3ème Chambre Commerciale

ARRÊT N°192

N° RG 24/02771 – N° Portalis DBVL-V-B7I-UYIV

(Réf 1ère instance : 2022000952)

S.A. CREDIT LYONNAIS LCL

C/

Mme [F] [G]

S.A.R.L. ECO OUATE

S.A.S. SAS PILA

Copie exécutoire délivrée

le :

à :

M^e CRENN

M^e BIHAN

Copie certifiée conforme délivrée

le :

à : TC Brest

RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS

COUR D’APPEL DE RENNES

ARRÊT DU 03 JUIN 2025

COMPOSITION DE LA COUR LORS DU DÉLIBÉRÉ :

Président : Monsieur Alexis CONTAMINE, Président de chambre,

Assesseur : Madame Sophie RAMIN, Conseiller,

Assesseur : Madame Marie-Line PICHON, Conseillère, désignée par ordonnance du premier président de la cour d’appel de Rennes du 10 février 2025

GREFFIERS :

Madame Julie ROUET, lors des débats et Madame Frédérique HABARE lors du prononcé

DÉBATS :

A l’audience publique du 27 Mars 2025 devant Madame Sophie RAMIN, magistrat rapporteur, tenant seul l’audience, sans opposition des représentants des parties et qui a rendu compte au délibéré collégial

ARRÊT :

Contradictoire, prononcé publiquement le 03 Juin 2025 par mise à disposition au greffe comme indiqué à l’issue des débats

****

APPELANTE :

S.A. CREDIT LYONNAIS LCL

prise en son agence de [Localité 10] Centre située [Adresse 8], inscrite sous le n° 954 509 741 au RCS de Brest.

[Adresse 4]

[Localité 9]

Représentée par M^e Basile CRENN de la SELARL SIAM CONSEIL, Postulant, avocat au barreau de BREST

Représentée par M^e Julien MARTINET de l’EURL SWIFT LITIGATION, Plaidant, avocat au barreau de PARIS substitué par M^e Guillaume LE GALL, avocat au barreau de Paris

INTIMÉES :

Madame [F] [G]

née le [Date naissance 5] 1977 à [Localité 10] (29)

[Adresse 3]

[Localité 6]

Représentée par M^e Gwendal BIHAN de la SELARL ARVOR AVOCATS ASSOCIÉS, Plaidant/Postulant, avocat au barreau de RENNES

S.A.R.L. ECO OUATE, inscrite sous le n° 492 173 489 au RCS de Brest, prise en la personne de son représentant légal domicilié en cette qualité au siège

[Adresse 2]

[Localité 7]

Représentée par M^e Gwendal BIHAN de la SELARL ARVOR AVOCATS ASSOCIÉS, Plaidant/Postulant, avocat au barreau de RENNES

S.A.S. PILA immatriculée au RCS de Brest sous le n° 515 217 207 prise en la personne de son représentant légal domicilié en cette qualité au siège

[Adresse 1]

[Localité 7]

Représentée par M^e Gwendal BIHAN de la SELARL ARVOR AVOCATS ASSOCIÉS, Plaidant/Postulant, avocat au barreau de RENNES

Mme [G] est gérante de la société Eco ouate, entreprise bretonne spécialisée dans l’isolation des habitations ainsi que présidente de la société Pila, sa holding.

Des comptes bancaires ont été ouverts pour les deux sociétés dans les livres de la société Crédit Lyonnais LCL (ci-après LCL).

Les sociétés bénéficiaient d’un moyen d’authentification forte des opérations en ligne via un boîtier Token personnel utilisable avec un code confidentiel, lequel émettait à la demande, un numéro de confirmation à six chiffres unique pour l’autorisation de chaque opération.

Le 14 janvier 2021, 5 virements ordonnés le même jour ont été opérés à partir du compte de la société Eco ouate pour un montant de 113 831,98 euros et 2 virements ordonnés le 13 janvier 2021 ont été opérés à partir du compte de la société Pila pour un montant total de 47 564 euros, l’ensemble en faveur de trois destinataires distincts domiciliés dans une banque allemande.

Le 15 janvier 2021, Mme [G] a déposé plainte pour escroquerie puis le LCL a entamé la procédure de rappel de fonds, en vain.

Le 5 avril 2022, le conseil de Mme [G] l’a mis en demeure de rembourser les sommes virées.

Le 31 mai 2022, compte tenu du refus de la banque, Mme [G] et les sociétés Eco ouate et Pila ont assigné le LCL devant le tribunal de commerce de Brest aux fins d’obtenir le remboursement des sommes sur le fondement de l’article L.133-18 du code monétaire et financier et du devoir de vigilance de la banque.

