SG

LE 02 SEPTEMBRE 2025

Minute n°

N° RG 23/00717 – N° Portalis DBYS-W-B7H-MCZN

[R] [S]

C/

S.A. BNP PARIBAS

Autres demandes en matière de droit bancaire et d’effets de commerce

1 copie exécutoire et certifiée conforme à :

la SCP ACTA JURIS SCP D’AVOCATS – 10

M^e Charline CHAILLOU – 353

la SCP KRAMERR LEVIN NAFTALIS & FRANKEL LLP

délivrées le

TRIBUNAL JUDICIAIRE

DE NANTES

— --------------------------------------------------

QUATRIEME CHAMBRE

JUGEMENT

du DEUX SEPTEMBRE DEUX MIL VINGT CINQ

Composition du Tribunal lors du délibéré :

Président : Nathalie CLAVIER, Vice Présidente,

Assesseur : Laëtitia FENART, Vice-Présidente,

Assesseur : Nicolas BIHAN, Vice-Président,

GREFFIER : Sandrine GASNIER

Débats à l’audience publique du 06 MAI 2025 devant Nathalie CLAVIER, siégeant en Juge Rapporteur, sans opposition des avocats, qui a rendu compte au Tribunal dans son délibéré.

Prononcé du jugement fixé au 02 SEPTEMBRE 2025.

Jugement Contradictoire rédigé par Nathalie CLAVIER, prononcé par mise à disposition au greffe.

— --------------

ENTRE :

Monsieur [R] [S], demeurant [Adresse 3]

Rep/assistant : M^e Charline CHAILLOU, avocat au barreau de NANTES

DEMANDEUR.

D’UNE PART

ET :

S.A. BNP PARIBAS, dont le siège social est sis [Adresse 2]

Rep/assistant : Maître Joachim D’AUDIFFRET de la SCP ACTA JURIS SCP D’AVOCATS, avocats au barreau de NANTES

Rep/assistant : Maître Dominique PENIN de la SCP KRAMERR LEVIN NAFTALIS & FRANKEL LLP, avocats au barreau de PARIS

DEFENDERESSE.

D’AUTRE PART

— ---------------------------------------------------------------------------------------------------------------

Faits, procédure et prétentions des parties

Monsieur [R] [S] est titulaire d’un compte bancaire n°[XXXXXXXXXX01] ouvert auprès de la S.A. BNP PARIBAS, associé à une carte de paiement.

Par acte de commissaire de justice délivré le 16 février 2023, Monsieur [R] [S] a fait assigner la S.A. BNP PARIBAS devant le Tribunal Judiciaire de NANTES aux fins d’obtenir le remboursement de cinq opérations non autorisées par ses soins.

***

Suivant ses dernières conclusions notifiées par voie dématérialisée le 04 mars 2025, Monsieur [R] [S] sollicite du tribunal de :

Vu les articles L133-18 et suivants du Code monétaire et financier,

Vu l’article 1231-1 du Code civil,

— Débouter la SA BNP PARIBAS de toutes ses demandes ;

— Condamner la SA BNP PARIBAS à verser à Monsieur [R] [S] la somme de 12.959,97 euros, en remboursement des débits frauduleux, avec intérêts au taux légal majoré de quinze points depuis le 5 août 2022 ;

— Condamner la SA BNP PARIBAS à verser à Monsieur [R] [S] la somme de 5.000,00 euros, au titre de son préjudice moral et financier ;

— Condamner la SA BNP PARIBAS à verser à Monsieur [R] [S] la somme de 3.000,00 euros au titre de l’article 700 du Code de procédure civile ;

— Condamner la SA BNP PARIBAS aux entiers dépens, avec droit pour Maître Charline CHAILLOU d’en recouvrer directement ceux dont elle aurait fait l’avance sans en avoir reçu provision, en application des dispositions de l’article 699 du Code de procédure civile ;

— Dire n’y avoir lieu à écarter l’exécution provisoire.

***

Suivant ses dernières conclusions notifiées par voie dématérialisée le 25 février 2025, la S.A. BNP PARIBAS sollicite du tribunal de :

— Débouter Monsieur [S] de l’intégralité de ses demandes à toutes fins qu’elles comportent;

— A titre subsidiaire, juger que les pénalités de retard prévues à l’article L.133-18 du Code monétaire et financier ne s’appliquent qu’à compter du prononcé de la décision à intervenir ;

— Ecarter l’exécution provisoire de droit ;

— Le condamner à verser à BNP Paribas la somme de 3.000,00 euros au titre de l’article 700 du Code de procédure civile ainsi qu’aux entiers dépens.

***

Pour un plus ample exposé des faits, moyens et prétentions des parties, il est renvoyé aux écritures visées ci-dessus conformément aux dispositions de l’article 455 du code de procédure civile.

