TRIBUNAL JUDICIAIRE d’EVRY

Pôle de proximité

[Adresse 3]

[Adresse 3]

N° minute : 24/1780

Références : R.G N° N° RG 24/00295 – N° Portalis DB3Q-W-B7I-P3XQ

JUGEMENT

DU : 12 Décembre 2024

M. [N] [B]

C/

S.A. BNP PARIBAS

JUGEMENT

Audience publique de ce Tribunal judiciaire, tenue le 12 Décembre 2024.

DEMANDEUR:

Monsieur [N] [B]

[Adresse 5]

[Adresse 5]

représenté par M^e Julien DUPUY, avocat au barreau d’ESSONNE

DEFENDERESSE:

S.A. BNP PARIBAS

Agence [Localité 8]-[Localité 7]

[Adresse 6]

[Adresse 6]

représentée par Maître Dominique PENIN du LLP KRAMER LEVIN NAFTALIS & FRANKEL LLP, avocats au barreau de PARIS

COMPOSITION DU TRIBUNAL :

Président : Fabian BACHEM, Juge

Greffier : Sophie LASNE, F.F. Greffier

DEBATS :

Audience publique du 10 Octobre 2024

JUGEMENT :

Contradictoire et en premier ressort, prononcé publiquement par mise à disposition au greffe, par Fabian BACHEM, Juge du Tribunal Judiciaire d’Evry, assisté de Sophie LASNE, F.F. Greffier

Copie exécutoire délivrée le :

À : + 1CCC à M^e DUPUY

+ 1CCC à M^e KREMER

EXPOSÉ DU LITIGE

M. [N] [B] est titulaire d’un compte de dépôt ouvert auprès de la société BNP PARIBAS sous le numéro de compte [XXXXXXXXXX04].

Par acte d’huissier de justice en date du 5/02/2024, M. [N] [B] a fait assigner la société BNP PARIBAS devant le pôle de proximité du tribunal judiciaire d’ EVRY aux fins de voir :

— condamner la banque à lui rembourser la somme de 7.319,40 euros, correspondant au montant total des opérations frauduleuses des 9 au 12/07/2022, comptabilisées au débit du compte le 29/07/2022, avec intérêts au taux légal à compter du 1/08/2022,

— condamner la banque aux entiers dépens et au paiement de la somme de 2.500 euros au titre de l’article 700 du code de procédure civile.

A l’audience du 10/10/2024, et après plusieurs reports d’audience, M. [N] [B], représenté par son conseil, maintient ses demandes, indique, à titre principal, n’avoir commis aucune négligence grave, ce qui doit entraîner le remboursement immédiat par la société BNP PARIBAS des sommes détournées au titre de sa responsabilité de plein droit et, subsidiairement, met en cause la responsabilité de la banque au titre de son devoir de vigilance.

La société BNP PARIBAS, représentée par son conseil, reconnaît que son client a subi une escroquerie, mais s’oppose à la mise en cause de sa responsabilité par M. [N] [B], estimant ce dernier gravement négligent dans le processus de désenrôlement de sa clé digitale sur son portable pour être activée sur le portable d’un tiers, et sollicite le rejet de ses prétentions principale et subsidiaire, soulignant que le remboursement des sommes détournées ne peut être poursuivi que sur le fondement exclusif des dispositions du code monétaire et financier, outre le paiement d’une somme de 2.000 euros au titre de l’article 700 du code de procédure civile.

En application de l’article 455 du code de procédure civile, il sera renvoyé aux écritures dûment échangées entre les parties pour un exposé exhaustif de leurs moyens et prétentions.

L’affaire a été mise en délibéré au 12/12/2024.

*

* *

SUR QUOI

Sur la responsabilité de la société BNP PARIBAS

Selon l’article 1147 ancien du code civil, devenu l’article 1231-1 du même code, le débiteur d’une obligation contractuelle est condamné à des dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par le force majeure.

Sur les ordres de virements

Compte tenu de la date du virement litigieux, sont applicables les dispositions du code monétaire et financier dans leurs versions issues de l’ordonnance du 9 août 2017.

