TRIBUNAL JUDICIAIRE DE LILLE

— o-o-o-o-o-o-o-o-o-

Chambre 02

N° RG 24/01707 – N° Portalis DBZS-W-B7I-X6C2

JUGEMENT DU 18 DECEMBRE 2025

DEMANDEUR :

M. [D] [H]

[Adresse 2]

[Localité 4]

représenté par M^e Marion GIRAUD, avocat au barreau de LILLE

DÉFENDERESSE :

S.A. LCL LE CREDIT LYONNAIS LCL

[Adresse 3]

[Localité 5]

représentée par M^e Patrick DUPONT-THIEFFRY, avocat postulant au barreau de LILLE et M^e Julian COAT, avocat plaidant au barreau de Paris

COMPOSITION DU TRIBUNAL

Président : Maureen DE LA MALENE, Juge, statuant en qualité de Juge Unique, en application de l’article R 212-9 du Code de l’Organisation Judiciaire,

Greffier : Sophie ARES, greffier lors des débats et Valérie DELEU, Greffier lors du délibéré

DÉBATS :

Vu l’ordonnance de clôture de l’instruction en date du 23 Mai 2025 ;

A l’audience publique du 21 Octobre 2025, date à laquelle l’affaire a été mise en délibéré, les avocats ont été avisés que le jugement serait rendu le 18 Décembre 2025.

JUGEMENT : contradictoire, en premier ressort, mis à disposition au Greffe le 18 Décembre 2025, et signé par Maureen DE LA MALENE, Présidente, assistée de Valérie DELEU, Greffier.

EXPOSE DU LITIGE

Monsieur [D] [H] est titulaire d’un compte bancaire ouvert dans les livres du LCL Crédit Lyonnais.

Courant février 2022, il lui est apparu, à la lecture de ses relevés de compte, que trois opérations à destination de comptes inconnus, domiciliés en Allemagne, ont été réalisées sur son compte les 17 et 18 février, pour un montant total de 6.401 euros.

Estimant qu’il s’agissait de virements frauduleux, Monsieur [H] a vainement sollicité un remboursement auprès de l’établissement bancaire.

Monsieur [H] a porté plainte le 4 avril 2022.

Par acte délivré le 8 février 2024, Monsieur [H] a assigné le Crédit Lyonnais devant le tribunal judiciaire de Lille aux fins de remboursement.

Suivant conclusions récapitulatives notifiées le 14 mars 2025, Monsieur [H] sollicite, au visa des articles R631-3 du code de la consommation, 1103, 1231-1 et suivants du code civil ; L133-18, L133-19, L133-20, L133-23 et suivants du code monétaire et financier et 700 du code de procédure civile, de :

— Débouter la société Crédit Lyonnais de l’ensemble de ses demandes, fins et conclusions ;

— Condamner la société Crédit Lyonnais à régler à Monsieur [H] :

la somme de 6.401 euros au titre du remboursement des opérations litigieuses,la somme de 2.500 euros au titre de la résistance abusive,la somme de 2.000 euros au titre du préjudice moral – Condamner la société Crédit Lyonnais à régler à Monsieur [H] la somme de 3.500 euros au titre de l’article 700 du Code de procédure civile outre les entiers frais et dépens de l’instance.

Suivants conclusions récapitulatives notifiées le 19 mai 2025, le Crédit Lyonnais sollicite, au visa des articles L. 133-4, L. 133-16, L. 133-17 et L. 133-19, IV, et L. 133-23 du Code monétaire et financier, de :

— DÉBOUTER Monsieur [H] de l’ensemble de ses demandes, fins et prétentions,

— CONDAMNER Monsieur [H] à payer au Crédit Lyonnais la somme de 3.500 euros au titre de l’article 700 du Code de procédure civile, ainsi qu’aux entiers dépens.

Pour un plus ample exposé des faits, prétentions et moyens des parties, le tribunal se réfère expressément à leurs dernières écritures, conformément aux prescriptions de l’article 455 du code de procédure civile.

