REPUBLIQUE FRANCAISE

AU NOM DU PEUPLE FRANCAIS

TRIBUNAL DES ACTIVITES ECONOMIQUES DE PARIS

CHAMBRE 1-10

JUGEMENT PRONONCE LE 23/05/2025 par sa mise à disposition au Greffe

RG 2024015694

ENTRE :

SAS CMS VACANCES, dont le siège social est [Adresse 2] – RCS de Bordeaux B 310346564

Partie demanderesse : assistée du cabinet LEGIDE AVOCATS – M^e Emmanuel LAVAUD, Avocat au barreau de Bordeaux, et comparant par la SELAS SCHERMANN MASSELIN ASSOCIES – M^e Claire BASSALERT Avocat (R142)

ET :

SA BNP PARIBAS, dont le siège social est [Adresse 1] – RCS de Paris B 662042449

Partie défenderesse : assistée du cabinet TGLD Avocats – M^e Nicolas BAUCH-LABESSE Avocat et comparant par M^e Alexandra PERQUIN Avocat (B970)

APRES EN AVOIR DELIBERE

LES FAITS

La société CMS VACANCES (ci-après le Client) est une agence de voyage spécialisée dans la vente de « produits de vacances » et notamment de séjours locatifs en France et à l’étranger.

Dans le cadre de son activité, elle a conclu, en date du 20 février 2015, un contrat relatif à l’utilisation de carte bancaire de paiement et à un service d’émission de cartes bancaires virtuelles avec la société BNP PARIBAS.

Ce service permet à CMS VACANCES de générer des cartes bancaires virtuelles (comprenant un numéro de carte, une date d’expiration et un cryptogramme ou « CVV ») qui sont utilisées afin de payer des commerçants et fournisseurs partenaires dans le cadre de son activité.

Chaque carte virtuelle émise est affectée à un « porteur » qui est un collaborateur salarié du Client.

Le 20 mars 2023, le Client a remarqué des débits étranges, via un fournisseur « MONISNAP » jamais utilisé auparavant, sur un certain nombre des cartes virtuelles émises ; plusieurs commerçants, créanciers du client, lui ayant indiqué que lesdites cartes ne disposaient plus d’aucun fonds au moment où ils ont voulu les utiliser.

Le 29 mars 2023, le Client a alerté BNP PARIBAS sur ce qu’il a identifié comme étant une fraude afin que des mesures pour y mettre fin soient prises.

Le 7 avril 2023, le Client a indiqué à BNP PARIBAS contester l’ensemble de ces opérations frauduleuses et lui a fait parvenir 8 lettres de contestations afférentes à chacun des « porteurs » de carte concernés, lui demandant le remboursement des montants contestés pour un total de 32.290,78 euros.

Le 26 mai 2023, BNP PARIBAS a indiqué refuser de procéder au remboursement demandé.

Les 25 juillet et 15 septembre 2023, le Client a mis en demeure BNP PARIBAS de procéder au remboursement des sommes réclamées. Ce que BNP PARIBAS a refusé par courrier du 13 décembre 2023.

C’est dans ces circonstances que le Client a engagé la présente instance

LA PROCEDURE

Le Client a fait assigner BNP PARIBAS par acte remis le 29 février 2024 à personne se déclarant habilitée à le recevoir.

En application des dispositions de l’article 446-2 du code de procédure civile, le tribunal retiendra les dernières conclusions récapitulatives de chacune des parties avec les dernières demandes formulées par écrit et communiquées par elles.

Dans ces conclusions responsives en date du 11 décembre 2024, le Client demande au tribunal de :

Vu les articles L.133-6 et suivants du Code monétaire et financier,

Vu l’article 700 du code de procédure civile,

Vu les jurisprudences citées,

* CONDAMNER la société BNP PARIBAS au remboursement de la somme de 32.290,78 € à la société CMS VACANCES en raison de la fraude subie ;

* CONDAMNER la société BNP PARIBAS au paiement de la somme de 6.684,20 € à la société CMS VACANCES au visa des pénalités de retard visées à l’article L.133-18 du Code monétaire et financier ;

* CONDAMNER la société BNP PARIBAS au paiement de la somme de 5.000 € pour résistance abusive ;

* DEBOUTER la société BNP PARIBAS de ses entières demandes ;

* CONDAMNER la société BNP PARIBAS à verser la somme de 5.000 € à la société CMS VACANCES sur le fondement de l’article 700 du code de procédure civile, ainsi qu’aux entiers dépens ;

* PRONONCER l’exécution provisoire du jugement à venir sur le fondement de l’article 515 du Code de procédure civile.

