REPUBLIQUE FRANCAISE

AU NOM DU PEUPLE FRANCAIS

TRIBUNAL DES ACTIVITES ECONOMIQUES DE PARIS

CHAMBRE 1-10

JUGEMENT PRONONCE LE 28/03/2025 par sa mise à disposition au Greffe

RG 2023020624

ENTRE :

SAS ULTIMA VTC, dont le siège social est [Adresse 1] – RCS de

Versailles B 851671933

Partie demanderesse : assistée de la SELARL DEBAY – M^e Katia DEBAY Avocat et

comparant par SCP NOUAL, Avocat, [Adresse 3]

ET :

SAS OLINDA exerçant sous le nom commercial QONTO, dont le siège social est [Adresse 2]

[Adresse 2] – RCS de Paris B 819489626

Partie défenderesse : comparant par l’AARPI INFINITY AVOCATS – M^e Francis

BONNET des TUVES Avocat (G0685)

APRES EN AVOIR DELIBERE

LES FAITS

Le demandeur, la société ULTIMA VTC (ci-après ULTIMA), détient un compte bancaire auprès de la société OLINDA, qui exerce sous le nom commercial Qonto (ci-après la BANQUE). Monsieur [W] [C] est président d’ULTIMA.

Aux dires de Monsieur [C], il été victime d’agissements frauduleux, avec la réception de SMS le 25 juillet 2022 (8h52) lui demandant de valider des notifications reçues pour « que votre mobile reste lié à votre application Qonto » et pour « conserver votre forfait actuel Qonto ». Monsieur [C] a alors pris contact avec le service client de Qonto.

Son compte a, par la suite, été débité de six règlements frauduleux, le 25 juillet 2022 : cinq pour un total de 4.410 euros au profit la société HENLEY IT et un de 950 euros au profit de la société COMITEO.

Monsieur [C] a effectué un signalement, le jour même, auprès de la gendarmerie et a contesté les opérations en question auprès de la BANQUE, pour un total de 3.400 euros, compte tenu du remboursement de deux paiements de 980 euros obtenu le 30 juillet 2022. Il a réitéré sa contestation par un courrier LRAR du 11 août 2022. En vain.

C’est dans ces circonstances que le demandeur a engagé la présente instance

PROCÉDURE

ULTIMA a fait assigner la BANQUE par acte signifié le 23 mars 2023.

En application des dispositions de l’article 446-2 du code de procédure civile, le tribunal retiendra les dernières conclusions récapitulatives de chacune des parties avec les dernières demandes formulées par écrit et communiquées par elles.

Par ses dernières conclusions soutenues à l’audience du 30 octobre 2024, ULTIMA demande au tribunal de :

Vu les articles L.133-18 ; L.133-19 et L.133-23 du Code Monétaire et Financier, CONDAMNER la société OLINDA à verser un montant de 3.400 € à la société ULTIMA VTC, avec intérêts légaux à compter du 29 juillet 2022,

CONDAMNER la société OLINDA à verser un montant de 3.000 € à titre de dommages et intérêts à la société ULTIMA VTC suite au préjudice moral subi, DEBOUTER la société OLINDA de l’ensemble de ses demandes, fins et conclusions,

CONDAMNER la société OLINDA à verser un montant de 4.000 € à la société ULTIMA VTC en application de l’article 700 du CPC,

JUGER n’y avoir lieu à écarter l’exécution provisoire,

CONDAMNER la société OLINDA en tous les dépens.

Par ses dernières conclusions soutenues à l’audience du 27 novembre, la BANQUE demande au tribunal, de :

Vu les articles L.133-16, L.133-18 et L.133-19 du code monétaire et financier, l’article

1217 du Code Civil et 700 du code de procédure civile,

Déclarer recevable et bien fondée la société OLINDA en ses demandes.

En conséquence, Débouter la SAS ULTIMA VTC de l’ensemble de ses demandes à l’encontre de la société OLINDA. Condamner SAS ULTIMA VTC à payer à la société OLINDA la somme de 5.000 euros au titre de l’article 700 du code de procédure civile.

Ces demandes ont fait l’objet du dépôt de conclusions qui ont été échangées en présence d’un greffier qui les a visées sur la cote de procédure.

A son audience du 20 février 2025, le juge chargé d’instruire l’affaire a entendu les parties en leurs observations et explications, a clos les débats, a mis l’affaire en délibéré et a dit que le jugement sera prononcé par sa mise à disposition au greffe le 28 mars 2025.

