TRIBUNAL

JUDICIAIRE

DE PARIS [1]

[1]

Expéditions

exécutoires

délivrées le:

■

9ème chambre

2ème section

N° RG 22/11312

N° Portalis 352J-W-B7G-CX23E

N° MINUTE : 4

Assignation du :

14 Septembre 2022

JUGEMENT

rendu le 31 Janvier 2024

DEMANDEUR

Monsieur [E] [F] [X]

[Adresse 3]

[Localité 4]

représenté par M^e Jérémie NATAF, avocat au barreau de PARIS, vestiaire #K107

DÉFENDERESSE

Société ING Direct

prise en la personne de son représentant légal

prise en sa succursal de Paris,

[Adresse 2]

[Localité 5]

représentée par Maître Frédéric BELLANCA de l’AARPI DARTEVELLE & DUBEST, avocats au barreau de PARIS, vestiaire #Ll0015

Décision du 31 Janvier 2024

9ème chambre 2ème section

N° RG 22/11312 – N° Portalis 352J-W-B7G-CX23E

COMPOSITION DU TRIBUNAL

Monsieur Gilles MALFRE, 1er Vice-président adjoint

Monsieur Alexandre PARASTATIDIS, Juge

Monsieur Augustin BOUJEKA, Vice-Président

assistés de Chloé GAUDIN, greffier lors des débats et de Clarisse GUILLAUME, greffier lors de la mise à disposition,

DÉBATS

A l’audience du 22 Novembre 2023 tenue en audience publique devant Monsieur PARASTATIDIS, juge rapporteur, qui, sans opposition des avocats, a tenu seul l’audience, et, après avoir entendu les conseils des parties, en a rendu compte au Tribunal, conformément aux dispositions de l’article 805 du Code de Procédure Civile. Avis a été donné que la décision serait rendue par mise à disposition au greffe le 31 janvier 2024.

JUGEMENT

rendu publiquement par mise à disposition

contradictoire

en premier ressort

FAITS ET PROCEDURE

Monsieur [E] [F] [X] était titulaire d’un compte de dépôt ouvert dans les livres de la société ING Direct, succursale de la société ING Bank N.V. (ci-après la société ING Bank), auquel était associée la carte bancaire n°535611XXXXXX4937 (ci-après la carte bancaire n°1).

Le 4 avril 2022, M. [X] a fait opposition à sa carte bancaire et une nouvelle carte n°535611XXXXXX4600 (ci-après la carte bancaire n°2) lui a été adressée.

Le 16 avril 2022, M. [X] a déposé auprès de la gendarmerie départementale de [Localité 6] une plainte contre X pour escroquerie, suivie le 6 mai 2022 d’un complément de plainte concernant de nouvelles opérations effectuées avec sa carte bancaire n°2 dont il a également fait opposition.

Par lettre en date du 12 mai 2022, M. [X] a contesté auprès de la société ING Bank quatre opérations débitées le 9 mars 2022 pour un montant total de 7.137,08 euros et effectuées au moyen de sa carte bancaire n°1, au bénéfice de :

— « PLEBICOM » pour un montant de 500 euros ;

— « PLEBICOM » pour un montant de 200 euros ;

— « LASTMINUTECOM HOTEL » pour un montant de 3.618,23 euros ;

— « LMNEXT FR SASU » pour un montant de 2.818, 85 euros.

Par lettre en date du 19 mai 2022, M. [X] a contesté auprès de la société ING Bank trois nouvelles opérations débitées pour un montant total de 7.395,20 euros et effectuées au moyen de sa carte bancaire n°2, au bénéfice de :

— « LASTMINUTECOM HOTEL » pour un montant de 3 .413 euros le 8 avril 2022 ;

— « LASTMINUTECOM HOTEL » pour un montant de 3 .920,80 euros le 8 avril 2022 ;

— « LASTMINUTECOM Flight A » pour un montant de 61,94 euros le 12 avril 2022.