Par ses conclusions n°3 en date du 13 février 2025, BNP PARIBAS demande au tribunal :

Vu les articles L 133-1 et suivants du Code monétaire et financier,

Vu les articles 514-1, 514-5, 699 et 700 du Code de procédure civile,

* DEBOUTER CMS VACANCES de l’intégralité de ses demandes ;

* CONDAMNER CMS VACANCES au paiement d’une somme de 5.000 € au titre de l’article 700 du Code de procédure civile ;

* CONDAMNER CMS VACANCES à supporter l’intégralité des dépens.

En toute hypothèse,

* ECARTER l’exécution provisoire de la décision à intervenir ou subsidiairement, la subordonner à la constitution par CMS VACANCES d’une garantie émanant d’un établissement bancaire de premier ordre et d’un montant suffisant pour répondre de toutes restitutions dues en cas d’infirmation du jugement.

A l’audience du 13 février 2025, l’affaire est confiée à l’examen d’un juge chargé d’instruire l’affaire et les parties sont convoquées à son audience du 3 avril 2025, à laquelle elles se présentent.

Après avoir entendu les parties, le juge a clos les débats et a dit que le jugement, mis en délibéré, sera prononcé par sa mise à disposition au greffe le 23 mai 2025, en application de l’article 450 alinéa 2 du code de procédure civile.

LES MOYENS DES PARTIES

La motivation du jugement pour chacune des prétentions respectives des parties sera si nécessaire précédée de l’exposé des moyens invoqués par elles dans leurs écritures ou oralement à l’audience du juge chargé d’instruire l’affaire.

Lorsque certains moyens et arguments n’auront pas été repris, il sera renvoyé aux écritures des parties et aux motifs de la décision, conformément aux dispositions de l’article 455 du code de procédure civile.

Le tribunal résumera comme suit les principaux moyens.

CMS VACANCES prétend être victime d’opérations de paiements frauduleux qu’elle n’a pas autorisées et qu’elle doit être remboursée conformément aux dispositions de l’article L. 133-24 du code monétaire et financier (ci-après CMF) qui dispose que :

« Le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé ».

2. BNP PARIBAS quant à elle conteste le caractère frauduleux des opérations réalisées, en l’absence de dépôt de plainte et en l’absence de démonstration d’un contournement des procédures de contrôle interne pouvant démontrer une fraude.

3. A titre subsidiaire, BNP PARIBAS précise que les prétendus détournements ont été réalisés par le biais de cartes bancaires virtuelles qui, pour être créées, nécessitent un accord de la part du Client. En conséquence, ce dernier ne peut valablement, hors dysfonctionnement du dispositif informatique, se prévaloir d’une fraude puisqu’il a donné son accord.

4. De plus, BNP PARIBAS oppose au demandeur les conditions générales du contrat (ciaprès les CG) liant les parties, qui exonèrent de responsabilité la banque. Les cartes virtuelles ont été créées grâce aux données confidentielles du Client, rendant ce dernier entièrement responsable de l’usage et de la confidentialité des cartes créées. BNP PARIBAS indique que, s’agissant de paiements réalisés avec des instruments dotés de données de sécurité personnalisées, l’article qui a vocation à l’appliquer est le L. 133-19 du CMF et non le L 133-18 qui est d’ordre public. Or l’article L 133-2 du CMF permet de déroger par contrat aux dispositions du L. 133-19 entre personnes morales agissant pour des besoins professionnels ce qui est le cas en l’espèce.

