TRIBUNAL JUDICIAIRE

DE [Localité 5]

4ème chambre civile

N° RG 24/04032 – N° Portalis DBYH-W-B7I-L56I

N° JUGEMENT :

NC/BM

Copie exécutoire

et copie délivrées

le :

la SELARL COOK – QUENARD

M^e Aurélia MENNESSIER

TRIBUNAL JUDICIAIRE DE GRENOBLE

Jugement du 08 Septembre 2025

ENTRE :

DEMANDERESSE

Madame [J] [P]

née le [Date naissance 1] 1937 à [Localité 6], demeurant [Adresse 3]

représentée par M^e Aurélia MENNESSIER, avocat au barreau de GRENOBLE

D’UNE PART

E T :

DEFENDERESSE

S.A. BANQUE POPULAIRE AUVERGNE RHONE ALPES, dont le siège social est sis [Adresse 2]

représentée par Maître Nathalie COOK de la SELARL COOK – QUENARD, avocats au barreau de GRENOBLE

D’AUTRE PART

A l’audience publique du 14 Avril 2025, tenue à juge unique par Nathalie CLUZEL, Vice-Présidente, assistée de Magali DEMATTEI, Greffier, les conseils des parties ayant renoncé au bénéfice des dispositions de l’article 804 du code de procédure civile,

Après avoir entendu les avocats en leur plaidoirie, l’affaire a été mise en délibéré, et le prononcé de la décision renvoyé au 30 Juin 2025, prorogé au 8 Septembre 2025, date à laquelle, assistée de Béatrice MATYSIAK, Greffier, il a été statué en ces termes :

EXPOSE DU LITIGE :

Madame [X] est titulaire auprès de la BANQUE POPULAIRE AUVERGNE RHONE ALPES d’un compte chèque n°01519040941.

Madame [X] a signalé le lundi 5 juin 2023 à la BANQUE POPULAIRE AUVERGNE RHONE ALPES 3 virements qu’elle estimait frauduleux :

— Un virement d’une somme de 8 547 € du 4 juin 2023,

— Un virement d’une somme de 6.400 € du 4juin 2023,

— Un virement d’une somme de 5.800 € du 5 juin 2023,

Les opérations de rappel des sommes se sont avérées infructueuses.

Madame [X] a déposé plainte pour ses faits le 5 juin 2024.

Par courrier en date du 18 juin 2023, Madame [X] a réclamé à la BANQUE POPULAIRE AUVERGNE RHONE ALPES le remboursement des fonds.

Par courrier en date du 3 août 2023, la BANQUE POPULAIRE AUVERGNE RHONE ALPES a refusé la demande de Madame [X], considérant que celle-ci avait été gravement négligente.

Par courrier en date du 22 août 2023, la BANQUE POPULAIRE AUVERGNE RHONE ALPES a confirmé sa position auprès de la protection juridique de Madame [X].

Madame [X] a saisi le médiateur de la consommation auprès de la fédération nationale des banques populaires, mais aucun accord n’a été trouvé entre les parties.

Suivant exploit de commissaire de justice en date du 22 juillet 2024, madame [J] [P] a assigné la Banque populaire Auvergne Rhône-Alpes aux fins de la voir condamnée au paiement en remboursement de la somme de 20.747 euros, outre intérêt au taux légal.

Dans ses conclusions récapitulatives notifiées le 21/01/2025 par RPVA, madame [J] [X] demande au tribunal, au visa des articles 1937 du code civil, R. 631-3 du code de la consommation, L. 133-16 à L. 133-28 du code monétaire et financier, 700 du code de procédure civile, de :

— JUGER recevables et bien fondées les demandes de Madame [J] [X],

— CONDAMNER la BANQUE POPULAIRE AUVERGNE RHÔNE ALPES au paiement de la somme de 20.747€ au profit de Madame [X], outre intérêts légaux à compter du 18 juin 2023, date de la mise en demeure,

— RAPPELER que l’exécution provisoire est de droit,

— CONDAMNER la SOCIETE GENERALE, partie succombante, au paiement de la somme de 2.500 € sur le fondement de l’article 700 du Code de procédure civile ainsi qu’aux entiers dépens.

