JP/CS

Numéro 24/3866

COUR D’APPEL DE PAU

2ème CH – Section 1

ARRET DU 17 décembre 2024

Dossier : N° RG 23/01949 – N° Portalis DBVV-V-B7H-ISUL

Nature affaire :

Autres actions en responsabilité exercées contre un établissement de crédit

Affaire :

Société CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL

C/

[D] [H]

[I] [N] épouse [H]

Grosse délivrée le :

à :

RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS

A R R E T

Prononcé publiquement par mise à disposition de l’arrêt au greffe de la Cour le 17 décembre 2024, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du Code de Procédure Civile.

* * * * *

APRES DÉBATS

à l’audience publique tenue le 22 Octobre 2024, devant :

Jeanne PELLEFIGUES, magistrat chargé du rapport,

assisté de M^me SAYOUS, Greffière présente à l’appel des causes,

Jeanne PELLEFIGUES, en application des articles 805 et 907 du Code de Procédure Civile et à défaut d’opposition a tenu l’audience pour entendre les plaidoiries, en présence de Laurence BAYLAUCQ et en a rendu compte à la Cour composée de :

Madame Jeanne PELLEFIGUES, Présidente

Madame Laurence BAYLAUCQ, Conseillère

Monsieur Philippe DARRACQ, Conseiller

qui en ont délibéré conformément à la loi.

dans l’affaire opposant :

APPELANTE :

Société CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL société coopérative à personnel et capital variables, inscrite au RCS de [Localité 14] (HP) sous le numéro 776 983 546, dont le siège social est [Adresse 3] et dont la Direction Générale est [Adresse 9], poursuites et diligences de son représentant légal

[Adresse 1]

[Localité 7]

Représentée par M^e Paul CHEVALLIER de la SCP CHEVALLIER-FILLASTRE, avocat au barreau de TARBES

INTIMES :

Monsieur [D] [H]

né le [Date naissance 5] 1944 à [Localité 10] (92)

de nationalité Française

[Adresse 2]

[Localité 6]

Madame [I] [N] épouse [H]

née le [Date naissance 4] 1946 à [Localité 13] (75)

de nationalité Française

[Adresse 2]

[Localité 6]

Représentés par M^e Marina CORBINEAU de la SELARL GARDACH & ASSOCIÉS, avocat au barreau de Bayonne

sur appel de la décision

en date du 19 JUIN 2023

rendue par le TJ HORS JAF, JEX, JLD, J. EXPRO, JCP DE [Localité 8]

Par jugement contradictoire du 19 juin 2023, le tribunal judiciaire de BAYONNE a :

— Condanmé la CAISSE REGIONALE DU CREDIT AGRICOLE MUTUEL" DES PYRENEES GASCOGNE à payer à Monsieur et Madame [D] [H] la somme de 8901,98 euros, avec intérêts au taux légal à compter de la mise en demeure du 7 juin 2021, outre 1000 euros à titre de dommages et intérêts en réparation de leur préjudice moral,

— Condamné la CAISSE REGIONALE DU CREDIT AGRICOLE MUTUEL DES PYRENEES GASCOGNE au paiement de la somme de 2000 euros sur le fondement de l’article 700 du code de procédure civile, ainsi qu’aux dépens.

Par déclaration du 11 juillet 2023, la Société CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL a interjeté appel de la décision.

La Société CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL conclut à :

Vu l’article L 133-19-IV du Code Monétaire et Financier

Vu l’article 202 du Code de procédure civile

— REFORMER le jugement du Tribunal Judiciaire de BAYONNE en date du 19.06.2023.

— JUGER que les époux [H] ont commis une négligence grave.

— DEBOUTER les époux [H] de l’ensemble de leurs demandes, fins et conclusions.

— DEBOUTER les époux [H] :

— de leur demande en remboursement de la somme de 8.901,98 € outre intérêts

— de leur demande d’indemnisation au titre du préjudice moral

— de leur demande d’indemnisation au titre de l’article 700 du Code de procédure civile

— CONDAMNER les époux [H] à payer à LA CAISSE REGIONALE DE CREDIT

AGRICOLE MUTUEL PYRENEES GASCOGNE la somme de 2.500 € au titre de l’article 700 du Code de Procédure Civile.

— CONDAMNER les époux [H] aux dépens de première instance et d’appel.