Par jugement du 22 mars 2024, le tribunal de commerce de Brest a :

— condamné le Crédit Lyonnais LCL à rembourser à la société Eco ouate la somme de 56 916 euros avec application du taux d’intérêt légal applicable à compter du 15 janvier 2021,

— condamné le Crédit Lyonnais LCL à rembourser à la société Pila la somme de 23 782 euros, avec application du taux d’intérêt légal applicable à compter du 15 janvier 2021,

— ordonné la capitalisation des intérêts en application des dispositions de l’article 1343-2 du code civil,

— débouté Mme [G] de sa demande d’indemnisation au motif d’une résistance abusive de la LCL,

— débouté Mme [G] de sa demande d’indemnisation au motif d’une réparation d’un préjudice moral,

— condamné le Crédit Lyonnais LCL à payer la somme de 2 500 euros au profit de la société Eco ouate et la somme de 2 500 euros au profit de la société Pila au titre de l’article 700 du code de procédure civile,

— condamné le Crédit Lyonnais LCL aux entiers dépens,

— dit n’y avoir lieu à écarter I’exécution provisoire,

— liquidé au titre des dépens les frais de greffe à la somme de 109,74 euros TTC.

Par déclaration du 7 mai 2024, le LCL a interjeté appel. Les intimées ont formé appel incident par leurs premières conclusions.

Les dernières conclusions de l’appelant ont été déposées le 5 mars 2025.

Les dernières conclusions des intimées ont été déposées le 28 février 2025.

L’ordonnance de clôture a été rendue le 6 mars 2025.

PRÉTENTIONS ET MOYENS

Le LCL demande à la cour de :

— infirmer le jugement entrepris en toutes ses dispositions non contraires au présent dispositif,

En conséquence, et statuant à nouveau,

— débouter les sociétés Eco ouate et Pila, ainsi que Mme [G] de l’intégralité de leurs demandes, fins et conclusions,

— les condamner aux entiers dépens,

— les condamner au paiement d’une somme de 8.000 euros chacune en application des dispositions de l’article 700 du code de procédure civile,

La société Eco ouate, la société Pila et Mme [G] demandent à la cour de :

— confirmer le jugement rendu par le tribunal de commerce de Brest le 22 mars 2024 en ce qu’il a reconnu le principe d’obligation de remboursement du Crédit Lyonnais LCL et l’a condamné à payer des sommes à la société Eco ouate et à la société Pila à ce titre et au titre des frais irrépétibles et des dépens,

— réformer le jugement rendu par le tribunal de commerce de Brest le 22 mars 2024 en ce qu’il a limité le remboursement à 50% et en ce qu’il a rejeté les demandes formulées par les sociétés Eco ouate et Pila pour résistance abusive et par Mme [G] pour préjudice moral,

Statuant à nouveau,

A titre principal,

vu l’article L 133-18 du code monétaire et financier,

— condamner le Crédit Lyonnais LCL à rembourser à la société Eco ouate la somme de 113.831,98 euros avec application du taux d’intérêt légal applicable à compter du 15 janvier 2021,

— condamner le Crédit Lyonnais LCL à rembourser à la société Pila la somme de 47.564 euros avec application du taux d’intérêt légal applicable à compter du 15 janvier 2021,

A titre infiniment subsidiaire,

vu les articles L 133-10, L 133-9 V, L 133-23 et L 561-6 du code monétaire et financier,

vu les articles 1103, 1104, 1231-1, 1927 et suivants 1992 et suivants du code civil,

— condamner le Crédit Lyonnais LCL à payer à la société Eco ouate la somme de 113.831 euros à titre de dommages et intérêts avec application du taux d’intérêt légal applicable à compter du 15 janvier 2021,

— condamner le Crédit Lyonnais LCL à payer à la société PILA la somme de 47.564 euros à titre de dommages et intérêts avec application du taux d’intérêt légal applicable à compter du 15 janvier 2021,

En toute hypothèse,

— dire irrecevable et en tout état de cause débouter le Crédit Lyonnais LCL de toutes ses

demandes, fins et conclusions,

— ordonner la capitalisation des intérêts en application des dispositions de l’article 1343-2 du code civil,

— condamner le Crédit Lyonnais LCL à payer la somme de 5.000 euros à la société Eco ouate et la somme de 5.000 euros à la société Pila pour résistance abusive en vertu des dispositions de l’article 1240 du code civil,

— condamner le Crédit Lyonnais LCL à payer la somme de 10.000 euros à Mme [F] [G] à titre de dommages et intérêts et pour réparation du préjudice moral subi en vertu des dispositions de l’article 1240 du code civil,

— condamner le Crédit Lyonnais LCL à payer la somme de 5.000 euros à la société Eco ouate et à la société Pila au titre de l’article 700 du code de procédure civile au stade de l’appel, s’ajoutant aux 2.500 euros allouées à chacune d’entre elles en première instance,

— condamner le Crédit Lyonnais LCL aux entiers dépens d’appel, comme il a été condamné en première instance,

— rappeler au besoin que l’exécution provisoire est de droit et que rien ne s’y oppose.

