3ème Chambre Commerciale

ARRÊT N°468

N° RG 22/06033 – N° Portalis DBVL-V-B7G-TF5Y

Société CRCAM DU FINISTÈRE

C/

S.A.R.L. [M] [H]

Copie exécutoire délivrée

le :

à : M^e PRENEUX

M^e CHAUDET

RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS

COUR D’APPEL DE RENNES

ARRÊT DU 07 NOVEMBRE 2023

COMPOSITION DE LA COUR LORS DU DÉLIBÉRÉ :

Président : Monsieur Alexis CONTAMINE, Président de chambre,

Assesseur : Madame Fabienne CLÉMENT, Présidente de chambre,

Assesseur : Madame Olivia JEORGER-LE GAC, Conseillère,

GREFFIER :

Madame Julie ROUET, lors des débats, et Frédérique HABARE lors du prononcé,

DÉBATS :

A l’audience publique du 14 Septembre 2023

devant Madame Olivia JEORGER-LE GAC, magistrat rapporteur, tenant seul l’audience, sans opposition des représentants des parties et qui a rendu compte au délibéré collégial

ARRÊT :

Contradictoire, prononcé publiquement le 07 Novembre 2023 par mise à disposition au greffe comme indiqué à l’issue des débats

****

APPELANTE :

Société CRCAM DU FINISTÈRE CAISSE RÉGIONALE DE CRÉDIT AGRICOLE MUTUEL DU FINISTÈRE

immatriculée au RCS de QUIMPER sous le numéro 778 134 601 agissant poursuite et diligences de ses représentants légaux domiciliés au siège

[Adresse 4]

[Localité 2]

Représentée par M^e Stéphanie PRENEUX de la SELARL BAZILLE, TESSIER, PRENEUX, Plaidant/Postulant, avocat au barreau de RENNES

INTIMÉE :

S.A.R.L. [M] [H]

immatriculée au RCS de BREST sous le numéro 538 251 869 agissant poursuite et diligences de ses représentants légaux domiciliés au siège

[Adresse 5]

[Localité 3]

Représentée par M^e Georges FLOCHLAY de la SELARL LCE AVOCATS, Plaidant, avocat au barreau de QUIMPER

Représentée par M^e Sandrine VIVIER substituant M^e Jean-David CHAUDET de la SCP JEAN-DAVID CHAUDET, Postulant, avocat au barreau de RENNES

La SARL [M] [H] est titulaire d’un compte courant n°[XXXXXXXXXX01] ouvert le 2 novembre 2011 ouvert dans les livres de la Caisse Régionale de Crédit Agricole Mutuel du Finistère (le CRÉDIT AGRICOLE) et d’un accès au service Crédit Agricole en Ligne (CAEL) ouvert le 9 mars

2012.

Le 26 novembre 2020, un ajout de bénéficiaire de virement par IBAN est enregistré sur l’accès Crédit Agricole en ligne de la SARL [M] [H].

À la suite de cet ajout, sept virements ont été opérés, entre le 27 novembre et le 3 décembre 2020 au profit d’un bénéficiaire intitulé « CHADIDOM » :

' Le 27/11/2020 : 19 905 €

' Le 30/11/2020 : 19 999 €

' Le 30/11/2020 : 20 000 €

' Le 30/11/2020 : 19 905 €

' Le 01/12/2020 : 19 905 €

' Le 02/12/2020 : 20 000 €

' Le 03/12/2020 : 19 999 €

La SARL [M] [H] s’est rendu compte de la fraude le 2 décembre 2020 et a déclaré ne pas être à l’origine de ces virements, ni de l’enregistrement du nouveau compte bénéficiaire et dit ne pas connaître ce dernier.

Dès la connaissance de la fraude, la banque a mis en oeuvre des mesures pour bloquer les accès en ligne et rétablir le compte du client avant les virements frauduleux.

Les mesures diligentées ont ainsi permis de récupérer la somme de 89 016,51€.

Par trois courriers respectivement en date du 5 février, 11 mars et 1er avril 2021, par l’intermédiaire de son conseil, la SARL [M] [H] a sollicité une indemnisation à hauteur de 50 696,49 €.

La Caisse régionale du Crédit agricole Mutuel du Finistère n’a pas donné de suite favorable à ces trois demandes d’indemnisation.

Le 6 mai 2021, la SARL [M] [H] a assigné la Caisse régionale du Crédit agricole Mutuel du Finistère afin de voir :

— Condamner la Caisse régionale du Crédit agricole Mutuel du Finistère à verser à la SARL [M] [H] la somme de 50 696, 49 € outre intérêts au taux légal à compter de la « fin du premier jour ouvrable suivant la réception de la contestation écrite du titulaire »

— Condamner la Caisse régionale du Crédit agricole Mutuel du Finistère à verser à la SARL [M] [H] la somme de 5 000 € au titre de l’article 700 du Code de procédure civile ;

Condamner la même aux entiers dépens.

