MINUTE N° :

JUGEMENT DU : 16 Octobre 2025

DOSSIER N° : N° RG 23/02365 – N° Portalis DBZE-W-B7H-IXSD

AFFAIRE : Monsieur [B] [Z], Madame [T] [E] C/ S.A. ARKEA DIRECT BANK

TRIBUNAL JUDICIAIRE DE NANCY

POLE CIVIL section 2

JUGEMENT

COMPOSITION DU TRIBUNAL :

PRESIDENT : Madame Mathilde BARCAT,

Statuant par application des articles 812 à 816 du Code de Procédure Civile, avis préalablement donné aux Avocats.

GREFFIER : Madame Nathalie LEONARD,

PARTIES :

DEMANDEURS

Monsieur [B] [Z]

né le [Date naissance 3] 1966 à [Localité 5] (54), demeurant [Adresse 2]

représenté par Maître Serge DUPIED de la SELARL SERGE DUPIED, avocats au barreau de NANCY, avocats plaidant, vestiaire : 170

Madame [T] [E]

née le [Date naissance 1] 1973 à [Localité 7], demeurant [Adresse 2]

représentée par Maître Serge DUPIED de la SELARL SERGE DUPIED, avocats au barreau de NANCY, avocats plaidant, vestiaire : 170

DEFENDERESSE

S.A. ARKEA DIRECT BANK immatriculée au RCS de [Localité 6] sous le numéro 384 288 890 prise en la personne de ses dirigeants sociaux domiciliés audit siège en cette qualité dont le siège social est sis [Adresse 4]

représentée par Maître Christian OLSZOWIAK de la SCP ORIENS AVOCATS, avocats au barreau de NANCY, avocats postulant, vestiaire : 16, M^e Jean-Philippe GOSSET, avocat au barreau de PARIS, avocat plaidant, vestiaire :

Clôture prononcée le : 07 janvier 2025

Débats tenus à l’audience du : 25 Juin 2025

Date de délibéré indiquée par le Président : 16 Octobre 2025

Jugement prononcé par mise à disposition au greffe du 16 Octobre 2025,

le

Copie+grosse+retour dossier :

Copie+retour dossier :

EXPOSE DU LITIGE

Monsieur [B] [Z] et Madame [T] [E] sont titulaires d’un compte bancaire ouvert dans les livres de la société ARKEA DIRECT BANK, exerçant sous la marque commerciale « FORTUNEO », depuis plusieurs années.

Le 6 juin 2023, à 10h04, Monsieur [Z] a reçu un mail de sa banque faisant état d’une suspicion de ce que ses coordonnées de carte bancaire auraient été corrompues.

Le même jour, à 17h40, il expose avoir reçu un appel d’une personne se présentant comme étant un conseiller de sa banque, avec laquelle il a réalisé plusieurs opérations à distance.

Monsieur [Z] s’est par la suite rendu compte qu’il avait été victime d’une escroquerie et que plusieurs virements avaient été opérés de son compte vers un compte tiers pour un montant total de 19.900 €.

Le 8 juin 2023, Monsieur [Z] a déposé plainte auprès des services de police.

Par courrier recommandé du 12 juin 2023, Monsieur [Z] et Madame [E] ont, par l’intermédiaire de leur conseil, mis en demeure la société ARKEA DIRECT BANK d’avoir à leur rembourser les fonds détournés.

Par acte de commissaire de justice signifié le 11 août 2023, déposé au greffe de la juridiction par voie électronique le 21 août 2023, Monsieur [Z] et Madame [E] ont constitué avocat et ont fait assigner la société ARKEA DIRECT BANK devant le tribunal judiciaire de Nancy.

La SA ARKEA DIRECT BANK a constitué avocat par acte notifié par RPVA le 28 août 2023.

Dans leurs dernières conclusions notifiées par voie électronique le 31 octobre 2024, Monsieur [Z] et Madame [E] demandent au tribunal, au visa des articles 1103, 1104, 1231, 1231-1 et 1915 et suivants du Code civil, de :

— condamner la société ARKEA DIRECT BANK à leur verser la somme de 19.900 € correspondant aux fonds détournés ;

— condamner la société ARKEA DIRECT BANK à leur verser une indemnité d’un montant de 2.000 € par application des dispositions de l’article 700 du Code de procédure civile ;

— rappeler, sinon ordonner l’exécution provisoire du jugement à intervenir ;

— débouter la société ARKEA DIRECT BANK de toutes ses demandes plus amples ou contraires ;

— condamner enfin la société ARKEA DIRECT BANK aux entiers dépens.