Par notes en délibéré autorisées par le juge durant l’audience, le demandeur a versé au débat une version plus lisible de ses échanges avec la BANQUE via la « tchat » sur les journées du 25 juillet au 4 août 2022 et le demandeur a versé les conditions générales du « contrat Qonto » liant les parties ainsi qu’une copie lisible de sa pièce n°8.

MOYENS DES PARTIES

La motivation du jugement pour chacune des prétentions respectives des parties sera si nécessaire précédée de l’exposé des moyens invoqués par elles dans leurs écritures ou oralement à l’audience du juge chargé d’instruire l’affaire.

Lorsque certains moyens et arguments n’auront pas été repris, il sera renvoyé aux écritures des parties et aux motifs de la décision, conformément aux dispositions de l’article 455 du code de procédure civile.

Les SMS de mars 2022 émanant du numéro habituel de la BANQUE ont rassuré le demandeur qui a, au surplus, a pris la précaution de contacter le service client lors de la réception du deuxième SMS : aucune négligence ne peut lui être reproché.

L’authentification forte, via notification sur le téléphone rattaché au compte, n’a pas pu avoir lieu, contrairement aux affirmations de la BANQUE ; un tiers a dû réussir à s’introduire dans le système de gestion des comptes et des virements de la banque. La pièce adverse n°8 constituée d’un relevé informatique (difficilement compréhensible) censé retracer l’authentification, ne permet pas d’exclure la possibilité d’une fraude, ni d’établir la négligence de Monsieur [C].

La conformité attestée par le cabinet DELOITTE n’empêche en aucune façon les fraudes. Monsieur [C] a été victime de la technique du « SIM Swapping » qui permet de récupérer un numéro de téléphone et une ligne de mobile pour associer un nouveau mobile au compte bancaire.

La Cour de cassation a considéré récemment que, s’agissant du mode opératoire par l’utilisation du « spoofing », la négligence grave du client n’était pas caractérisée et ce en dépit de l’authentification forte de l’opération.

Le refus de la banque de supporter les conséquences de la fraude alors qu’elle y est tenue a généré un préjudice moral résultant des tracas et désagréments occasionnés qui justifient l’octroi d’une indemnisation, en ce que la somme perdue constituait une part importante de sa trésorerie et devait servir d’apport pour l’achat d’un véhicule.

La BANQUE lui oppose sa négligence grave et que le prestataire de service de paiement n’est tenu au remboursement d’aucune somme, le payeur devant supporter les pertes occasionnées :

En l’espèce, il s’agit de paiements par carte bancaire dotés d’un dispositif de sécurité

personnalisé et non de virements.

Elle n’a pas l’obligation de supporter les conséquences de la fraude dont le demandeur

est victime compte tenu de sa négligence grave ayant permis la réalisation de son propre

dommage.

Selon les déclarations du demandeur, il serait victime d’un fraudeur qui aurait été rajouté

à son insu en tant qu’administrateur de son compte de paiement. Ce nouvel

administrateur, [Z] [F], aurait alors créé une carte de paiement virtuelle et initié

les transactions prétendument non autorisées. Or la BANQUE rapporte la preuve que ces

opérations ont toutes validées par authentification forte et ne souffrent d’aucune

déficience technique, les « traces informatiques » révélant que

o Le 25 juillet 2022 à 9h03 : l’appareil Android enregistré par Monsieur [C] depuis septembre 2022 a confirmé, par authentification forte, la connexion d’un nouvel appareil à son compte bancaire QONTO.

o Le 25 juillet 2022 à 9h47 : l’appareil Android de Monsieur [W] [C] a une nouvelle fois approuvé, par authentification forte, Monsieur [Z] [F] en qualité d’administrateur du compte QONTO de la société ULTIMA VTC.

o Le 25 juillet 2022 à 10h17 : une « carte virtuelle » a été créée par Monsieur [F], permettant ainsi de réaliser cinq transactions chez le commerçant HENLEY IT et une 1 transaction chez COMITEO, pour un total de 5.360 euros.

