N° RG 24/01647 – N° Portalis DBV2-V-B7I-JUZM

COUR D’APPEL DE ROUEN

CH. CIVILE ET COMMERCIALE

ARRET DU 24 JUILLET 2025

DÉCISION DÉFÉRÉE :

22/00999

Tribunal judiciaire du Havre du 22 avril 2024

APPELANTE :

S.A. CREDIT LYONNAIS

[Adresse 2]

[Localité 6]

représentée par M^e Renaud COURBON de la SELAS MAZARS SOCIÉTÉ D’AVOCATS, avocat au barreau du HAVRE, et assistée par M^e Julian COAT de l’AARPI COAT HAUT DE SIGY DE ROUX MINOR, avocat au barreau de PARIS, plaidant.

INTIMES :

Monsieur [I] [D]

né le [Date naissance 5] 1949 à [Localité 8]

[Adresse 1]

[Localité 7]

Décédé

Madame [S] [D]

née le [Date naissance 3] 1952 à [Localité 7]

[Adresse 1]

[Localité 7]

représentée et assistée par M^e Agathe LOEVENBRUCK de la SCP SAGON LOEVENBRUCK LESIEUR, avocat au barreau du HAVRE substituée par M^e Bérangère DELAUNAY, avocat au barreau du HAVRE

COMPOSITION DE LA COUR  :

En application des dispositions de l’article 805 du code de procédure civile, l’affaire a été plaidée et débattue à l’audience du 18 mars 2025 sans opposition des avocats devant M^me VANNIER, présidente de chambre, rapporteur.

Le magistrat rapporteur a rendu compte des plaidoiries dans le délibéré de la cour composée de :

M^me VANNIER, présidente de chambre

M. URBANO, conseiller

M^me MENARD-GOGIBU, conseillère

GREFFIER LORS DES DEBATS :

M^me RIFFAULT, greffière

DEBATS :

A l’audience publique du 18 mars 2025, où l’affaire a été mise en délibéré au 12 juin 2025 puis prorogé à ce jour.

ARRET :

CONTRADICTOIRE

Prononcé publiquement le 24 juillet 2025, par mise à disposition de l’arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile,

signé par M^me VANNIER, présidente de chambre et par M^me RIFFAULT, greffière.

*

* *

EXPOSE DES FAITS ET DE LA PROCEDURE

Monsieur [I] [D] et Madame [S] [D] étaient titulaires d’un compte courant ouvert dans les livres de la banque Crédit Lyonnais aux termes d’un contrat daté du 11 octobre 1986.

Le 14 janvier 2022, un premier virement de 6 000 euros au bénéfice de « emigijus saltmesris », a été rejeté par la banque.

Le 18 janvier 2022, un second virement de 6 000 euros au bénéfice de « [J] [B] » a cette fois-ci été exécuté par la banque.

Le 21 janvier 2022, M. et Mme [D] ont déposé plainte auprès du commissariat de police [Localité 7] contre X du chef d’escroquerie.

Par lettre recommandée avec avis de réception datée du 31 mars 2022, M. et Mme [D] ont saisi le médiateur de la banque afin d’obtenir le remboursement de la somme de 6 000 euros.

Par lettres recommandées avec avis de réception datées du 14 juin 2022, M. et Mme [D] ont, par l’intermédiaire de leur conseil, mis en demeure la société Crédit Lyonnais de leur rembourser la somme de 6 000 euros.

Ces mises en demeure sont restées infructueuses.

Par acte daté du 2 novembre 2022, M. et Mme [D] ont fait assigner la société Crédit Lyonnais devant le tribunal judiciaire du Havre aux fins de la voir condamner notamment au remboursement du virement de 6 000 euros.

M.[I] [D] est décédé le [Date décès 4] 2023.