Il est renvoyé aux dernières écritures des parties visées supra pour l’exposé complet de leurs moyens et prétentions.

DISCUSSION

Le LCL fait valoir le caractère exclusif du régime des articles L.133-18 à L.133-44 du code monétaire et financier s’agissant d’opérations de paiement non autorisées dont il est demandé le remboursement à la banque.

Dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier.

En conséquence, il n’y aura lieu d’examiner la responsabilité de droit commun de la banque fondée sur le devoir de vigilance que si les opérations sont considérées comme autorisées et bien exécutées.

Le LCL soutient que les virements ont été autorisés par Mme [G] en sa qualité de gérante des sociétés Pila et Eco ouate, que son consentement au paiement est présumé en ce qu’il a été utilisé une authentification forte, que cette présomption est d’ailleurs prévue par les règles de preuve édictées par l’article 9 des conditions générales de la convention LCL Espace pro opposables à Mme [G].

Il ajoute, subsidiairement, que si les virements étaient considérés comme non autorisés, il rapporte la preuve que Mme [G] a commis des négligences graves au sens de l’article L.133-19 du code monétaire et financier lui faisant alors supporter l’intégralité des pertes occasionnées.

Les intimées font valoir qu’il existe, en application de l’article L.133-18 du code monétaire et financier un principe de remboursement des virements non autorisés sauf fraude du payeur. Elles soutiennent que Mme [G] n’a pas autorisé les virements mais a été victime d’une escroquerie ou d’une fraude. Elles affirment, en conséquence, qu’en application de l’article L.133-23 du code monétaire et financier, il incombe à la banque de prouver que l’opération a été authentifiée, enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. Contestant l’opposabilité des conditions générales invoquées par la banque, elle fait valoir qu’en tout état de cause, l’article 9 mentionne simplement que la validation des opérations par les authentifiants ne fait preuve que de son « imputabilité » au client mais non de son autorisation.

Aux termes des articles L. 133-16 et L. 133-17 du code monétaire et financier, il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité des dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées.

L’article L.133-19 du code monétaire et financier dispose :

« (…) IV. – Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

V. – Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44. »

Ainsi, lorsque le prestataire de service exige une authentification forte du payeur, celui-ci supporte les conséquences financières de l’opération de paiement non autorisée s’il n’a pas satisfait intentionnellement ou par négligence grave à ses obligations.

Cependant, c’est au prestataire qu’il appartient en application de l’article L. 133-23 du même code de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, n’a pas satisfait, intentionnellement ou par négligence grave, à ses obligations.

Il est admis que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés.

En cas d’utilisation d’un dispositif de sécurité personnalisé, il appartient au prestataire de prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

Mme [G] nie avoir consenti aux virements et explique de manière détaillée dans sa plainte avoir fait l’objet d’un escroquerie :

« (…) vendredi j’ai eu un soucis de connexion sur mon compte professionnel crédit lyonnais. Je m’explique. Je dois procéder au paiement de mes commerciaux. Mon expert comptable me transmet un fichier que je dois intégrer selon un protocole sur mon espace crédit lyonnais en ligne. Vendredi j’ai tenté cette manipulation mais ça n’a pas fonctionné, j’ai appelé le crédit lyonnais qui m’a orienté vers la hot ligne. J’ai eu deux personnes différentes qui n’ont pas réussi à trouver de solution à mon problème. Comme j’avais mon rendez vous commercial le lundi, j’ai payé tous mes commerciaux par chèques. Pour moi le problème était réglé. Mercredi [ndr 13 janvier] quelqu’un a rappelé la société en disant être la hot line. Comme je n’étais pas disponible ma collaboratrice les a informé que le problème était réglé de notre côté et a demandé si je pourrais les rappeler à un numéro. Ils ont répondu que ce sont eux qui rappellerait. Hier matin vers 8h30 [ndr 14 janvier], j’ai été contacté sur mon portable directement il s’agissait d’un numéro masqué. Mon interlocuteur s’est présenté comme étant de la hot line et m’a demandé de me connecter sur mon compter professionnel, j’ai rentré mes identifiants et ma page s’est ouverte. Là ils m’ont demandé de rentrer un code dans mon boîtier ce que j’ai fait et ça m’a redonné un code à six chiffres qu’ils m’ont demandé de leur communiquer. Ce que j’ai fait [sic] »

L’article L. 133-6 du code monétaire et financier dispose qu’une opération de paiement est autorisée si le payeur a donné son consentement à son exécution, ce qui s’entend aussi du consentement à son montant et à son bénéficiaire. L’article L.133-7 al.1 du même code ajoute que le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement.