A l’appui de ses prétention, madame [X] explique que c’est en consultant son téléphone le dimanche 4 juin 2023 qu’elle a découvert deux messages l’informant que deux virements à destination de la Belgique avaient été ordonnés et exécutés à son insu depuis son compte bancaire à 1h13 et 17h05 pour des montants de 8.547 € et 6.400 € respectivement ; qu’elle a tenté immédiatement de contacter sa Banque, mais sans succès, un dimanche soir ; que le lundi 5 juin à 6h14, un nouveau message l’alertait d’un troisième virement vers la Belgique à 6h14 d’un montant de 5 800 €, qu’elle n’avait pas non plus autorisé ; qu’elle avait donc contacté l’agence de [Localité 4] et signalé sans délai la fraude dont elle avait été victime à l’agence, qui contactait le service fraude de la BPARA.

Au soutien de sa demande de remboursement, elle considère qu’en droit la banque supporte par principe le risque des fraudes éventuelles lors de l’utilisation de services de paiement à distance et que la fraude n’est supportée par l’utilisateur que par exception, uniquement dans le cas où la banque démontre que celui-ci aurait manqué intentionnellement ou par négligence grave à ses obligations. Elle estime que la BPARA échoue dans cette démonstration et devra être condamnée à restituer à Madame [X] les sommes irrégulièrement payées. Se fondant sur l’article 1937, relatif au contrat de dépôt, et sur l’ordonnance 2017-1252 du 9 août 2017 de la directive UE 2015/2366 du 25 novembre 2015, elle fait valoir que les textes font peser en principe la charge de la fraude en matière d’instruments de paiement à distance sur des prestataires et banques ; que la fraude laissée à la charge de l’utilisateur est l’exception et nécessite que la banque prouve une fraude ou une négligence grave de la part de l’utilisateur.

Pour s’opposer à l’argumentation de la banque qui considère que les opérations ont été autorisées et que les textes L133-16 et suivants sont inapplicables, madame [X] fait valoir que le raisonnement est erroné et conduit à une situation de non protection des clients, puisqu’une opération effectuée en apparence par celui-ci serait ipso facto écartée du champ de ces textes alors qu’elle est frauduleuse. Or, madame [X] allègue qu’elle n’a a aucun moment été en lien avec un tiers et n’a communiqué aucune information confidentielle. Elle rappelle le principe de l’estoppel et considère que la banque ne peut tout à la fois admettre l’intervention d’un tiers et considérer que ces opérations ont été autorisées par le client. Par ailleurs, les textes du code monétaire et financier définissent l’exception, restreinte, à ce principe, celle d’une fraude ou d’une négligence grave de l’utilisateur. Surtout, ils mettent sans équivoque la preuve de cette fraude ou de cette négligence grave à la charge des prestataires de paiement, et disposent clairement que cette preuve ne peut simplement se déduire d’une utilisation techniquement normale du moyen de paiement conformément à l’article L133-23 dudit code. S’appuyant sur des arrêts de jurisprudence, elle soutient que cette preuve ne peut découler d’une présomption attachée à l’infaillibilité supposée des instruments de paiement fortement sécurisés dès lors que le risque de fraude ne pèse pas sur l’utilisateur. Elle rappelle au surplus qu’un téléphone peut être cloné ou piraté. Madame [X] affirme qu’elle a prévenu sa banque dès qu’elle s’est aperçue de la fraude et qu’elle n’a commis aucune faute. Elle estime qu’il ne peut lui être reproché de ne pas avoir surveillé son téléphone un dimanche. Si la banque affirme lui avoir envoyé un message indiquant le changement de l’appareil de confiance, elle conteste l’avoir reçu et suppose que des acteurs malveillants ont pu intercepter ce message via un « malware ». Elle souligne que la preuve d’une absence de fraude ou de négligence ne lui incombe pas en tout état de cause, mais conteste l’infaillibilité technique d’un système d’identification à deux facteurs par téléphone dès lors que celui-ci peut être piraté. Elle soulève également que la preuve de l’envoi d’un SMS n’équivaut pas à la preuve de sa réception et la preuve de l’utilisation techniquement correcte du point de vue de la banque d’un système d’authentification à deux facteurs par téléphone n’équivaut pas à la preuve de l’autorisation de l’opération par le titulaire du compte, raisons pour lesquelles le risque de la fraude pèse sur les prestataires de services qui ont plus que leurs clients la capacité de s’en prémunir.