L’article L.133-18 du code monétaire et financier, constituant l’article unique de la sous-section “régime de responsabilité” pose le principe général de la responsabilité du prestataire de service de paiement en cas d’opérations non autorisées, puisqu’il lui incombe de rembourser son client, et l’article L.133-19 prévoit, dans le cas particulier des instruments de paiement dotés d’un dispositif de paiement de sécurité personnalisé, que l’utilisateur ne supporte pas les conséquences des opérations non autorisées lorsqu’il y a eu perte ou vol de l’instrument de paiement, détournement de ce dernier à son insu, contrefaçon alors qu’il était en possession dudit instrument ou encore lorsque le prestataire ne lui a pas fourni un moyen de déblocage de l’instrument, et ce, sauf lorsque l’utilisateur a agi soit frauduleusement c’est à dire lorsqu’il a, intentionnellement ou par négligence grave, manqué à ses obligations de préservation de la sécurité de l’instrument et d’alerte.

Ce dispositif prévoit ainsi une responsabilité de plein droit de la banque en cas de virement frauduleux, dont celle-ci ne peut s’exonérer qu’en démontrant une faute grave de son client, ou sa qualité de donneur d’ordre.

Plus précisément, selon l’article L. 133-19 IV.du code monétaire et financier, le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

Il convient de rappeler que les articles suivants disposent :

— l’article L. 133-16, que “dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées” ;

— l’article L. 133-17 I., que “lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci” ;

— l’article L 133-23, que “lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre” et que “l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière” ;

— l’article L. 133-24 que “l’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement”.

En principe, en vertu des articles L.133-19 IV et L.133-23 du code monétaire et financier, c’est au prestataire de service de paiement qu’il incombe de rapporter la preuve soit que l’opération a bien été autorisée par le payeur, soit que l’utilisateur a agi frauduleusement ou n’a pas satisfait, intentionnellement ou par négligence grave, aux obligations lui incombant en vertu des articles L.133-16 et L.133-17 sur la préservation de la sécurité de ses dispositifs de sécurité personnalisés et sur l’alerte à donner au prestataire.

C’est, autrement dit, au prestataire qu’il incombe, par application des articles L. 133-19, IV, et L. 133-23, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait, intentionnellement ou par négligence grave, à ses obligations, mais que cette preuve ne peut cependant se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés.

En l’espèce, les parties reconnaissent l’existence d’une escroquerie ayant porté sur quinze virements réalisés du 9 au 12/07/2022 (quatre virements d’un même montant de 309,60 euros le 9/07/2022, puis un virement d’un montant de 515,40 euros le 9/07/2022 et sept virements d’un montant de 515,40 euros le 10/07/2022, et enfin trois virements d’un montant respectif de 515,40 euros, 618,30 euros et 824,10 euros le 11/07/2022) au profit d’un compte étranger (WEBLOGY OFFSHOR) pour un montant total de 7.319,40 euros. Elles s’accordent également sur le fait que le comportement frauduleux a consisté à procéder à l’enrôlement de la clé digitale de M. [N] [B] sur l’appareil de l’escroc.

M. [N] [B] produit les plaintes pour utilisation frauduleuse d’un moyen de paiement déposées auprès de la Gendarmerie Nationale dès le 13/07/2022, puis le 19/07/2022, ainsi qu’une déclaration d’escroquerie déposée auprès du commissarait de Police d'[Localité 8], indiquant : “Je signale qu’un individu se présentant comme étant de la banque BNP PARIBAS m’a contacté par SMS le 08-07-2022 et 23-07-2022 me demandant de le recontacter concernant l’activation de ma clé digitale. Message émanant de la ligne téléphonique suivante : [XXXXXXXX02] + [XXXXXXXX01]".

Le message (SMS) du 8/07/2022 émanant du numéro de télépone [XXXXXXXX02] est également versé aux débats et son libellé est le suivant : “BNP Paribas : Bonjour, M. [B], Je suis [X] [Y] de la BNP PARIBAS. J’ai essayé de vous joindre par téléphone de la part de votre agence “[Localité 8] [Localité 7]”, concernant l’activation de votre nouvelle clé digital. Pourriez-vous m’envoyer un message dès que vous êtes disponibles s’il vous plait. Cordialement, M. [Y] (16h59)”.