L’article L.133-2 du code monétaire et financier autorise qu’il soit dérogé par contrat, sauf dans les cas où l’utilisateur est une personne physique agissant pour des besoins non professionnels, notamment aux dispositions des deux alinéas de l’article L. 133-7, L. 133-19, L. 133-23.

Mme [G], pour le compte de la société Eco ouate a signé une convention LCL Espace pro le 2 juin 2016 (pièce 8 LCL) qui renvoie aux conditions générales, elles-mêmes paraphées (pièce 3 LCL) qui prévoient en leur article 9 « preuve des opérations » : « l’initiation et/ou la validation d’un message ou d’une instruction au moyen des authentifiants attribués à une personne désignée par le client fait preuve de son imputabilité au client et vaut signature de sa part, sous réserve de la nécessité d’une confirmation de l’ordre pour certaines prestations spécifiquement décrites dans le descriptif des services des conditions générales et des conditions particulières. L’enregistrement par les appareils de LCL de ces messages ou instructions, ou leur reproduction sur un support informatique ou papier, fait preuve de ces instructions et constitue la justification de leur imputation au compte client. »

Si la convention pour la société Pila n’est pas produite, Mme [G] ne conteste pas qu’elle bénéficiait des services identiques LCL Espace pro pour cette société, lui permettant d’avoir accès au boîtier Token pour sécuriser les virements en ligne, de sorte que les conditions générales susvisées doivent être considérées comme également opposables à la société Pila.

L’utilisation du boîtier Token pour les virements en ligne permet une authentification forte conformément à sa définition donnée par l’article L.133-4 f) : enregistrement en ligne du virement sur une interface dédiée confidentielle, utilisation d’un code personnel pour faire fonctionner le boîtier, délivrance d’un code unique par le boîtier pour valider chaque virement.

Le LCL produit les comptes-rendus de chaque remise relatifs aux virements litigieux sur lesquels apparaissent les mentions : « signature numérique de : [G] [F] »,« ID : CN = [G] [F] »,

un « serial number » identique pour toutes les opérations, puis les mentions : « OU : signature par internet OU : Authentification forte C : FR », sans que le « OU » ne soit explicité, ainsi que les dates : 13 ou 14 janvier 2021 selon les opérations.

Il est également produit les relevés bancaires des deux sociétés mentionnant les virements litigieux.

En revanche, les comptes-rendus de remise ne permettent pas de vérifier qu’un code différent a été donné pour chaque virement, à partir de la manipulation du boîtier Token, ce que conteste Mme [G].

Il en résulte que Mme [G], aux termes des conditions générales, ne peut être présumée être la signataire des 7 virements ; le LCL ne rapporte pas la preuve de l’authentification de chaque opération.

Les opérations pour lesquelles étaient prévues l’authentification forte sont donc considérées comme non autorisées.

Le LCL doit établir la négligence grave de Mme [G].

Il ressort de la demande de rappel de fonds (pièce 6 LCL) que le l’agence LCL a été avisée de virements suspects sur le compte Eco ouate à 16h20 le 14 janvier 2021 par son service interne. L’agence a ensuite contactée Mme [G] pour s’en inquiéter, comme celle-ci le rappelle dans sa déposition. Malgré l’alerte de la LCL et l’information donnée par Mme [G] que ces virements n’étaient pas consentis, d’autres virements ont été passés ou ont été rendus visibles postérieurement depuis le compte de la société Pila sans que la société LCL ne l’explique aux termes de ses écritures autrement qu’en soutenant que Mme [G] a dû donner un code pour chaque opération. Or, il apparait que selon le déroulé des faits tel que décrit ci-dessus, avec le seul code donné par Mme [G], en principe valable pour une seule opération à la fois, sept opérations ont été menées. Par ailleurs, les virements, selon les comptes-rendus de remise, ont été ordonnés sur deux jours : les 13 et 14 janvier 2021. Il se déduit de l’ensemble qu’un piratage a été opéré et que les virements ne peuvent être la résultante de l’utilisation normale des seuls authentifiants attribués à Mme [G], laquelle était en possession de son boîtier Token, du code permettant de le faire fonctionner et affirme n’avoir donné qu’un seul des codes délivrés par ledit boîtier.