Par lettre de l’association France Conso Banque du 24 mai 2022, M. [X] a sollicité le remboursement de l’ensemble des opérations susvisées.

Le 7 juin 2022, la société ING Bank a porté au crédit du compte de M. [X] la somme de 11.014,19 euros correspondant aux seules opérations portant dans leur libellé « LASTMINUTECOM ».

C’est dans ces conditions que par exploit d’huissier de justice du 14 septembre 2022, M. [X] a fait assigner la société ING Direct devant le tribunal judiciaire de Paris aux fins de la voir principalement condamnée à lui payer la somme de 14.533,04 euros.

Aux termes de ses dernières conclusions communiquées par voie électronique le 13 juin 2023, aux visas des articles L.133-16, L.133-18, L.133-17, L.133-19, IV, L.133-23 et L.133-24 du code monétaire et financier, il est demandé au tribunal de :

« DEBOUTER la GMF ASSURANCES de toutes ses demandes, fins et conclusions ;

— CONDAMNER l’établissement de crédit ING DIRECT à payer à Monsieur [X] la somme de 3.518,85 euros avec intérêt au taux légal majoré de quinze points à compter du 5 avril 2022 ;

— CONDAMNER l’établissement de crédit ING DIRECT au paiement de la somme de 3.000,00 euros au titre de l’article 700 du code de procédure civile outre les entiers dépens ;

— ORDONNER la capitalisation des intérêts.»

Aux termes de ses dernières conclusions communiquées par voie électronique le 13 septembre 2023, aux visas des articles L.133-6, L.133-7, L.133-16, L.133-17 et L.133-19 du code monétaire et financier, la société ING Direct demande au tribunal de :

« – DEBOUTER Monsieur [E] [X] de sa demande de remboursement des opérations de paiement réalisées au moyen de ses cartes bancaires n°535612XXXXXX1162 et n°535611XXXXXX4600, respectivement le 9 mars et les 8 et 12 avril 2022, pour un montant total de 14.533,04 euros, dans la mesure où, d’une part, un montant total de 11.014,19 euros lui a déjà été remboursé à titre commercial par ING Bank et, d’autre part, les opérations restantes ont en tout état de cause été autorisées par celui-ci ou n’ont, à défaut, pu être réalisées qu’en raison de ses négligences graves,

— DEBOUTER Monsieur [E] [X] de toutes ses autres demandes, fins et conclusions ;

— CONDAMNER Monsieur [E] [X] au paiement de la somme de 5.000 euros, au profit la société ING BANK N.V., au titre des dispositions de l’article 700 du Code de procédure civile ;

— CONDAMNER le même aux entiers dépens de l’instance.»

Conformément aux dispositions de l’article 455 du code de procédure civile, il sera renvoyé aux dernières écritures des parties pour l’exposé des moyens et arguments venant au soutien de leurs demandes.

L’ordonnance de clôture de l’instruction de l’affaire a été rendue le 8 novembre 2023 et l’affaire a été fixée pour être plaidée à l’audience tenue en juge rapporteur du 22 novembre 2023 à laquelle elle a été évoquée et mise en délibéré au 31 janvier 2024.

MOTIFS DE LA DÉCISION

1 – Sur la responsabilité de la société ING Direct

A l’appui de ses prétentions, M. [X] expose qu’en application des articles L.133-19 IV et L.133-23 du code monétaire et financier, le prestataire de services de paiement qui entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé, les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L.133-16 et L.133-17 du code précité, doit aussi démontrer que l’opération litigieuse a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

Il fait valoir qu’au cas particulier, il n’effectue que très rarement des opérations de paiement en ligne et qu’en tout état de cause, il a été victime d’opérations frauduleuses qu’il conteste avoir validées après réception des codes de sécurité sur son téléphone portable. Il soutient que la pièce n°6 versée aux débats par la défenderesse présentant les logs informatiques identifiant lesdites opérations comme ayant été réalisées au moyen de la frappe de codes de sécurité ne font cependant apparaître ni l’heure des opérations ni les messages qu’il aurait prétendument reçus et sont donc sans force probante, précisant qu’il est désormais connu que les fraudeurs peuvent détourner des lignes téléphoniques. Il ajoute que l’Autorité de contrôle prudentiel et de résolution (ci-après l’ACPR) a, dans un communiqué du 26 avril 2021, rappelé que le prestataire de services de paiement ne saurait refuser la demande de remboursement d’une opération validée uniquement par un code SMS-OTP, les nouveaux standards de sécurité renforcée aux fins d’une authentification forte imposant un deuxième facteur d’identification.