Ces virements faisaient l’objet d’une contestation auprès de la société BNP PARIBAS par courrier de M. [N] [B] du 18/07/2022, ainsi que par l’envoi d’un courrier du 16/09/2022 par l’UFC-Que choisir Val d’Orge ; les demandes de remboursement de M. [N] [B] se sont heurtées au refus de la société BNP PARIBAS précisant dans son courrier du 20/07/2022 que les paiements litigieux ont été validés par clé digitale et ainsi autorisés par usage du code secret BNP Paribas d’accès au compte que seul M. [N] [B] détenait.

De son côté, la société BNP PARIBAS produit à titre principal un document intitulé “Traces des opérations – [N] [B]” (inversant apparemment prénom et nom) portant recueil des traces informatiques de l’enrôlement de la clé digitale et des paiements intervenus, et mettant en évidence que le 8/07/2022, la clé digitale a bien été activée vers un autre téléphone portable que celui de M. [N] [B], et qu’une telle opération nécessitait : 1. de se connecter à l’espace client en utilisant l’identifiant client ainsi que le code confidentiel du client, et 2. de réceptionner un SMS comportant un lien “cliquable” composé d’un code nécessaire à la finalisation de l’enrôlement de la clé digitale, processus se terminant par l’envoi d’un courriel dont les termes étaient les suivants : “Bonjour M. [N] [B], nous venons d’enregistrer l’activation de la Clé Digitale sur votre appareil SM. Depuis cet appareil, vous pouvez dès à présent valider vos opérations sensibles en saisissant simplement le code secret, identique à celui utilisé pour la connexion à vos comptes. Si vous n’êtes pas à l’origine de cette demande de changement, merci de contacter rapidement le service Relation Client”.

Ensuite, les ordres de virement ont donc bien été authentifiés, rattachables à M. [N] [B], théoriquement doté d’un nouveau portable aux yeux de la société BNP PARIBAS.

Comme cela a été rappelé précédemment, c’est au prestataire qu’il incombe, par application des articles L. 133-19, IV, et L. 133-23, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé sciemment une opération de paiement ou, au cas présent, de désenrôlement/ré-enrolement de sa clé digitale, a commis non pas une simple négligence, mais une négligence grave et cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés, y compris sur un mode sécurisé.

Plus encore, il ne suffit pas, pour caractériser une négligence grave, de constater que M. [N] [B] aura nécessairement, pour mener à bien le processus d’enrôlement de la clé digitale sur le portable d’un tiers escroc, renseigné son identifiant et son code confidentiel sur tel ou tel support ou procédé à plusieurs validations (ou “cliquages”) successifs, il faut en outre que le caractére de gravité de l’imprudence, qu’il convient de distinguer d’une négligence simple, soit démontrée par l’établissement financier, conformément à la lettre et à l’esprit des dispositions du code monétaire et financier précité, qui font peser le risque attaché à l’usage des instruments de paiement sur le banquier.

Au cas présent, la société BNP PARIBAS échoue à rapporter la preuve d’un négligence grave de M. [N] [B]. En effet, il ressort des pièces versées aux débats que M. [N] [B] a commis un négligence d’autant plus simple qu’il a été activement et habilement manipulé par un tiers, sans contrevenir à son obligation d’assurer une protection raisonnable de ses données personnelles.

Ainsi, en premier lieu, et contrairement à ce qu’affirme la société BNP PARIBAS, il ne suffit pas, à l’époque actuelle marquée par la multiplication des messages rapides et écrits dans un français souvent approximatif, y compris de la part de cadres, de constater deux fautes d’orthographe (“clé digital” et “disponibles”) au sein d’un SMS du 8/07/2022 par ailleurs correctement rédigé, ainsi qu’un numéro de téléphone commençant par 07, pour caractériser une première négligence grave de M. [N] [B], lequel a pu croire, sinon légitimement à tout le moins par négligence simple, que l’agence BNP Paribas d'[Localité 8] prenait contact avec lui en raison de la nécessité d’activer une nouvelle clé digitale.