Le demandeur prétend, sans en justifier, que le fraudeur aurait « piraté » le numéro de

téléphone de l’établissement de paiement OLINDA ; qu’il aurait subi une usurpation de sa

carte SIM, étant précisé que les demandes de validation sont adressées à un appareil, le

téléphone associé au compte, et non pas à un numéro de téléphone, alors que Monsieur

[C] n’indique pas avoir été dépossédé de son téléphone ; et enfin qu’un tiers se

serait « introduit » dans le système de gestion des comptes et des virements d’OLINDA.

L’arrêt récent de la Cour de cassation sur une fraude via « spoofing » n’est pas applicable

au cas d’espèce.

Enfin, le demandeur ne justifie d’aucun préjudice ni d’aucune faute imputable à l’établissement OLINDA.

LA MOTIVATION

1/ Sur la demande principale et le caractère autorisé des paiements par carte bancaire

Le V de l’article L. 133-19 du code monétaire et financier (ci-après CMF) disposent que : V. – Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44. »

Et le paragraphe I de son article L.133-44 que :

« I. – Le prestataire de services de paiement applique l’authentification forte du client définie au f de l’article L. 133-4 lorsque le payeur :

[…]

2° Initie une opération de paiement électronique ;

3° Exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse. (…) »

ULITMA fait valoir que la pièce adverse n°8, constituée d’un relevé informatique difficilement compréhensible censé retracer le processus de validation par authentification forte, ne rapporte pas la preuve qu’un tel processus ait été exigé et ne permet pas d’exclure la possibilité d’une fraude, ni d’établir un agissement frauduleux ou une négligence de la part de Monsieur [C].

La BANQUE lui rétorque que Monsieur [C] a donné l’accès à son compte à un tiers, en validant la connexion d’un nouvel appareil et en validant sa qualité de nouvel « administrateur », comme en justifient les « logs » informatiques » versés aux débats (pièce n°8), et qu’il a manqué là à toute prudence, en ce qu’une personne diligente aurait immédiatement pris conscience qu’il était dangereux d’autoriser la connexion d’un nouvel appareil et d’un nouvel administrateur.

Compte tenu de ces autorisations, réalisées par authentification forte, le nouvel utilisateur « autorisé » a pu, par la suite, procéder aux opérations de paiement contestées.

Les autorisations, validées par authentification forte par Monsieur [C], constituent des négligences graves conformément aux dispositions du paragraphe IV de l’article L. 133- 19 du CMF, en application duquel, compte tenu de ces négligences graves, le prestataire de service de paiement n’est tenu au remboursement d’aucune somme et le payeur doit supporter les pertes qu’il a occasionnées.

Sur ce

Le tribunal constate que Monsieur [C] ne donne aucune indication sur la suite qu’il aurait donnée aux notifications reçues par SMS alors même que, à la suite de sa prise de contact avec le service client Qonto (à partir de 9h21), son interlocuteur l’a renvoyé vers son interface classique (sur ordinateur ou sur mobile) ou vers la FAQ (« foire à question ») pour modifier son forfait.

Il observe également que la BANQUE a pris l’initiative de bloquer le compte d’ULTIMA à compter de 14h37 le même jour pour des « raisons de sécurité » (et ce jusqu’à 17h35), demandant à Monsieur [C] de changer son mot de passe, ce dernier se rendant compte alors que son compte avait été piraté et que 6 opérations avaient été réalisées.

Le tribunal note aussi que, aux dires de la BANQUE, l’authentification forte ne se serait pas faite par envoi d’un code par un SMS sur le numéro de téléphone enregistré, mais par notification adressée sur l’appareil enregistré, notification que l’utilisateur « valide » avec saisie d’un code secret connu de lui seul.

Cependant, interrogé par le juge à l’audience sur la portée de sa pièce n°8, la BANQUE indique rapporter ainsi la preuve que les opérations litigieuses ont été autorisées au moyen d’une authentification forte par le téléphone de Monsieur [C], dûment « enrôlé » : la présence de numéros de « SCA token » et la valeur 200 du « Statuts » dans cette pièce indiquent que le processus d’authentification forte a été suivi et a abouti positivement.

Invité à l’audience par le juge à compléter sa pièce n°8, la BANQUE a précisé par sa note en délibéré que « les logs communiqués ressortent de ses bases de données informatiques de sorte qu’elle n’est pas en mesure de communiquer de nouveaux éléments relatifs à l’authentification forte des opérations contestées ».

