom, son prénom ainsi que les 4 derniers chiffres de sa nouvelle carte bancaire, éléments que cette conseillère lui a donnés comme justificatifs de son appartenance à la banque,

— cette personne utilisait le numéro de téléphone de l’agence bancaire de [Localité 5] (89) auprès de laquelle M. et Mme [G] ont leurs comptes,

— M. [G] est éducateur sportif et ne travaille, ni dans le secteur bancaire, ni dans celui de la sécurité,

— la lecture des SMS émanant prétendument de la banque ne traduit aucune anomalie décelable (phrasé professionnel, aucune faute d’orthographe') et la mention « b-populaire » n’était pas à elle seule de nature à susciter leur interrogation,

— de plus, lors des appels de la prétendue conseillère bancaire, le vendredi 5 mai 2023 à 11 heures 54, M. [G] était en réunion professionnelle à [Localité 4] et le 6 mai 2023, il était à [Localité 6] (52) au chevet de sa mère hospitalisée et gravement malade.

Les époux [G] recherchent la responsabilité de la banque en raison d’opérations non autorisées sur le fondement, notamment, des articles L. 133-18 et suivants du code monétaire et financier.

L’article L. 133-23 du code monétaire et financier dispose que :

« Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière.

Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement."

L’article L. 133-24 de ce code prévoit que :

« L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. »

En l’espèce, les parties s’accordent sur le fait que les opérations litigieuses n’étaient pas autorisées au sens des dispositions légales précitées.

L’article L. 133-18, alinéa 1, du code monétaire et financier pose le principe du remboursement par la banque des opérations non autorisées dans les termes suivants :

« En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. »

Par dérogation, l’article L. 133-19 de ce code, paragraphe IV, dispose, dans le cas particulier des instruments de paiement dotés d’un dispositif de sécurité personnalisé que :

« Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 », lesquelles lui font obligation de préserver la sécurité de ses données.

En l’espèce, il ressort des conditions générales de la convention de compte des époux [G] et des conditions générales du service Cyberplus qui y sont intégrées et dont il n’est pas contesté qu’elles ont été acceptées, qu’un virement au débit du compte implique l’usage d’un dispositif d’authentification comportant un identifiant et un mot de passe connu du seul client, outre des dispositifs d’authentification supplémentaires.

Ces conditions générales stipulent plus précisément :

— à l’article 4.3 intitulé « Principes de sécurité » que "L’identifiant, le mot de passe et le Code d’authentification sont personnels et confidentiels et l’Abonné est responsable de leur usage et de leur conservation. En conséquence, la Banque ne peut être tenue pour responsable des dommages résultant d’un usage frauduleux ou abusif des dispositifs d’authentification.

L’Abonné prend toute mesure raisonnable pour préserver la sécurité de son identifiant, de son mot de passe, du Code et de tout élément d’authentification appartenant aux trois catégories ci-dessus.

L’abonné s’oblige à les tenir secrets et à ne les communiquer ou les remettre à quiconque, même à la Banque qui ne peut en avoir connaissance et ne les lui demandera jamais…"

— à l’article 6-1« Responsabilité de la banque » que "la Banque ne saurait être tenue pour responsable :

— en cas de non-respect des procédures d’utilisation des services de Cyberplus ;

— en cas de divulgation d’un dispositif d’authentification à une tierce personne (…)

(…)

— à l’article 6-2 « Responsabilité de l’Abonné » que :

L’Abonné s’engage, notamment, au respect des conditions d’utilisation de Cyberplus et particulièrement au respect des instructions liées à la sécurité du service.

(…)

En particulier, la responsabilité de l’Abonné est engagée en cas de manquement à ses obligations de :

— prendre toute mesure pour conserver ses dispositifs d’authentification, préserver leur sécurité et leur confidentialité.

(…)"

— à l’article 8 « Règles de preuve » que :

« De convention expresse, toutes les connexions et opérations effectuées au moyen de l’Identifiant et du dispositif d’authentification de l’Abonné sont réputées avoir été effectuées par l’Abonné et équivalent à sa signature. »

Les époux [G] ne contestent pas bénéficier du système d’authentification forte mis en place par la banque.

Il résulte du relevé informatique versé aux débats par celle-ci que les virements litigieux ont été ordonnés via le dispositif d’authentification forte Cyberplus.

La banque justifie par conséquent que ces virements ont été dûment enregistrés et comptabilisés et qu’ils n’ont pas été affectés par une déficience technique ou autre.

La société Banque Populaire Bourgogne Franche-Comté fournit des éléments afin de prouver la négligence grave commise par l’utilisateur de services de paiement, notamment au regard de l’article L. 133-16 du code monétaire et financier qui impose à ce dernier de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées et d’utiliser l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation.

La négligence grave du payeur est exclusive de toute appréciation de sa bonne foi (Com., 1er juillet 2020, n° 18-21.487).