Monsieur [Z] et Madame [E] font valoir :

— qu’une banque ne peut se soustraire à son obligation de remboursement des fonds au bénéfice de son client que sous réserve de rapporter une double preuve : celle que le client aurait agi frauduleusement ou aurait négligé gravement ses obligations, et celle que l’opération aurait été identifiée, dument enregistrée et comptabilisée et n’aurait pas été affectée par une déficience technique ou autre ;

— que la société ARKEA DIRECT BANK ne démontre aucunement cette double preuve ;

— qu’aucune négligence grave ne saurait être retenue à l’encontre de Monsieur [Z], compte tenu des circonstances particulières dans lesquelles s’est déroulée cette escroquerie ;

— que Monsieur [Z] a procédé à une vérification du détenteur de la ligne et celle-ci s’est trouvée être la ligne de rattachement de FORTUNEO ;

— que les services de la société ARKEA DIRECT BANK ont présenté une déficience technique majeure en ce que l’interlocuteur de Monsieur [Z] savait que ce dernier avait réceptionné un courriel de FORTUNEO le matin même, qu’il disposait des renseignements personnels communiqués par Monsieur [Z] à sa banque, qu’il avait réussi à pirater la ligne téléphonique de rattachement FORTUNEO et qu’il a eu recours aux mêmes méthodes de sécurisation que celles mises en place par FORTUNEO ;

— que cette déficience technique incombant à la défenderesse justifie à elle seule du droit de Monsieur [Z] et Madame [E] d’être remboursés des fonds ;

— qu’ainsi, la banque ne rapporte ni la preuve d’une négligence grave de ses clients (première condition) mais surtout elle ne saurait justifier de l’absence de déficience technique de ses services (seconde condition cumulative) pour que la banque puisse se dédouaner de son obligation de rembourser les fonds ;

— qu’en outre, aucun système de sécurité n’a bloqué l’accumulation de virements importants sur des comptes étrangers dans un court laps de temps et aucune procédure d’authentification forte n’a été mise en œuvre.

Dans ses dernières conclusions notifiées par voie électronique le 20 décembre 2024, la société ARKEA DIRECT BANK demande au tribunal, au visa de l’article 1103 du code civil et des articles L. 133-1 et suivants du code monétaire et financier, de :

— recevoir FORTUNEO en ses conclusions, l’y déclarant bien fondé ;

— juger que Monsieur [Z] ne peut obtenir le remboursement par FORTUNEO des opérations de virement en ligne qu’il conteste en présence d’opérations conformément authentifiées et donc autorisées et, en tout état de cause, exécutées suite à ses négligences graves ;

— débouter en conséquence Madame [E] et Monsieur [Z] de l’ensemble de leurs demandes à l’encontre de FORTUNEO ;

— condamner solidairement Madame [E] et Monsieur [Z] à verser à FORTUNEO la somme de 3.000 € au titre de l’article 700 du Code de procédure civile ;

— les condamner solidairement aux entiers dépens.

La société ARKEA DIRECT BANK fait valoir :

— que les opérations ont bien été autorisées par Monsieur [Z], l’authentification conforme des virements en ligne enregistrée par les services de FORTUNEO constituant la preuve du consentement du demandeur ;

— que le caractère autorisé des neuf virements litigieux ne peut être contesté en présence des déclarations de Monsieur [Z] qui avoue avoir validé lui-même les neuf opérations de virements en question sur simples instructions d’un tiers l’ayant contacté par téléphone et à qui il avoue avoir communiqué l’intégralité de ses données confidentielles de paiement (identifiants, codes reçus par SMS…) ;

— que FORTUNEO ne peut être tenue responsable d’une obligation de remboursement sur la base des dispositions de l’article L. 133-18 du code monétaire et financier dès lors que son client n’a pas respecté la seule obligation qui lui incombe en matière de paiement aux termes du code précité, à savoir la préservation et la sécurité de ses données de sécurité personnalisées ;