Au vu des pièces versées aux débats, et notamment de cette pièce n°8 avec des « copies d''écran », le tribunal constate qu’il lui est impossible de se prononcer sur la pertinence des informations qui lui sont présentées et sur leur portée probatoire et il en conclut que la BANQUE échoue à rapporter la preuve d’avoir requis une autorisation de chacun des virements litigieux par un procédé avec authentification forte, en violation des dispositions du paragraphe I de l’article L.133-44 du CMF.

Par ailleurs, il n’est pas allégué un agissement frauduleux de la part de Monsieur [C].

En conséquence, en application du paragraphe V de l’article L.133-19 du CMF, et sans qu’il soit besoin d’analyser ni de déterminer les circonstances exactes par lesquelles le fraudeur a pu, y compris sans aucune défaillance technique, réaliser les opérations contestées, en ce compris les circonstances exactes par lesquelles il a pu avoir connaissance des identifiants et codes nécessaires à leur réalisation, le tribunal fera droit aux demandes de remboursement d’ULTIMA.

2/ Sur la demande de dommages et intérêts

ULTIMA fait valoir un préjudice moral découlant des tracas et désagréments auxquels elle a dû faire face, suite au refus de la BANQUE de rembourser les sommes en question, et demande des dommages et intérêts à hauteur de 3.000 euros, les sommes non remboursées « constituant une part importante de sa trésorerie » et devait servir d’apport pour l’achat d’un véhicule.

La BANQUE lui oppose qu’elle ne justifie d’aucun préjudice ni d’une quelconque faute de la BANQUE.

Sur ce,

Le compte d’ULTIMA dans les livres du défendeur présentait : au 1er juillet 2022, avant le débit des opérations litigieuses, un solde créditeur de 10.014 euros, au 31 juillet 20232 soit après le débit des opérations litigieuses, un solde créditeur de 9.290 euros,

les 3.400 euros débités ne représentant donc pas une « part importante de la trésorerie » d’ULTIMA, contrairement à ses dires.

De plus, ULTIMA ne justifie pas d’un préjudice qui aurait découlé de l’achat d’un véhicule qu’elle n’aurait pas pu réaliser du fait du comportement de la BANQUE.

Aussi, le tribunal retient qu’ULTIMA ne démontre pas la nature ni le quantum des préjudices qu’elle allègue et la déboutera de sa demande de dommages-intérêts.

Sur les autres demandes

Les dépens seront mis à la charge de la BANQUE, partie perdante au sens de l’article 696 du code de procédure civile.

ULTIMA a dû, pour faire reconnaître ses droits, exposer des frais non compris dans les dépens et le tribunal condamnera la BANQUE à lui payer la somme de 2.000 euros, à titre d’indemnité sur le fondement de l’article 700 du code de procédure civile, déboutant pour le surplus.

L’exécution provisoire étant de droit et aucune des parties ne demandant à l’écarter, il n’y aura pas lieu de statuer.

PAR CES MOTIFS

Le tribunal statuant publiquement par jugement contradictoire en premier ressort :

condamne la SAS OLINDA exerçant sous le nom commercial QONTO à payer à la SASU

ULTIMA VTC les sommes de :

o 3.400 euros, à majorer des intérêts légaux à compter du 11 août 2022, date de la mise en demeure,

o 2.000 euros à titre d’indemnité en application de l’article 700 du code de procédure civile,

déboute la SAS ULTIMA VTC de sa demande de dommages-intérêts,

condamne la SAS OLINDA exerçant sous le nom commercial QONTO aux dépens, dont

ceux à recouvrer par le greffe, liquidés à la somme de 70,86 € dont 11,60 € de TVA.

En application des dispositions de l’article 871 du code de procédure civile, l’affaire a été débattue le 20 février 2025, en audience publique, devant M. Emmanuel Ramé, juge chargé d’instruire l’affaire, les représentants des parties ne s’y étant pas opposés.

Ce juge a rendu compte des plaidoiries dans le délibéré du tribunal, composé de : M. Emmanuel Ramé, M. Christophe Dantoine et M. Laurent Pfeiffer.

Délibéré le 13 mars 2025 par les mêmes juges.

Dit que le présent jugement est prononcé par sa mise à disposition au greffe de ce tribunal, les parties en ayant été préalablement avisées lors des débats dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

La minute du jugement est signée par M. Emmanuel Ramé, président du délibéré et par M^me Elisabeth Gonçalves, greffier.

Le greffier