COMM.

RM

COUR DE CASSATION

______________________

Arrêt du 14 janvier 2026

Cassation

M. VIGNEAU, président

Arrêt n° 13 FS-B

Pourvoi n° R 22-14.822

R É P U B L I Q U E F R A N Ç A I S E

_________________________

AU NOM DU PEUPLE FRANÇAIS

_________________________

ARRÊT DE LA COUR DE CASSATION, CHAMBRE COMMERCIALE, FINANCIÈRE ET ÉCONOMIQUE, DU 14 JANVIER 2026

M. [U] [E], domicilié [Adresse 2], a formé le pourvoi n° R 22-14.822 contre l’arrêt rendu le 3 janvier 2022 par la cour d’appel de Paris (pôle 5, chambre 10), dans le litige l’opposant à la société Veracash, société par actions simplifiée, dont le siège est [Adresse 1], défenderesse à la cassation.

Le demandeur invoque, à l’appui de son pourvoi, deux moyens de cassation.

Le dossier a été communiqué au procureur général.

Sur le rapport de M. Boutié, conseiller référendaire, les observations de M^e Carbonnier, avocat de M. [E], de la SELAS Froger & Zajdela, avocat de la société Veracash, et l’avis de M^me Guinamant, avocate générale référendaire, après débats en l’audience publique du 18 novembre 2025 où étaient présents M. Vigneau, président, M. Boutié, conseiller référendaire rapporteur, M^me Schmidt, conseillère doyenne, M^me Guillou, M. Bedouet, M. Calloch, M^me Gouarin, M. Bailly, conseillers, M^mes Jallut, Coricon, Buquant, de Naurois, conseillères référendaires, M^me Guinamant, avocate générale référendaire, et M^me Sezer, greffière de chambre,

la chambre commerciale, financière et économique de la Cour de cassation, composée, en application de l’article R. 431-5 du code de l’organisation judiciaire, du président et des conseillers précités, après en avoir délibéré conformément à la loi, a rendu le présent arrêt.

Faits et procédure

1. Selon l’arrêt attaqué (Paris, 3 janvier 2022), le 24 mars 2017, la société Veracash, dans les livres de laquelle M. [E] avait ouvert un compte de dépôt en or, a envoyé à l’adresse de ce dernier une nouvelle carte de retrait et de paiement. Soutenant n’avoir ni demandé ni réceptionné cette carte et avoir subi, du 30 mars au 17 mai 2017, des retraits quotidiens sur son compte qu’il n’avait pas autorisés, M. [E] a assigné la société Veracash en remboursement et en paiement de dommages et intérêts.

2. Par un arrêt du 8 novembre 2023, la Cour de cassation a saisi la Cour de justice de l’Union européenne (la CJUE) de trois questions préjudicielles portant sur l’interprétation des articles 56, 58, 60 et 61 de la directive 2007/64 CE du 13 novembre 2007 concernant les services de paiement dans le marché intérieur, modifiant les directives 97/7/CE, 2002/65/CE, 2005/60/CE ainsi que 2006/48/CE et abrogeant la directive 97/5/CE.

3. Par un arrêt du 1er août 2025 (C-665/23), la CJUE a répondu aux questions posées.

Examen des moyens

Sur le second moyen, pris en sa première branche

Enoncé du moyen

4. M. [E] fait grief à l’arrêt de rejeter ses demandes, alors « que l’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III du code monétaire et financier ; qu’en l’espèce, la cour d’appel a considéré que M. [E] ne pouvait invoquer les dispositions de l’article L. 133-18 du code monétaire et financier dans la mesure où l’utilisateur de services de paiement doit signaler ‘‘sans tarder" et ‘‘immédiatement" au prestataire une opération de paiement non autorisée et que M. [E] ne justifiait pas avoir rempli cette obligation puisqu’il avait adressé à la société Veracash un formulaire de contestation le 23 mai 2017 près de deux mois après le premier retrait contesté, quand l’utilisateur d’une carte bancaire dispose de treize mois suivant la date de débit pour faire ce signalement ; qu’en statuant comme elle l’a fait, la cour d’appel a violé l’article L. 133-24 du code monétaire et financier, pris dans sa rédaction antérieure à l’ordonnance n° 2017-1252 du 9 août 2017 .»