M. [X] conteste également toute négligence grave de sa part. Il fait ainsi valoir que n’ayant pas reçu les codes de sécurité, il n’ a pas pu, d’une part, les communiquer à des tiers et donc violer son obligation de préserver leur confidentialité et, d’autre part, être alerté des opérations litigieuses qu’il n’a découvertes qu’à réception de ses relevés de compte des mois de mars et avril 2022, et signalées aussitôt à la défenderesse en parallèle de ses dépôts de plaintes. Il conteste dès lors l’affirmation de la banque selon laquelle il aurait mis 26 jours avant de porter à sa connaissance les premières opérations frauduleuses. Enfin, il affirme ne pas avoir concouru, même de manière non consciente, à la fraude, précisant qu’il n’a répondu à aucun mail suspect, souscrit aucun abonnement, fourni aucun document d’identité, ni communiqué aucune coordonnées bancaires à un tiers y compris à une personne prétendant travailler au service comptabilité de la Banque de France qui l’a contacté téléphoniquement le 5 mai 2022.

Il entend dès lors voir la banque, qui en procédant au remboursement d’une partie des opérations a selon lui reconnu sa responsabilité, condamnée à lui verser le reliquat des sommes débitées qu’elle ne lui a pas encore remboursé avec intérêts au taux légal à compter du 5 avril 2022 majoré de quinze points et anatocisme, s’étonnant de l’absence d’explication de la défenderesse quant à cette différence de traitement entre des opérations similaires.

En réplique, la société ING Direct rappelle que M. [X] a déjà été remboursé de la somme de 11.014,19 euros à titre commercial. Elle soutient que la demande portant sur le reliquat de 3.518,85 euros est mal fondée en ce que les opérations non remboursées ont été chacune autorisées conformément à la réglementation applicable, et plus particulièrement aux dispositions des articles L.133-6 alinéa 1er et L.133-7 du code monétaire et financier ainsi qu’aux stipulations contractuelles, dont les articles 4.2 et 5 du « contrat porteur » liant les parties, qui subordonnent l’autorisation d’une opération de paiement à la fourniture par le client de manière cumulative du numéro de sa carte bancaire, de sa date d’expiration au recto de la carte, du cryptogramme visuel au verso de sa carte, et de son code de sécurité afin de valider l’opération de paiement par carte. Elle ajoute que ce n’est que dans l’hypothèse où l’opération n’a pas été autorisée que le prestataire de services de paiement est tenu de rembourser le payeur et ce conformément aux dispositions de l’article L.133-18 du code précité.

Elle expose qu’au cas particulier, toutes les opérations litigieuses ont été validées par M. [X] au moyen de la frappe des codes de sécurité qu’il a reçus sur son téléphone portable, ce qu’elle démontre par la production des logs informatiques fournis par son prestataire externe Visiona Card Solution Suite (VCS) concernant les trois opérations non remboursées.

En tout état de cause, elle fait valoir que dans l’hypothèse où le demandeur n’aurait pas validé en personne les opérations litigieuses en saisissant les codes de sécurité, il était tenu de préserver la confidentialité des codes de sécurité et de protéger le téléphone portable dont il lui avait communiqué le numéro. Il expose ainsi que le demandeur a nécessairement commis des négligences graves engageant sa responsabilité en :

Ne s’étant pas conformé à son obligation légale visant à préserver la sécurité de ses moyens de paiement, aux stipulations du contrat Porteur lui faisant obligation d’assurer la confidentialité de ses codes de sécurité, et aux consignes d’ING Bank lui enjoignant de ne jamais divulguer ces derniers ;Ne faisant pas preuve de diligence et d’attention à la lecture des SMS reçus sur son téléphone portable et contenant les codes de sécurité ;N’ayant pas fait immédiatement opposition à ses cartes bancaire, en surveillant les opérations effectuées sur son compte, a fortiori après avoir reçu les SMS de confirmation dont il conteste être à l’origine et qui auraient dû l’amener à soupçonner une fraude.