La banque ne justifie pas des IP des logs de connexion qui, comme le font valoir les intimées, auraient permis de vérifier d’où les virements avaient été passés.

L’attention de Mme [G] a nécessairement été émoussée en ce qu’elle avait déjà eu des difficultés de manipulation de son compte les jours précédents, qu’elle avait elle-même contacté la hot line et pouvait penser que l’appel, même sans numéro attribué, provenait d’un rappel du LCL à ce sujet. Surtout, elle n’a pas, à ses dires, communiqué ses identifiants pour accéder à son compte en ligne ni le numéro de fonctionnement du boîtier Token, ce qui pouvait la conforter sur les précautions prises par son interlocuteur pour respecter la confidentialité des échanges. Elle a par la suite communiqué un seul code produit par le boîtier Token qui ne correspond qu’à une deuxième phase d’authentification pour un virement. Il doit dès lors être considéré que ce défaut de prudence ne constitue pas à lui seul une négligence grave au sens des textes susvisés qui expliquerait la réalisation des sept virements litigieux.

En conséquence, faute pour la banque de rapporter la preuve que chaque opération en cause a été authentifiée et que les virements ne sont pas le fait d’une négligence grave de Mme [G], elle doit procéder au remboursement des sommes résultant des virements.

Il convient de condamner le LCL à payer à la société Eco ouate la somme de 113 831,98 euros et à la société Pila la somme de 47 564 euros,et ce, avec intérêts au taux légal à compter du 15 janvier 2021, ce point de départ n’étant pas discuté par le LCL, les intérêts tant capitalisés conformément à l’article 1343-2 du code civil.

Le jugement sera infirmé.

Sur la demande au titre de la résistance abusive

Les intimées font valoir, sur le fondement de la responsabilité civile délictuelle, que le LCL a résisté abusivement au remboursement des sommes leur causant un préjudice en ce qu’elles ont fait défaut à leur trésorerie et à leurs investissements ce qui a constitué un frein à leur développement.

Outre qu’il n’est pas démontré de faute du LCL dans la mise en oeuvre des procédures de rappels de fond initiées dès la plainte de Mme [G], il n’est pas plus établi d’abus du LCL dans le non remboursement des sommes dues alors que celui-ci nécessitait une appréciation discutée de l’application de plusieurs conditions légales.

Par ailleurs, le retard dans le remboursement est compensé par l’application des intérêts légaux.

La demande sera rejetée.

Sur la demande au titre du préjudice moral

Mme [G] invoque un préjudice moral personnel du fait du refus du remboursement de la LCL et de sa mise en cause pour négligence grave l’ayant fortement marquée.

Mme [G] ne fait qu’alléguer un tel préjudice sans apporter d’élément probatoire permettant de le vérifier.

La demande sera rejetée et le jugement confirmé.

Dépens et frais irrépétibles

Le jugement de première instance est confirmé.

Le LCL qui succombe principalement sera condamné aux dépens d’appel et à payer à la société Pila et à la société Eco ouate, une somme de 2 000 euros, chacune, au titre des frais irrépétibles.

PAR CES MOTIFS,

La cour,

Infirme le jugement en ce qu’il a :

— condamné le Crédit Lyonnais LCL à rembourser à la société Eco ouate la somme de 56 916 euros avec application du taux d’intérêt légal applicable à compter du 15 janvier 2021,

— condamné le Crédit Lyonnais LCL à rembourser à la société Pila la somme de 23 782 euros, avec application du taux d’intérêt légal applicable à compter du 15 janvier 2021,

Confirme le jugement pour le surplus des dispositions soumises à la cour,

Statuant à nouveau et y ajoutant,

Condamne la société Crédit Lyonnais LCL à payer à la société Eco ouate la somme de 113 831,98 euros, avec intérêts au taux légal à compter du 15 janvier 2021, les intérêts échus, dus au moins pour une année entière, produisant intérêts,

Condamne la société Crédit Lyonnais LCL à payer à la société Pila la somme de 47 564 euros, avec intérêts au taux légal à compter du 15 janvier 2021, les intérêts échus, dus au moins pour une année entière, produisant intérêts,

Rejette la demande des sociétés Eco ouate et Pila au titre de la résistance abusive,

Condamne la société Crédit Lyonnais LCL aux dépens de l’appel,

Condamne la société Crédit Lyonnais LCL à payer aux sociétés Eco ouate et Pila la somme de 2 000 euros chacune au titre des frais irrépétibles,

Rejette toute autre demande des parties,

Le Greffier, Le Président,