[I] [N] épouse [H] et [D] [H] concluent à :

Vu les articles L 133-23 et suivants du Code monétaire et financier

Vu les dispositions de l’article 1231-1 et suivants du code civil

— CONFIRMER le jugement entrepris en ce qu’il a condamné le CREDIT AGRICOLE à rembourser aux époux [H] la somme de 8.901,98 €, outre intérêts de droit à compter de la mise en demeure du 7 juin 2021,

— LE REFORMER pour le surplus

Statuant à nouveau,

— CONDAMNER le CREDIT AGRICOLE à payer aux époux [H] une indemnité de 4.000 € en réparation de leur préjudice moral,

— CONDAMNER le CREDIT AGRICOLE à payer aux époux [H] la somme de 4.000 € au titre des frais irrépétibles de première instance, outre les entiers dépens,

— CONDAMNER le CREDIT AGRICOLE à payer aux époux [H] la somme de 5000 € au titre des frais irrépétibles d’appel outre les entiers dépens.

L’ordonnance de clôture est intervenue le 11 septembre 2004.

SUR CE

Monsieur et Madame [D] [H] ont déposé une plainte le 8 décembre 2020 clans laquelle ils ont décrit ce qu’ils ont perçu du processus qui a abouti à la fraude dont ils ont été victimes : ils ont reçu le 24 novembre 2020 un mail sur leur boite personnelle, apparaissant émaner du CREDIT AGRICOLE,indiquant qu’un nouveau message leur était adressé, et qu’ils devaient cliquer sur un lien pour le lire,ce qu’i1s ont fait.

Ils ont alors seulement reçu un code, rien d’autre. Ils ont déclaré ne s’être doutés de rien et n’avoir pas pensé utile d’alerter leur banque. Ils ont reçu le 4 décembre un sms de leur opérateur [Localité 12] indiquant qu’en raison d’un dysfonctionnement de leur serveur, il allait les appeler. Ils ont en effet été contactés par une personne, à 17 h23, se présentant comme salariée d'[Localité 12] qui leur a con’rmé un dysfonctionnement ; un peu avant de clôturer la discussion, expliquait Madame [H], le pseudo technicien m’a demandé de lui communiquer les noms et prénoms de mon époux et moi-même, et les dates et lieux de naissance, chose que j’ai faite, je ne comprenais pas trop la demande. A la suite de celà il m’a établi un rapide récapitulatif de son intervention, et j 'ai pu entendre le mot CREDIT AGRICOLE, puis plus rien. Je raccroche alors, puis quelques minutes plus tard je me suis rendue compte que mon téléphone était entièrement bloqué. II semblerait d’après ma banque que ma carte SIM. a été piratée, d’où le sms intitulé [Localité 12] m’indiquant la mise en fonction de ma carte e.sim.

C’est en vérifiant les comptes le lendemain à 6h30 que Monsieur et Madame [D] [H] ont constaté qu’ils avaient été victimes de fraudes sur leur compte.

La Caisse régionale de Crédit Agricole mutuel Pyrénées Gascogne entend rapporter la preuve de la négligence grave commise par le couple [H]. Elle estime que la jurisprudence apprécie désormais la faute de l’utilisateur in abstracto c’est-à-dire via l’appréciation du comportement que doit présenter un utilisateur des services de paiement normalement attentif, peu importe qu’il soit de bonne foi. La négligence grave peut-être tout à fait caractérisée alors qu’elle est involontaire.

La banque décrit le contexte actuel dans lequel ce genre d’escroqueries s’est rapidement développé prenant plusieurs formes piratages, phishing, hameçonnage, donnant naissance à un contentieux prolixe. L’individu raisonnablement diligent et attentif se doit de redoubler de vigilance dans un tel environnement. Elle rappelle mener de nombreuses campagnes d’information auprès de l’ensemble de la clientèle sur ces pratiques frauduleuses. Elle cite plusieurs jurisprudences de la [11] de cassation du 25 octobre 2017, du 28 mars 2018 invoquant la négligence grave du client qui avait donné les coordonnées de sa carte bancaire. Ainsi, le 28 mars 2018, la Cour de cassation a considéré que l’utilisateur d’un service de paiement qui communique les données personnelles de ce dispositif de sécurité en réponse un courriel qui contient des indices permettant à un utilisateur normalement attentif de douter de sa provenance peu important qu’il soit ou non avisé des risques d’ hameçonnage a fait preuve de négligence grave et a manqué à son obligation de prendre toutes mesures raisonnables pour préserver la sécurité de ses dispositifs de sécurité personnalisés.

Par ailleurs, au-delà de l’exonération totale du prestataire de services de paiement prévu par le code monétaire et financier la jurisprudence prononce un partage de responsabilité en cas de faute commune du prestataire de services de paiement et de l’utilisateur.

