R.G. : N° RG 24/01347 – N° Portalis DBVQ-V-B7I-FREK

ARRÊT N°

du : 18 novembre 2025

SP

Formule exécutoire le :

à :

la SCP X.COLOMES S.COLOMES-MATHIEU-ZANCHI-THIBAULT

la SCP SCP ACG & ASSOCIES

COUR D’APPEL DE REIMS

CHAMBRE CIVILE ET COMMERCIALE

ARRÊT DU 18 NOVEMBRE 2025

APPELANTE :

d’un jugement rendu le 05 juillet 2024 par le tribunal judiciaire de Troyes (RG 22/01018)

S.A. Banque Populaire Alsace Lorraine Champagne

[Adresse 3]

[Localité 4]

Représentée par M^e Xavier COLOMES de la SCP X.COLOMES S.COLOMES-MATHIEU-ZANCHI-THIBAULT, avocat au barreau de l’AUBE

INTIMÉS :

Monsieur [O] [W]

[Adresse 2]

[Localité 1]

Représenté par M^e Gérard CHEMLA de la SCP ACG & ASSOCIES, avocat au barreau de REIMS

Madame [R] [M] épouse [W]

[Adresse 2]

[Localité 1]

Représentée par M^e Gérard CHEMLA de la SCP ACG & ASSOCIES, avocat au barreau de REIMS

DÉBATS :

A l’audience publique du 29 septembre 2025, où l’affaire a été mise en délibéré au 18 novembre 2025, sans opposition de la part des conseils des parties et en application de l’article 805 du code de procédure civile, M^me Sandrine PILON, conseiller, a entendu les conseils des parties en leurs conclusions et explications, puis ce magistrat en a rendu compte à la cour dans son délibéré

COMPOSITION DE LA COUR LORS DU DÉLIBÉRÉ :

M^me Christina DIAS DA SILVA, présidente de chambre

M^me Sandrine PILON, conseiller

M^me Anne POZZO DI BORGO, conseiller

GREFFIER D’AUDIENCE :

Madame Lucie NICLOT, greffier

ARRÊT :

Contradictoire, prononcé par mise à disposition de l’arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile, signé par M^me Sandrine PILON, conseiller, en remplacement de la présidente de chambre, empêchée, et par M^me Lucie NICLOT, greffier, auquel la minute de la décision a été remise par le magistrat signataire.

* * * * *

Exposé du litige:

M. [O] [W] et Mme [R] [W] née [M] sont titulaires de comptes au sein de la Banque Populaire Alsace Lorraine Champagne (la BPALC).

Mme [W] a mis en vente un bien sur un site internet au prix de 40 euros. Elle a été contactée par une personne se disant intéressée et qui souhaitait régler l’achat par le système Paypal. Elle a communiqué les numéros de la carte bancaire liée à son compte personnel, ainsi que l’IBAN du compte joint dont elle est titulaire avec son mari.

Le même jour, M. [W] a été informé d’un virement de 11 850.63 euros depuis le compte joint du couple au profit d’un compte bancaire situé en Lituanie et de virements correspondant à des « jetons de retrait » pour un montant total de 1 800 euros.

Mme [W] a demandé à la BPALC de recréditer les comptes du couple des deux sommes prélevées, affirmant ne pas avoir donné son accord pour de tels virements. La banque leur a opposé un refus, estimant que les opérations en cause avaient été effectuées avec le consentement de M. et Mme [W] dès lors qu’ils ont communiqué des informations confidentielles.

Par acte du 13 mai 2022, M. et Mme [W] ont fait assigner la BPALC devant le tribunal judiciaire de Troyes afin notamment de voir celle-ci condamner à leur payer les sommes de 11 850.63 et 1500 euros.