Par jugement en date du 22 avril 2024, le tribunal judiciaire du Havre a :

— condamné la SA Crédit Lyonnais à rembourser à Monsieur [I] [D] et Madame [S] [D] la somme de 6 000 euros avec intérêts au taux légal à compter de la signification de la présente décision ;

— condamné la SA Crédit Lyonnais à payer à Monsieur [I] [D] et Madame [S] [D] la somme de 1 000 euros à titre de dommages et intérêts en réparation de leur préjudice moral avec intérêts au taux légal à compter de la signification de la présente décision ;

— débouté [I] [D] et Madame [S] [D] de leur demande de dommages et intérêts pour résistance abusive ;

— condamné la SA Crédit Lyonnais aux dépens ;

— condamné la SA Crédit Lyonnais à payer à Monsieur [I] [D] et Madame [S] [D] la somme de 1 000 euros en application des dispositions de l’article 700 du code de procédure civile ;

— rappelé que I 'exécution provisoire est de droit.

La société Crédit Lyonnais a interjeté appel de ce jugement par déclaration du 6 mai 2024.

EXPOSE DES PRETENTIONS

Aux termes de ses dernières conclusions en date du 17 février 2025, la société Crédit Lyonnais demande à la cour de :

— infirmer le jugement du tribunal judiciaire du Havre du 22 avril 2024 en ce qu’il a jugé que le Crédit Lyonnais n’avait pas rapporté la preuve de la négligence grave commise par Madame [D] et l’a condamné à payer aux époux [D] la somme de 6 000 euros en remboursement de l’opération contestée, la somme de

1 000 euros à titre de dommages et intérêts en réparation de leur préjudice moral et la somme de 1 000 euros au titre des dispositions de l’article 700 du code de procédure civile, outre les entiers dépens ;

Et, statuant à nouveau :

— débouter entièrement Madame [D] de sa demande de condamnation du Crédit Lyonnais à rembourser l’opération de paiement contestée ;

— débouter Madame [D] de sa demande de réparation au titre du préjudice moral;

— débouter Madame [D] au titre de sa demande de réparation au titre de la résistance abusive lui ayant été opposée par la banque ;

— débouter Madame [D] de l’ensemble de ses autres demandes, fins et prétentions ;

— condamner Madame [D] à payer au Crédit Lyonnais la somme de 3 000 euros au titre de l’article 700 du code de procédure civile ;

— condamner Madame [D] aux entiers dépens.

Aux termes de ses dernières conclusions en date du 24 février 2025, Madame [S] [D] agissant tant en son nom personnel qu’en sa qualité d’ayant droit de son époux défunt demande à la cour de :

— déclarer l’appel du Crédit Lyonnais non fondé ;

— déclarer l’appel incident formé par Madame [S] [D] recevable et bien fondée ;

— confirmer le jugement rendu le 22 avril 2024 par le tribunal judiciaire du Havre en ce qu’il a :

* condamné la SA Crédit Lyonnais à rembourser à Madame [S] [D] la somme de 6 000 euros avec intérêts au taux légal à compter de la signification de la décision ;

* retenu l’existence d’un préjudice moral ;

* condamné la SA Crédit Lyonnais à payer à Madame [D] la somme de 1 000 euros sur le fondement de l’article 700 du code de procédure civile, outre les entiers dépens.

— réformer le jugement rendu le 22 Avril 2024 par le tribunal judiciaire du Havre en ce qu’il a :

* réduit le montant de l’indemnisation allouée au titre du préjudice moral à la somme de 1 000 euros ;

* débouter les époux [D] de leur demande de dommages intérêts pour résistance abusive ;

* débouter la SA Crédit Lyonnais de l’ensemble de ses demandes, fins et conclusions.

Et statuant à nouveau,

— condamner la SA Crédit Lyonnais à payer à Madame [S] [D] la somme de 2 000 euros à titre de dommages intérêts en réparation de son préjudice moral, et ce avec intérêts au taux légal à compter de l’assignation.

— condamner la SA Crédit Lyonnais à payer à Madame [S] [D] la somme de 1 000 euros à titre de dommages intérêts pour résistance abusive, et ce avec intérêts au taux légal à compter de l’assignation.