— que sans l’utilisation conjointe de l’identifiant du compte et du mot de passe connus seulement par le titulaire du compte, aucune fraude n’aurait été possible ;

— que Monsieur [Z] a en l’espèce participé à la réalisation de son propre préjudice en répondant aux instructions d’un tiers l’ayant contacté par téléphone ;

— qu’il a en tout état de cause fait preuve d’une négligence grave de nature à exonérer FORTUNEO de toute éventuelle responsabilité retenue à son encontre ;

— que le fait que le tiers soit au courant du mail de FORTUNEO reçu par Monsieur [Z], informant ce dernier d’une suspicion d’opérations bancaires frauduleuses effectuées par carte bancaire n’est pas davantage de la responsabilité de la banque ;

— que cette dernière ne peut en effet être responsable de la compromission de la boîte mail de Monsieur [Z] le cas échéant dont la protection relève exclusivement de la seule vigilance de celui-ci et de ses propres mesures de protection idoines à mettre en place ;

— que cette connaissance par un tiers d’informations concernant Monsieur [Z] a eu lieu en dehors de toute sphère d’intervention de FORTUNEO ;

— que par ailleurs, l’usurpation d’une ligne téléphonique par un tiers en particulier dans le cadre de l’hameçonnage téléphonique (ou « spoofing ») ne peut être empêchée par la société usurpée qui ne dispose d’aucun moyen technique pour ce faire, seul l’opérateur téléphonique concerné en étant ainsi responsable et non la banque ;

— qu’enfin, la Cour de cassation dénie l’existence d’un lien d’automaticité entre le spoofing et l’exclusion de la grave négligence de la victime et que tout est donc affaire d’espèce.

***

Il sera rappelé qu’en application de l’article 455 du code de procédure civile, il est renvoyé aux conclusions de chacune des parties pour un plus ample exposé des prétentions et des moyens.

La présente décision est contradictoire.

L’ordonnance de clôture a été rendue le 7 janvier 2025.

L’affaire a été appelée à l’audience du 25 juin 2025 lors de laquelle elle a été mise en délibéré au 16 octobre 2025 par mise à disposition au greffe.

MOTIFS DU JUGEMENT

1°) Sur la demande de remboursement

L’article L. 133-19 du code monétaire et financier prévoit que :

« I. – En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17, les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 €.

Toutefois, la responsabilité du payeur n’est pas engagée en cas :

– d’opération de paiement non autorisée effectuée sans utilisation des données de sécurité personnalisées ;

– de perte ou de vol d’un instrument de paiement ne pouvant être détecté par le payeur avant le paiement ;

– de perte due à des actes ou à une carence d’un salarié, d’un agent ou d’une succursale d’un prestataire de services de paiement ou d’une entité vers laquelle ses activités ont été externalisées.

II. – La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées.

Elle n’est pas engagée non plus en cas de contrefaçon de l’instrument de paiement si, au moment de l’opération de paiement non autorisée, le payeur était en possession de son instrument.

III. – Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l’information aux fins de blocage de l’instrument de paiement prévue à l’article L. 133-17.

IV. – Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

V. – Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44.

VI. – Lorsque le bénéficiaire ou son prestataire de services de paiement n’accepte pas une authentification forte du payeur prévue à l’article L. 133-44, il rembourse le préjudice financier causé au prestataire de services de paiement du payeur. »

Une opération de paiement n’est autorisée au sens des articles L. 133-3 et L. 133-6 du code monétaire et financier que si le payeur l’a initiée et a consenti au montant de l’opération.

Aux termes des articles L. 133-16 et L. 133-17 du même code, il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité des dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées.

Cependant, c’est à ce prestataire qu’il appartient en application des articles L. 133-19 IV et L. 133-23 du même code de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave, à ses obligations.

Il est admis que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés.

En cas d’utilisation d’un dispositif de sécurité personnalisé, il appartient également au prestataire de prouver que l’opération en cause a été effectuée après une authentification forte, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

En vertu de l’article L. 133-44 du même code, le prestataire de services de paiement applique l’authentification forte du client définie au f de l’article L. 133-4 lorsque le payeur :

1° Accède à son compte de paiement en ligne ;

2° Initie une opération de paiement électronique ;

3° Exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse.

