Cour d'appel de Versailles, Chambre commerciale 3 2, 7 octobre 2025, n° 25/01861

TCOM Nanterre 24 janvier 2025

CA Versailles
Confirmation 7 octobre 2025

Arguments

Le contenu a été généré à l’aide de l’intelligence artificielle. Pensez à vérifier son exactitude.

Signaler une erreur.

Accepté
Absence d'authentification forte pour les virements
La cour a retenu que les virements n'ont pas été précédés d'une authentification forte, ce qui implique que la banque est tenue de rembourser les sommes virées.
Accepté
Droit à l'indemnité de procédure
La cour a jugé équitable d'allouer une indemnité de procédure à Monsieur [B] en raison de la décision favorable rendue en sa faveur.
Accepté
Droit aux dépens
La cour a condamné la banque aux dépens d'appel, ce qui justifie la demande de remboursement des frais engagés par Monsieur [B].

Résumé par Doctrine IA

Dans l'affaire opposant la S.A. Boursorama à M. [B], ce dernier a demandé le remboursement de 39 745,89 euros suite à des virements frauduleux. Le tribunal de commerce de Nanterre a condamné Boursorama à lui verser cette somme, décision que la banque a contestée en appel. La cour d'appel a confirmé que les virements n'avaient pas été précédés d'une authentification forte, comme l'exige l'article L. 133-18 du code monétaire et financier. Elle a également rejeté l'argument de la banque selon lequel M. [B] aurait commis une négligence grave. En conséquence, la cour a confirmé le jugement de première instance et condamné Boursorama aux dépens.

Le contenu a été généré à l’aide de l’intelligence artificielle. Pensez à vérifier son exactitude.

Commentaire • 0

Augmentez la visibilité de votre blog juridique : vos commentaires d’arrêts peuvent très simplement apparaitre sur toutes les décisions concernées.

Sur la décision

Référence :	CA Versailles, ch. com. 3 2, 7 oct. 2025, n° 25/01861
Juridiction :	Cour d'appel de Versailles
Numéro(s) :	25/01861
Importance :	Inédit
Décision précédente :	Tribunal de commerce / TAE de Nanterre, 24 janvier 2025, N° 2023F00550
Dispositif :	Autre
Date de dernière mise à jour :	5 novembre 2025
Lire la décision sur le site de la juridiction

Sur les parties

Avocat(s) :	Fanny PENCHEAsma MZEArnaud-Gilbert RICHARDMélina PEDROLETTI
Cabinet(s) :	LX PARIS-VERSAILLES- REIMSRICHARD ASSOCIESLEXCO
Parties :	S.A. BOURSORAMA

Texte intégral

COUR D’APPEL

VERSAILLES

Code nac : 38E

Chambre commerciale 3-2

ARRET N°

CONTRADICTOIRE

DU 07 OCTOBRE 2025

N° RG 25/01861 – N° Portalis DBV3-V-B7J-XC4O

AFFAIRE :

S.A. BOURSORAMA

[E] [B]

Décision déférée à la cour : Jugement rendu le 24 Janvier 2025 par le Tribunal de Commerce de NANTERRE

N° Chambre : 04

N° RG : 2023F00550

Expéditions exécutoires

Expéditions

Copies

délivrées le :

à :

M^e Mélina PEDROLETTI

M^e Asma [H]

RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS

LE SEPT OCTOBRE DEUX MILLE VINGT CINQ,

La cour d’appel de Versailles a rendu l’arrêt suivant dans l’affaire entre :

APPELANT :

S.A. BOURSORAMA

Ayant son siège

[Adresse 3]

[Localité 4]

prise en la personne de ses représentants légaux domiciliés en cette qualité au siège social

Représentant : M^e Mélina PEDROLETTI, avocat au barreau de VERSAILLES, vestiaire : 626 – N° du dossier 26670

Plaidant : M^e Arnaud-gilbert RICHARD de la SAS RICHARD ASSOCIES, avocat au barreau de PARIS, vestiaire : B1070 -

****************

INTIME :

Monsieur [E] [B]

[Adresse 2]

[Localité 1]

Représentant : M^e Asma MZE de la SELARL LX PARIS-VERSAILLES-REIMS, avocat au barreau de VERSAILLES, vestiaire : 699 – N° du dossier 2576007 -

Plaidant : M^e Fanny PENCHE de la SELARL LEXCO, avocat au barreau de BORDEAUX, vestiaire : 1003

****************

Composition de la cour :

En application des dispositions de l’article 805 du code de procédure civile, l’affaire a été débattue à l’audience publique du 02 Septembre 2025 les avocats des parties ne s’y étant pas opposés, devant Monsieur Cyril ROTH, Président chargé du rapport.

