COUR D’APPEL

DE [Localité 7]

Troisième chambre civile et commerciale

ARRET N°

DU : 23 juillet 2025

N° RG 24/01379 – N° Portalis DBVU-V-B7I-GHLX

SN

Arrêt rendu le vingt trois juillet deux mille vingt cinq

Sur appel d’un jugement au fond du tribunal judiciaire de Clermont Ferranddu 19 Juillet 2024, enregistrée sous le n° 23/04600

COMPOSITION DE LA COUR lors du délibéré :

M^me Annette DUBLED-VACHERON, Présidente de chambre

M^me Sophie NOIR, Conseiller

Madame Anne Céline BERGER, Conseiller

En présence de :M^me Marlène BERTHET, Greffier, lors de l’appel des casuses et M^me Valérie SOUILLAT, Greffier, lors du prononcé

ENTRE :

M. [T] [D]

[Adresse 2]

[Localité 4]

Représenté par M^e Jean-Louis AUPOIS, avocat au barreau de CLERMONT-FERRAND

APPELANT

ET :

[Adresse 5]

Société coopérative à capital et personnel variable, immatriculée au RCS de [Localité 6] sous le numéro 445 200 488

[Adresse 1]

[Localité 3] / FRANCE

Représentée par M^e Anthony MAYMONT, avocat au barreau de CLERMONT-FERRAND

INTIMÉE

DÉBATS :

Après avoir entendu en application des dispositions de l’article 805 du code de procédure civile, à l’audience publique du 08 Avril 2025, sans opposition de leur part, les avocats des parties, Madame NOIR, magistrat chargé du rapport, en a rendu compte à la Cour dans son délibéré. L’affaire est mise en délibéré au 18 Juin 2025, prorogé au 23 juillet 2025.

ARRET :

Prononcé publiquement le 23 juillet 2025 par mise à disposition au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile ;

Signé par M^me Annette DUBLED-VACHERON, Présidente de chambre, et par M^me Valérie SOUILLAT, Greffier, auquel la minute de la décision a été remise par le magistrat signataire.

M. [T] [D] est titulaire d’un compte courant auprès de la société Caisse Régionale de Crédit Agricole Mutuel de Centre France.

Le 28 mars 2022, son compte bancaire a été débité à quatre reprises (entre 11h26 et 19h02) au profit d’un bénéficiaire domicilié à Malte.

Ayant vainement tenté d’obtenir le remboursement de ces sommes auprès de la société [Adresse 5], il a fait assigner cette dernière devant le tribunal judiciaire de Clermont-Ferrand le 12 octobre 2023.

Par jugement du 19 juillet 2024, le tribunal judiciaire de Clermont-Ferrand a :

— débouté M. [T] [D] de sa demande de condamnation de la société Caisse Régionale de Crédit Agricole Mutuel de Centre France à lui payer la somme de 5 919 euros ;

— rejeté la demande de M. [T] [D] en paiement de la somme de 1 000 euros pour résistance abusive ;

— condamné M. [T] [D] à payer à la société [Adresse 5] la somme de 2 000 euros au titre de l’article 700 du code de procédure civile et les dépens ;

— débouté les parties de leurs demandes plus amples ou contraires.

Le tribunal a considéré que :

— les quatre paiements en ligne n’ont pas été autorisés par M. [T] [D] ;

— la société Caisse Régionale de Crédit Agricole Mutuel de Centre France démontre qu’il n’existe pas de lien de causalité entre son système d’authentification forte et les opérations arguées de fraude ;

— M. [T] [D] a commis une négligence grave dans la préservation de ses données de sécurité personnalisées en n’étant plus en possession de sa carte bancaire à partir du premier paiement frauduleux, sans savoir si celle-ci avait été perdue ou volée, et en ne récupérant son téléphone qu’il aurait prétendument laissé à son domicile qu’à 19h02 le jour des faits ;

— M. [T] [D] a eu un rôle actif dans la réalisation de son dommage ;

— la banque n’a commis aucun manquement à son devoir de vigilance.

M. [T] [D] a interjeté appel de ce jugement le 29 août 2024.

Dans ses dernières conclusions notifiées par RPVA le 13 mars 2025, M. [T] [D] demande à la cour de :

— infirmer le jugement ;

— condamner la société [Adresse 5] à lui payer la somme de 5 919 euros en remboursement des opérations frauduleuses, avec intérêts légaux au taux majorés de 15 points ;

— condamner la société Caisse Régionale de Crédit Agricole Mutuel de Centre France à lui rembourser les frais annexes exposés ;

— condamner la société [Adresse 5] à lui payer la somme de 1 000 euros à titre de dommages et intérêts pour résistance abusive ;

— condamner la société Caisse Régionale de Crédit Agricole Mutuel de Centre France à lui payer la somme de 6 800 euros sur le fondement de l’article 700 du code de procédure civile comprenant les frais irrépétibles de première instance ;

— condamner la société [Adresse 5] aux dépens.

