COMM.

HM

COUR DE CASSATION

______________________

Arrêt du 22 octobre 2025

Rejet

M. VIGNEAU, président

Arrêt n° 525 F-D

Pourvoi n° N 24-19.749

R É P U B L I Q U E F R A N Ç A I S E

_________________________

AU NOM DU PEUPLE FRANÇAIS

_________________________

ARRÊT DE LA COUR DE CASSATION, CHAMBRE COMMERCIALE, FINANCIÈRE ET ÉCONOMIQUE, DU 22 OCTOBRE 2025

La Caisse de crédit agricole mutuel des Savoie, dont le siège est [Adresse 1], a formé le pourvoi n° N 24-19.749 contre le jugement rendu le 4 juillet 2024 par le tribunal judiciaire de Chambéry (civil), dans le litige l’opposant à M. [Y] [J], domicilié [Adresse 2], défendeur à la cassation.

La demanderesse invoque, à l’appui de son pourvoi, un moyen de cassation.

Le dossier a été communiqué au procureur général.

Sur le rapport de M. Calloch, conseiller, les observations de la SAS Boucard-Capron-Maman, avocat de la Caisse de crédit agricole mutuel des Savoie, de la SCP Ohl et Vexliard, avocat de M. [J], et l’avis de M^me Guinamant, avocate générale référendaire, après débats en l’audience publique du 9 septembre 2025 où étaient présents M. Vigneau, président, M. Calloch, conseiller rapporteur, M^me Schmidt, conseillère doyenne, et M^me Sezer, greffière de chambre,

la chambre commerciale, financière et économique de la Cour de cassation, composée du président et des conseillers précités, après en avoir délibéré conformément à la loi, a rendu le présent arrêt.

Faits et procédure

1. Selon le jugement attaqué (Chambéry, 4 juillet 2024), rendu en dernier ressort, le 6 mars 2021, M. [J], titulaire d’un compte ouvert dans les livres de la caisse de Crédit agricole mutuel des Savoie (la banque), a répondu à un courriel qu’il pensait être adressé par celle-ci l’invitant à communiquer des éléments d’informations pour activer le système d’authentification forte.

2. Constatant le lendemain qu’un virement avait été effectué au profit d’un compte inconnu, il a demandé à la banque de lui rembourser la somme débitée.

3. Celle-ci ayant refusé en prétendant qu’il avait commis une négligence grave, il l’a assignée en paiement.

Examen du moyen

Enoncé du moyen

4. La banque fait grief au jugement de la condamner à restituer au payeur la somme débitée et à lui payer des dommages et intérêts, alors :

« 1°/ que le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur ; qu’il en résulte que la mise en œuvre de l’exigence d’authentification forte par le prestataire de services de paiement s’entend opération de paiement par opération de paiement, aucun texte ne faisant obligation au prestataire de services de paiement qu’il exige de son client que celui-ci mette en place le système d’authentification forte requis par la banque, hors de toute volonté d’utilisation des services de paiement à distance, de paiement électronique ou de paiement en ligne ; le prestataire de services de paiement doit exiger une authentification forte, seulement à l’occasion d’une telle opération de paiement ; qu’en imputant à faute à la banque de ne pas avoir exigé de M. [J] qu’il active le système d’authentification forte mais de l’avoir seulement incité à le faire, en vue d’une utilisation éventuelle, le tribunal judiciaire a violé les dispositions de l’article L. 133-19 V du code monétaire et financier, ensemble l’article L. 133-44-I du même code ;

2°/ qu’il ressort des constatations du tribunal judiciaire que M. [J] a lui-même permis à l’auteur de la fraude de procéder à l’authentification forte effectivement exigée en lui donnant accès à des données confidentielles et qu’il a reçu et en lui transmettant un code de sécurité permettant d’authentifier ladite opération ; qu’il apparaissait ainsi qu’elle avait exigé l’authentification forte à l’occasion de l’opération de paiement considérée ; qu’en jugeant néanmoins qu’elle ne justifiait pas avoir exigé de M. [J], en application des dispositions de l’article L. 133-19, paragraphe V du code monétaire et financier, l’activation de cette authentification forte du payeur, mais seulement l’avoir incité à le faire et en retenant dans ces conditions " que faute pour le Crédit agricole des Savoie de justifier avoir satisfait à cette obligation légale, la négligence grave en question [commise par M. [J]] n’est pas de nature à l’exonérer de procéder au remboursement sollicité", le tribunal judiciaire n’a pas tiré les conséquences légales de ses constatations en violation de l’article L. 133-19 V du code monétaire et financier ;

3°/ qu’elle faisait valoir que, pour installer le dispositif d’authentification forte SécuriPass, utilisé en l’espèce, il a fallu que soient connus le code d’accès personnel à l’espace bancaire puis les codes d’activation dudit dispositif, envoyés par SMS /courriel sur sa ligne téléphonique et sa messagerie personnelle ; la seule connaissance de ces derniers codes ne peut permettre de détourner le dispositif, qui doit obligatoirement passer par l’accès préalable à l’espace personnel bancaire et qu’ensuite, une fois inscrit, le client est le seul détenteur du SécuriPass installé sur son appareil et du code SécuriPass qu’il a lui-même choisi et qui n’est connu que de lui seul, le SécuriPass ne pouvant être installé que sur un seul appareil à la fois, qu’en recherchant pas si ces éléments n’établissaient pas qu’elle avait exigé l’authentification forte requise par les textes, le tribunal a privé sa décision de base légale au regard des dispositions de l’article L. 133-19 V du code monétaire et financier, ensemble l’article L. 133-44-I du même code. »

Réponse de la Cour

5. Il résulte des articles L. 133-44, I et L. 133-19, V du code monétaire et financier que le prestataire de service de paiement doit appliquer l’authentification forte du client définie au f) de l’article L. 133-4 du même code en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur.

6. Après avoir retenu que le payeur avait commis une négligence grave en répondant à un courriel présentant des anomalies grossières qui auraient dû attirer son attention et en communiquant des données confidentielles dont les codes pour valider l’ajout d’un bénéficiaire et le virement, le jugement ajoute que la banque ne justifie toutefois pas avoir exigé du payeur l’activation de l’authentification forte.

7. De ces seuls motifs, le tribunal, qui n’avait pas à effectuer la recherche inopérante visée à la troisième branche, a exactement déduit que la banque devait rembourser au payeur le montant de l’opération non autorisée.

8. Le moyen n’est pas fondé.

PAR CES MOTIFS, la Cour :

REJETTE le pourvoi ;

Condamne la Caisse de crédit agricole mutuel des Savoie aux dépens ;

En application de l’article 700 du code de procédure civile, rejette la demande formée par la Caisse de crédit agricole mutuel des Savoie et la condamne à payer à M. [J] la somme de 3 000 euros ;

Ainsi fait et jugé par la Cour de cassation, chambre commerciale, financière et économique, et prononcé publiquement le vingt-deux octobre deux mille vingt-cinq par mise à disposition de l’arrêt au greffe de la Cour, les parties ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.