06/01/2026

ARRÊT N°2026/10

N° RG 23/04208 – N° Portalis DBVI-V-B7H-P3OJ

FP CG

Décision déférée du 17 Novembre 2023

TJ hors JAF, JEX, JLD, J. EXPRO, JCP de TOULOUSE

( 22/02006)

Madame [R]

S.A. BANQUE POPULAIRE OCCITANE

C/

[J] [L]

[N] [O] ÉPOUSE [L]

INFIRMATION PARTIELLE

Grosse délivrée

le

à M^e Jérôme MARFAING-DIDIER

M^e Christophe MORETTO

REPUBLIQUE FRANCAISE

AU NOM DU PEUPLE FRANCAIS

***

COUR D’APPEL DE TOULOUSE

2ème chambre

***

ARRÊT DU SIX JANVIER DEUX MILLE VINGT SIX

***

APPELANTE

S.A. BANQUE POPULAIRE OCCITANE

[Adresse 6]

[Localité 5]

Représentée par M^e Jérôme MARFAING-DIDIER de la SELARL DECKER, avocat au barreau de TOULOUSE

INTIMES

Monsieur [J] [L]

[Adresse 2]

[Localité 3]

Madame [N] [O] ÉPOUSE [L]

[Adresse 2]

[Localité 3]

Représentés par M^e Christophe MORETTO de la SELARL ARCANTHE, avocat au barreau de TOULOUSE

COMPOSITION DE LA COUR

En application des dispositions des articles 805 et 907 du Code de procédure civile, l’affaire a été débattue le 12 Novembre 2025, en audience publique, les avocats ne s’y étant pas opposés, devant F. PENAVAYRE, magistrate honoraire exerçant des fonctions juridictionnelles, chargée du rapport. Ce magistrat a rendu compte des plaidoiries dans le délibéré de la Cour, composée de :

V. SALMERON, présidente

F. PENAVAYRE, magistrate honoraire exerçant des fonctions juridictionnelles

S. MOULAYES, conseillère

Greffier, lors des débats : M. POZZOBON

ARRET :

— Contradictoire

— prononcé publiquement par mise à disposition au greffe après avis aux parties

— signé par V. SALMERON, présidente, et par A. CAVAN, greffier de chambre

EXPOSE DU LITIGE

Monsieur et Madame [L] sont titulaires de plusieurs comptes bancaires ouverts dans les livres de la BANQUE POPULAIRE OCCITANE.

Le 24 décembre 2021 à 15h50, Monsieur [J] [L] a reçu un appel téléphonique émanant d’une personne se faisant passer pour un employé du service anti- fraude de la banque qui l’a informé qu’il y avait des opérations suspectes sur ses comptes et lui a demandé de se connecter sur son espace sécurisé CyberPlus afin d’annuler ces opérations.

Trois virements ont été effectués au profit de comptes tiers pendant le temps de la connexion :

—  4400 euros depuis le compte courant professionnel n° [XXXXXXXXXX07] de Monsieur [L]

-4980 euros depuis le compte courant professionnel n° [XXXXXXXXXX07] de Monsieur [L]

-5400 euros depuis le compte joint n° [XXXXXXXXXX04] des époux [L].

Monsieur [J] [L] a pris contact avec le service antifraude de la banque qui l’a informé qu’il avait été victime d’une escroquerie appelée « spoofing téléphonique » (usurpation d’identité téléphonique).

Il déposé plainte auprès des services de gendarmerie le 26 décembre 2021.

Une somme de 4400 euros correspondant au premier virement a été rappelée mais le «  recall » des autres sommes a échoué.

Par courrier recommandé du 10 janvier 2022, Monsieur et Madame [L] ont sollicité le remboursement des fonds restants.

Par courrier du 3 février 2022, la BANQUE POPULAIRE OCCITANE a refusé de faire droit à leur demande au motif que Monsieur [L] n’avait pas respecté les conditions générales du service de banque en ligne CYBER PLUS en communiquant ses identifiants à un tiers.