Elle conclut dès lors, en application des articles L.133-16, L.133-17 et L.133-19 du code monétaire et financier, au rejet de la demande de remboursement.

Sur ce,

En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les délais prévus par l’article L.133-24 du code monétaire et financier, le prestataire de services de paiement du payeur rembourse à ce dernier le montant de l’opération non autorisée sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement.

Dans cette hypothèse, il incombe au prestataire de paiement de prouver que l’opération litigieuse a été effectuée après une authentification forte, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre, l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement, à savoir l’utilisation des identifiants du client et l’absence de déficience technique ou autre, notamment par le biais de la production d’un relevé de ses connexions, ne suffisant pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur.

Il résulte de la combinaison notamment des articles L.133-4, L.133-15, L.133-18 et L.133-23 du code précité qu’un dispositif de paiement sécurisé se définit comme tout moyen technique affecté par un prestataire de services de paiement à un utilisateur client et communiqué pour l’utilisation et le fonctionnement tant des instruments de paiement que le fonctionnement même du compte.

Ce dispositif, dont le prestataire de services de paiement doit s’assurer qu’il n’est pas accessible à d’autres personnes que l’utilisateur client, est placé sous la garde de ce dernier qui l’authentifie lui-même avec un identifiant unique, constitué d’une combinaison de lettres/chiffres/symboles. Pour procéder à la gestion des opérations sur son compte, il est d’usage que l’utilisateur client crée des codes personnels qui lui sont demandés à l’occasion des opérations qu’il souhaite effectuer sur son compte bancaire. Lors du fonctionnement du compte avec l’identifiant unique et les codes personnels, la banque envoie à son client un SMS ou un mail pour l’informer des opérations sur son compte. Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement se doit de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés.

L’article L.133-4 (f) du même code précise qu’une authentification forte s’entend d’une authentification reposant sur l’utilisation de deux éléments ou plus appartenant aux catégories « connaissance » (quelque chose que seul l’utilisateur connaît telle qu’un mot de passe, un code secret, une question secrète, etc…), « possession » (quelque chose que seul l’utilisateur possède telle qu’un téléphone portable, une montre connectée, une clé USB etc…) et « inhérence » (quelque chose que l’utilisateur est telle que la reconnaissance faciale ou vocale, la reconnaissance par empreinte digitale, etc…) et indépendants en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d’authentification. L’authentification forte repose donc sur l’utilisation de deux de ces éléments, voire plus.

Par ailleurs, la responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à son insu, l’instrument de paiement ou les données qui lui sont liées. Cependant, il supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’agissements frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.133-16 et L.133-17 du code précité.

Ainsi, pour échapper au remboursement de l’opération contestée, le prestataire de services de paiement doit démontrer, soit que l’ordre émanait bel et bien du client dûment authentifié dans son espace personnel, soit que le vol des identifiants de connexion (ou d’autres données) n’est que la conséquence d’une faute grave de sa part consistant à ne pas avoir satisfait intentionnellement aux obligations lui incombant en la matière ou à les avoir gravement négligées.

En l’espèce, il est constant que le litige est circonscrit aux trois opérations effectuées le 9 mars 2022 au moyen de la carte bancaire n°1 pour des montants de 200 euros et 500 euros au bénéfice de « PLEBICOM » et de 2.818,85 euros au bénéfice de « LMNEXT FR SASU ».