Enfin, elle estime que même à considérer que le fraudeur a pris connaissance des identifiants personnels et autre codes de sécurités à la suite d’une négligence commise par Madame [X], ce qu’elle nie, la BPARA resterait tenue de la rembourser, sauf à démontrer que cette négligence peut être qualifiée de grave, c’est-à-dire que n’aurait pas commise une personne de vigilance raisonnable, ce que la banque échoue à démontrer.

Dans ses dernières écritures notifiées le 11/03/2023, la SA Banque populaire Auvergne Rhône-Alpes, demande au tribunal au visa des articles L. 133-19, L.133-6, L.133-7, L.133-16, L.133-17 et L.133-23 du code monétaire et financier, de :

A titre liminaire :

— ECARTER des débats la pièce adverse n°8 intitulée « Réponse de la médiatrice à la consommation du 29 mars 2024,

A titre principal :

— REJETER l’ensemble des demandes de Madame [J] [P] épouse [X],

— CONDAMNER Madame [J] [P] épouse [X] à payer à la BANQUE POPULAIREAUVERGNE RHONE ALPES la somme de 3.500,00 € au titre de l’article 700 du code de procédure civile,

— CONDAMNER Madame [J] [P] épouse [X] aux entiers dépens de l’instance.

A titre liminaire, la banque soulève que la pièce adverse n°8, intitulée « Réponse de la médiatrice à la consommation du 29 mars 2024 », est constituée par le rapport déposé par le médiateur et par lequel il fait état de ses constations et conclusions. Or, cet avis est couvert par la confidentialité, il devrait donc être écarté.

A titre principal, elle conteste les demandes et soutient, sur le fondement des articles 133-6 et suivants du code monétaire et financier et sur des arrêts de jurisprudence que dès lors que le prestataire de services de paiement rapporte la preuve que le système de sécurisation n’a pas été affecté d’une déficience technique, il se déduit que le tiers n’a pu entrer dans l’espace personnel de l’utilisateur de services de paiement qu’au moyen de l‘identifiant et mot de passe de ce dernier préalablement communiqués, puisqu’il est le seul à les connaître. Partant, sauf informations données par l’utilisateur de services de paiement sur les conditions dans lesquelles ces données ont été communiquées, « il y a lieu de présumer une négligence grave » de l’utilisateur de services de paiement comme l’a indiqué la cour d’appel d’Amiens. La banque précise que Madame [X] prétend être victime d’une fraude pour trois virements d’une somme de 8.547 €, 6.400 € et 5.800 € réalisés les 4 et 5 juin 2023, alors que ces trois opérations ont été validées par le biais du système d’authentification forte de la BANQUE POPULAIRE AUVERGNE RHONE ALPES, SECURPASS.