Ce magistrat a rendu compte des plaidoiries dans le délibéré de la cour, composée de :

Monsieur Ronan GUERLOT, Président de chambre,

Monsieur Cyril ROTH, Président de chambre,

Madame Véronique PITE, Conseillère,

Greffier, lors des débats : Madame Françoise DUCAMIN,

EXPOSE DU LITIGE

M. [B] est titulaire d’un compte dans les livres de la société Boursorama (la banque).

Le 23 octobre 2022, 30 virements ont été opérés à partir de ce compte, pour la somme totale de 59 760 euros, vers quatre comptes ouverts en France.

M. [B] a signalé à la banque que ces transferts étaient frauduleux.

Les 24 et 26 octobre 2022, après avoir mis en 'uvre des procédures de recall, la banque a recrédité le compte de M. [B] de la somme totale de 20 014,11 euros.

Le 10 mars 2023, M. [B] a assigné la banque devant le tribunal de commerce de Nanterre en remboursement du solde, soit 39 745,89 euros.

Le 24 janvier 2025, par jugement contradictoire, cette juridiction, devenue tribunal des activités économiques, a :

— condamné la société Boursorama à payer à M. [B] la somme de 39 745,89 euros, outre intérêts au taux légal majoré de quinze points à compter du 24 octobre 2022 ;

— condamné la société Boursorama à payer à M. [B] la somme de 1 500 euros au titre de l’article 700 du code de procédure civile ;

— condamné la société Boursorama aux dépens.

Le 21 mars 2025, la société Boursorama a interjeté appel de ce jugement en tous ses chefs de disposition.

Par dernières conclusions du 27 juin 2025, elle demande à la cour d’infirmer le jugement et,

Statuant à nouveau, de

— débouter M. [B] de toutes ses demandes, fins et prétentions plus amples ou contraires et de tout appel incident ;

— condamner M. [B] à lui payer la somme de 3 500 euros au titre de l’article 700 du code de procédure civile, ainsi qu’aux entiers dépens dont le montant sera recouvré par Maître Pedroletti, avocat.

Par dernières conclusions du 2 juillet 2025, M. [B] demande à la cour de :

— confirmer le jugement du 24 janvier 2025 en toutes ses dispositions ;

— débouter la société Boursorama de toutes ses demandes, fins et prétentions ;

— condamner la société Boursorama à lui payer la somme de 10 000 euros au titre de l’article 700 du code de procédure civile ;

— condamner la société Boursorama aux entiers dépens dont distraction au profit de Maître [H].

La clôture de l’instruction a été prononcée le 1er septembre 2025.

Pour plus ample exposé des moyens et prétentions des parties, il est renvoyé aux conclusions susvisées.

MOTIFS

Sur la demande en paiement

Pour accueillir la demande de M. [B], le tribunal des activités économiques a retenu qu’il n’était pas établi que l’ajout d’un téléphone OnePlus A5000 le 10 octobre 2022 ait fait l’objet d’une authentification forte, ni les ajouts de nouveaux bénéficiaires et les virements subséquents ; que la banque ne prouvait pas non plus de négligence grave de son client.

La banque fait valoir que M. [B] n’allègue pas d’opérations mal exécutées et que les opérations litigieuses ont été autorisées, de sorte que sa responsabilité ne peut être engagée en application de l’article L. 133-18 du code monétaire et financier et qu’elle n’a pas à rapporter la preuve d’une négligence grave de son client ; que le journal des connexions fait la preuve que le 10 octobre 2022 ; M. [B] a enregistré un nouveau téléphone mobile de confiance, par authentification forte ; qu’il a manifestement subi un hameçonnage et communiqué au fraudeur les codes personnels ayant permis cette opération ; que de nouveaux bénéficiaires, puis les virements litigieux, ont été validés à partir de ce nouvel appareil de confiance ; que chacun des virements a été suivi d’une notification. De manière surabondante, la banque soutient que la négligence grave de M. [B] est avérée, dès lors qu’il a validé l’ajout d’un nouvel appareil de confiance.

