COUR D’APPEL DE CHAMBÉRY

TRIBUNAL JUDICIAIRE D’ALBERTVILLE

JUGEMENT DU : 11/07/2025

Chambre : CIVILE

Nature : Contradictoire

N° Jugement : 25/146

N° RG 23/01297

N° Portalis DB2O-W-B7H-CVRL

DEMANDEUR :

Monsieur [K] [O]

[Adresse 4]

[Adresse 4]

[Localité 2]

représenté par M^e Sylvie ADAMO-ROSSI, avocate au barreau de CHAMBERY

DÉFENDEUR :

S.A. BNP PARIBAS

[Adresse 1]

[Localité 3]

représentée par M^e Charlotte PIERROZ, avocate postulante au barreau d’ALBERTVILLE et M^e Dominique PENIN, du cabinet LLP KRAMER LEVIN, avocat plaidant au barreau de PARIS substitué par M^e Eva BALINGER-POGGI, avocate au barreau de PARIS

COMPOSITION DE LA JURIDICTION : statuant publiquement, en premier ressort :

Lors des débats, du délibéré et du prononcé :

Présidente : […]

assistée lors des débats de […] et lors du prononcé de […], Greffières

DÉBATS :

Audience publique du : 09 Mai 2025

Délibéré annoncé au : 11 Juillet 2025

Exécutoire délivré le :

Expédition délivrée le :

à : M^e ADAMO-ROSSI et M^e PIERROZ

à :

Le 4 mars 2023 monsieur [K] [O] signalait à sa banque, la Bnp Paribas Port Marianne, avoir été victime d’une utilisation frauduleuse de sa carte bancaire.

Le total de ces débits frauduleux s’élevait à 14 553,62€ et se décomposait comme suit :

— FACTURE CARTE CB DU 01/03/2023 JUMBO ELECTRONI CARTE AE 9398.00 USD DONT COMMISSION 71.10 EUR : 2 491.86 euros

— ACHAT ECI ESP 0000 (ESPAGNE) DU 02/03 CARTE ESP 3400 : 3.400 euros

— FACTURE CARTE CB DU 03/03/2023 JUMBO CO CARTE AE 10277.00 USD DONT COMMISSION 77.65 EUR : 2 724.32 euros

— FACTURE CARTE CB DU 03/03/2023 Whish Money CARTE AE 2000.00 USD DONT COMMISSION 55.75 EUR : 1 947.18 euros

— FACTURE CARTE CB DU 03/03/2023 Whish Money CARTE AE 2000.00 USD DONT COMMISSION 55.75 EUR : 1 947.18 euros

— FACTURE CARTE CB DU 04/03/2023 Whish Money CARTE AE 600.00 USD DONT COMMISSION 17.33 EUR : 584.12 euros

— FACTURE CARTE CB DU 04/03/2023 Whish Money CARTE AE 1500.00 USD DONT COMMISSION 41.99 EUR : 1 458.96 euros

La Bnp Paribas a refusé la demande de remboursement de monsieur [K] [O] indiquant que les achats avaient été validés à l’aide d’une clé digitale, dispositif d’authentification forte.

Par acte du 25 octobre 2023 monsieur [K] [O] a fait assigner la Bnp Paribas devant le tribunal judiciaire d’Albertville aux fins de remboursement des paiements frauduleux assorti des intérêts au taux légal à compter des débits, ainsi que des dommages-intérêts.

L’ordonnance de clôture a été rendue le 5 décembre 2024. L’affaire a été évoquée à l’audience du 9 mai 2025, date à laquelle elle a été mise en délibéré au 11 juillet 2025 par mise à disposition au greffe.

Aux termes de ses dernières conclusions signifiées électroniquement le 12 juin 2024 monsieur [K] [O] demande au tribunal judiciaire d’Albertville de :

— condamner la banque Bnp Paribas au remboursement intégral des débits frauduleux sur le compte du client, soit 14 553,62 € assorti des intérêts au taux légal à compter du jour de la subtilisation des fonds

— condamner la banque Bnp Paribas au versement de dommages-intérêts pour le préjudice moral et financier soit la somme de 3000 €

— condamner la banque Bnp Paribas à payer la somme de 3000 € en application de l’article 700 du code de procédure civile

— condamner la banque Bnp Paribas aux entiers dépens dont distraction au profit de M^e Adamo-Rossi

Au soutien de ses prétentions monsieur [O] fait valoir que la mise en place d’un dispositif d’authentification forte n’exonère pas automatiquement la banque de toute responsabilité en cas de débit frauduleux et qu’il appartient à la banque de prouver que le client a validé ces opérations frauduleuses par le dispositif d’authentification forte ; qu’il lui appartient également de prouver une négligence grave du client et que si le phishing ou tout autre forme de fraude est suffisamment bien exécuté pour qu’il soit légitimement envisageable qu’un client normalement averti puisse être dupé, la banque ne saurait lui reprocher une négligence grave.