L’article L. 133-4 f du code monétaire et financier définit l’identification forte comme reposant sur l’utilisation de deux éléments ou plus appartenant aux catégories « connaissance » (quelque chose que seul l’utilisateur connaît), « possession » (quelque chose que seul l’utilisateur possède) et « inhérence » (quelque chose que l’utilisateur est) et indépendants en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres et qui est conçue de manière à protéger la confidentialité des données d’authentification.

Il ressort de l’ensemble de ces articles que si le prestataire de services de paiement entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17 de ce Code, le prestataire de services de paiement doit au préalable prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre (Com. 12 nov. 2020, n° 19-12.112 ; Com. 20 nov. 2024, n° 23-15.099).

Conformément aux dispositions du code monétaire et financier, le payeur ne supporte aucune conséquence dès lors que l’opération de paiement non autorisée a été effectuée sans authentification forte (Com. 30 août 2023, n°22-11.707).

— Sur le caractère autorisé des opérations litigieuses :

En l’espèce, il n’est pas contesté que les opérations de paiement ont été réalisées en ligne le 6 juin 2023 à partir de 17h40 durant l’appel téléphonique d’un tiers se faisant passer auprès de Monsieur [Z] pour un conseiller de la banque FORTUNEO, l’appel affichant d’ailleurs le numéro du service client – centre des oppositions de celle-ci.

Cependant, il est établi que Monsieur [Z] a contesté les opérations litigieuses le 6 juin 2023, soit le jour même, à peine deux heures après l’appel, en téléphonant lui-même au service client de sa banque, comme en attestent les procès-verbaux de retranscription des deux appels et la capture d’écran des appels sortants de son téléphone à 19h40 et 19h52.

Cette contestation est par ailleurs confirmée par un mail reçu le 7 juin 2023 à 14h51 du service client FORTUNEO, qui reconnaît que Monsieur [Z] n’est pas à l’origine des opérations réalisées et l’invite à transmettre en conséquence une demande de retour des fonds s’agissant des 9 virements réalisés le 6 juin 2023 pour un montant total de 19.900 €.

En outre, il ressort du dossier que les opérations litigieuses ont fait l’objet d’un dépôt de plainte pour escroquerie dès le 8 juin 2023. Puis, dès le 12 juin 2023, Monsieur [Z] et Madame [E] ont, par l’intermédiaire de leur conseil, mis en demeure la société défenderesse d’avoir à leur rembourser les fonds détournés.

Il ressort de ces éléments que les opérations litigieuses ne sauraient être considérées comme ayant été autorisées au sens des dispositions du code monétaire et financier.

— Sur l’authentification des opérations litigieuses :

En l’espèce, la société ARKEA DIRECT BANK produit en pièce n°12 le détail de chacune des opérations litigieuses, à savoir neuf virements du « compte chèques 1 » de Monsieur [Z] vers trois comptes différents, tous ouverts dans les livres de la Banque « REVOLUT France SUCCURSALE DE REVOLUT BANK UAB ».

Si l’article 12.2 §3 des conditions générales FORTUNEO produites aux débats prévoit que « Conformément à la règlementation, pour certaines opérations sensibles, Fortuneo devra appliquer une authentification forte du Client, ce qui pourra nécessiter l’envoi d’un code de sécurité supplémentaire au Client et/ou la saisie du mot de passe au moment de l’opération. », force est de constater qu’aucun des neuf relevés concernant les opérations réalisées le 6 juin 2023 ne mentionne l’utilisation d’un dispositif d’authentification forte, ce que la société défenderesse ne soutient d’ailleurs pas, celle-ci évoquant dans ses écritures une authentification « conforme ».

De même, il ressort du procès-verbal de retranscription de la deuxième conversation téléphonique de Monsieur [Z] avec le service client de FORTUNEO le soir du 6 juin 2023, qu’ont été constatés « deux ajouts de bénéfices (sic) intermédiaires ajoutés sur votre dossier ». Or, la défenderesse ne produit aucun document sur ces opérations d’ajout de bénéficiaires, lesquelles auraient pu être susceptibles, en raison de leur nature sensible, de requérir un dispositif d’authentification forte.

