TRIBUNAL

JUDICIAIRE

DE NANTERRE

■

PÔLE CIVIL

6ème Chambre

JUGEMENT RENDU LE

15 Mai 2026

N° RG 23/10308 – N° Portalis DB3R-W-B7H-ZCGW

N° Minute :

AFFAIRE

Madame [H] [P] [D]

C/

S.A. BOURSORAMA

Copies délivrées le :

DEMANDERESSE

Madame [P] [D] [H]

[Adresse 1]

[Adresse 1]

représentée par M^e Maude HUPIN, avocat au barreau de PARIS, vestiaire : G625

DEFENDERESSE

S.A. BOURSORAMA

[Adresse 2]

[Adresse 2]

représentée par Maître Arnaud-gilbert RICHARD de la SELAS RICHARD ASSOCIES, avocats au barreau de PARIS, vestiaire : B1070

En application des dispositions de l’article 805 du code de procédure civile, l’affaire a été débattue le 03 Mars 2026 en audience publique devant :

Arnaud GUERIN, Magistrat exerçant à titre temporaire, magistrat chargé du rapport, les avocats ne s’y étant pas opposés.

Ce magistrat a rendu compte des plaidoiries au tribunal composé de :

Thomas BOTHNER, Vice-Président

Gyslain DI CARO DEBIZET, Magistrat

Arnaud GUERIN, Magistrat exerçant à titre temporaire

qui en ont délibéré.

Greffier lors du prononcé : Marlène NOUGUE

JUGEMENT

prononcé en premier ressort, par décision contradictoire et mise à disposition au greffe du tribunal conformément à l’avis donné à l’issue des débats.

EXPOSÉ DU LITIGE

Mme [P] [H] est cliente de la société anonyme Boursorama, établissement bancaire en ligne.

Le 19 mai 2023, Mme [H] a déposé plainte contre X pour escroquerie par appel téléphonique reçu le 11 mai 2023.

La société Boursorama a refusé la demande de remboursement que lui a adressée Mme [H].

Par acte judiciaire du 18 décembre 2023, Mme [P] [H] a fait assigner la société Boursorama devant le tribunal judiciaire de Nanterre.

Aux termes de ses conclusions notifiées par voie électronique le 9 avril 2025, Mme [P] [H] demande au tribunal de :

— la déclarer bien fondée en ses demandes, fins et conclusions,

— débouter la société Boursorama de l’ensemble de ses demandes, fins et prétentions,

— condamner la société Boursorama à lui payer la somme de 5 900 euros en remboursement des sommes détournées, outre les intérêts au taux légal majorés de 15 points à compter de la contestation formée le 11 mai 2023,

— condamner la société Boursorama à lui payer la somme de 2 000 euros au titre de la résistance abusive et la somme de 2 500 euros au titre du préjudice moral,

— condamner la société Boursorama à lui payer la somme de 3 000 euros au titre de l’article 700 du code de procédure civile, qui seront recouvrés par M^e Maude Hupin,

— condamner la société Boursorama aux entiers dépens,

— ordonner l’exécution provisoire.

Au visa des articles L. 133-6 et suivants du code monétaire et financier, Mme [H] soutient que l’utilisation de l’instrument de paiement telle qu’enregistrée ne suffit pas à prouver que l’opération a été autorisée, que la preuve d’une négligence grave ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été utilisés, et que c’est à la banque de rapporter la preuve que l’utilisateur a agi par négligence grave à ses obligations. Elle prétend qu’elle a été contactée par le faux conseiller à partir d’un numéro apparaissant sur son téléphone mobile qu’elle a crû être celui de sa banque. Elle expose que le faux conseiller possédait des informations personnelles la concernant. Elle affirme ne lui avoir transmis aucune information personnelle (identifiant, code ou mot de passe d’accès à ses comptes) mais que son code de carte étant consultable sur l’application et « l’escroc » ayant ses données de connexion, il pouvait consulter son code sans que la demanderesse ne le lui donne. Elle prétend également qu’outre son préjudice financier, elle a subi un préjudice moral important.