La banque rappelle également le devoir de non immixtion auquel elle est tenue.

La banque stigmatise le comportement des époux [H] qui n’ont pas souhaité malgré plusieurs relances communiquer l’e-mail de phishing clé de voûte de la fraude.

Elle décrit le processus de celle-ci qui s’est déroulé en deux temps. Un e-mail frauduleux contenant un lien sur lequel les époux [H] ont cliqué. Suite à cela ils ont reçu un code sur leur téléphone dont le fraudeur avait besoin pour se connecter à leur espace de banque en ligne.

Le fraudeur a donc procédé à une man’uvre de vishing c’est-à-dire un type de phishing/hameçonnage qui se déroule par téléphone.

Il a contacté les époux [H] en se faisant passer pour un conseiller [Localité 12] afin de leur soutirer des informations permettant le remplacement de leur carte SIM et lui permettant de prendre contrôle de leur ligne.

Le fraudeur a ainsi activé une carte e-sim à la place de celle des époux [H] ce qui a été possible grâce aux informations communiquées par Madame [H] sur les noms prénom et date de naissance de son époux et d’elle-même. Ainsi le fraudeur a pu demander de nouveaux codes et acceder à l’espace client orange des victimes lui permettant de récupérer certaines données bancaires.

Le Crédit Agricole considère que Madame [H] a commis des négligences graves, tout d’abord en n’identifiant pas l’e-mail frauduleux malgré les anomalies grossières de cette adresse mail qui ne l’ont pas empêchée de cliquer sur le lien présent dans un e-mail suspect sans aucune méfiance. Elle ne s’est pas non plus méfiée en recevant un code d’activation avant piratage de son téléphone mobile suite à quoi les époux [H] ont été contactés par les services orange. L’historique de l’activation du service SECURIPASS enregistré dans les pages du Crédit Agricole au nom des époux [H] permet en effet de constater que suite au mail frauduleux reçu par [I] [H] ,une tentative d’activation a été enregistrée et cet élément permet d’attester du fait qu’en cliquant sur le lien la cliente a permis aux fraudeurs de récupérer ses coordonnées et codes bancaires personnels. Sans cette communication la tentative d’activation du service SECURIPASS n’aurait pu intervenir. Le Crédit Agricole reproche à sa cliente de ne pas s’être renseignée auprès de sa banque pour déjouer la tentative de fraude dont elle était l’objet. Ce manque de réactivité face à la réception d’un code d’activation à l’origine inconnue constitue une négligence grave.

La troisième négligence grave consiste à avoir communiqué des informations confidentielles à un inconnu au téléphone alors que le service orange n’utilise pas de numéros commençant par 06, ce qui était le cas de l’interlocuteur s’étant fait passer pour [Localité 12].

Il considère que les époux [H] ont commis une quatrième négligence grave par leur inaction dans le temps puisque l’e-mail frauduleux a été réceptionné par eux-mêmes le 24 novembre 2020, le code activation a été reçu le même jour alors que le SWAP de carte SIM permettant au fraudeur de finaliser son opération n’est intervenu que le 4 décembre 2020 soit quasiment deux semaines après.

Les époux [H] avaient donc deux semaines pour avertir la banque des éléments totalement anormaux qu’ils avaient reçus c’est-à-dire l’e-mail et le code d’activation ce qui aurait permis de déjouer la fraude. Ce faisant ils n’ont pas satisfait aux obligations de sécurité les plus élémentaires mentionnées aux articles L 133-16 et L 133-17 du code monétaire et financier et le Crédit Agricole devra être exonéré de sa responsabilité en l’absence de toute faute de sa part. Au contraire la banque considère avoir fait preuve d’une réactivité exemplaire. En effet grâce à son outil informatique elle a permis l’annulation d’une opération de virement d’un montant de 3000 € et de déjouer la tentative d’enregistrement de quatre opérations CB supplémentaires d’un montant total de 1894,39 €.

S’agissant des sommes débitées du compte de ses clients elle a immédiatement initié une demande de retour des fonds auprès des établissements bénéficiaires qui lui ont cependant opposé un refus comme ils en avaient le droit.

[I] [N] épouse [H] et [D] [H] expliquent avoir été victimes de « phising », de «vishing » puis de «simswap ».[I] [H] précise avoir été destinataire d’un mail dont l’en-tête était : «CA Banque Agricole » l’invitant à suivre un lien sur lequel elle a cliqué sans toutefois communiquer aucune donnée confidentielle.