Par jugement du 5 juillet 2024, le tribunal a :

' Condamné la BPACL à payer à M. et Mme [W] la somme de 7 110.38 euros correspondant à 60% du virement d’un montant de 11 850.63 euros opéré au profit d’un compte bancaire en Lituanie,

' Dit que cette somme portera intérêts au taux légal à compter du courrier de mise en demeure en date du 16 novembre 2021,

' Débouté M. et Mme [W] de leur demande de condamnation de la BPACL au titre des jetons pour un montant total de 1 500 euros, avec intérêts au taux légal à compter du courrier de mise en demeure,

' Débouté M. et Mme [W] de leurs demandes de publication du jugement,

' Débouté M. et Mme [W] de leur demande au titre de la résistance abusive,

' Condamné la BPALC à verser à M. et Mme [W] la somme de 3 000 euros au titre des dispositions de l’article 700 du code de procédure civile,

' Condamné la BPALC aux entiers dépens,

' Rappelé l’exécution provisoire du jugement.

La SA BPALC a interjeté appel de ce jugement par déclaration du 22 août 2024.

Par conclusions transmises par voie électronique le 18 avril 2025, elle demande à la cour d’infirmer le jugement et, statuant à nouveau, de :

' Dire M. et Mme [W] mal fondés en leurs fins, moyens et prétention et les en débouter,

Exonérer la BPACL de toute responsabilité et de toute condamnation,

Dire les époux [W] mal fondés en leur appel incident en ce qu’il tend à mettre à la charge de la BPALC une responsabilité totale et exclusive, tant sur le montant de la condamnation au titre du virement, que sur la demande en paiement d’une somme de 1 500 euros représentation du montant des jetons, et les en débouter,

Les condamner à lui payer une somme de 3 000 euros au titre de l’article 700 du code de procédure civile,

Les condamner en tous les dépens de première instance et d’appel, qui seront recouvrés dans les conditions de l’article 699 du code de procédure civile par la SCP Colomes-Mathieu- Zanchi-Thubault.

Elle affirme que ce sont les époux [W] qui ont fait pénétrer les escrocs sur leurs comptes et qu’ils ont commis plusieurs fautes dans les informations données aux fraudeurs, qui constituent une négligence grave au sens des articles L133-16 et L133-17 du code monétaire et financier, qui sont, pour elle, une cause exonératoire de responsabilité, ainsi qu’une négligence grave dans la conservation des données et dispositifs de sécurité imposée par l’article 2-3 des conditions générales de fonctionnement de la carte bancaire.

Elle ajoute que malgré la procédure de 'recall’ qu’elle a initiée le 22 octobre 2021, la banque Revolut n’a pu parvenir à opérer le retour des fonds et entend rappeler que, par principe, un virement est irrévocable à partir du moment où il a été passé au débit du compte donneur d’ordre, que la procédure de 'recall', c’est-à-dire de rapatriement des fonds contre l’ordre de virement frauduleux, qu’elle est une procédure a posteriori de l’opération illicite, qui suppose à la fois le concours de la banque bénéficiaire et celui du titulaire dudit compte t qu’il ne s’agit pas d’une procédure de sauvegarde automatique ou d’un droit dont le client de la banque pourrait exiger la mise en 'uvre avec une obligation de résultat. Elle estime que cette procédure doit être détachée de l’analyse des responsabilités du virement litigieux. Elle conteste toute faute de sa part au titre de cette procédure.

Par conclusions notifiées par voie électronique le 18 février 2025, M. et Mme [W] demandent à la cour de :

Infirmer le jugement en ce qu’il condamne la BPALC à leur payer la somme de 7 110.38 euros représentant 60% du virement opéré au profit d’un compte bancaire en Lituanie et les déboute de leur demande de condamnation de la banque au titre des jetons pour un montant de 1 500 euros, ainsi que de leur demande au titre de la résistance abusive,

Condamner la BPALC à leur payer la somme de 11 850.63 euros correspondant à la totalité du virement d’un montant de 11 850.63 euros opéré au profit d’un compte bancaire en Lituanie,

Dire que cette somme portera intérêts au taux légal à compter du courrier de mise en demeure en date du 16 novembre 2021,

Condamner la BPACL à leur verser la somme de 1 500 euros au titre des jetons,

Dire que cette somme portera intérêts au taux légal à compter du courrier de mise en demeure en date du 16 novembre 2021,

La condamner à leur verser la somme de 5 000 euros pour résistance abusive et injustifiée,

La condamner à la somme de 3 000 euros au titre de l’article 700 du code de procédure civile, ainsi qu’aux dépens.