Aux termes de ses conclusions notifiées par voie électronique le 15 juin 2025, la société Boursorama demande au tribunal de :

— la recevoir en ses prétentions en défense,

— débouter Mme [H] de toutes ses prétentions, fins et conclusions, mal fondées,

— condamner Mme [H] à lui régler la somme de 2 500 euros sur le fondement de l’article 700 du code de procédure civile, ainsi qu’aux entiers dépens qui seront recouvrés directement par Maître Arnaud Richard sur le fondement de l’article 699 du code de procédure civile.

Au visa des articles 4 et 9 du code de procédure civile et des articles L. 133-3 et suivants du code monétaire et financier, et L. 133-19 IV, L. 133-21 et L. 133-23 du même code, la société Boursorama soutient que la seule contestation d’une opération par le titulaire d’un compte ne suffit pas à la caractériser comme “ non autorisée ”. Elle fait valoir que le rôle de l’authentification forte participe à établir la responsabilité du prestataire de services de paiement, laquelle n’est pas automatique, celui-ci pouvant rapporter la preuve que les opérations litigieuses ont bien été autorisées. Elle considère que Mme [H] ne démontre pas les éléments de la fraude dont elle prétend avoir été victime. Elle ajoute que celle-ci a validé plusieurs opérations sur son espace sécurisé ou à partir de son téléphone mobile. Elle en déduit que les opérations contestées doivent être considérées comme ayant été autorisées et se prévaut également de la négligence grave de Mme [H]. Elle soutient que la requérante ne démontre ni en quoi la société Boursorama aurait fait preuve de résistance abusive, ni en quoi la requérante aurait subi un préjudice moral.

La clôture de l’instruction est intervenue le 13 octobre 2025.

MOTIFS DE LA DÉCISION

1. Sur la demande principale

Selon l’article L. 133-6, paragraphe I, du code monétaire et financier, une opération de paiement est autorisée si le payeur a donné son consentement à son exécution.

L’article L. 133-16 du même code dispose que dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées.

L’article L. 133-18 du même code prévoit en son premier alinéa qu’en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.

Selon le paragraphe IV de l’article L. 133-19 du même code, le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

L’article L. 133-23 du même code dispose, en son premier alinéa, que lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

Il résulte des articles L. 133-3 et L. 133-6 du code monétaire et financier qu’une opération de paiement initiée par le payeur, qui donne un ordre de paiement à son prestataire de services de paiement, est réputée autorisée uniquement si le payeur a consenti au montant de l’opération (Com., 30 novembre 2022, pourvoi n° 21-17.614), mais également à son bénéficiaire (Com., 1er juin 2023, pourvoi n° 21-19.289).

En l’espèce, le tribunal déduit d’une comparaison croisée du relevé de compte du mois de mai 2023 de Mme [H] (sa pièce n°1) et de la décision de rejet par la société Boursorama de sa réclamation (sa pièce n°2) – le versement aux débats de ladite réclamation eut été utile au tribunal – que Mme [H] a demandé à la société Boursorama le remboursement de trois opérations :

— un retrait, au moyen de sa carte bancaire, de 2 500 euros le 11 mai 2023,

— un paiement, au moyen de sa carte bancaire, de 1 441 euros effectué le 11 mai 2023,

— un retrait, au moyen de sa carte bancaire, de 2 000 euros le 11 mai 2023,

soit une somme totale de 5 941 euros, que Mme [H] cantonne à 5 900 euros dans ses prétentions, sans détail ni autre explication.