5. Le Client fait valoir l’article L. 133-23 du CMF qui dispose que :

« Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement »

Aussi c’est à BNP PARIBAS de démontrer la négligence grave pouvant être imputée à CMS VACANCES dans l’utilisation de l’instrument de paiement pour s’exonérer de sa responsabilité, ce que BNP PARIBAS échoue à démontrer.

6. BNP PARIBAS prétend que le signalement de la fraude après 9 jours constitue une négligence grave de la part du Client. Ce dernier lui réplique disposer de 13 mois avant d’être forclos ou d’un délai de 2 mois comme prévu aux CG du contrat.

SUR CE,

1/ Sur la demande de remboursement des paiements contestés

Dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération de paiement (par moyen de paiement électronique, en ce compris une carte bancaire) non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du CMF, à l’exclusion de tout régime alternatif de responsabilité résultant du droit national. Ces articles du CMF, dans leur rédaction applicable aux faits d’espèce, transposent en droit national la directive (UE) 2015/2366 du 25 novembre 2015, dite directive révisée sur les services de paiement (ou DSP2), qui concerne les services de paiement dans le marché intérieur et qui a abrogé la directive 2007/64/CE et a modifié les textes précédents (directives 2002/65/CE, 2009/110/CE et 2013/36/UE et règlement UE n°1093/2010).

Le tribunal constate que le processus de création des cartes virtuelles d’achat est doté d’un dispositif d’autorisation par authentification forte via un système « swift 3Skey » sur clé USB mais que l’usage desdites cartes pour paiement ne l’est pas. En effet, après création, la carte virtuelle est comparable à une carte bancaire de paiement classique, dont l’utilisation est cependant limitée à des paiements « en ligne » (i.e. sur des sites marchands internet) mais qui ne requiert pas une autorisation du paiement selon un processus d’authentification forte lors de son usage pour réaliser un paiement sur internet, ce que confirme BNP PARIBAS.

De plus, l’article 16 des conditions générales applicables aux cartes virtuelles, datée de Mai 2013, autorise spécifiquement le Titulaire d’une carte virtuelle créée (i.e. son porteur) à communiquer aux fournisseurs et/ou aux commerçants les codes permettant l’usage de cette carte pour réaliser des paiements.

Or le paragraphes II et V de l’article L. 133-19 du CMF disposent que :

« II. – La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées. »

« V. – Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44. »

Le paragraphe I de l’article L. 133-44 précisant que :

« I. – Le prestataire de services de paiement applique l’authentification forte du client définie au f de l’article L. 133-4 lorsque le payeur :

1° Accède à son compte de paiement en ligne ;

2° Initie une opération de paiement électronique ;

3° Exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse. »

Dès lors, le tribunal en conclut que la banque reconnaît ne pas avoir requis une autorisation de chacune des opérations litigieuses par un procédé avec authentification forte, en violation des dispositions du paragraphe I de l’article L. 133-44 du CMF.

Par ailleurs, il n’est pas allégué un agissement frauduleux de la part du Client.

En conséquence, en application du paragraphe V de l’article L. 133-19 du CMF, et sans qu’il soit besoin d’analyser ni de déterminer les circonstances exactes par lesquelles le fraudeur a pu, y compris sans aucune défaillance technique, réaliser les opérations contestées, en ce compris les circonstances exactes par lesquelles il a pu avoir connaissance des informations, codes et identifiants nécessaires à leur réalisation via les cartes virtuelles créées, le tribunal fera droit aux demandes de remboursement du Client pour la somme totale de 32.290,78 euros.

A titre surabondant, le tribunal retient que la BANQUE échoue à démontrer que les opérations ont été affectées d’une négligence grave du Client, de sorte que la responsabilité de ce dernier n’est pas engagée au sens du paragraphe II de l’article L. 133.19 du CMF.

2/ Sur les pénalités de retard

Le Client fait valoir que les pénalités de retard sont dues à compter de la survenance des paiements non autorisés.

BNP PARIBAS lui oppose que les pénalités de retard ne sauraient courir avant le prononcé du jugement, sans motiver cette date.