Elle expose qu’il ressort clairement de ces éléments que chaque opération des 4 et 5 juin 2023 a été authentifiée par SECURPASS, conformément aux normes en vigueur, en particulier la deuxième directive sur les services de paiement, dite DSP2, du 25 novembre 2015 a amélioré la sécurité des services de paiement et imposé aux banques de mettre en place un dispositif d’authentification forte des clients pour les paiements électroniques. Celle-ci a été transposée en droit interne par l’ordonnance n° 2017-1252 du 9 août 2017, laquelle a modifié l’article L. 133-4 du code monétaire et financier, obligeant la mise en œuvre d’une authentification utilisant deux éléments appartenant à deux catégories différentes « connaissance » et « inhérence », indépendants l’un de l’autre, outre une caractéristique personnelle du client (empreinte, reconnaissance vocale ou faciale…). Elle explique son protocole d’authentification composé de 5 étapes, nécessitant une action réalisée par le client sur son smartphone et la saisie de données à caractère de sécurité personnalisées. Elle rappelle qu’un délai de latence de 72 h est prévu si le terminal de confiance n’a pas été détecté par Cyberplus lors de l’activation de Sécur’pass et que la création d’un nouveau bénéficiaire est soumise également au dispositif d’authentification. La banque précise qu’en l’espèce un code à usage unique a été envoyé, le 31 mai 2023, sur le numéro '06 87 99 91 42', déclaré par les titulaires du compte au moment de la souscription du contrat SECURPASS. Ce code a permis l’enrôlement de l’appareil ayant servi à la validation des trois virements des 4 et 5 juin 2023, en sorte que ces opérations ont bien été authentifiées, dûment enregistrées et comptabilisées et que le système n’a pas été affecté d’une déficience technique, ce qui en fait des opérations autorisées, le prétendu tiers n’a pu entrer dans l’espace personnel de Madame [X] qu’au moyen de ses identifiants et mot de passe, qui lui ont nécessairement été transmis au préalable. Les articles L133-18 et L133-19 ne sont donc pas applicables à son sens. La banque populaire Auvergne Rhône-Alpes ajoute que madame [X] a été négligente à plusieurs reprises puisqu’elle a reçu, 3 jours avant la réalisation des opérations litigieuses, un SMS de sa Banque pour une connexion à son espace client, SMS, qui ne l’a pas inquiétée puisqu’elle n’a pas signalé le mouvement suspect. Madame [X] a aussi été informée par les multiples SMS des opérations réalisées, chacun de ces messages l’invitant à contacter la banque si elle n’est pas à l’origine de l‘opération, son inaction constituant une négligence grave. Elle en conclut que madame [X] n’a pas pris toutes les précautions pour préserver la sécurité de ses données personnelles et a été gravement négligente permettant au fraudeur de se substituer à elle et d’autoriser les paiements qui ont été dûment authentifiés sans déficience technique, ce qui permet d’écarter la responsabilité de la banque.

Ecritures auxquelles il est expressément renvoyé pour un plus ample exposé des moyens invoqués et des prétentions émises conformément aux dispositions de l’article 455 du code de procédure civile.

L’ordonnance de clôture est intervenue le 25 mars 2025 et l’affaire a été fixée à l’audience du 14 avril 2025.

MOTIFS DE LA DECISION

Sur la demande principale de remboursement des sommes prélevées frauduleusement

L’article L. 133-18 code monétaire et financier dispose : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L.133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.

En l’espèce, la banque conteste le caractère autorisé du paiement du fait de la mise en œuvre de l’authentification forte.

Or, l’article L133-23 du code monétaire et financier prévoit que « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement »

En outre, l’article L133-19 du même code prévoit que […]

« II. – La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées. […]

IV. – Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

V. – Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44. »

Il résulte donc de ces textes que si l’authentification forte peut faire présumer une autorisation de paiement, celle-ci peut être renversée par des éléments caractérisant la fraude. Il reviendra alors à la banque de prouver, outre l’authentification forte, que « l’opération n’a pas été affectée par une déficience technique ou autre », cette formulation intégrant nécessairement la notion d’une fraude extérieure au client.

En effet, si, aux termes des articles L. 133-16 et L. 133-17 du code monétaire et financier, il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées, c’est à ce prestataire qu’il incombe, par application des articles L. 133-19, IV, et L. 133-23 du même code ci-dessus rappelés, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations, cette preuve ne pouvant se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés.