En deuxième lieu, il est observé que le SMS litigieux ne comportait aucun lien “cliquable” et que M. [N] [B] était invité à reprendre contact avec son interlocuteur. Dès lors, s’il ressort du mode opératoire décrit par la société BNP PARIBAS dans le document “Traces des opérations” précité que M. [N] [B] aura nécessairement, à un stade du processus d’enrôlement de la clé digitale, validé la notification reçue sur son téléphone portable à l’aide de son code secret personnel ou communiqué le code du SMS intermédiaire dont la société BNP PARIBAS fournit un modèle, il n’est pas pour autant caractérisé une négligence grave de sa part dès lors qu’il croyait être en relation avec un salarié de la banque qui a vraisemblablement accompagné tout le processus, mis en confiance M. [N] [B] et diminué sa vigilance. Autrement dit, dans le cas d’une usurpation d’identité téléphonique doublé de l’envoi de plusieurs SMS et de l’utilisation probable d’un site “miroir” ayant toute la vraisemblance du vrai site BNP PARIBAS, la vigilance du client est nécessairement amoindrie ou endormie, et la sophistication du mécanisme de tromperie ne permet ainsi pas de considérer que M. [N] [B] a commis une négligence grave. Ce point est encore confirmé par la teneur du courriel adressé le 8/07/2022 à 18h49 par la société BNP PARIBAS à M. [N] [B] à l’issue de l’opération, et reproduit par la société BNP PARIBAS dans le document précité versé aux débats et retranscrit ci-dessus, lequel ne fait pas référence à l’enrôlement de la clé digitale sur un nouvel appareil, mais se contente d’indiquer “Nous venons d’enregistrer l’activation de la Clé Digitale sur votre appareil SM” ; comme le souligne la société BNP PARIBAS elle-même, le fraudeur a pris soin d’identifier son portable SM pour faciliter la confusion avec celui de M. [N] [B], à savoir “SM – N910F”, et ce courriel n’était donc pas de nature à alerter M. [N] [B].

Enfin, la société BNP PARIBAS ne peut, dans ce contexte d’escroquerie très élaborée, se prévaloir des messages de prudence accompagnant SMS ou courriels, dès lors que M. [N] [B], étant en relation directe avec ce qu’il croyait être un salarié de la société BNP PARIBAS l’accompagnant tout au long de la démarche, a pu considérer qu’il s’agissait d’alertes automatiques ne le concernant pas.

Par ailleurs, il apparaît que M. [N] [B], conformément à ce qu’impose le code monétaire et finacier à l’endroit de l’usager, n’a aucunement tardé dans la révélation des virements frauduleux auprès de la société BNP PARIBAS.

Il s’ensuit qu’en application de l’article L. 311-18 du code monétaire et financier, la responsabilité de la société BNP PARIBAS doit être retenue et cette dernière sera condamnée à rembourser à M. [N] [B] la somme de 7.319,40 euros, avec intérêts au taux légal à compter du 21/10/2022, date de la première mise en demeure intervenue par l’intermédiaire de son conseil.

Sur les demandes accessoires

L’exécution provisoire est compatible avec la nature de l’affaire et ne sera pas écartée.

La société BNP PARIBAS succombe à l’instance, il y a lieu de la condamner aux entiers dépens de l’instance.

Conformément aux dispositions de l’article 700 du code de procédure civile, le juge condamne la partie tenue aux dépens ou qui perd son procès à payer à l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens. Dans tous les cas, le juge tient compte de l’équité ou de la situation économique de la partie condamnée et il peut, même d’office, pour des raisons tirées des mêmes considérations, dire qu’il n’y a pas lieu à cette condamnation.

La société BNP PARIBAS, tenu aux dépens, sera condamnée au paiement de la somme de 1.500 euros au profit de M. [N] [B] au titre de l’article 700 du code de procédure civile.

*

* *

PAR CES MOTIFS,

LE TRIBUNAL,

Statuant publiquement, par jugement contradictoire et en premier ressort,

CONDAMNE la société BNP PARIBAS à rembourser à M. [N] [B] la somme de 7.319,40 euros, avec intérêts au taux légal à compter du 21/10/2022 ;

RAPPELLE l’exécution provisoire de la présente décision ;

CONDAMNE la société BNP PARIBAS à verser à M. [N] [B] une somme de 1.500 euros en application de l’article 700 du code de procédure civile ;

CONDAMNE la société BNP PARIBAS aux entiers dépens ;

Ainsi jugé et prononcé par mise à disposition les jour, mois et an susdits par le Président et le Greffier susnommés.

Le Greffier

Le Président