Par jugement du 16 septembre 2022, le tribunal de commerce de QUIMPER a :

— condamné Caisse régionale du Crédit agricole Mutuel du Finistère à verser à la SARL [M] [H] la somme de 50 696, 49 € outre intérêts au taux légal à compter de la « fin du premier jour ouvrable suivant la réception de la contestation écrite du titulaire »,

— débouté le Crédit Agricole de ses demandes,

— condamné la Caisse régionale du Crédit agricole Mutuel du Finistère à verser à la SARL [M] [H] la somme de 2.000 € au titre de l’article 700 du Code de procédure civile ;

— rejeté le solde des demandes,

— condamné le CRÉDIT AGRICOLE aux dépens.

La CAISSE RÉGIONALE DE CRÉDIT AGRICOLE MUTUELLE DU FINISTÈRE a interjeté appel de cette décision et par conclusions du 03 juillet 2023, a demandé que la Cour :

— réforme le jugement du tribunal de commerce de QUIMPER en ce qu’il a :

Condamné la CAISSE RÉGIONALE DE CRÉDIT AGRICOLE MUTUELLE DU FINISTÈRE à verser à la SARL [M] [H] la somme de 50 696,49€ outre intérêts au taux légal à compter de la fin du premier jour ouvrable suivant la réception de la contestation écrite du titulaire selon prévision des conditions générales de vente de la banque,

Débouté la CAISSE RÉGIONALE DE CRÉDIT AGRICOLE MUTUELLE DU FINISTÈRE de l’ensemble de ses demandes,

Condamné la CAISSE RÉGIONALE DE CRÉDIT AGRICOLE MUTUELLE DU FINISTÈRE à verser à la SARL [M] [H] la somme de 2000€ sur le fondement de l’article 700 du CPC,

Condamné la CAISSE RÉGIONALE DE CRÉDIT AGRICOLE DU FINISTÈRE aux entiers dépens lesquels comprennent notamment les frais de greffe, liquidées pour le présent jugement à la somme de 60,22€,

En conséquence :

— rejette l’ensemble des demandes, fins et conclusions de la SARL [M] [H] ;

— condamne la SARL [H] [M] à payer au Crédit Agricole la somme de 2000 euros par application de l’article 700 du Code de procédure civile ;

— condamne la SARL [H] [M] aux entiers dépens.

Par conclusions du 16 juin 2023, la SARL [H] [M] a demandé que la Cour :

— confirme le jugement déféré,

— subsidiairement condamne le CRÉDIT AGRICOLE à lui payer la somme de 50.696,49 euros en application de ses conditions générales de vente,

— condamne l’appelante au paiement de la somme de 7.000 euros sur le fondement des dispositions de l’article 700 du code de procédure civile,

— la condamne aux dépens.

.

MOTIFS DE LA DÉCISION:

Les circonstances dans lesquelles les virements ont été autorisés sont peu documentées.

Ils ont été réalisés sur le site internet de la banque et nécessitaient les identifiants de la SARL [H] [M].

Il a été nécessaire dans un premier temps d’autoriser l’ajout d’un bénéficiaire aux virements réalisés par la société [H] [M], puis de réaliser les virements eux-mêmes.

D’après la plainte déposée par M. [H], celui-ci a reçu un message par courriel, comme émanant du CRÉDIT AGRICOLE, lui demandant de valider de nouveaux paramètres.

Il a effectué cette validation, et selon la banque, elle aurait permis l’ajout du bénéficiaire puis des ordres de virement.

M. [H] a produit le message qui lui avait été adressé et qui contenait effectivement, ainsi que le soutient la banque, des incohérences qui auraient dû attirer son attention, principalement le fait qu’il émanait de 'leila.monduc2@orange.fr', en étant intitulé 'ca.regionale – SécurPass’ et avait comme objet 'authentification Caisses Régionales Agricoles'.

D’une part, le courriel n’émanait pas d’une adresse de la banque, non plus que du conseiller habituel de la SARL [H].

D’autre part le système de sécurité des paiements des caisses régionales de crédit agricole est dénommé SECURIPASS et non SECURPASS.

Enfin, la banque est la Caisse Régionale de Crédit Agricole Mutuel du Finistère et non une caisse régionale agricole.

M. [H] a indiqué qu’il avait procédé à la validation alors qu’il était en réunion, et il est probable que cette circonstance l’a conduit à un défaut de vigilance.

Il était demandé à M. [H] de cliquer à un endroit pour enregistrer son appareil, ou de cliquer sur [MON COMPTE: SECUPASS]: là encore, SECUPASS était distinct de SECURPASS, lui-même distinct du nom exact SECURIPASS.