Après vaine mise en demeure du 9 mars 2022, Monsieur [J] [L] et son épouse Madame [N] [L] née [O] ont, par acte de commissaire de justice du 4 mai 2022, assigné la SA BANQUE POPULAIRE OCCITANE devant le tribunal judiciaire de Toulouse pour obtenir, sur le fondement des articles L133-18 et suivants et L561-6 du code monétaire et financier, la condamnation de la banque à leur rembourser la somme de 10 250 euros outre les accessoires.

Par jugement du 17 novembre 2023, le tribunal judiciaire de Toulouse a :

— débouté Monsieur et Madame [L] de leur demande de remboursement du montant des deux virements non autorisés

— condamné la BANQUE POPULAIRE OCCITANE à payer à Monsieur et Madame [L] la somme de 5125€ au titre de leur demande de dommages et intérêts

— condamné la BANQUE POPULAIRE OCCITANE aux entiers dépens de l’instance et à payer à Monsieur et Madame [L] la somme de 2000 euros au titre des frais irrépétibles.

Le tribunal a considéré que la banque était bien fondée à opposer à la demande de remboursement des virements frauduleux les négligences graves commises par l’utilisateur qui a communiqué les données personnelles de connexion de son service de banque en ligne à un tiers malgré l’existence d’indices permettant de douter de la réalité de l’identité déclinée par le fraudeur, puis a autorisé des opérations de paiement dont un utilisateur normalement attentif aurait pu connaître la nature suspecte et ce, en méconnaissance des obligations qui lui incombent selon les articles L133-16 et 17 du code monétaire et financier. Par contre il a retenu la responsabilité de la banque pour manquement à son devoir de vigilance dès lors que les virements présentaient un caractère manifestement inhabituel qui a donné lieu à une alerte interne de la banque laquelle a désactivé le mode de gestion de l’espace CYBERPLUS de Monsieur [L] le jour même à 16h30. Compte tenu du rôle causal des manquements imputés aux époux [L], il a retenu la responsabilité contractuelle de la banque à hauteur de 50% du montant des virements litigieux.

Par déclaration enregistrée au greffe le 5 décembre 2023, la SA BANQUE POPULAIRE OCCITANE a formé appel à l’encontre du jugement rendu le 17 novembre 2023 par le tribunal judiciaire de Toulouse qu’elle critique en ce qu’il l’a condamnée à payer à Monsieur et Madame [L] la somme de 5125€ à titre de dommages et intérêts, la somme de 2000 euros au titre des frais irrépétibles et à supporter les dépens.

Au terme de ses conclusions notifiées le 29 septembre 2025, la BANQUE POPULAIRE OCCITANE demande à la cour, sur le fondement des articles L133-1 à 19 du code monétaire et financier, 1217 du Code civil, L561-6 du code monétaire et financier :

— de confirmer le jugement du tribunal judiciaire de Toulouse du 17 novembre2023 en ce qu’il a débouté Monsieur et Madame [L] de leur demande de remboursement du montant des deux virements non autorisés

— d’infirmer le jugement en ce qu’il a :

*condamné la BANQUE POPULAIRE OCCITANE à payer à Monsieur et Madame [L] la somme de 5125€ au titre de leur demande de dommages et intérêts

*condamné la BANQUE POPULAIRE OCCITANE aux entiers dépens de l’instance

*condamné la BANQUE POPULAIRE OCCITANE à payer à Monsieur et Madame [L] la somme de 2000 euros au titre des frais irrépétibles.

Statuant à nouveau :

— de débouter Monsieur et Madame [L] de l’ensemble de leurs demandes, fins et prétentions

— de les condamner à lui verser la somme de 3000 euros sur le fondement de l’article 700 du code de procédure civile

— de les condamner aux entiers dépens de l’instance.