M. [B] prétend que le journal des connexions produit par la banque est dépourvu de force probante comme unilatéral ; qu’en toute hypothèse, cette pièce démontre que l’ajout de l’appareil One Plus A 5000, utilisant un opérateur téléphonique domicilié au Panama, a été précédé d’une connexion à l’espace en ligne émanant du même appareil et validé à partir de cet appareil lui-même , alors qu’il aurait dû l’être à partir d’un appareil de confiance ; qu’ainsi, cet ajout n’a pas fait l’objet d’une authentification forte ; que les ajouts de nouveaux bénéficiaires et les virements subséquents, validés par cet appareil frauduleux, correspondent à des opérations non autorisées ; que certains des virements frauduleux ont été initiés à quelques secondes d’écart les uns les autres, de sorte que chacun d’eux ne pouvait matériellement pas avoir fait l’objet d’une authentification forte ; qu’ainsi la responsabilité de la banque est engagée en application de l’article L. 133-18 du code monétaire et financier. Il fait valoir qu’en tout cas, il n’a jamais commis de négligence grave.

Réponse de la cour

Selon l’article L. 133-3 du code monétaire et financier, applicable, aux termes de l’article L. 133-1 du même code, lorsque le paiement est réalisé en euros entre deux banques localisées dans l’Espace économique européen, une opération de paiement est une action consistant à verser, transférer ou retirer des fonds, indépendamment de toute obligation sous-jacente entre le payeur et le bénéficiaire, initiée par le payeur, ou pour son compte, ou par le bénéficiaire ; une telle opération peut être initiée par le payeur, qui donne un ordre de paiement à son prestataire de services de paiement.

Selon les articles L. 133-6 et L. 133-7, une opération de paiement est autorisée si le payeur a donné son consentement à son exécution sous la forme convenue avec le prestataire de services de paiement.

Aux termes de l’article L. 133-18, en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. (')

En cas de manquement du prestataire de services de paiement aux obligations prévues aux deux premiers alinéas du présent article, les pénalités suivantes s’appliquent : (')

3° Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points.

Selon l’article L. 133-24, lorsque l’utilisateur de services de paiement est une personne physique agissant pour des besoins non professionnels, il signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée, en principe, au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion.

Selon l’article L. 133-19, IV, le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17, soit celle de préserver la sécurité de ses données de sécurité et celle d’informer sans tarder le prestataire de services de paiement de toute perte vol ou détournement de ses moyens de paiement ou de ses données.

Inversement, aux termes de l’article L. 133-19, V, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44.

L’article L. 133-23 du code monétaire et financier dispose :

Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.

L’article L. 133-4, f), dispose :

f) Une authentification forte du client s’entend d’une authentification reposant sur l’utilisation de deux éléments ou plus appartenant aux catégories « connaissance » (quelque chose que seul l’utilisateur connaît), « possession » (quelque chose que seul l’utilisateur possède) et « inhérence » (quelque chose que l’utilisateur est) et indépendants en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d’authentification.

Selon l’article L. 133-44, I, le prestataire de services de paiement est tenu d’appliquer une telle authentification forte lorsque le payeur accède à son compte de paiement en ligne, initie une opération de paiement électronique ou exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse.

Il résulte des articles L. 133-19, IV, et L. 133-23 précités que, s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17 de ce code, le prestataire de services de paiement doit aussi prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre (Com, 12 nov. 2020, n°19-12.112, publié ; Com, 20 nov. 2024, n°23-15.099, publié ; Com, 30 avril 2025, n°24-10.149, publié).

Autrement dit, pour l’application du IV et du V de l’article L. 133-19, lorsqu’une authentification forte n’a pas été réclamée par le prestataire de services de paiement au client alors qu’elle était nécessaire , le juge n’a pas à rechercher si ce dernier a commis une négligence grave (voir notamment Com, 30 août 2023, n°22-11.707, publié).

Il est constant que les virements litigieux ont été ordonnés et validés à partir d’un téléphone mobile de modèle OnePlus A5000 ajouté le 10 octobre 2022 comme appareil de confiance attaché au compte de M. [B] ; que cette opération d’ajout devait faire l’objet d’une authentification forte au sens de l’article L. 133-4, f), précité.

Les parties s’opposent sur la réalité de cette authentification forte.

La banque produit un extrait de ses conditions générales applicables au 19 mai 2022, dont il n’est pas contesté qu’elles étaient applicables au jour des faits en cause.

L’article 3.4 de ces conditions générales stipule que les instructions informatiques et téléphoniques du client sont enregistrées ; que les enregistrements en constituent la preuve et fera foi en cas de litige, sauf preuve contraire rapportée par le client.

La validité de cette clause ne fait l’objet d’aucune des prétentions de M. [B], de sorte que le relevé informatique des opérations réalisées sur son compte produit par la banque ne peut être considéré comme dépourvu de force probante.