Il ressort en effet du courrier des époux [G] adressé à leur banque le 3 août 2023 que :

— le 5 mai 2023 à 11 heures 54, M. [G] a reçu un appel téléphonique d’une personne se faisant passer pour une conseillère de la Banque Populaire Bourgogne Franche-Comté qui l’a informé de mouvements suspects sur son compte courant et de la mise en opposition de sa carte bancaire,

— il a validé le remboursement des achats frauduleux comme elle le lui avait demandé,

— le même jour à 11 heures 58, M. [G] a reçu sur son portable un SMS de la banque lui confirmant l’opposition de la carte bancaire, puis il a reçu un second SMS lui indiquant que des remboursements avaient été effectués,

— il a confirmé l’authentification via son application bancaire (à reconnaissance faciale sur son téléphone portable) et a effectué cette manipulation à deux reprises à la demande de son interlocutrice afin de recevoir les remboursements,

— le 6 mai 2023, M. [G] a reçu un nouvel appel téléphonique d’une autre personne se présentant comme une conseillère de la Banque Populaire Bourgogne Franche-Comté qui l’a informé que malgré 1'opposition faite sur sa carte bancaire, de nouveaux prélèvements suspects avaient été réalisés sur son compte et qu’elle allait devoir sécuriser son compte en urgence « en le rapatriant sur un IBAN de sécurité »,

— il a reçu un SMS lui « donnant les chiffres à saisir de l’IBAN de sécurisation » qu’il a saisis en urgence et mis à son nom comme le lui conseillait son interlocutrice,

— celle-ci lui a demandé de « sécuriser rapidement sur ce nouveau compte 1 500 euros », ce qu’il a fait,

— il a ensuite reçu un SMS qui lui a confirmé que la sécurisation était en cours et qu’il devait suivre les instructions,

— la prétendue conseillère lui a demandé par précaution de « sécuriser » les sommes de 900 euros, puis de 500 euros, ce qu’il a fait,

— le 10 mai, il s’est aperçu que trois nouveaux virements d’un montant de 349,99 euros, 389,89 euros et 419 euros avaient été effectués depuis son compte bancaire.

Il en résulte que M. [G] a fait preuve d’une particulière négligence en effectuant des démarches en ligne avec une inconnue qui l’avait appelé sur son téléphone portable et en effectuant des virements sur un nouveau compte dont elle lui avait communiqué l’IBAN après qu’il ait validé son identifiant et son mot de passe.

Ces éléments permettent également de retenir que les époux [G] ont manqué à leur obligation de préserver la sécurité de leurs données de sécurité personnalisées, comprenant nécessairement celle de préserver la confidentialité des codes d’activation ou de validation qui leur étaient adressés. Ce manquement caractérise une négligence grave en ce qu’il a permis la réalisation des opérations litigieuses et a par là-même contribué au contournement du système de sécurisation du service de paiement.

Il y a donc lieu d’infirmer le jugement déféré en ce qu’il a condamné la Banque Populaire Bourgogne Franche-Comté à rembourser à M. [V] [G] et Mme [B] [K] épouse [G] la somme de 4 058,88 euros et de les débouter de l’ensemble de leurs demandes.

Sur les dépens et les frais irrépétibles

Aux termes de l’article 696, alinéa premier, du code de procédure civile, la partie perdante est condamnée aux dépens, à moins que le juge, par décision motivée, n’en mette la totalité ou une fraction à la charge d’une autre partie. Les intimés seront donc condamnés aux dépens, le jugement déféré étant infirmé en ce qu’il a condamné la banque à ce titre.

En application de l’article 700 du code de procédure civile, le juge condamne la partie tenue aux dépens ou qui perd son procès à payer à l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens. En l’espèce, il n’apparaît pas inéquitable de laisser à la charge de la banque les frais irrépétibles qu’elle a été contrainte d’engager dans la présente instance pour assurer la défense de ses intérêts. Elle sera par conséquent déboutée de sa demande au titre de l’article 700 du code de procédure civile, le jugement déféré étant toutefois infirmé en ce qu’il a condamné la banque à payer aux époux [G] la somme de 800 euros à ce titre.

LA COUR, PAR CES MOTIFS,

INFIRME le jugement du tribunal judiciaire d’Auxerre du 5 novembre 2024 ;

Statuant à nouveau des chefs de la décision infirmée,

DÉBOUTE M. [V] [G] et Mme [B] [K] épouse [G] de l’ensemble de leurs demandes ;

Y ajoutant,

DIT n’y avoir lieu à application de l’article 700 du code de procédure civile ;

CONDAMNE M. [V] [G] et Mme [B] [K] épouse [G] aux entiers dépens de première instance et d’appel ;

REJETTE toute autre demande.

* * * * *

Le greffier Le président