Réponse de la Cour

5. Aux termes de l’article L. 133-17 du code monétaire et financier, dans sa rédaction issue de l’ordonnance n° 2009-866 du 15 juillet 2009, transposant l’article 56 de la directive 2007/64 CE du 13 novembre 2007 concernant les services de paiement dans le marché intérieur, modifiant les directives 97/7/CE, 2002/65/CE, 2005/60/CE ainsi que 2006/48/CE et abrogeant la directive 97/5/CE, lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci.

6. Selon l’article L. 133-18 du même code, dans sa rédaction issue de la loi n° 2010-737 du 1er juillet 2010 et transposant l’article 60 de la directive précitée, en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse immédiatement au payeur le montant de l’opération non autorisée et, le cas échéant, rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. Le payeur et son prestataire de services de paiement peuvent décider contractuellement d’une indemnité complémentaire.

7. Selon l’article L.133-19, III et IV, du même code, dans sa rédaction issue de l’ordonnance précitée et transposant l’article 61 de la directive précitée, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l’information aux fins de blocage de l’instrument de paiement prévue à l’article L. 133-17. Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

8. Enfin, aux termes de l’article L. 133-24 dudit code dans sa rédaction issue de l’ordonnance précitée et transposant l’article 58 de la directive précitée l’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. Sauf dans les cas où l’utilisateur est une personne physique agissant pour des besoins non professionnels, les parties peuvent décider de déroger aux dispositions du présent article.

9. Par son arrêt précité du 1er août 2025, la CJUE a dit pour droit :

« 1) L’article 58 de la directive 2007/64/CE du Parlement européen et du Conseil, du 13 novembre 2007, concernant les services de paiement dans le marché intérieur, modifiant les directives 97/7/CE, 2002/65/CE, 2005/60/CE ainsi que 2006/48/CE et abrogeant la directive 97/5/CE, doit être interprété en ce sens que : l’utilisateur de services de paiement est, en principe, privé du droit d’obtenir la correction d’une opération s’il n’a pas signalé sans tarder à son prestataire de services de paiement qu’il a constaté une opération de paiement non autorisée, alors même qu’il la lui a signalée dans les treize mois suivant la date de débit.

2) L’article 58, l’article 60, paragraphe 1, et l’article 61, paragraphe 2, de la directive 2007/64, lus en combinaison avec l’article 56, paragraphe 1, sous b), de celle-ci, doivent être interprétés en ce sens que : lorsqu’est en cause une opération de paiement non autorisée consécutive à l’utilisation d’un instrument de paiement perdu, volé ou détourné ou à toute utilisation non autorisée d’un tel instrument, et que cette opération a été signalée par le payeur à son prestataire de services de paiement dans les treize mois suivant la date de débit, ce payeur n’est, en principe et sauf agissement frauduleux de sa part, privé de son droit d’obtenir la correction effective de ladite opération que s’il a tardé à signaler celle-ci à son prestataire de services de paiement de manière intentionnelle ou à la suite d’une négligence grave consistant en une violation caractérisée d’une obligation de diligence.

10. Il en résulte que l’obligation incombant à l’utilisateur de services de paiement de signaler sans tarder à son prestataire de services de paiement une opération non autorisée naît à compter du moment où il en a eu connaissance et que, faute de l’avoir signalée, de manière délibérée ou par négligence grave, il est privé du droit d’obtenir la correction de cette opération, peu important que ce signalement ait été effectué dans les treize mois suivant la date de débit.

11. Le moyen, qui postule le contraire, n’est donc pas fondé.

Mais, sur le second moyen, pris en sa deuxième branche

Enoncé du moyen

12. M. [E] fait le même grief à l’arrêt, alors « que l’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III du code monétaire et financier ; qu’en l’espèce, la cour d’appel s’est bornée à considérer que M. [E] ne pouvait invoquer les dispositions de l’article L. 133-18 du code monétaire et financier dans la mesure où l’utilisateur de services de paiement doit signaler ‘‘sans tarder" et ‘‘immédiatement" au prestataire une opération de paiement non autorisée et que M. [E] ne justifiait pas avoir rempli cette obligation puisqu’il avait adressé à la société Veracash un formulaire de contestation le 23 mai 2017 près de deux mois après le premier retrait contesté, voire plus longtemps car il reconnaissait que ‘‘l’arnaque [avait] été mise en place" le 13 mars 2017 et amplifiée le 14 mars 2017 alors qu’il était encore en France et que, partant, il était en mesure de contacter la société Veracash entre le 13 mars et le 15 mars 2017 et, après son retour, entre le 6 avril et le 23 mai 2017, sans rechercher à quelle date M. [E] avait eu connaissance du premier retrait contesté ; qu’en ne procédant pas à cette recherche, la cour d’appel a privé sa décision de base légale au regard de l’article L. 133-24 du code monétaire et financier, pris dans sa rédaction antérieure à l’ordonnance n° 2017-1252 du 9 août 2017. »