MOTIFS DE LA DECISION

Monsieur [H] soutient que les virements litigieux constituent des opérations non autorisées relevant des dispositions du code monétaire et financier en ce qu’il réfute être à l’initiative de l’enregistrement d’un nouvel appareil, de l’autorisation des virements à l’étranger ou de la décision de relever le plafond de virement. Il expose que la banque ne rapporte ni la preuve du respect des procédures d’authentification forte, ni celle de la négligence fautive de l’utilisateur. Il conteste toute négligence fautive, soutenant ne pas avoir reçu les SMS de sécurité dont la banque fait état, et avoir averti cette dernière dès découverte des opérations litigieuses. Par ailleurs, il fait état d’un défaut de vigilance de la banque, dans la mesure où les opérations litigieuses ont été faites vers un compte étranger, et vers des inconnus, ce qui n’est pas dans ses habitudes.

Le LCL Crédit Lyonnais soutient en premier lieu que l’obligation générale de vigilance n’est pas applicable dans l’hypothèse d’une opération dont l’utilisateur soutient qu’elle n’a pas été autorisée. Par ailleurs, la banque soutient que c’est le comportement de [F] [H], qui a validé l’enregistrement d’un nouvel appareil à partir duquel la fraude a été commise, sans en avertir rapidement la banque, qui est à l’origine de son préjudice. Il soutient avoir mis en place une procédure d’authentification forte à double facteur, ainsi qu’un délai de temporisation de 7 jours avant qu’un appareil nouvellement enregistré par l’utilisateur puisse procéder à des opérations. Il soutient que l’ensemble de ces procédures a été respecté en l’espèce lors de l’enregistrement d’un nouvel appareil et que les éléments probatoires qu’il rapporte sont conformes à ceux déterminés par les termes du contrat liant les parties, de sorte que Monsieur [H] ne saurait contester avoir reçu les SMS de sécurité alors que les informations techniques fournies par la banque prouvent le contraire.

Le LCL soutient ainsi que Monsieur [H] a commis une négligence grave, d’une part, enne prenant pas toutes les mesures pour préserver la sécurité de ses données, et d’autre part, en signalant de manière tardive le détournement de ces données à la banque.

I. Sur la demande de remboursement

1. Sur le caractère autorisé ou non des paiements litigieux

Il résulte des articles L.133-3 et L.133-6 du code monétaire et financier qu’une opération de paiement initiée par le payeur, qui donne un ordre de paiement à son prestataire de services de paiement, est réputée autorisée uniquement si le payeur a également consenti au montant de l’opération.

*

A titre liminaire, le tribunal rappelle que la qualification de la nature de l’opération litigieuse (autorisée ou non-autorisée) pose uniquement la question du régime applicable (responsabilité contractuelle de droit commun ou régime de responsabilité de plein droit des articles L.133-18 à L.133-24 du code monétaire et financier), et non pas celle du comportement des payeurs dans l’utilisation de leurs données personnelles et du système de sécurité mis en place par la banque.

En l’espèce, les parties s’accordent sur le fait que les opérations soient qualifiées de « non autorisées », de sorte que le régime applicable est exclusivement celui des articles L.133-18 et suivants du code monétaire et financier. L’obligation générale de vigilance de l’établissement bancaire, sur laquelle se fonde Monsieur [H], n’est pas applicable en l’espèce, puisqu’elle ne concerne que les opérations autorisées.

*

Aux termes de la lecture combinée des articles L.133-18 et L.133-19 du code monétaire et financier, en cas d’opération de paiement non autorisée, réalisée au moyen d’un instrument de paiement doté de données de sécurité personnalisées, et signalée par l’utilisateur dans les conditions prévues à l’article L.133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée, sauf si la responsabilité du payeur est engagée en application de l’article L.133-19 du code monétaire et financier.

L’article L.133-19 II précise que la responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées.

A l’inverse, le payeur supporte, en application de l’article L.133-19 IV, toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.133-16, qui l’oblige à prendre toute mesure raisonnable pour préserver la sécurité des données de sécurité personnalisées de son instrument de paiement, et L.133-17, qui l’oblige à informer sans tarder le prestataire de service de paiement de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées.