Un code est apparu à l’écran de son ordinateur qu’elle s’est empressée de noter sur papier libre. Une dizaine de jours plus tard les époux [H] étaient contactés par téléphone, technique utilisée par des personnes malveillantes pour obtenir des données personnelles.

[I] [H] a cru à une vérification du fonctionnement de la ligne par un technicien orange et a communiqué à son correspondant ses nom, prénom date et lieu de naissance ainsi que ceux de son mari. Suite à cet appel la ligne téléphonique a été coupée.

Les époux [H] ont ensuite été victimes de «simswap » c’est-à-dire d’une fraude consistant à usurper leur identité auprès d’un opérateur téléphonique. Cette technique implique la perte du réseau téléphonique pour le client et la trace d’une commande de carte SIM auprès de l’opérateur téléphonique. En l’espèce la nouvelle carte SIM a été commandée puisque [I] [H] a reçu un SMS indiquant : « votre eSIM est maintenant active. »

Les époux [H] considèrent donc que le refus de remboursement opposé par la caisse de Crédit Agricole est injustifié. Ils n’ont en effet pas communiqué leur numéro de compte bancaire ni leur code confidentiel. Ils n’ont reçu aucune demande d’activation du Securipass par SMS puisque le code315203 est apparu à l’écran de l’ordinateur. Les données bancaires n’ont pas été communiquées mais dérobées grâce au clic sur l’e-mail frauduleux puisque le Crédit Agricole identifie une tentative de connexion immédiatement après.

Le Crédit Agricole n’apporte pas la preuve lui incombant de négligence grave de leur part.

Le mail litigieux a été supprimé à la demande d’ une conseillère du Crédit agricole après que celle-ci l’ai lu.

Le matin même où ils ont constaté des opérations frauduleuses sur leur compte, ils se sont immédiatement rendus en agence.

Les époux [H] stigmatisent les manquements de la caisse Crédit Agricole à son devoir de vigilance puisque la banque n’a pas contrôlé les opérations présentant des anomalies apparentes au regard de leurs pratiques habituelles et du profil de fonctionnement de leurs comptes bancaires alors que la nature des opérations et leur répétition en un laps de temps aussi court aurait dû alerter la banque dont ils sont clients depuis 40 ans. Ainsi l’ajout de deux nouveaux bénéficiaires durant la nuit ainsi que des paiements de type Monesap et Revolut auraient dû faire réagir la banque.

Les articles L 133-16 et L 133-17 ,1 du code monétaire et financier mettent à la charge de l’utilisateur de services de paiement un certain nombre d’obligations afin de préserver la sécurité de ses données de sécurité personnalisées et d’utiliser l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation.

Lorsqu’ il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder ,aux fins de blocage de l’instrument ,son prestataire ou l’entité désignée par celui-ci.

L’article L 133-19 ,I du code monétaire et financier prévoit que la responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant à l’insu du payeur l’instrument de paiement ou les données qui lui sont liées.

L’article L 133-19 IV du code monétaire et financier dispose que : « le payeur supporte toutes les pertes occasionnées par les opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L133-16 et L 133-17. »

Il appartient à la banque qui invoque la négligence grave de ses clients d’en rapporter la preuve.

Il convient d’apprécier concrètement les circonstances de l’espèce pour apprécier la caractérisation de la négligence grave comme le montre l’évolution de la jurisprudence de la Cour de cassation en particulier un arrêt récent du 23 octobre 2024 dans lequel la Cour de cassation a validé l’appréciation d’une cour d’appel qui s’est basée sur le mode opératoire utilisé qui a mis le client en confiance et a diminué sa vigilance de sorte qu’aucune négligence grave ne peut lui être reprochée .

En l’espèce, l’escroquerie dont ont été victimes les époux [H] s’est effectuée à plusieurs jours d’intervalle en deux temps.

[I] [H] a reçu le 24 novembre 2020 un mail avec pour en-tête : « CA Banque agricole. » Si elle a bien cliqué sur le lien qui lui était indiqué, elle n’a cependant communiqué aucune donnée relative à la sécurité de ses comptes. Lorsqu’elle a reçu un code : 31 52 03, elle l’ a noté sur un papier libre.

Quelques jours plus tard, le 4 décembre 2020, elle a été contactée par un préposé d'[Localité 12], en réalité un usurpateur auquel elle a communiqué les données d’identité de son époux et d’elle-même pensant à une vérification de la ligne. Effectivement son téléphone a été coupé puis réactivé avec insertion d’une carte e- SIM, ces man’uvres ayant permis à l’escroc d’avoir la main sur les données bancaires des époux [H] et d’effectuer des prélèvements frauduleux sur leur compte.