La nature et la succession dans un court lapse de temps des opérations enregistrées dans le journal des connexions et authentifications fortes versé aux débats par la société Boursorama (pièce n°2 en défense), les termes circonstanciés du procès-verbal de dépôt de plainte contre X déposée par Mme [H] le 19 mai 2023 (pièce n°3 en demande), corroborés par l’appel qu’elle a effectivement reçu depuis un numéro [XXXXXXXX01] (capture d’écran de son téléphone, pièce n°4 en demande), suffisent à établir que Mme [H] a été victime de la technique dite du spoofing ou du faux conseiller, consistant à contacter le client d’un prestataire de services de paiement en se faisant passer pour son conseiller bancaire, nonobstant l’absence en l’espèce d’usurpation du numéro de téléphone de la banque. Les trois opérations litigieuses ayant pour bénéficiaires des personnes auxquelles Mme [H] n’a pas consenti, elles doivent être considérés comme non autorisées au sens de L. 133-6, paragraphe I du code monétaire et financier.

Si la société Boursorama est en principe tenue, aux termes de l’article L. 113-18 du code monétaire et financier, de rembourser à Mme [H] le montant des opérations non autorisées immédiatement après en avoir été informée, la défenderesse a la possibilité de rapporter la preuve, selon les termes de l’article L. 133-19, paragraphe IV du même code, que sa cliente a commis une négligence grave, et non une simple négligence, au regard de ses obligations de préservation de la sécurité de ses données de sécurité personnalisées et de respect des conditions d’utilisation de l’instrument de paiement qui lui a été délivré. Cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés. La société Boursorama doit alors au préalable prouver, conformément à l’article L.133-23 du même code, que les opérations litigieuses ont été authentifiées, dûment enregistrées et comptabilisées et qu’elles n’ont pas été affectées par une déficience technique ou autre.

Selon l’horodatage du journal des connexions et authentifications fortes versé aux débats par la société Boursorama (sa pièce n°2), les évènements ci-dessous, intervenus le 11 mai 2023, ont tous fait l’objet d’une authentification forte :

—  15:09:23 : enrôlement d’un nouvel appareil Apple Iphone ;

—  15:13:17 : modification de plafonds CB ;

—  15:15:47 : retrait exceptionnel ;

—  15:24:22 : affichage du code CB ;

—  15:27:24 : changement de mot de passe ;

—  15:59:20 : retrait exceptionnel ;

—  15:59:45 : retrait exceptionnel.

Il n’est pas possible pour le tribunal, au regard des éléments en sa possession, de déterminer dans quelle mesure l’enrôlement d’un Iphone de la marque Apple comme appareil additionnel de confiance a pu faciliter la réalisation par l’auteur du spoofing des opérations frauduleuses. Cela n’est cependant pas déterminant puisqu’il ressort du journal des connexions et authentifications fortes que le téléphone mobile de marque Samsung en la possession de Mme [H], enrôlé comme premier appareil de confiance, est celui au moyen duquel chacun des évènements susvisés a été authentifié.

La société Boursorama démontre ainsi avoir mis en œuvre les éléments nécessaires à la sécurisation de tous ces évènements conformément aux dispositions de l’article L. 133-23 du code monétaire et financier.

Le tribunal relève que Mme [H] n’évoque pas, et a fortiori ne justifie pas, les raisons pour lesquelles elle s’est considérée tenue d’authentifier, fût-ce à l’instigation d’un faux conseiller bancaire, l’enrôlement d’un Iphone comme appareil de confiance additionnel, la modification de ses plafonds de carte bancaire, deux retraits exceptionnels, l’affichage de son code de carte bancaire et un changement de son mot de passe dans le contexte d’un appel ayant pour objet, selon les faits exposés dans le procès-verbal de son dépôt de plainte (sa pièce n°3) d’interrompre un virement frauduleux de 4 500 euros vers le Sénégal (“ Il [le faux conseiller bancaire] m’a prévenu que j’avais été victime d’une fraude (virement de 4 500 euros au Sénégal) ”).