La charge de la preuve de cette négligence, qui incombe au prestataire de services de paiement, ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés.

Aux termes de l’article L.133-23 de ce même code, lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

Il résulte ainsi des articles L.133-19 IV et L.133-23 que s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, le prestataire de services de paiement doit au préalable prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

2. Sur l’existence d’une négligence grave

A titre liminaire, le tribunal rappelle que le respect de ses obligations de sécurisation des instruments de paiement et des opérations en ligne dans les conditions de l’article L.133-4 du code monétaire et financier n’ont vocation à exonérer la banque de toute responsabilité qu’en cas de négligence grave ou de manquement intentionnel de l’utilisateur.

En l’espèce, l’établissement bancaire produit aux débats le journal retraçant l’historique des opérations du compte de Monsieur [H] (pièce 6), ainsi que les captures d’écran des SMS envoyés automatiquement, dont il résulte les éléments suivants :

— Le 10 février 2022, à 8h49, une connexion sur l’application mobile a été réalisée, via le numéro IP 185.13.106.225,

— Le 10 février 2022, à 8h50, un SMS a été envoyé au 06.19.43.42.41 indiquant « LCL : Iphone (inconnu) veut s’enregistrer et accéder à vos comptes, pour l’autoriser saisir dans M^es Comptes le code 513985 »

— Le 10 février 2022, à 8h51 et 34 secondes, une connexion par le site internet de la banque a été réalisé via le numéro IP 90.103.95.189,

— Le 10 février 2022, à 8h51 et 59 secondes, une connexion sur l’application mobile a été réalisée, aux fins d’enrolement d’un appareil de confiance ; instantanément un SMS est envoyé au 06.19.43.42.41 indiquant « LCL : Votre Iphone validera prochainement les opérations sur votre compte. En cas de doute, changez votre code d’accès personnel » ;

— Le 17 février 2022, à 9h25, une connexion sur l’application mobile a été réalisée, via le numéro IP 37.173.250.168,

— Dans les minutes qui suivent, le plafond de virement a été augmenté à 1.000 euros à 6.000 euros, et l’Allemagne a été ajoutée dans les destinataires autorisés de virement ; ces opérations ont été autorisées par une procédure d’authentification forte par l’appareil de confiance,

— Le 17 février 2022 à 9h31, un virement de 6.000 euros a été réalisé ; la lecture du relevé de compte de Monsieur [H] révèle qu’il s’agit du virement fait à destination de [B] [E] [A],

— Le 18 février 2022, à 14h14, une connexion sur l’application mobile a été réalisée, via le numéro IP 77.130.249.221, dans les minutes qui suivent un virement de 400 euros a été réalisé à destination de [L] [G].

Monsieur [H] affirme ne jamais avoir changé de téléphone mobile, qui n’est pas un Iphone, et posséder toujours le même numéro de téléphone, à savoir le [XXXXXXXX01].

Ainsi, il résulte des éléments produits par la banque que Monsieur [H] a bien été destinataire de deux SMS l’informant de l’accès d’un téléphone portable qui ne lui appartient pas à ses comptes, puis l’informant de ce qu’un Iphone validera ses opérations.

Bien qu’il conteste avoir inséré le code mentionné dans le premier SMS de sécurité, force est de constater, d’une part, qu’une connexion à ses comptes par le site internet de la banque, et via un IP utilisé antérieurement à la fraude, a été réalisé dans les minutes qui ont suivi la réception dudit SMS ; et d’autre part, que la procédure a fonctionné puisque l’Iphone litigieux a bien été substitué à son propre téléphone comme appareil de confiance. Il s’en déduit que la banque rapporte la preuve que Monsieur [H] a inséré le code litigieux.

Il n’est pas contesté par la banque que Monsieur [H] n’est pas à l’origine de l’enrôlement de l’Iphone, du rehaussement de son plafond de virement, et de l’autorisation formelle des deux virements litigieux. Toutefois, dans la mesure où ces opérations ne peuvent être réalisées qu’au moyen d’un appareil de confiance dûment enrôlé selon la procédure contractuellement prévue, la banque démontre que Monsieur [H] a commis une négligence fautive en insérant ledit code, permettant ainsi aux fraudeurs d’accéder à ses comptes et d’en disposer à leur guise une fois passé le délai de temporisation.