Et y ajoutant,

— condamner la SA Crédit Lyonnais à payer à Madame [S] [D] la somme de 3 000 euros sur le fondement des dispositions de l’article 700 du code de procédure civile, ainsi qu’aux entiers dépens, dont distraction au profit de la SCP Sagon Loevenbruck Lesieur qui en a fait l’avance.

L’ordonnance de clôture a été rendue le 25 février 2025.

Pour un exposé détaillé des demandes et moyens des parties, la cour renvoie à leurs conclusions conformément aux dispositions de l’article 455 du code de procédure civile.

SUR CE

Sur la demande en remboursement de la somme de 6 000 € par le Crédit Lyonnais

Le Crédit Lyonnais expose que pour l’utilisation de ses services en ligne, les relations contractuelles avec ses clients sont régies par une convention Multilion et par les dispositions générales des comptes de dépôt LCL, le tout formant un contrat opposable à Mme [D], qu’ ainsi il est précisé que le client est responsable des appareils qu’il utilise et que ses données sont strictement personnelles et confidentielles. Elle souligne que pour lutter contre la fraude elle a mis en place un dispositif d’authentification forte à double facteur, qu’il faut saisir un identifiant soit un code à 10 chiffres et un code personnel d’accès, code à 6 chiffres reçu initialement sous pli sécurisé, puis utiliser un code à usage unique reçu par téléphone ou via un appareil de confiance préalablement enrôlé (téléphone , portable ou tablette), que pour sécuriser davantage encore son dispositif, la banque a instauré un délai de temporisation de 7 jours, ce délai visant à permettre au client destinataire d’un SMS de la part de la banque l’informant de l’enrôlement d’un appareil de confiance d’informer LCL sans délai lorsqu’il n’est pas à l’origine de cet enrôlement aux fins de blocage de l’instrument de paiement et de l’accès aux services en ligne LCL.

Elle indique qu’en l’espèce le 7 janvier 2022 à 14h39, soit 7 jours avant l’exécution du virement contesté, le relevé des opérations en lignes enregistrait une connexion ayant pour objet d’enregistrer un appareil de confiance avec les données de sécurité de Mme [D] soit son code d’accès personnel et un code à usage unique reçu sur son portable, au même moment Mme [D] recevait un sms d’authentification de la part de la banque sur son téléphone personnel (numéro enregistré par la banque ) contenant un code confidentiel à usage unique de 6 chiffres à saisir pour autoriser l’enregistrement et l’accès de cet appareil à ses comptes. Elle fait valoir que le SMS reçu par Mme [D] a ainsi permis de l’informer en temps réel de ce qu’un appareil Samsung SM a 5070 via le réseau Bouygues Télécom qu’elle indique ne pas être le sien essayait de s’enregistrer et d’accéder à ses comptes, que Mme [D] indique utiliser un téléphone de marque Huaweil et le réseau Orange, qu’au même moment, Mme [D] se connectait à ses services en ligne LCL depuis l’une de ses adresses IP.

Elle déclare que le 14 janvier 2022, soit 7 jours après, le plafond de virement de Mme [D] a été modifié et un virement de 6 000 € a été exécuté par authentification forte via l’appareil de confiance au bénéfice de « emigijus saltemris », virement qui a été rejeté par la banque le 17 janvier 2022, mais que le 18 janvier 2022 à 12h24, soit 11 jours après, le virement de 6 000 € a été exécuté au bénéfice d’un dénommé « [J] [B] », que la banque a informé Mme [D] par SMS d’alerte, que sans réponse, son compte a été bloqué le même jour à 17 h18.