Dans ses dernières conclusions notifiées par RPVA le 18 mars 2025, la société Caisse Régionale de Crédit Agricole Mutuel de Centre France demande à la cour de :

— confirmer le jugement en toutes ses dispositions ;

— débouter la société [Adresse 5] de ses demandes ;

— condamner M. [T] [D] à lui payer la somme de 2 500 euros sur le fondement de l’article 700 du code de procédure civile au titre de la procédure d’appel ;

— condamner M. [T] [D] aux dépens d’appel.

Pour plus ample relation des faits, de la procédure, des prétentions, moyens et arguments des parties, conformément aux dispositions de l’article 455 du code de procédure civile, il y a lieu de se référer à la décision attaquée et aux dernières conclusions régulièrement notifiées par les parties.

L’ordonnance de clôture a été rendue le 20 mars 2025.

MOTIFS :

A titre liminaire la cour rappelle que les demandes de 'constater’ ou de 'dire et juger’ lorsqu’elles ne constituent pas des prétentions mais des rappels de moyens, ne saisissent la cour d’aucune prétention, la cour ne pouvant alors que confirmer le jugement.

Sur la demande de remboursement des paiements frauduleux :

Selon l’article L 133-18 du code monétaire et financier, dans sa version antérieure à la loi n° 2022-1158 du 16 août 2022 : 'En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.'

Il résulte des articles L. 133-19, IV, et L. 133-23 alinéa 1 du code monétaire et financier que s’il

entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité

personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17 de ce code, le prestataire de services de paiement doit au préalable prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

Selon les articles L. 133-6 et L. 133-7 du code monétaire et financier, une opération de paiement est autorisée si le payeur a donné son consentement à son exécution, ce consentement étant donné sous la forme convenue entre le payeur et son prestataire de services de paiement.

La seule démonstration par le prestataire de services de paiement qu’un tel service, doté d’un

dispositif de sécurité, a été utilisé, ne permet pas de présumer que l’utilisateur du service de paiement a donné son autorisation à l’opération de paiement litigieuse.

S’il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour

préserver la sécurité de ses dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de services de paiement de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées, c’est à ce prestataire qu’il incombe, par application des articles

L.133-19, IV et L.133-23 du même code, de rapporter la preuve que l’utilisateur, qui nie avoir

autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations ; cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés.

En l’espèce, il résulte des pièces versées aux débats et il n’est pas discuté que, durant la journée du 28 mars 2022, le compte courant de M. [T] [D] a fait été débité à quatre reprises :

— à 11h26 de 1 100 USD soit 1 100 euros ;

— à 17h52 de 5 000 USD soit 4 553,43 euros ;

— à 18h54 de 100 USD soit 91,07 euros ;

— à 19h02 de 300 USD soit 273,21 euros.

La société [Adresse 5] ne produit aucune pièce permettant de démontrer que les trois premiers paiements ont fait l’objet d’une authentification forte via le système Sécuripass et que le dernier paiement a été authentifié par le système 3DSecure via un code envoyé sur le téléphone personnel de M. [T] [D], qui supposait donc que le payeur soit en possession du numéro de carte bancaire, de sa date de validité et de son cryptogramme visuel.

Elle ne justifie en outre par aucune pièce que les 4 opérations en cause ont été authentifiées, dûment enregistrées et comptabilisées et qu’elles n’ont pas été affectées par une déficience technique ou autre.

Il en résulte que les quatre paiements litigieux n’ont pas été autorisés.

Il ressort du formulaire 'information contestation opération client’ que M. [T] [D] a rempli le 30 mars 2022 à destination de la société [Adresse 5] et de son procès verbal d’audition par les services de police le 18 mai 2022, dans le cadre de son dépôt de plainte, que le 28 mars 2022, en récupérant son téléphone qu’il avait 'oublié’ à son domicile, M. [D] a constaté qu’il avait reçu à 19h02 un sms de sa banque lui demandant de saisir un identifiant afin de valider une opération bancaire Moonpay – correspondant au dernier paiement litigieux – et qu’il s’est alors aperçu que sa carte bancaire avait disparu ou l’a lui avait été volée, sans être en mesure de préciser depuis quelle date.

Il a alors fait opposition à sa carte bancaire le même jour à 19h30.

Pour s’opposer à la demande de remboursement des 4 paiements litigieux, la société [Adresse 5] soutient que M. [T] [D] a commis une négligence grave dans la conservation de ses données de sécurité personnalisées caractérisée par le dessaisissement de sa carte bancaire et par l’oubli de son téléphone portable à son domicile. Elle invoque également l’hypothèse d’une communication volontaire de ses données sécurisées par M. [T] [D]. Elle ajoute que l’échec des systèmes de sécurisation des transactions démontre, à lui seul, la faute de M. [T] [D]. Elle lui reproche également un dépôt de plainte tardif.

Elle considère que, ce faisant, M. [T] [D] a activement concouru à son préjudice puisque sans les données confidentielles figurant sur sa carte bancaire et le code d’accès à son téléphone portable, les paiements n’auraient pas pu être effectués.