Il ne ressort pas de ces circonstances que [I] [H] et son époux ont fait preuve de négligence grave alors que le fait de cliquer sur lien proposé par un mail dont le libellé ne correspondait pas au logo habituel du Crédit agricole mais contenait quand même le sigle CA et la mention banque agricole, apparaît comme une simple négligence d’autant qu’à cette occasion les intéressés n’ont fourni aucune donnée confidentielle. On ne saurait leur reprocher davantage de ne pas avoir alerté leur banque en recevant un code de façon inexpliquée sans qu’ils aient effectué aucune opération de paiement. En effet [I] [H] a tout de même pris la précaution de noter ce code sur un papier libre sans doute dans l’éventualité où il lui serait demandé, cette action démontrant qu’elle s’était montrée vigilante par rapport à une proposition inhabituelle de sa banque sans toutefois prévenir celle-ci dans la mesure où elle n’avait subi aucun prélèvement non autorisé sur son compte.

Des prélèvements sont intervenus quelques jours plus tard après que la stratégie via le supposé opérateur [Localité 12] se mette en place pour pirater les coordonnées bancaires du couple.

Le fait de communiquer les renseignements d’identité à un opérateur téléphonique peut apparaître comme une simple négligence mais l’on ne peut reprocher au couple [H] de ne pas avoir fait un rapprochement avec le lien reçu du Crédit agricole dans la mesure où l’intervention téléphonique a eu lieu plusieurs jours après et qu’ils ont pu légitimement penser que la ligne était en dérangement ce qui s’est confirmé puisque le téléphone a cessé de fonctionner avant de se réactiver.

Par ailleurs les époux [H] ont expliqué avoir supprimé le mail frauduleux du Crédit agricole à la demande d’une préposée dont ils citent le nom qui leur a demandé de le faire, après l’avoir lu, vraisemblablement par précaution afin d’empêcher une nouvelle manipulation.

L’accusation du crédit agricole selon laquelle il est impossible de vérifier ce mail frauduleux de par leur fait est donc sans fondement.

Dans ces conditions, le jugement déféré sera confirmé en ce qu’il a fait droit aux demandes du couple [H], considérant qu’ils n’avaient commis aucune négligence grave, et en ce qu’il a condamné la caisse régionale de Crédit Agricole mutuel des Pyrénées Gascogne à leur régler la somme de 8901,98 euros avec intérêts au taux légal à compter de la mise en demeure du 7 juin 2021.

Les époux [H] sollicitent la somme de 4000 € en réparation de leur préjudice moral caractérisé par la perte matérielle qu’ils ont subie alors que leurs revenus sont modestes et qu’ils éprouvent une angoisse légitime sur l’avenir puisque la somme détournée était le fruit de leur épargne.

Ils n’apportent cependant aucun justificatif de nature à vérifier la situation matérielle décrite et l’angoisse dont ils font état.

Le préjudice indemnisable doit être direct personnel et certain et ils seront donc déboutés de leur demande d’indemnisation de préjudice moral et le jugement déféré infirmé sur ce point.

La somme de 2000 € leur sera allouée correspondant aux frais irrépétibles engagés en cause d’appel.

PAR CES MOTIFS

La cour, après en avoir délibéré,statuant par arrêt mis à disposition au greffe, contradictoirement et en dernier ressort,

Infirmant partiellement le jugement déféré :

Déboute les époux [H] de leur demande d’indemnisation de préjudice moral.

Confirme le jugement déféré sur le surplus sur la condamnation du Crédit agricole à rembourser aux époux [H] la somme de 8901,98 euros avec intérêts au taux légal à compter de la mise en demeure du 7 juin 2021.

Y ajoutant :

Condamne la CAISSE REGIONALE DU CREDIT AGRICOLE MUTUEL" DES PYRENEES GASCOGNE à payer à [I] et [D] [H] la somme de 2000 € sur le fondement de l’article 700 du code de procédure civile correspondant aux frais irrépétibles engagés en cause d’appel.

Dit la CAISSE REGIONALE DU CREDIT AGRICOLE MUTUEL" DES PYRENEES GASCOGNE tenue aux dépens.

Le présent arrêt a été signé par Madame PELLEFIGUES, Présidente, et par Madame Catherine SAYOUS, greffier suivant les dispositions de l’article 456 du Code de Procédure Civile.

LA GREFFIÈRE, LE PRÉSIDENT,