La banque appelante fait essentiellement valoir :

— que les opérations litigieuses ont été autorisées par Monsieur [L] dans les formes convenues en faisant usage d’un dispositif de paiement avec données de sécurité personnalisées permettant d’authentifier l’auteur, en sorte que l’article L311-18 du code monétaire et financier n’est pas applicable

— que le dispositif de paiement n’a pas été détourné et n’a fait l’objet d’aucune défaillance technique

— que Monsieur [L] a commis une négligence fautive de nature à exclure tout remboursement en divulguant au fraudeur les codes confidentiels reçus par SMS

— que le régime de responsabilité issu de la directive 2007/64/CE transposé aux articles L133-1 et suivants du code monétaire et financier est d’application exclusive, quel que soit le fait générateur invoqué par le client et que la responsabilité de la banque ne peut être engagée que pour les causes définies par la directive

— qu’en tout état de cause, le partage de responsabilité n’est nullement justifié dès lors qu’elle rapporte la preuve de sa vigilance et que le tribunal a retenu que les manquements de Monsieur [L] sont directement à l’origine de son préjudice et doivent être considérés comme la cause unique dommage subi.

Monsieur [J] [L] et Madame [N] [O] épouse [L] ont conclu en réponse le 2 octobre 2025 en formant appel incident.

Ils demandent à la cour, sur le fondement des articles 1217 et suivants du Code civil, L 133-1 et suivants du code monétaire et financier :

— de débouter la BANQUE POPULAIRE OCCITANE de l’intégralité de ses demandes et contestations

A titre principal :

— de réformer le jugement entrepris en ce qu’il les a déboutés de leur demande de remboursement sur le fondement de l’article L 133- 18 du code monétaire et financier

Et statuant à nouveau :

— de condamner la BANQUE POPULAIRE OCCITANE à leur rembourser la somme de 10 250 € correspondant au montant des deux virements non autorisés, en application de l’article L 133-18 du code monétaire et financier, outre les intérêts au taux légal majoré de cinq points jusqu’au septième jour de retard et au delà de sept jours de retard, au taux légal majoré de 10 points et au delà du 30e jour de retard, au taux légal majoré de 15 points jusqu’au remboursement à intervenir

A titre subsidiaire :

— de les déclarer recevables à agir sur le fondement de la responsabilité contractuelle de droit commun

En conséquence :

— de confirmer le jugement en ce qu’il a condamné la banque pour manquement à son devoir de vigilance

— d’infirmer le jugement quant au quantum des condamnations prononcées à l’encontre de la banque

— de condamner la BANQUE POPULAIRE OCCITANE à leur payer la somme de 10 250 € à titre de dommages-intérêts en réparation du préjudice résultant du manquement au devoir de vigilance outre les intérêts au taux légal depuis la première demande du 26 décembre 2021

A titre infiniment subsidiaire :

— de confirmer le jugement en toutes ses dispositions

En tout état de cause :

— de condamner la BANQUE POPULAIRE OCCITANE à leur payer la somme de 2000 € sur le fondement des dispositions de l’article 700 du code de procédure civile au titre des frais irrépétibles d’appel

— de la condamner aux dépens.

Les intimés demandent à titre principal, d’infirmer le jugement en ce qu’il a rejeté leur demande au motif que Monsieur [L] aurait commis des négligences graves en communiquant ses informations confidentielles, et, à titre subsidiaire, la confirmation du jugement en ce qu’il a retenu le manquement de la banque à son devoir de vigilance, sauf à la condamner à l’indemniser de l’intégralité du préjudice subi.

Ils font valoir :

— que si l’utilisateur d’un moyen de paiement conteste avoir donné son consentement à une opération, il appartient à la banque, en application de l’article L 133-23 du code monétaire et financier, de rapporter une double preuve, d’une part que l’opération a été authentifiée et d’autre part qu’elle n’a pas été affectée par une déficience technique ou autre,

— qu’en l’espèce la banque est défaillante à rapporter cette double preuve puisque Monsieur [L] n’a jamais communiqué ni son identifiant ni son code d’accès au fraudeur, ce qui témoigne d’une défaillance de la banque dans la conservation des données confidentielles auxquelles elle est tenue en vertu de l’article L133-4 du code monétaire et financier outre le fait qu’elle n’a pu éviter le piratage de sa ligne téléphonique

— que si l’opération est considérée comme étant non autorisée, en application de l’article L 133-18 du code monétaire et financier, la banque ne peut être exonérée de son obligation de remboursement qu’en rapportant la preuve que le client a commis une fraude ou une négligence grave ce qu’ils contestent puisqu’ils n’ont jamais communiqué d’informations sensibles au fraudeur.