Réponse de la Cour

Vu les articles L. 133-17, L. 133-19, L. 133-24 du code monétaire et financier dans leur rédaction résultant de l’ordonnance n° 2009-866 du 15 juillet 2009, L. 133-18 du même code dans sa version issue de la loi n° 2010-737 du 1er juillet 2010 :

13. Pour rejeter la demande de M. [E], l’arrêt retient que ce dernier ne justifie pas avoir signalé sans tarder et immédiatement les opérations litigieuses pour n’avoir adressé à la société Veracash un formulaire de contestation que le 23 mai 2017, près de deux mois après le premier retrait contesté, voire plus longtemps, reconnaissant lui-même que « l’arnaque a été mise en place » le 13 mars 2017 et amplifiée le 14 mars 2017.

14. En se déterminant ainsi, sans rechercher, comme il lui incombait dès lors qu’il était soutenu que le signalement était tardif, la date à laquelle M. [E] avait eu connaissance de la première opération de paiement, la cour d’appel n’a pas donné de base légale à sa décision.

Et sur le second moyen, pris en sa cinquième branche

Enoncé du moyen

15. M. [E] fait le même grief à l’arrêt, alors « que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 du code monétaire et financier ; qu’en l’espèce, la cour d’appel a considéré que M. [E] était contractuellement seul responsable de l’utilisation de sa carte Veracarte, qu’il avait agi par imprudence et négligence, qu’il n’avait pas veillé à empêcher un tiers d’avoir accès à sa boîte aux lettres ni à préserver la confidentialité de son identifiant et de sa clé secrète ni à contacter immédiatement la société Veracarte d’une utilisation effectuée à son insu, sans caractériser la gravité de la négligence que M. [E] aurait commise ; qu’en se déterminant de la sorte, la cour d’appel a privé sa décision de base légale au regard de l’article L. 133-19 du code monétaire et financier, ensemble l’article L. 133-23 du même code, pris dans sa rédaction antérieure à l’ordonnance n° 2017-1252 du 9 août 2017. »

Réponse de la Cour

Vu les articles L. 133-16, L. 133-17 et L. 133-19, IV du code monétaire et financier, dans leur rédaction résultant de l’ordonnance n° 2009-866 du 15 juillet 2009 :

16. Il résulte de ces textes que l’utilisateur de services de paiement supporte les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés.

17. Pour rejeter la demande de M. [E], l’arrêt retient que, contractuellement seul responsable de l’utilisation de sa carte Veracarte, il avait agi par imprudence et négligence en ne veillant ni à empêcher un tiers d’avoir accès à sa boîte aux lettres ni à préserver la confidentialité de son identifiant et de sa clé secrète.

18. En se déterminant ainsi, par des motifs insuffisants à caractériser la négligence grave que M. [E] aurait commise, faute notamment de préciser dans quelles conditions le tiers avait eu accès à son identifiant et à sa clé secrète, la cour d’appel n’a pas donné de base légale à sa décision.

PAR CES MOTIFS, sans qu’il y ait lieu de statuer sur les autres griefs, la Cour :

CASSE ET ANNULE, en toutes ses dispositions, l’arrêt rendu le 3 janvier 2022, entre les parties, par la cour d’appel de Paris ;

Remet l’affaire et les parties dans l’état où elles se trouvaient avant cet arrêt et les renvoie devant la cour d’appel de Paris autrement composée ;

Condamne la société Veracash aux dépens ;

En application de l’article 700 du code de procédure civile, rejette la demande formée par la société Veracash et la condamne à payer à M. [E] la somme de 3 000 euros ;

Dit que sur les diligences du procureur général près la Cour de cassation, le présent arrêt sera transmis pour être transcrit en marge ou à la suite de l’arrêt cassé ;

Ainsi fait et jugé par la Cour de cassation, chambre commerciale, financière et économique, et prononcé publiquement le quatorze janvier deux mille vingt-six par mise à disposition de l’arrêt au greffe de la Cour, les parties ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.