Elle fait valoir que les opérations litigieuses ont été authentifiées, dument enregistrées et comptabilisées et n’ont pas été affectées par une déficience technique, ce qu’elle démontre ainsi que l’y oblige l’article L.133-23 du code monétaire et financier, que le virement a été exécuté après authentification forte, que Mme [D] était la seule personne à connaitre son code personnel d’accès, qu’un code confidentiel à usage unique a bien été envoyé sur sa ligne de téléphone portable, numéro qu’elle a confirmé dans sa plainte aux services de police. Elle rappelle que selon le contrat conclu, le client est responsable des appareils qu’il utilise, que par ailleurs la Cour de cassation a jugé qu’en cas de négligence grave ayant conduit à l’exécution d’une opération de paiement non autorisée, la banque ne peut être condamnée au remboursement et que la bonne foi du client est indifférente, que Mme [D] a commis plusieurs négligences graves, en ne prenant pas toutes les mesures raisonnables pour préserver la sécurité de ses données personnelles, le code confidentiel à usage unique et le code personnel d’accès étant seulement connus de Mme [D], le virement n’ayant pu être opéré qu’en saisissant l’identifiant, code d’accès personnel et le code à usage unique, que sa cliente a donc communiqué ces données à un tiers. Elle ajoute qu’une autre négligence grave a été commise puisque sa cliente a reçu sur son téléphone un SMS lui indiquant l’ajout d’un appareil de confiance le 7 janvier 2022 « LCL Samsung SM-a5070 Bouygues Télecom veut s’enregistrer et acceder à vos comptes, pour l’autoriser saisir dans M^es Comptes le code 679260 », qu’elle était donc informée qu’un appareil qui n’était pas le sien via un autre opérateur cherchait à s’enregistrer et à accéder à ses comptes, qu’elle s’est connectée le même jour à ses comptes mais n’a pas informé la banque de l’utilisation non autorisée de ses données.

Mme [S] [D], agissant en son nom personnel et en qualité d’ayant droit de son époux défunt [I] [D], expose que la banque ne rapporte pas la preuve que les conditions générales du contrat lui sont opposables puisque son époux et elle-même ne les ont jamais signées , que les dispositions du code monétaire et financier édictent une présomption de responsabilité sans faute de la banque et que cette dernière pour la renverser doit établir que le client est à l’origine de la fraude ou a commis une négligence grave qui a rendu cette fraude possible. Elle fait valoir qu’elle n’a jamais reçu aucun message de la banque l’informant de la validation du changement d’appareil, pas plus que de l’ajout d’un nouveau bénéficiaire, qu’elle n’a jamais communiqué ses identifiants ni son code d’accès personnel ce qui signifie que la banque a fait l’objet d’un piratage massif dont la presse s’est fait echo, qu’elle n’a jamais validé aucune action pour l’enregistrement d’un nouvel appareil.

Elle souligne qu’il ressort de l’historique que la dernière connexion des époux dataient du 4 janvier 2022 depuis leur adresse IP régulière et que le 7 janvier, c’est une nouvelle adresse IP qui s’est connectée via une application mobile depuis un appareil Bouygues et qui est à l’origine de l’enrôlement d’un nouvel appareil, que par la suite entre le 14 et le 18 janvier, ce sont deux nouvelles adresses IP qui se sont connectées sur les comptes des époux [D], la première située en Aquitaine, qui va initier le premier virement frauduleux rejeté par LCL, la seconde dans la région de [Localité 9] qui effectuera le virement frauduleux de 6 000 €, que la banque ne rapporte nullement la preuve de l’envoi d’un SMS et d’un mail de confirmation du changement d’appareil, qu’un essai fait par sa fille établit que la validation finale s’achève par l’envoi d’un SMS et un mail de confirmation de l’enrôlement du nouvel appareil que tel n’a pas été le cas en l’espèce ce qui démontre la défaillance du système de la banque.