M. [H] ne précise pas dans son audition si après avoir effectué son clic il lui a été demandé des informations et notamment ses codes d’accès, ou si le clic a suffit pour que le contrôle de son mobile ait pu être pris par les escrocs.

Le CRÉDIT AGRICOLE verse aux débats une pièce interne dont il résulterait que l’ajout du bénéficiaire a été tenté à 12h32, puis à 12h33, puis réussie à 12h37, avec authentification du titulaire du compte (M. [H] en qualité de dirigeant).

Les parties divergent sur ce qui s’est produit suite à l’ajout par l’escroc du nouveau bénéficiaire.

Selon le CRÉDIT AGRICOLE, suite à l’ajout d’un nouveau bénéficiaire, le client reçoit systématique un SMS et un email l’informant de cet ajout, afin qu’il puisse, le cas échéant, intervenir auprès de sa banque si cet ajout ne provient pas de lui.

Le CRÉDIT AGRICOLE verse ainsi aux débats une autre pièce interne selon laquelle à 12h44 M. [H] aurait été avisé de l’ajout d’un nouveau bénéficiaire.

M. [H] conteste avoir jamais reçu ce SMS.

S’agissant de pièces internes à la banque et versées aux débats par cette dernière, la Cour est dans l’incapacité d’en apprécier le caractère probant.

Ensuite six virements ont été émis au bénéfice du nouveau bénéficiaire, la société CHADIDOM :

— trois virements le 30 novembre (19.905 euros, 20.000 euros 19.999 euros),

— un virement le 1er décembre (19.905 euros)

— un virement de 20.000 euros le 2 décembre 2020,

— un virement de 19.999 euros le 03 décembre 2020.

Ces virements ont été émis grâce aux identifiants de M. [H], via le site internet de la banque.

La SARL [H] n’en a pris connaissance que le 02 décembre et ayant alerté sa banque, celle-ci a pu récupérer une partie des fonds.

Une fois alertée, le CRÉDIT AGRICOLE a donc fait preuve de diligence.

Elle n’avait pas à être particulièrement attentive aux mouvements de débit affectant le compte de la société [M] [H], n’ayant pas à s’immiscer dans la gestion d’une société commerciale.

En revanche, le propre défaut de vigilance de M. [H] apparaît d’autant plus inexcusable qu’il avait été averti quelques jours auparavant par son conseiller de clientèle d’une première tentative d’escroquerie commise à son préjudice personnel.

En effet, le 25 novembre 2020, le conseiller de clientèle avait reçu un courriel censé provenir de M. [H] et demandant l’ajout d’un bénéficiaire sur son compte personnel. Ce mail a attiré l’attention du conseiller qui l’a renvoyé vers M. [H] en lui demandant d’utiliser la procédure habituelle pour valider ce bénéficiaire.

A cette occasion, le conseiller a pris soin d’appeler M. [H], ainsi que ce dernier l’écrit dans ces conclusions.

Il en résulte que M. [H], dont l’attention avait été attirée quelques jours auparavant sur une première tentative d’escroquerie, a commis une faute caractérisée en répondant aux injonctions d’un courriel comportant diverses incohérences .

Aux termes des articles L133-16 et L133-17 du code monétaire et financier, il appartient à l’utilisateur de moyens de paiement sécurisés mis à sa disposition par un prestataire de prendre toute mesure raisonnable pour en préserver la confidentialité.

Mais il appartient à la banque, par application des dispositions des articles L133-19 et L133-23, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agit frauduleusement, ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations, cette preuve ne pouvant se déduire du seul fait que les données personnelles ont été utilisées.

En l’espèce, il est acquis que M. [H] a fait preuve de négligence grave en cliquant sur le courriel lui ayant été adressé comme provenant de sa banque, ce courriel comportant des incohérences facilement décelables et ayant été précédé d’une première tentative d’escroquerie portée à la connaissance de M. [H] peu de jours auparavant.

Dès lors, le jugement doit être infirmé en ce qu’il a ordonné la restitution des fonds à la société [H] [M], laquelle est déboutée de ses prétentions.

L’intimée qui succombe, est condamnée aux dépens de première instance et d’appel.

Les demandes formées sur le fondement des dispositions de l’article 700 du code de procédure civile sont rejetées.

PAR CES MOTIFS:

La Cour,

Infirme le jugement déféré.

Statuant à nouveau :

Déboute la SARL [M] [H] de ses prétentions.

Condamne la SARL [M] [H] aux dépens de première instance et d’appel.

Rejette les demandes formées sur le fondement des dispositions de l’article 700 du code de procédure civile.

Le Greffier, Le Président,