Monsieur [O] explique qu’il a été destinataire d’un Sms ne présentant aucun signe de fraude, que le lien conduisait vers un site miroir, parfaitement identique à celui de la banque, qu’il a cru qu’il activait légitimement sa clé digitale pour son propre appareil et non pour un appareil tiers. Il ajoute que le mail de la banque l’informant des modifications relatives à son compte ne présentait aucune précision sur le type d’appareil utilisé, son nom ou la localisation de la connexion qui aurait pu lui permettre de remarquer qu’il s’agissait de quelqu’un d’autre que lui.

En tout état de cause, il considère qu’à posteriori la banque a manqué à son devoir de vigilance et de vérification des opérations, qu’il a averti la banque dès le 4 mars 2023 d’opérations litigieuse, à cette occasion il comprenait que son numéro de téléphone avait été modifié à son insu et en avertissait également la banque ; que le nombre des opérations, sur des comptes étrangers, pour des montants élevés, étaient très inhabituel et aurait dû alerter la banque sur le caractère frauduleux des opérations ; qu’en conséquence sa responsabilité doit être engagée.

Monsieur [O] estime subir un préjudice moral et financier du fait de la négligence fautive de la banque qui en outre a refusé de rembourser les opérations frauduleuses, l’obligeant à intenter une action en justice.

Aux termes de ses dernières conclusions signifiées électroniquement le 1er octobre 2024 la Bnp Paribas demande au tribunal judiciaire d’Albertville de :

— débouter monsieur [O] de l’intégralité de ses demandes

— le condamner à verser à la Bnp Paribas la somme de 3000 € au titre de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens

La banque explique que suite à un hameçonnage par Sms monsieur [O] a accédé à un site miroir par l’intermédiaire duquel les escrocs ont pu aspirer ses données de connexion et accéder ensuite à l’espace personnel du client sur le vrai site de la Bnp ; qu’en conséquence les escrocs n’ont pu obtenir les identifiant et mot de passe que parce que monsieur [O] les leur a donnés. La banque ajoute que les messages d’avertissement sont nombreux et explicites sur la nécessité de ne communiquer ses données de connexion à personne. En outre, s’agissant de la modification du numéro de téléphone, permettant de recevoir la clé digitale pour la validation des paiements, elle a nécessairement nécessité une validation de la part de monsieur [O] par l’usage de la clé digitale. Par ailleurs il a immédiatement été informé de la modification de son numéro de téléphone par un mail de la banque. Une fois le nouveau numéro de téléphone validé par Monsieur [O], l’escroc a pu enrôler la clé digitale sur son téléphone, lui permettant ensuite de valider les achats litigieux.

Selon la banque, à la fois la transmission des identification et mot de passe de connexion et la validation du nouveau téléphone portable ne résultent que de la négligence de monsieur [O].

La Bnp Paribas fait valoir que le régime de responsabilité harmonisé, qui est d’application exclusive, ne prévoir pas pour la banque de devoir l’obligeant à être attentive aux anomalies apparentes. Elle conteste en outre tout manquement à un son devoir de vigilance et fait valoir qu’elle n’a pas l’obligation de s’enquérir des achats réalisés par ses clients. Enfin, le caractère exclusif du régime de responsabilité du prestataire de services de paiement empêche l’utilisateur du paiement d’engager sa responsabilité sur un autre fondement.

SUR CE :

Sur la responsabilité de la banque et la négligence du client

En vertu de l’article L133-18 du code monétaire et financier, en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.

Par ailleurs l’article L133-44 du même code oblige le prestataire de services de paiement à mettre en œuvre une procédure d’authentification forte.

Enfin, l’article L133-16 du code monétaire et financier prévoit que dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées.

Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées.

La Bnp Paribas a mis en place un dispositif d’authentification forte par le biais d’une clé digitale enrôlée sur le smartphone du client. Lorsque le client souhaite modifier son numéro de téléphone portable, sur lequel est enrôlée la clé digitale, il doit être connecté à son espace mobile et valider le changement de numéro à l’aide de la clé digitale.

En l’espèce, monsieur [O] a reçu sur son téléphone un sms de hameçonnage l’invitant à cliquer sur un lien le renvoyant sur un site miroir de la Bnp (visuellement identique mais frauduleux). Une fois sur ce site il a entré son identifiant et son mot de passe, permettant ainsi à l’escroc de disposer de ses paramètres de connexion. Il a ensuite validé un changement de numéro de téléphone au moyen de sa clé digitale.