Une ordonnance de clôture a été rendue le 06 mars 2025 et l’affaire a été fixée à l’audience du 06 mai 2025. Les parties ont été informées par le président que le jugement serait rendu le 02 septembre 2025 par mise à disposition au greffe conformément aux dispositions de l’article 450 du code de procédure civile.

MOTIFS DE LA DÉCISION

Sur la demande principale

Le code monétaire et financier envisage de manière spécifique les instruments de paiement dotés d’un dispositif de sécurité personnalisé, lequel dispositif, conformément à l’article L133-4 a) s’entend des données personnalisées fournies à un utilisateur de services de paiement par le prestataire de services de paiement à des fins d’authentification. Ce dispositif, propre à l’utilisateur de services de paiement et placé sous sa garde, vise à l’authentifier.

Il convient de se référer plus particulièrement aux dispositions des articles L133-15 et suivants du code monétaire et financier sur les obligations et les responsabilités assumées par le prestataire de services de paiement et l’utilisateur de ces services en cas d’incident.

L’article L133-15, I, dans sa rédaction issue de l’ordonnance n 2017-1252 du 9 août 2017, énonce :

“I. – Le prestataire de services de paiement qui délivre un instrument de paiement doit s’assurer que les données de sécurité personnalisées telles que définies à l’article L 133-4 ne sont pas accessibles à d’autres personnes que l’utilisateur autorisé à utiliser cet instrument.”

L’article L133-16 dispose :

“Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés. Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées.”

Aux termes de L’article L133-17 :

“I. – Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci…”

L’article L133-19 du code monétaire et financier qui figure dans la section intitulée “Contestation et responsabilité en cas d’opération de paiement non autorisée”, énonce :

“II. La responsabilité du payeur (le titulaire du compte ou de la carte bancaire) n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à son insu, l’instrument de paiement ou les données qui lui sont liées (…)

IV. Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 [obligation de prendre toute mesure raisonnable pour préserver la sécurité du dispositif de sécurité personnalisé] et L. 133-17.”

L’article L133-23 du même code, inséré dans la section intitulée “Modalités pratiques et délais en cas d’opération de paiement non autorisées ou mal exécutée” dispose en son alinéa 1 :

“Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.”

L’alinéa 2 précise :

“L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.”

En application des dispositions susvisées, si, aux termes des articles L133-16 et L133-17, il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées, c’est à ce prestataire qu’il incombe, par application des articles L133-19 IV et L133-23, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations.

En outre, il est constant que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés.

De plus, il résulte des articles L133-19 IV et L133-23 alinéa I que s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L.133-17, le prestataire de services de paiement doit, au préalable, prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

En l’espèce, il convient de relever, à titre liminaire, que la S.A. BNP PARIBAS a manifestement mis en oeuvre, dans les relations contractuelles avec ses clients, un dispositif de sécurisation des instruments de paiement dit “d’authentification forte” tel que défini à l’article L 133-4 f du code monétaire et financier, lui permettant grâce à des données personnalisées de vérifier l’identité de son client, utilisateur du service de paiement, particulièrement pour les opérations en ligne, ce dispositif intitulé “clef digitale” consistant en l’usage associé d’un code personnel et d’une application installée sur le téléphone portable du client.

Plus précisément et pour enrôler (enregistrer) cette clé digitale sur son téléphone, le client de la S.A. BNP PARIBAS doit installer l’application mobile sur celui-ci, ce qui rend nécessaire une connexion à son espace digital (sur internet ou sur son application) en saisissant ses identifiants et mot de passe, informations strictement confidentielles. Le schéma d’authentification permet ensuite l’envoi d’une notification sur le téléphone permettant de valider ou non expressément une transaction au moyen de ce même mot de passe.

En l’occurrence, les pièces versées aux débats par la S.A. BNP PARIBAS permettent d’établir que contrairement à ce qu’il semble prétendre, Monsieur [R] [S] a bien enrôlé et activé la clé digitale sur son téléphone mobile au vu notamment, de l’adresse IP de connexion à son compte et dès lors qu’il peut clairement être identifié comme l’auteur du message adressé à l’établissement bancaire le 30 juin 2022 à partir de celle-ci.

Monsieur [R] [S] remet en cause aujourd’hui cinq paiements effectués les 30 juin (REVOLUT – 1.450,00 euros), 03 juillet (FNAC – 1.268,99 euros), 04 juillet (LOUIS VUITTON – 7.570,00 euros) et 05 juillet (CDISCOUNT – 1.401,99 euros / FNAC – 1.268,99 euros), soutenant qu’il n’y a pas consenti au sens des dispositions de l’article L113-6 du code monétaire et financier, ce que ne conteste pas la S.A. BNP PARIBAS et ce que les données techniques tendent à démontrer puisque selon la feuille des traces informatiques produite par la défenderesse, les connexions ayant donné lieu à ces paiements ont été faites à partir d’une adresse IP ne correspondant pas à celle de Monsieur [R] [S] et localisée notamment, en Israël pour le premier paiement.