Il ressort ensuite de l’examen du journal des connexions et authentifications fortes que Mme [H] a reçu les notifications suivantes :

—  15:09:01 : Authentification forte requise pour : “ nouvel appareil ” ;

—  15:09:28 : Nouvel appareil de confiance enregistré sur votre compte ;

—  15:10:28 : Vous venez d’initier un virement de 5 900,00 euros depuis Épargne : Compte sur livret vers Courant. Si vous n’êtes pas à l’origine de cette opération, consultez notre rubrique sécurité ;

—  15:12:44 : Authentification requise pour : “ modification plafonds CB ” ;

—  15:13:24 : Vous avez demandé une modification de votre plafond de carte à 1 500,00 € pour les retraits ;

—  15:15:36 : Authentification forte requise pour : “ retrait exceptionnel ” ;

—  15:15:53 : Vous venez de demander un retrait exceptionnel de 3 000,00 € ;

—  15:15:57 : Authentification forte requise pour : “ affichage du code CB ” ;

—  15:27:02 : Authentification forte requise pour : “ Changement de mot de passe ” ;

—  15:28:17 : Sécurité – Vous venez de modifier votre mot de passe de connexion ;

—  15:58:49 : Authentification forte requise pour : “ retrait exceptionnel ” ;

—  16:55:57 : Paiement en cours de 1 441,00 euros chez Profeesend. Veuillez vous authentifier.

Le tribunal constate qu’à l’instar des demandes d’authentification, chacune des notifications susvisées a été envoyée sur l’appareil Samsung en possession de Mme [H] et non sur l’Iphone enrôlé comme appareil additionnel de confiance. Or, il n’apparaît pas que Mme [H] ait réagi à l’une quelconque de ces notifications, ni qu’elle se soit interrogée sur le rapport de ces opérations avec l’objet de l’appel du faux conseiller.

Il importe également de relever que le numéro [XXXXXXXX01] à partir duquel Mme [H] a reçu l’appel du faux conseiller n’apparaît pas, sur la capture d’écran du téléphone mobile de Mme [H] (sa pièce n° 4), comme étant enregistré au nom de la société Boursorama, contrairement à ce qu’elle prétend en page 8 de ses conclusions (“ elle a été contactée par un faux conseiller à partir du numéro de sa banque qui apparaît sur son téléphone portable ”).

De surcroît, il ressort du procès-verbal de son dépôt de plainte que Mme [H] s’est volontairement dépossédée de sa carte bancaire en la remettant dans une enveloppe à un quidam se présentant en taxi sur son lieu de travail. Elle expose en effet que : “ […] le présumé conseiller m’a dit que la banque avait un partenariat avec une société de Taxi, et qu’un véhicule allait venir récupérer ma carte bancaire pour l’analyser. Environ une heure après, un Taxi G7 […] s’est présenté sur mon lieu de travail […]. J’ai donné ma carte bancaire mise dans une enveloppe et j’ai donné au conducteur le numéro de dossier ”. Elle reste toutefois taisante sur cet évènement dans ses conclusions.

Mme [H], jeune trentenaire à l’époque des faits, était nécessairement aguerrie, comme cliente d’un établissement bancaire en ligne, à l’accès à ses comptes par internet ou au moyen de l’application de sa banque sur son téléphone mobile, à l’utilisation d’identifiants, de mots de passe et de code de connexion et particulièrement à la sensibilité de ces informations. Ce d’autant que les conditions générales de la société Boursorama versées aux débats (pièce n°3 en défense) stipulent à titre d’avertissement, en lettres majuscules et de très grande taille (seules les majuscules en début de mot sont reprises ci-dessous), avant même le sommaire :

“ Chaque Client de Boursorama dispose de Donnés de Sécurité (identifiant, mot de passe, codes reçus par téléphone…) permettant d’utiliser nos services.

Ces Donnés de Sécurité, sous réserve des précisions apportées à l’article 3 du Titre I ci-après:

— sont strictement Personnelles et Confidentielles ;

— ne doivent Jamais être Divulguées à des tiers ;

— ne seront Jamais Demandées par Boursorama ;

— sont placées sous Votre Surveillance et Votre Responsabilité.

À titre général, Boursorama ne vous appellera jamais pour vous demander ces Données de Sécurité ou Valider une Opération ”.