En l’occurrence, les circonstances de la cause permettent de mettre en évidence l’intervention frauduleuse d’un tiers, à savoir notamment l’appairage d’un nouveau téléphone, la mise en place d’un nouveau bénéficiaire dont le compte est à l’étranger dès le délai de latence expiré, les déclarations et la plainte de madame [X] lorsqu’elle s’est aperçue des opérations frauduleuses, ainsi que les virements vers la Belgique.

Celle-ci indique avoir vu des SMS le 4 juin l’informant des opérations, ce qui l’a conduit à les signaler à sa banque, mais nie en être à l’origine, indiquant par ailleurs ne pas avoir reçu ou vu le SMS du 31 mai 2023 ayant servi à l’appairage d’un nouvel appareil de confiance.

La seule production par la banque d’un listing des opérations et authentifications, mentionnant l’envoi de SMS sur le portable de monsieur [X] ne suffit pas à démontrer qu’aucune défaillance technique n’est intervenue dans le processus, notamment s’agissant de l’authentification par téléphone qui a pu faire l’objet d’un piratage, en particulier s’agissant de l’appairage d’un autre appareil. La Banque Populaire ne rapporte donc pas la preuve que madame [X] aient divulgué de manière intentionnelle, ou par négligence grave, des éléments d’identification strictement confidentiels ayant permis les paiements contestés. Si la banque affirme qu’elle a nécessairement confié ses identifiants et mot de passe (ou terme de reconnaissance), ainsi que le code reçu par SMS, elle ne procède que par supposition et ne le démontre pas.

Il sera relevé en outre qu’il ne peut être reproché à madame [X], née en 1937, et découvrant une fraude un dimanche, d’avoir attendu l’ouverture de sa banque pour la signaler, ce d’autant qu’il n’est pas démontré que figurait dans les SMS, qui ne sont pas produits, le numéro du service des fraudes opérationnel 24h/24h. Celle-ci a d’ailleurs déposé plainte le 5/06/2023 à 9h10, tandis que les dernières opérations ont eu lieu le 5/06 à 6h14.

Dans ces conditions, les moyens soulevés par la banque tendant à considérer que les paiements ont été autorisés ou que madame [X] a commis une négligence grave seront écartés. La Banque Populaire sera donc condamnée à lui rembourser 20.747 euros, assortie des intérêts aux taux légal à compter du 18/06/2023, date de la mise en demeure.

Sur l’application de l’article 700 du Code de procédure civile et les dépens de l’instance

En application de l’article 696 du Code de procédure civile, la BANQUE POPULAIRE AUVERGNE RHONE ALPES, partie perdante, sera condamnée aux dépens de l’instance.

Elle sera également condamnée à payer la somme de 2.000 euros à madame [J] [P] épouse [X] en application de l’article 700 du code de procédure civile.

Sur l’exécution provisoire

Il sera rappelé que la présente décision est, de droit, exécutoire par provision conformément à l’article 514 du code de procédure civile.

PAR CES MOTIFS :

Le Tribunal statuant publiquement par jugement contradictoire et en premier ressort ;

CONDAMNE la BANQUE POPULAIRE AUVERGNE RHONE ALPES à payer à madame [J] [P] épouse [X] la somme de 20.747 euros, avec intérêts au taux légal à compter du 18/06/2023 ;

CONDAMNE la BANQUE POPULAIRE AUVERGNE RHONE ALPES aux entiers dépens de l’instance,

CONDAMNE la BANQUE POPULAIRE AUVERGNE RHONE ALPES à payer à madame [J] [P] épouse [X] la somme de 2.000 euros au titre de l’article 700 du code de procédure civile,

RAPPELLE que la présente décision est, de droit, exécutoire par provision ;

DEBOUTE les parties de toutes les demandes plus amples ou contraires.

PRONONCÉ publiquement par mise à disposition du jugement au greffe du Tribunal, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du Code de Procédure Civile,

LA GREFFIERE LA JUGE

Béatrice MATYSIAK Nathalie CLUZEL