Au vu des éléments produits par la S.A. BNP PARIBAS, force est de constater que ces cinq opérations ont été réalisées en suivant la procédure d’authentification forte susvisée, avec une validation de ces achats avec la clé digitale liée au compte de Monsieur [R] [S], étant souligné :

— que les deux premières opérations ont été validées au moyen de la notification adressée sur le téléphone mobile de Monsieur [R] [S], comme en attestent les traces informatiques susvisées et plus particulièrement, l’adresse IP de connexion habituelle et l’utilisation du mot de passe dont seul Monsieur [R] [S] disposait ;

— que les trois autres opérations ont été validées après l’enrôlement de la clé digitale sur un nouveau téléphone, distinct de celui de Monsieur [R] [S], cette modification n’ayant été rendue possible que par l’utilisation du lien reçu par SMS et adressé sur le numéro de téléphone de Monsieur [R] [S].

Il apparaît ainsi que la S.A. BNP PARIBAS apporte la preuve que les opérations litigieuses ont été réalisées en suivant la procédure d’authentification forte susvisée et qu’aucune déficience technique du système de sécurisation de l’espace en ligne ne peut être retenue.

Dans ces conditions, il lui incombe de rapporter la preuve, pour pouvoir s’opposer au remboursement des opérations litigieuses, que Monsieur [R] [S] a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations.

En l’occurrence, Monsieur [R] [S] étant le seul à connaître ses identifiant/mots de passe permettant les opérations susvisées, il s’en déduit qu’il les a nécessairement communiqués à un tiers, même involontairement ou après avoir été abusé par l’emploi de manoeuvres frauduleuses.

Si le seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés par un tiers n’est pas en soi suffisant pour caractériser l’existence d’une négligence grave de Monsieur [R] [S], force est de constater :

— qu’il n’est pas possible de vérifier les circonstances et conditions exactes dans lesquelles Monsieur [R] [S] aurait pu se faire abuser et communiquer ces éléments confidentiels, par référence au comportement d’un utilisateur normalement attentif, dès lors qu’il ne s’explique aucunement sur ce point et alors que les termes mêmes du message qu’il a adressé à la S.A. BNP PARIBAS le 30 juin 2022 démontrent qu’il a bien été en contact, le jour du premier achat litigieux, avec un tiers déclarant agir au nom du “service fraude” de la banque et auquel il indique avoir communiqué notamment, une photographie de sa carte d’identité et un “selfie” ;

— que dès le lendemain, la S.A. BNP PARIBAS, en réponse à ce message, l’a informé qu’il était nécessaire de la contacter de toute urgence pour procéder à une opposition sur sa carte bancaire;

— que pour autant et bien que très clairement alerté sur les diligences à effectuer, Monsieur [R] [S] n’a formé opposition que le 08 juillet 2022, alors qu’entre-temps, quatre des opérations litigieuses susvisées ont effectuées après validation à partir de son téléphone ou après enrôlement de la clé digitale sur un autre téléphone rendu possible par l’activation du lien reçu sur son téléphone.

Ces éléments permettent de retenir que Monsieur [R] [S] a commis une négligence grave dans la préservation de la sécurité de ses dispositifs de sécurité personnalisés, s’abstenant en outre de procéder au blocage de son instrument de paiement en dépit de la recommandation qui lui avait été faite par la S.A. BNP PARIBAS.

Dans ces conditions, il ne peut prétende au remboursement des opérations litigieuses, pas plus qu’à l’octroi de dommages et intérêts en réparation du préjudice subi en l’absence de manquement de la S.A. BNP PARIBAS à ses obligations.

En conséquence, Monsieur [R] [S] sera débouté de l’ensemble de ses demandes.

Sur les dépens et l’application de l’article 700 du code de procédure civile

Monsieur [R] [S] qui succombe dans ses prétentions, supportera les dépens en application des dispositions de l’article 696 du code de procédure civile.

L’équité s’oppose en revanche à sa condamnation en application des dispositions de l’article 700 du code de procédure civile.

Il ne sera donc pas fait droit à la demande de la S.A. BNP PARIBAS au titre de ses frais irrépétibles.

PAR CES MOTIFS

Le Tribunal,

Statuant par mise à disposition au greffe, par jugement contradictoire et en premier ressort ;

DÉBOUTE Monsieur [R] [S] de ses demandes ;

CONDAMNE Monsieur [R] [S] aux dépens ;

ADMET les avocats qui en ont fait la demande et qui peuvent y prétendre au bénéfice des dispositions de l’article 699 du code de procédure civile ;

DIT n’y avoir lieu à application des dispositions de l’article 700 du code de procédure civile.

LE GREFFIER, LE PRESIDENT,

Sandrine GASNIER Nathalie CLAVIER