L’article L. 133-18 al.3 du CMF dispose que :

« En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.

[…]

En cas de manquement du prestataire de services de paiement aux obligations prévues aux deux premiers alinéas du présent article, les pénalités suivantes s’appliquent :

1° Les sommes dues produisent intérêt au taux légal majoré de cinq points ;

2° Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points ;

3° Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points.

Le tribunal retient que BNP PARIBAS, ayant manqué à son obligation de rembourser les sommes débitées indument, sera condamnée à payer au Client les pénalités prévues à cet article L. 133-18 du CMF. Les 143 opérations contestées ont été portées au débit du compte du Client entre le 16 et le 29 mars 2023, dès lors, le tribunal dira que ces pénalités courent à compter du 22 mars 2023, date médiane, sur le montant total à rembourser au Client.

3/ Sur la résistance abusive

L’appréciation inexacte qu’une partie fait de l’étendue de ses droits n’est pas, en soi, constitutive d’une faute et aucun élément versé au débat ne permet au tribunal de considérer que la faute reprochée à BNP PARIBAS a été de nature à faire dégénérer son droit de résister en justice en abus.

Aussi le tribunal rejettera la demande de dommages et intérêts du Client.

4/ Sur l’exécution provisoire

BNP PARIBAS demande de l’écarter ou, si elle était prononcée, d’obtenir la constitution d’une garantie bancaire.

L’affaire ne le justifiant pas, le tribunal dira qu’il n’y a lieu à écarter l’exécution provisoire qui est de droit.

Par ailleurs, aucun élément n’est versé au débat démontrant d’un risque sur une éventuelle créance que pourrait détenir BNP PARIBAS en cas d’infirmation du présent jugement. En conséquence, le tribunal déboutera le défendeur de sa demande de constitution d’une garantie bancaire en garantie de l’exécution provisoire du présent jugement.

5/ Sur les dépens

Les dépens seront mis à la charge de BNP PARIBAS, perdante au procès.

6/ Sur la demande d’application de l’article 700 du code de procédure civile

Pour faire reconnaître ses droits, le Client a dû exposer des frais non compris dans les dépens qu’il serait inéquitable de laisser à sa charge.

Le tribunal condamnera donc BNP PARIBAS à payer au Client la somme de 4.000 euros à titre d’indemnité en application des dispositions de l’article 700 du code de procédure civile.

PAR CES MOTIFS,

Le tribunal, statuant publiquement par jugement contradictoire en premier ressort :

* Condamne la SA BNP PARIBAS à payer à la SAS CMS VACANCES la somme de 32.290,78 euros, au titre du remboursement des paiements contestés, outre les pénalités de retard visées à l’article L. 133-18 du code monétaire et financier à compter du 22 mars 2023,

* Déboute la SAS CMS VACANCES de sa demande de paiement pour résistance abusive,

* Condamne la SA BNP PARIBAS à verser la somme de 4.000 € à la SAS CMS VACANCES à titre d’indemnité sur le fondement de l’article 700 du code de procédure civile,

* Dit n’y avoir lieu à écarter l’exécution provisoire du présent jugement qui est de droit,

* Condamne la SA BNP PARIBAS aux dépens, dont ceux à recouvrer par le greffe, liquidés à la somme de 70,86 € dont 11,60 € de TVA.

En application des dispositions de l’article 871 du code de procédure civile, l’affaire a été débattue le 3 avril 2025, en audience publique, devant M. Christophe Dantoine, juge chargé d’instruire l’affaire, les représentants des parties ne s’y étant pas opposés.

Ce juge a rendu compte des plaidoiries dans le délibéré du tribunal, composé de : M. Emmanuel Ramé, M. Christophe Dantoine et M. Laurent Pfeiffer.

Délibéré le 10 avril 2025 par les mêmes juges.

Dit que le présent jugement est prononcé par sa mise à disposition au greffe de ce tribunal, les parties en ayant été préalablement avisées lors des débats dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

La minute du jugement est signée par M. Emmanuel Ramé, président du délibéré et par M^me Elisabeth Gonçalves, greffier.

Le greffier

Le président.