Au regard de l’ensemble de ces constatations, le tribunal considère que Mme [H] n’a pas satisfait, par négligence grave, à l’obligation prescrite par l’article L. 133-16 du code monétaire et financier de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. En application de l’article L. 133-19 du même code, cette négligence grave de sa part libère totalement la société Boursorama de son obligation de restituer les fonds concernés.

Le tribunal tient ici à souligner que si l’arrêt de la Cour de cassation du 23 octobre 2024 (Com., 23 octobre 2024, pourvoi n° 23-16.267) invoqué par la requérante présente une certaine pertinence en ce qu’il concernait également un cas de spoofing téléphonique, celui-ci n’est pas transposable à la présente instance. Tout d’abord, les faits s’étaient déroulés en 2019 à une époque où ce type de fraude était peu connu du grand public et n’avait donné lieu qu’à un nombre limité de mises en garde des banques. Dans l’affaire en question, la banque n’avait d’ailleurs pas soutenu avoir alerté sa clientèle sur ce mode de fraude et sur le fait que ses employés ne seraient jamais conduits à leur demander leurs données de sécurité ni à valider une opération. Tel n’est pas le cas en l’espèce.

De plus, à la différence de l’affaire ayant donné lieu à cet arrêt, où le numéro d’appel apparaissant sur le téléphone portable de la victime s’était affiché comme étant celui de sa conseillère BNP, il est établi que tel n’est pas le cas du numéro de téléphone à partir duquel Mme [H] a été contactée. Dans l’affaire de 2019, il n’était pas non plus question de remise de sa carte bancaire par la victime à un inconnu, ni de validation de modifications de plafonds de carte bancaire, ni d’affichage de code de carte bancaire, ni de modification de mot de passe par le client à partir de l’application mobile installée sur son propre téléphone mobile.

En conséquence, la demande de paiement d’une somme de 5 900 euros formée par Mme [H] à l’encontre de la société Boursorama sera rejetée.

2. Sur le préjudice moral et la résistance abusive

Mme [H] succombant sur sa demande principale et fondant la demande de réparation de son préjudice moral, qu’elle ne détaille pas, exclusivement sur “ l’absence de remboursement immédiat de Boursorama ” (ses conclusions, page 17), elle en sera déboutée.

La société Boursorama prévalant à l’instance, il ne ressort de son comportement aucune résistance abusive, ni mise en œuvre de procédés d’obstruction, caractéristiques d’un abus dans l’exercice de son droit de défense. La demande de Mme [H] à ce titre sera en conséquence rejetée.

3. Sur les demandes accessoires

Mme [H], qui succombe à l’instance, sera condamnée aux dépens, dont distraction au profit de M^e Arnaud Richard, avocat au barreau de Paris, en application des dispositions de l’article 699 du code de procédure civile.

Mme [H], condamnée aux dépens, sera condamnée à payer à la société Boursorama la somme de 2 000 euros au titre de l’article 700 du code de procédure civile.

PAR CES MOTIFS

Le tribunal,

Rejette la demande de paiement d’une somme de 5 900 euros formée par Mme [P] [H] à l’encontre de la société anonyme Boursorama,

Rejette la demande de dommages et intérêts formée par Mme [P] [H] au titre de la réparation de son préjudice moral,

Rejette la demande de dommages et intérêts formée par Mme [P] [H] au titre de la réparation de son préjudice résultant de la résistance abusive de la société anonyme Boursorama,

Condamne Mme [P] [H] aux dépens, dont distraction au profit de Maître Arnaud Richard, avocat au barreau de Paris, en application des dispositions de l’article 699 du code de procédure civile,

Condamne Mme [P] [H] à payer à la société anonyme Boursorama la somme de 2 000 euros au titre de l’article 700 du code de procédure civile,

Rejette les demandes plus amples ou contraires des parties.

signé par Thomas BOTHNER, Vice-Président et par Marlène NOUGUE, Greffier présent lors du prononcé.

LE GREFFIER, LE PRÉSIDENT,