Elle fait valoir que le seul fait que les codes personnels d’accès aient été utilisés n’est nullement suffisant, qu’elle ne conteste pas avoir reçu un SMS de la banque mais qu’elle n’a pas validé le nouvel appareil, que le message pouvait s’apparenter à un SPAM, qu’elle n’avait donc pas à signaler à la banque une manipulation frauduleuse. Elle ajoute que la banque ne saurait lui reprocher un manque d’information puisqu’elle a détecté elle-même une tentative de virement frauduleux le 14 janvier 2022 qu’elle a rejeté, qu’elle n’a pas cru devoir informer ses clients de cette tentative, et que c’est seulement à l’issue du second virement qu’elle les a informés, que la banque a manqué à son devoir de vigilance qui impose au banquier de déceler des opérations suspectes et ce d’autant plus que le montant du virement était élevé et que les époux [D] procèdent peu à des virements occasionnels. Elle en conclut que les manquements de la banque sont parfaitement établis que cette dernière ne peut à l’inverser reprocher aucune négligence aux titulaires du compte, que le jugement est d’ailleurs conforme à l’avis rendu par le médiateur du Crédit Lyonnais et doit être confirmé s’agissant de la condamnation de la banque à rembourser la somme de 6 000 €.

*

* *

A titre liminaire, la Cour rappelle qu’elle ne statue que sur les prétentions énoncées au dispositif des conclusions, qu’en l’espèce aucun demande n’a été présentée par Mme [D] sur l’opposabilité ou non des clauses du contrat de sorte que la Cour n’est pas saisie sur ce point.

Il résulte de la combinaison des articles L.133-23, L.133-19 IV et L.133-16 alinea 1 du code monétaire et financier qu’il appartient au prestataire de services de paiement de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à son obligation de prendre toute mesure raisonnable pour préserver la sécurité des données de sécurité personnalisées. La négligence grave ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés.

Cette règle est également applicable lorsque l’utilisateur bénéficie d’un système d’authentification forte constitué d’un enregistrement de la marque et du modèle du téléphone utilisé pour effectuer les opérations au moyen d’une application bancaire.

Mme [S] [D] conteste avoir autorisé l’opération de virement d’un montant de 6 000 € à destination de [J] [B] et a déposé plainte pour escroquerie.

Il est établi que Mme [S] [D] en sa qualité de cliente des services bancaires en ligne LCL disposait d’un identifiant code personnel et confidentiel à dix chiffres, d’un code personnel d’accès lequel est un code personnel à six chiffres et qu’elle recevait en cas d’opération un code à usage unique via son portable dont le numéro était enregistré à la banque, lequel est dénommé « appareil de confiance » ce qui constitue un dispositif d’authentification forte. Il est constant également qu’une connexion a été enregistrée par la banque le 7 janvier 2022 à 14h39 pour l’enregistrement d’un nouvel appareil de confiance, la banque a alors adressé sur le téléphone portable de Mme [D] un code à six chiffres pour autoriser l’enregistrement et l’accès de cet appareil à ses comptes lui précisant qu’il s’agissait d’un appareil SAMSUNG via l’opérateur Bouygues Télecom. Le nouvel appareil de confiance a été enregistré le même jour. Le plafond des virements a été modifié le 14 janvier 2022 et un virement de 6 000 € en faveur de « émigijus saltemeris » a été rejeté par la banque le 17 janvier 2022, le 18 janvier 2022, en revanche, un virement a été exécuté pour le même montant au bénéfice de « [J] [B] » à 12h 24, puis la banque a tenté de contacter Mme [D] le même jour et a finalement bloqué le compte à 17 h 18.

S’il est constant que pour opérer le virement litigieux, les identifiant et code personnel de Mme [D] ont été utilisés, la négligence grave ne peut se déduire du fait de cette utilisation, par ailleurs si un nouvel appareil de confiance a été enregistré le 7 janvier 2022 à 14 h40, LCL ne démontre pas que le code à six chiffres qu’elle a envoyé a bien été utilisé pour valider cette opération d’enregistrement. LCL a estimé que le virement de 6 000 € du 14 janvier 2022 était frauduleux puisqu’elle a rejeté ce dernier bien qu’exécuté selon elle par authentification forte, et n’explique pas pourquoi le virement du même montant, exécuté selon le même mode opératoire mais en faveur d’un autre bénéficiaire a été validé 4 jours plus tard, étant observé que ces virements ont été opérés après relèvement du plafond mais également ajout de pays autorisés selon les pièces produites par la banque et que LCL, malgré le caractère inhabituel de ces opérations pour ses clients, n’a contacté Mme [D] que le 18 janvier 2022 après exécution du virement, et non après la première tentative de virement, pour vérifier si elle était à l’origine de l’opération.