Ils admettent que Mme [W] a indiqué le numéro de sa carte bancaire ainsi que les coordonnées IBAN du compte-joint ouvert au nom de M. ou Mme [W], sans jamais confier le moindre code, ni celui utilité habituellement chez un commerçant, ni le code « crypto » situé au dos de la carte.

Ils affirment :

S’agissant du virement, que les fonds proviennent d’un premier virement depuis un compte LDD de M. [W] vers leur compte joint, puis de ce compte joint vers le compte ouvert en Lituanie, alors que les modalités de réalisation du premier virement, depuis le LDD, par internet n’ont jamais été activées et qu’aucun renseignement n’a été donné au sujet de ce compte,

S’agissant de l’émission de jetons, que les fonds proviennent d’un compte propre de Mme [W] alors qu’aucun code n’a jamais été fourni pour la réalisation de telles opérations.

Ils en déduisent que la banque a indéniablement permis à l’escroc de pénétrer sur tous leurs comptes sans la moindre autorisation.

Ils invoquent en outre les articles L133-17 et L133-19 du code monétaire et financier et font reproche à la BPALC de n’avoir effectué aucune diligence pour entamer la procédure de « recall », de sorte qu’elle n’a pas fourni les moyens appropriés permettant l’information aux fins de blocage des instruments de paiement. Ils estiment que cette procédure n’a probablement jamais été initiée dans la mesure où la banque ne démontre pas la moindre diligence en la matière.

Un virement SEPA étant en cause, ils soutiennent par ailleurs qu’il appartient à la banque de démontrer qu’ils ont été particulièrement négligents et que celle-ci devait vérifier l’opération au moyen d’une authentification forte.

M. et Mme [W] invoquent par ailleurs le devoir d’information de la BPALC quant au danger et aux risques de ce type d’opération.

L’ordonnance de clôture a été rendue le 9 septembre 2025, l’affaire étant renvoyée pour être plaidée à l’audience du 29 septembre 2025.

MOTIFS

L’article L 133-18 alinéa 1er du code monétaire et financier dispose qu’en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.

Il résulte de l’article L 133-19 que la responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisé a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées, mais qu’il supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L 133-16 et L 133-17.

Selon l’article L 133-16 : « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées.

Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées ».

L’article L 133-4 précise que les données de sécurité personnalisées s’entendent des données personnalisées fournies à un utilisateur de services de paiement par le prestataire de services de paiement à des fins d’authentification.

L’article L 133-23 dispose : « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement ».

Il résulte des pièces produites par M. et Mme [W] que les virements litigieux, opérés depuis leur compte joint, ont été précédés de virement de sommes correspondantes depuis un livret d’épargne de M. [W] (pour 11 850.60 euros) et un compte personnel de Mme [W] (pour 1 500 euros). Ceux-ci contestent être les auteurs de ces virements, M. [W] affirmant même qu’il ne pouvait accéder par le site internet de la banque à son compte d’épargne.

La charge de la preuve d’une négligence grave de M. et Mme [W] à leurs obligations, notamment de préservation de leurs données de sécurité personnalisées, incombe à la BPACL, qui doit, en premier lieu, justifier que les opérations en cause ont été authentifiées.

Or les pièces de la procédure ne permettent pas de connaître précisément les dispositifs de sécurité qui existaient pour authentifier les opérations sur internet et donc les informations dont le ou les auteurs devaient disposer pour effectuer les virements de compte à compte au sein de la BPACL afin d’alimenter le compte joint de M. et Mme [W], puis pour effectuer un virement depuis ce compte vers le compte en Lituanie.