L’escroc a ensuite pu enregistrer la clé digitale de monsieur [O] sur son propre téléphone afin de valider les achats frauduleux. Un email avertissant monsieur [O] de l’activation de sa clé digitale sur un nouvel appareil lui a été envoyé le même jour à 20h50 (pièce n°5 Bnp).

Il ressort de ces éléments que d’une part monsieur [O] a nécessairement communiqué à l’escroc ses identifiants et paramètres de connexion lui permettant de se connecter à son compte personnel. Les messages d’avertissement indiquant qu’il ne faut jamais communiquer ses identifiants, que la banque n’est jamais à l’origine d’une telle demande, sont suffisamment nombreux et précis pour qu’une personne normalement informée ne communique pas ses paramètres de connexion suite à la réception d’un Sms. En outre monsieur [O] a validé une opération au moyen de sa clé digitale qui a permis la modification du numéro de téléphone associé au compte et l’enrôlement de la clé digitale sur un autre smartphone. Chaque étape a nécessairement été validée par lui et il en a été informé. En communiquant ainsi ses paramètres de connexion et en validant un changement de numéro de téléphone qu’il savait nécessairement faux, monsieur [O] a commis plusieurs négligences graves ayant conduit aux prélèvements frauduleux, de sorte que la banque ne peut en être tenue pour responsable.

En outre, monsieur [O] a été averti immédiatement de l’enrôlement de sa clé digitale, dispositif d’authentification forte, sur un nouvel appareil qu’il savait ne pas être le sien. Pourtant, et au lieu d’alerter immédiatement sa banque, il a attendu le 4 mars et l’inscription en compte de la première opération frauduleuse pour prévenir sa banque, qui a immédiatement bloqué le système de paiement.

S’agissant de l’obligation de vigilance et de vérification de la banque, il ne ressort pas des règles exclusives de responsabilité édictées aux articles L133-18 à L133-24 du code monétaire et financier un tel devoir d’être attentif aux anomalies apparentes. Cela a d’ailleurs été rappelé par la chambre commerciale de la Cour de Cassation le 15 janvier dernier (Com. 15 janv. 2025, n°23/13579)

En conséquence, la responsabilité de la banque ne peut être retenue en l’espèce, monsieur [O] sera débouté de ses demandes de remboursement et d’indemnisation.

Sur les mesures de fin de jugement

— Sur les dépens

Aux termes de l’article 696 du code de procédure civile, la partie perdante est condamnée aux dépens, à moins que le juge, par décision motivée, n’en mette la totalité ou une fraction à la charge d’une autre partie.

En l’espèce, [K] [O] succombant il sera condamné aux entiers dépens de l’instance.

— Sur les frais irrépétibles

Aux termes de l’article 700 du code de procédure civile, le juge condamne la partie tenue aux dépens ou qui perd son procès à payer 1° à l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens. Dans tous les cas, le juge tient compte de l’équité ou de la situation économique de la partie condamnée. Il peut, même d’office, pour des raisons tirées des mêmes considérations, dire qu’il n’y a pas lieu à ces condamnations.

[K] [O] s sera par ailleurs condamné à verser à la la Bnp Paribas la somme de 2000 € au titre de ses frais irrépétibles.

— Sur l’exécution provisoire

Aux termes des articles 514 et suivants du code de procédure civile, les décisions de première instance sont de droit exécutoires à titre provisoire à moins que la loi ou la décision rendue n’en dispose autrement.

Le juge peut écarter l’exécution provisoire de droit, en tout ou partie, s’il estime qu’elle est incompatible avec la nature de l’affaire. Il statue, d’office ou à la demande d’une partie, par décision spécialement motivée.

L’exécution provisoire de la présente décision étant de droit et n’apparaissant pas incompatible avec la nature de l’affaire, celle-ci sera ordonnée.

PAR CES MOTIFS :

Le Tribunal, statuant publiquement, par jugement mis à disposition au greffe, contradictoire et en premier ressort,

DEBOUTE [K] [O] de sa demande de remboursement de la somme de 14 553,62 € issus de paiements frauduleux, à l’encontre de la Bnp Paribas

DEBOUTE [K] [O] de sa demande de dommages et intérêts à l’encontre de la Bnp Paribas

CONDAMNE [K] [O] aux entiers dépens

CONDAMNE [K] [O] à payer à la Bnp Paribas la somme de 2000 € (deux mille euros) au titre de l’article 700 du code de procédure civile ;

DIT que la présente décision est assortie de plein droit de l’exécution provisoire

Ainsi jugé et prononcé, le 11 juillet 2025, la minute étant signée par Madame […], Présidente et Madame […], Greffière

La Greffière La Présidente