Au surplus, le courrier d’information de Monsieur [H] à la banque suite à la découverte de ces opérations non autorisées n’est pas daté, et dans sa plainte datant du 4 avril 2022, soit plus d’un mois après les faits, il indique les avoir observés le jour même de sa plainte. Dans ces circonstances, il ne démontre pas avoir satisfait à l’obligation d’informer son établissement bancaire avec promptitude, prévue par l’article L.133-24 du code monétaire et financier.

Par conséquent, la banque démontre que Monsieur [H] a commis une négligence fautive en ne prenant pas toute mesure raisonnable pour préserver la sécurité des données de sécurité personnalisées de son instrument de paiement.

3. Sur la mise en œuvre d’un système d’authentification

L’article L.133-4f du code monétaire et financier dispose que l’authentification forte du client s’entend d’une authentification reposant sur l’utilisation de deux éléments ou plus appartenant aux catégories « connaissance » (quelque chose que seul l’utilisateur connaît), « possession » (quelque chose que seul l’utilisateur possède) et « inhérence » (quelque chose que l’utilisateur est) et indépendants en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d’authentification.

En l’espèce, il résulte du journal des opérations produit par la banque que les opérations litigieuses ont été réalisées après changement de l’appareil de confiance, qui a nécessité l’envoi d’un code personnel (élément de connaissance) sur le numéro de téléphone attribué à Monsieur [H] (élément de possession), de sorte qu’il s’agit d’une authentification forte au sens de l’article précité.

Par conséquent, la banque se prévaut à juste titre d’une exonération de responsabilité et il convient donc de débouter Monsieur [H] de sa demande de remboursement des sommes de 6.401 euros.

II. Sur les autres demandes d’indemnisation formées par Monsieur [H]

1. Sur la demande formée au titre du préjudice moral

L’article 1231-1 du code civil dispose que le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure.

En l’espèce, Monsieur [H] ne rapportant pas la preuve d’une faute commise par l’établissement bancaire, laquelle serait à l’origine d’un préjudice moral, il sera débouté de sa demande de ce chef.

2. Sur la demande formée au titre de la résistance abusive

En application de l’article 1240 du code civil, la résistance de mauvaise foi du contractant qui refuse d’exécuter des engagements non équivoques caractérise la faute et justifie une condamnation prononcée pour résistance abusive.

L’engagement de la responsabilité d’autrui nécessite d’apporter la preuve d’une faute, d’un préjudice et d’un lien de causalité entre la faute commise et le préjudice subi.

En l’espèce, et dans la mesure où il n’a pas été fait droit à la demande de remboursement formée par Monsieur [H], aucune résistance abusive ne saurait être reprochée à la banque dans son refus de payer les sommes litigieuses.

Monsieur [H] sera débouté de sa demande de ce chef.

III. Sur les demandes accessoires

Vu les articles 696 et 700 du code de procédure civile

Monsieur [H] sera tenu aux entiers dépens de l’espèce.

Au vu de la situation financière du demandeur, et compte tenu du fait que la situation financière du LCL Crédit Lyonnais ne sera pas obérée par la présente procédure, il y a lieu de débouter le LCL Crédit Lyonnais de sa demande formée au titre de l’article 700 du code de procédure civile.

PAR CES MOTIFS

Le Tribunal, statuant publiquement, par jugement contradictoire, en premier ressort et prononcé par mise à disposition au greffe,

Déboute Monsieur [D] [H] de sa demande de remboursement de la somme de 6.401 euros ;

Déboute Monsieur [D] [H] de sa demande formée au titre du préjudice moral  ;

Déboute Monsieur [D] [H] de sa demande formée au titre de la résistance abusive ;

Condamne Monsieur [D] [H] aux entiers dépens de l’instance ;

Déboute la SA LCL Crédit Lyonnais de sa demande formée au titre de l’article 700 du code de procédure civile.

LE GREFFIER LA PRÉSIDENTE

Valérie DELEU Maureen DE LA MALENE