Quant à l’émission de jetons, la BPALC indique que chaque retrait « one-shot » nécessite la saisie des codes spécifiques et uniques transmis via sms sur le numéro de téléphone portable communiqué par les clients, mais n’en justifie pas.

Si M. [W] a déclaré dans son dépôt de plainte initial que la personne qui l’a contacté pour acquérir l’objet en vente lui a adressé un lien Paypal, sur lequel il lui était demandé de vérifier les informations le concernant et concernant sa carte bancaire et qu’il précise avoir « rempli tous les renseignements », ces indications sont trop vagues pour permettre de connaître précisément le dispositif d’authentification existant à l’époque des faits pour effectuer des virements, mais aussi pour rapporter la preuve d’une négligence des payeurs, notamment la communication de codes personnels.

Il en va de même du fait que Mme [W] reconnaisse avoir communiqué les numéros de sa carte bleue de son compte personnel de dépôt, à l’exception du cryptogramme, et le relevé IBAN du compte joint, dès lors qu’il ne peut s’agir de données d’authentification au sens des textes précités.

En tout état de cause, la preuve d’une négligence ne peut se déduire de la seule circonstance que les opérations ont eu lieu.

Ainsi, la BPALC ne satisfait pas aux dispositions précitées relatives à la charge de la preuve ; elle est donc tenue de rembourser à M. et Mme [W] le montant des opérations non autorisées en cause, outre intérêts au taux légal à compter de la mise en demeure du 16 novembre 2021, le jugement étant infirmé de ces chefs.

M. et Mme [W] ne justifient pas d’un préjudice dont la réparation nécessiterait la publication du présent arrêt. Le jugement sera confirmé en ce qu’il les déboute d’une telle demande.

Ils ne rapportent pas la preuve de l’existence d’une faute de la BPALC qui aurait fait dégénérer en abus le droit dont celle-ci dispose de se défendre en justice. Ils seront donc déboutés de leur demande en paiement de dommages intérêts pour résistance abusive, le jugement étant confirmé sur ce point.

Le sort des dépens et frais irrépétibles de première instance a été exactement réglé par le premier juge.

La BPALC, qui succombe en son appel, est tenue aux dépens de cette instance et sa demande fondée sur l’article 700 du code de procédure civile sera rejetée.

Il est équitable d’allouer à M. et Mme [W] la somme de 1 500 euros pour leurs frais irrépétibles d’appel.

PAR CES MOTIFS

La cour, statuant contradictoirement,

Confirme le jugement déféré, sauf en ce qu’il condamne la Banque Populaire Alsace Lorraine Champagne à payer à M. [O] [W] et Mme [R] [W] née [M] la somme de 7 110.38 euros au titre du virement vers un compte en Lituanie et en ce qu’il déboute M. [O] [W] et Mme [R] [W] née [M] de leur demande au titre des jetons de paiement,

Statuant à nouveau des chefs infirmés et y ajoutant,

Condamne la Banque Populaire Alsace Lorraine Champagne à payer à M. [O] [W] et Mme [R] [W] née [M] la somme de 11 850.63 euros au titre du virement opéré depuis leurs compte joint vers un compte en Lituanie, outre intérêts au taux légal à compter du 16 novembre 2021,

Condamne la Banque Populaire Alsace Lorraine Champagne à payer à M. [O] [W] et Mme [R] [W] née [M] la somme de 1 500 euros au titre des jetons de paiement, outre intérêts au taux légal à compter du 16 novembre 2021,

Condamne la Banque Populaire Alsace Lorraine Champagne aux dépens d’appel,

Condamne la Banque Populaire Alsace Lorraine Champagne à payer à M. [O] [W] et Mme [R] [W] née [M] la somme de 1 500 euros pour leurs frais irrépétibles d’appel,

Déboute la Banque Populaire Alsace Lorraine Champagne de sa demande fondée sur l’article 700 du code de procédure civile.

Le greffier Le conseiller