À titre subsidiaire, ils engagent la responsabilité de la banque sur le fondement du droit commun qui selon eux, demeure applicable pour les opérations de paiement qui n’entrent pas dans le champ d’application du code monétaire et financier. Ils soulignent que la banque a manqué à son devoir de vigilance en ne bloquant pas les virements alors même que la connexion depuis un mobile tiers émanant de l’étranger a déclenché une alerte interne à la fraude et qu’il existait plusieurs indices révélant le caractère anormal des opérations. En l’absence de faute , ils réclament l’intégralité du préjudice subi.

Il y a lieu de se reporter expressément aux conclusions susvisées pour plus ample informé sur les faits de la cause, moyens et prétentions des parties, conformément à l’article 455 du code de procédure civile.

L’ordonnance de clôture est en date du 6 octobre 2025.

MOTIFS DE LA DECISION

Sur la responsabilité du prestataire de services de paiement :

Lorsque la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L 133-18 à L 133 -24 du code monétaire et financier, à l’exclusion de toute autre régime alternatif de responsabilité résultant du droit commun.

Selon l’article L 133-18 du code monétaire et financier, en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France.

L’article L 133-19 IV précise que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L 113-16 et L 113-17 qui lui prescrivent de prendre toutes mesures raisonnables pour préserver la sécurité de ses données de sécurité personnalisées et d’informer sans tarder son prestataire de services de paiement dès qu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées.

Enfin selon l’article L133-23, lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée ou mal exécutée, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement tel qu’enregistré par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celle-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement… fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.

Il résulte de ces textes qu’en cas d’opération de paiement non autorisée réalisée au moyen d’un instrument de paiement doté de données de sécurité personnalisées et signalée par l’utilisateur dans les conditions prévues à l’article L 133-24 du code monétaire et financier, le prestataire de services de paiement du payeur a l’obligation de rembourser immédiatement son client, sauf s’il prouve qu’il a commis une négligence grave au sens de l’article L 133-19 IV dudit code.

L’opération de paiement non autorisée se définit comme une opération effectuée sans le consentement du payeur.

Le fait d’utiliser un service d’authentification forte telle que le procédé SÉCUR PASS (smartphone) pour les opérations effectuées sur l’espace banque à distance ne permet pas de présumer du consentement donné par l’utilisateur.

Lorsque les virements ont été effectués dans le cadre d’une escroquerie téléphonique et exécutés à l’insu du client, son consentement à l’opération est vicié en sorte il ne peut être sérieusement soutenu qu’il s’agit d’une opération autorisée qui échappe au régime de responsabilité prévu par les articles L 133-18 et suivants du code monétaire et financier.

En conséquence, la banque est tenue de rembourser les virements non autorisés ainsi effectués , sauf à rapporter la preuve d’une négligence grave de son client.

Le caractère de gravité opposé à l’utilisateur qui suit les consignes d’un faux conseiller bancaire doit s’apprécier au regard des circonstances et une simple négligence ne suffit pas.

Selon les informations fournies, Monsieur [L] a été contacté par téléphone la veille de Noël vers 15h50 par une personne se faisant passer pour un préposé de sa banque. Le numéro qui s’affichait correspondait à celui du service d’opposition des cartes bancaires de son établissement bancaire ([XXXXXXXX01]) ce qu’il a pris soin de vérifier. Après avoir été avisé que ses comptes faisaient l’objet d’un piratage, il a ouvert, à la demande du fraudeur, le dispositif de sécurité personnalisée CYBERPLUS afin d’annuler lesdites opérations. C’est à l’occasion de cette connexion, alors qu’il pensait être en relation avec sa banque, que des virements internes ont été réalisées entre les comptes des époux [L] et qu’au final trois virements ont été effectuées au profit de comptes tiers entre 16h16 et 16h25 jusqu’à ce qu’une alerte interne soit déclenchée empêchant de nouvelles connexions.

Il n’est pas contesté que Monsieur [L] a validé «  trois ou quatre fois des codes en pensant annuler les opérations frauduleuses » selon ses déclarations devant les services de gendarmerie .