Cependant, aucun élément ne démontre que M. [D] a communiqué à un tiers ses données de sécurité personnalisées.

Selon les déclarations de M. [T] [D] dans le formulaire rempli le 30 mars 2022, corroborées par son relevé de compte, ce dernier a utilisé sa carte bancaire pour la dernière fois le 26 mars 2022. Ainsi qu’il le fait valoir, le fait de ne pas s’être aperçu de sa disparition avant le 28 mars 2022, tout comme le fait de s’en être dessaisi volontairement en même temps que son téléphone, en les laissant à son domicile, ne caractérisent pas une négligence grave dans la préservation de la sécurité de ses données de sécurité personnalisées dans la mesure où le domicile est un lieu protégé.

En outre, M. [T] [D] a rapidement réagi lorsqu’il s’est aperçu de la disparition de sa carte bancaire en faisant opposition moins de 30 minutes après.

Le dépôt de plainte tardif s’avère sans lien avec le préjudice subi et ne peut être utilement invoqué par la société Caisse Régionale de Crédit Agricole Mutuel de Centre France pour justifier son refus de remboursement des paiements non autorisés.

En conséquence et par application des dispositions susvisées, la société [Adresse 5] doit être condamnée à payer à M. [T] [D] la somme de 5 919 euros en remboursement des opérations frauduleuses du 28 mars 2022.

M. [T] [D] demande à la cour d’assortir la condamnation des intérêts légaux au taux légal majoré de 15 points stipulé à l’article L 133-18 du code monétaire et financier dans sa version issue de la Loi n° 2022-1158 du 16 août 2022 qui dispose que, lorsque l’opération non autorisée est initiée par l’intermédiaire d’un prestataire de services de paiement fournissant un service d’initiation de paiement, le prestataire ayant refusé le remboursement doit être condamné, à titre de pénalité, au paiement d’intérêts au taux légal majoré de 15 points au delà de trente jours de retard.

Toutefois, la version de l’article L 133-18 du code monétaire financier applicable est celle en vigueur au moment des retraits litigieux – le 28 mars 2022 – soit une version qui n’impose pas cette pénalité.

En conséquence il n’y a pas lieu d’assortir la condamnation des intérêts légaux au taux légal majoré de 15 points et la condamnation sera assortie des intérêts légaux à compter du présent arrêt, majorés dans les conditions de l’article L 313-3 du code monétaire et financier qui dispose que : 'En cas de condamnation pécuniaire par décision de justice, le taux de l’intérêt légal est majoré de cinq points à l’expiration d’un délai de deux mois à compter du jour où la décision de justice est devenue exécutoire, fût-ce par provision’ et de l’article D313-1-A du même code.

Le jugement déféré sera infirmé de ces chefs.

Sur la demande de remboursement des frais annexes :

Aucune demande chiffrée et aucun justificatif n’étant produit par M. [T] [D] au soutien de cette demande présentée à hauteur de cour, la demande de remboursement des frais annexes n’est pas fondée et sera rejetée.

Sur la demande de dommages et intérêts pour résistance abusive :

Le refus de la société Caisse Régionale de Crédit Agricole Mutuel de Centre France de rembourser les paiements litigieux ne procède pas d’une obstination abusive comme le soutient M. [T] [D], ni d’un abus de droit de s’opposer à la demande.

En conséquence la cour, confirmant le jugement de ce chef, rejette la demande de dommages et intérêts pour résistance abusive.

Sur les frais irrépétibles et les dépens :

Partie perdante, la société [Adresse 5] supportera la charge des dépens de première instance et d’appel.

La société Caisse Régionale de Crédit Agricole Mutuel de Centre France sera également condamnée à payer à M. [T] [D] la somme de 3 000 euros sur le fondement de l’article 700 du code de procédure civile au titre des frais irrépétibles exposés en première instance et en cause d’appel.

PAR CES MOTIFS,

La cour, statuant publiquement, par arrêt contradictoire, après en avoir délibéré conformément à la loi,

Confirme le jugement entrepris en ce qu’il a rejeté la demande de dommages et intérêts pour résistance abusive ;

INFIRME le jugement en toutes ses autres dispositions et, statuant à nouveau et y ajoutant :

— condamne la société [Adresse 5] à payer à M. [T] [D] la somme de 5 919 euros en remboursement des opérations frauduleuses du 28 mars 2022, avec intérêts légaux à compter du présent arrêt, qui seront majorés dans les conditions des articles L 313-3 et D 313-1-A du code monétaire et financier ;

— rejette la demande de remboursement des frais annexes ;

— condamne la société Caisse Régionale de Crédit Agricole Mutuel de Centre France à payer à M. [T] [D] la somme de 3 000 euros sur le fondement de l’article 700 du code de procédure civile au titre des frais irrépétibles exposés en première instance et en cause d’appel ;

— condamne la société [Adresse 5] aux entiers dépens de première instance et d’appel.

Le greffier La présidente