La banque ne démontre pas que Mme [D] ou son époux ait commis une ou plusieurs négligences graves à leur obligation de prendre toute mesure raisonnable pour préserver la sécurité des données de sécurité personnalisées, elle est donc tenue de rembourser à Mme [D] la somme de 6 000 €, le jugement sera confirmé .

Sur la demande d’indemnisation au titre du préjudice moral

Mme [D] demande l’infirmation du jugement en ce qu’il lui a alloué une somme de 1 000 € en indemnisation de son préjudice moral et sollicite une somme de 2 000 € à ce titre, faisant valoir qu’elle a été contrainte de multiplier les démarches compte tenu de l’importance de la somme détournée, que la banque n’a eu de cesse de lui opposer son âge lors de ses démarches et encore dans ses écritures, la rendant responsable de son préjudice, que cette attitude vexatoire lui cause un préjudice moral qu’il convient de réparer à sa juste valeur.

Le Crédit Lyonnais s’oppose à la demande contestant avoir eu une telle attitude et aucun élément ne permettant d’affirmer que la banque a mentionné l’âge des époux comme pouvant être à l’origine de leur préjudice.

Mme [D] justifie des nombreuses démarches qu’elle a du accomplir pour tenter de recouvrer le montant prélevé de façon frauduleuse, la banque lui ayant répondu à plusieurs reprises de façon générale et évasive, elle justifie d’un préjudice moral que le tribunal a, à juste titre, réparé par l’octroi d’une somme de 1 000 €, ce montant doit être confirmé.

Sur la demande d’indemnisation au titre de la résistance abusive

Le tribunal a débouté Mme [D] de sa demande en paiement de la somme de 1 000 € pour résistance abusive. Mme [D] sollicite l’infirmation du jugement sur ce point au motif que la banque n’a pas cru bon de suivre l’avis du médiateur, que la banque a été victime de fraudes à répétition et que malgré cette situation, elle n’a procédé à aucun remboursement, que sa mauvaise foi est avérée.

Le Crédit Lyonnais réplique qu’il est de jurisprudence constante que la simple résistance opposée par une partie aux prétentions de son adversaire n’est pas constitutive en soi d’une faute, qu’il faut rapporter la preuve d’une faute spécifique ce qui n’est pas démontré en l’espèce.

Il n’est pas justifié ainsi que le déclare le tribunal que la banque ait outrepassé la simple défense de ses intérêts par un comportement relevant de la malice, de la mauvaise foi ou de l’erreur grossière, il convient donc de confirmer le jugement en ce qu’il a débouté Mme [D] de sa demande de dommages et intérêts.

Sur les frais irrépétibles et les dépens

La SA Crédit Lyonnais succombant en ses prétentions, sera condamnée à payer à Mme [D] la somme de 3 000 € sur le fondement de l’article 700 du code de procédure civile ainsi aux dépens.

PAR CES MOTIFS

La Cour, statuant par arrêt contradictoire, en dernier ressort, par mise à disposition au greffe,

Confirme le jugement en toutes ses dispositions sauf à préciser que les sommes sont allouées à Mme [S] [D] à titre personnel et en sa qualité d’ayant droit,

Y ajoutant

Condamne la SA Crédit Lyonnais à payer à Mme [S] [D] la somme de 3 000 € sur le fondement de l’article 700 du code de procédure civile.

Condamne la SA Crédit Lyonnais aux dépens avec droit de recouvrement au profit de la SCP Sagon Loevenbruck Lesieur.

La greffière, La présidente,