Il n’est donc pas démontré par la société ARKEA DIRECT BANK, sur laquelle repose la charge de la preuve, qu’une authentification forte a été exigée pour valider les neuf opérations d’un montant total de 19.900 €.

Ainsi, faute de preuve de l’authentification forte pour ces opérations, la condition prescrite par l’article L. 133-19 V du code monétaire et financier n’est pas remplie et le payeur, Monsieur [Z], ne doit supporter aucune conséquence financière quant aux virements réalisés, sauf agissement frauduleux de sa part. En l’espèce, l’existence de tels agissements n’est pas démontrée, ni même alléguée, par la défenderesse.

La négligence de la victime, même grave, est insuffisante pour faire supporter au payeur les conséquences des opérations non autorisées en l’absence d’authentification forte.

A défaut de démontrer que chacune de ces opérations litigieuses a bien été authentifiée via un système d’authentification forte, puis dûment enregistrée et comptabilisée par la société ARKEA DIRECT BANK sans qu’une déficience technique n’intervienne, la défenderesse échoue à rapporter la preuve qui lui incombe.

En conséquence, la société ARKEA DIRECT BANK sera condamnée à payer à Monsieur [Z] et Madame [E] la somme de 19.900 € au titre des opérations non autorisées réalisées le 6 juin 2023.

2°) Sur les frais du procès et l’exécution provisoire

a) Sur les dépens

Aux termes de l’article 696 du code de procédure civile, la partie perdante est condamnée aux dépens, à moins que le juge, par décision motivée, n’en mette la totalité ou une fraction à la charge d’une autre partie.

En l’espèce, la société ARKEA DIRECT BANK, partie perdante, sera condamnée aux dépens.

b) Sur les demandes au titre des frais irrépétibles

Aux termes de l’article 700 du code de procédure civile, le juge condamne la partie tenue aux dépens ou qui perd son procès à payer 1° à l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens. Dans tous les cas, le juge tient compte de l’équité ou de la situation économique de la partie condamnée. Il peut, même d’office, pour des raisons tirées des mêmes considérations, dire qu’il n’y a pas lieu à ces condamnations.

La société ARKEA DIRECT BANK, partie condamnée aux dépens, indemnisera Monsieur [Z] et Madame [E] de leurs frais non compris dans les dépens par une somme qu’il est équitable de fixer à 2.000 €.

Compte tenu de la solution apportée au litige, la société ARKEA DIRECT BANK sera déboutée de sa demande formée au titre de l’article 700 du code de procédure civile.

c) Sur l’exécution provisoire

Aux termes de l’article 514 du code de procédure civile dans sa rédaction issue du décret n°2019-1333 du 11 décembre 2019 applicable à l’espèce, les décisions de première instance sont de droit exécutoires à titre provisoire, à moins que la loi ou la décision rendue n’en dispose autrement.

En l’espèce, compte tenu de l’absence de motif dérogatoire, il sera rappelé que la présente décision est exécutoire de plein droit par provision.

PAR CES MOTIFS

Le tribunal, statuant publiquement, par jugement contradictoire et en premier ressort, par mise à disposition au greffe,

CONDAMNE la société ARKEA DIRECT BANK à payer à Monsieur [B] [Z] et Madame [T] [E] la somme de 19.900 € au titre des opérations non autorisées réalisées le 6 juin 2023 ;

CONDAMNE la société ARKEA DIRECT BANK à payer à Monsieur [B] [Z] et Madame [T] [E] la somme de 2.000 € au titre de l’article 700 du code de procédure civile ;

DEBOUTE la société ARKEA DIRECT BANK de sa demande au titre de l’article 700 du code de procédure civile ;

CONDAMNE la société ARKEA DIRECT BANK aux dépens ;

RAPPELLE que l’exécution provisoire du présent jugement est de droit.

Ainsi jugé et prononcé par mise à disposition au greffe le 16 octobre 2025, le présent jugement étant signé par la présidente et la greffière.

LA GREFFIERE LA PRESIDENTE