Ce relevé, chronologique, distingue entre les opérations appelant une authentification forte et celles qui n’en nécessitent pas.

Il en ressort que le 10 octobre 2022, un appareil OnePlus A5000 s’est connecté avec succès pour la première fois à la plateforme en ligne, après avoir renseigné le code unique préalablement envoyé par SMS sur la ligne 06 43 94 16 02, qui est celle de M. [B], et le code unique préalablement envoyé par courriel à son adresse électronique, [Courriel 5] . Contrairement à ce que soutient M. [B], il n’est pas anormal que ces codes uniques aient pu être entrés directement à partir de l’appareil OnePlus A5000, dès lors qu’ils avaient été préalablement adressés à une ligne téléphonique et à une adresse électronique n’appartenant qu’à lui.

Cette opération d’accès à la plateforme , achevée le 10 octobre 2022 à 10:00:01, n’est cependant pas elle-même notée au relevé comme nécessitant une authentification forte, alors même que la fourniture de l’ensemble de ces codes uniques adressés à un appareil et à une adresse électronique appartenant à M. [B] peut être considérée comme valant authentification forte, deux éléments appartenant aux catégorie « connaissance » et « possession » ayant été utilisés.

Autrement dit, cet accès primitif du fraudeur à la plateforme a été précédée d’une authentification forte.

En revanche, est notée au relevé comme nécessitant une authentification forte l’opération subséquente d’enrôlement comme nouvel appareil de confiance du téléphone OnePlus A5000.

Or cette opération a été réalisée le 10 octobre 2022 à 10:00:02, soit un centième de seconde après l’achèvement de la précédente, sans qu’aucun code supplémentaire n’ait été renseigné par le fraudeur.

Autrement dit, contrairement à ce que soutient la banque, l’enrôlement de ce nouvel appareil de confiance n’a pas été validé par authentification forte après accès à la plateforme, mais c’est l’accès à la plateforme par cet appareil, précédé d’une authentification forte, qui a été considéré comme valant, de manière automatique, son enrôlement comme appareil de confiance .

Comme le souligne M. [B], le système informatique de la banque ne lui a réclamé, en vue de cet enrôlement, aucune manipulation d’un de ses appareils de confiance préalablement enregistrés et qui aurait pu contribuer à une authentification forte.

Les premiers juges doivent donc être approuvés en ce qu’ils ont retenu que l’ajout de l’appareil OnePlus A5000 n’a pas été précédé d’une authentification forte.

Il est constant que les opérations de virement litigieuses devaient être précédées d’une authentification forte.

Or il résulte du relevé produit que, contrairement à ce que soutient la banque, aucune des opérations de virement litigieuses, initiées à partir de cet appareil le 23 octobre 2022, la première à 19:24:12, n’a été précédée d’une authentification forte.

Le fait que certains des virements litigieux ont été réalisés à moins d’une seconde d’intervalle les uns des autres et le refus de la banque de déférer à la sommation qui lui a été faite de communiquer la transcription d’une conversation du 26 octobre 2022 au cours de laquelle l’un de ses préposés aurait indiqué à M. [B] que ces virements n’avaient pas été précédés d’une authentification forte confortent ce constat.

La cour retient donc, comme les premiers juges, que les virements litigieux, non autorisés, n’ont pas été précédés d’une authentification forte .

De là suit qu’en application de l’article L. 133-18 du code monétaire et financier, M. [B] ayant signalé les opérations frauduleuses dans le délai prévu à l’article L. 133-24, la banque, qui n’est pas admise à se prévaloir d’une négligence grave de son client, est tenue à remboursement des sommes virées.

Leur montant n’est pas discuté, ni l’application de la sanction de majoration du taux des intérêts prévue à l’article L. 133-18 précité.

Le jugement entrepris doit en conséquence être confirmé en toutes ses dispositions.

Sur les demandes accessoires

L’équité commande d’allouer à l’intimé l’indemnité de procédure prévue au dispositif.

PAR CES MOTIFS,

la cour, statuant contradictoirement,

Confirme le jugement entrepris ;

Condamne la société Boursorama aux dépens d’appel, avec distraction au profit de Mme [H], avocat au barreau de Versailles ;

Condamne la société Boursorama à payer à M. [B] la somme de 4 500 euros au titre des frais non compris dans les dépens.

— prononcé publiquement par mise à disposition de l’arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

— signé par Monsieur Ronan GUERLOT, Président, et par Madame Françoise DUCAMIN, Greffière, auquel la minute de la décision a été remise par le magistrat signataire.

LA GREFFIÈRE LE PRÉSIDENT,