Pour autant rien ne permet d’établir, comme le soutient la banque, que l’utilisateur a communiqué ses identifiants ou codes secrets au fraudeur pour valider lesdites opérations puisqu’il les a réalisées lui-même à partir des codes reçus par SMS en pensant invalider les opérations suspectes. Enfin rien ne permet de démentir son affirmation selon laquelle le fraudeur ne lui a pas demandé son code d’accès au service en ligne «  ce qui l’ a mis en confiance » et que ce dernier s’est connecté en même temps que lui sur son espace personnel, ce qui présuppose qu’il est parvenu à y accéder sans utiliser ses identifiants.

Il doit être observé que l’opération a été réalisée très rapidement, à un moment où il était impossible pour Monsieur [L] de joindre son conseiller clientèle et que si une alerte a été émise dès 16H30 par la BPCE en raison de l’utilisation d’une ligne téléphonique marocaine par le fraudeur, elle n’a pas permis d’effectuer le rappel de l’ensemble des virements ce qui démontre la difficulté pour un utilisateur normalement diligent de contrer de telles man’uvres.

Dans le cas où un client se fait piéger au téléphone par un faux conseiller bancaire lequel recourt à des man’uvres destinées à mettre sa victime en confiance et à diminuer sa vigilance en usurpant l’identité téléphonique de la banque tout en assurant l’utilisateur qu’en suivant ses consignes, il effectuera une opération de sécurisation de ses moyens de paiement, sans lui laisser le temps de procéder à des vérifications de la qualité de son interlocuteur, il a été jugé qu’il ne peut se voir reprocher par sa banque d’avoir commis une négligence grave au sens de l’article L 133-19 IV du code monétaire et financier (Com 23 octobre 2014 n° 23-16. 267. Com du 12 juin 2025 n° 24'13. 777) .

Faute de démontrer que l’utilisateur a communiqué des données personnalisées au fraudeur et au regard des circonstances dans laquelle l’escroquerie a eu lieu , la BANQUE POPULAIRE OCCITANE échoue à caractériser une négligence grave de l’utilisateur au sens de l’article L 133-19 IV du code monétaire et financier.

En conséquence il y a lieu de réformer le jugement en toutes ses dispositions et de condamner la banque à rembourser à Monsieur et Madame [L] le montant de l’opération non autorisée conformément à l’article L 133-18 du code monétaire et financier, soit la somme de 10 250 € qui n’a pu être rappelée, outre les intérêts au taux légal comme précisé au dispositif.

Eu égard à la décision, il n’y a pas lieu d’examiner les autres moyens invoqués par les parties .

Sur les autres demandes :

Il serait inéquitable de laisser à la charge Monsieur et Madame [L] partie des frais irrépétibles par eux exposés pour assurer leur représentation en justice. Il leur sera alloué une somme supplémentaire de 1500 € pour les frais irrépétibles exposés en cause d’appel.

La partie qui succombe doit supporter les frais de l’instance ;

PAR CES MOTIFS

La cour statuant après en avoir délibéré,

Infirme le jugement du tribunal judiciaire de Toulouse en date du 17 novembre 2023 en ce qu’il a débouté Monsieur et Madame [L] de leur demande de remboursement des montants des deux virements non autorisés et a condamné la SA BANQUE POPULAIRE OCCITANE à payer à Monsieur et Madame [L] la somme de 5125 € à titre de dommages et intérêts,

Le confirme pour le surplus,

Et statuant à nouveau des chefs réformés,

Condamne la SA BANQUE POPULAIRE OCCITANE à payer à Monsieur [D] [L] et à son épouse Madame [N] [O] la somme de 10 250€ outre les intérêts au taux légal tel que prévus par l’article L 313-3 du code monétaire et financier,

Condamne la SA BANQUE POPULAIRE OCCITANE à payer à Monsieur et Madame [L] la somme de 1500€ sur le fondement de l’article 700 du code de procédure civile pour les frais irrépétibles exposés en cause d’appel ,

Rejette le surplus des demandes et les prétentions contraires,

Condamne la SA BANQUE POPULAIRE OCCITANE aux entiers dépens de l’instance.

Le greffier La présidente

.