La banque produit en pièce n°9 des extraits des logs informatiques relatifs aux trois opérations litigieuses faisant apparaître pour chacune d’entre elles une demande d’autorisation de paiement concernant la carte bancaire n°1, l’envoi d’un code à usage unique par SMS pour validation de l’opération sur le numéro de portable [XXXXXXXX01] que M. [X] reconnaît être le sien dans son complément de plainte du 6 mai 2022, puis la validation de l’opération qui est matérialisée dans la colonne « STATUS » par la mention « SUCCESS ».

Cependant, il revient également à la banque de démontrer l’absence de déficience technique de son système informatique permettant d’exclure un détournement d’une façon ou d’une autre des données de sécurité personnalisées de M. [X], et ce d’autant plus que les opérations litigieuses ont été effectuées au moyen de deux cartes bancaires différentes sur deux périodes distinctes.

Or, la société ING Direct ne produit aucune attestation d’un expert informatique sur le caractère fiable de son système pour la période concernée.

De plus, aux termes de sa lettre en date du 8 juin 2022, la société ING Direct indique :

« (…) à la suite d’une nouvelle analyse de ce dossier, nous décidé (sic) de rembourser les opérations contestées suivantes (…).

En revanche, nous maintenons notre refus de remboursement concernant les autres opérations contestées. En effet, les (sic) ont été validées par le client qui a lui-même fait l’objet d’une authentification forte à cette occasion, au sens de la seconde directive sur les Services de paiement.

Par ailleurs, aucune défaillance technique n’a affecté l’envoi des SMS contenant les codes constituent l’un des facteurs d’authentification du client. De même le traitement de chacune des transactions s’est correctement déroulé. Il résulte de tout ce qui précède que les informations en notre possession démontrent que le client a bien réalisé ces opérations ».

Il est relevé que dans cette correspondance, la banque n’évoque pas de geste commercial, ce qu’elle fait par ailleurs dans ses écritures. Au contraire, il ressort de ce document que sa décision de procéder au remboursement de seulement certaines opérations résulte d’une analyse de ses services qui l’a amenée à retenir la responsabilité de M. [X] pour les trois opérations litigieuses et non pour celles libellées « LASTMINUTECOM », sans qu’elle ne fournisse pour autant d’explication, et a fortiori, de justificatif des éléments permettant de différencier ces opérations. A cet égard, il est observé que la société ING Direct, en ne versant pas aux débats les extraits de logs informatiques concernant les opérations remboursées, met le tribunal dans l’impossibilité d’effectuer des vérifications sur les conditions dans lesquelles ces opérations ont été passées.

Il résulte de ces éléments que la défenderesse ne prouve pas que les opérations litigieuses n’ont pas été affectées par une déficience technique et qu’elles ont donc bien fait l’objet d’une authentification forte de la part de M. [X] dont il apparaît par ailleurs, à la lecture de ses relevés de comptes, qu’il faisait un usage limité des paiements par carte bancaire dont aucun, au vu des libellés, n’était fait en ligne à l’exception des opérations contestées, circonstances qui accréditent son affirmation qu’il n’est pas l’auteur des paiements.

Par ailleurs, la banque ne procède que par suppositions pour prétendre que M. [X] aurait été défaillant dans la garde de ses données de sécurité personnalisées alors qu’il lui revient de fournir des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur qui, en l’espèce, conteste toute imprudence de sa part dans la conservation de ses données et, a fortiori, toute remise volontaire de ceux-ci à un tiers.

En effet, une telle négligence de M. [X] ne saurait être déduite de l’indication dans son complément de plainte du fait qu’il n’exclut pas un piratage de son adresse électronique, qui en l’espèce n’est pas démontré, ou du fait qu’il a reçu des appels sur sa ligne fixe d’une femme se disant être comptable de la Banque de France qui lui aurait demandé d’activer sa carte bancaire suite à l’escroquerie, sans reconnaissance de sa part de la fourniture d’élément à cette personne.

En conséquence, la société ING Direct qui ne rapporte pas la preuve d’une faute grave de M. [X] est condamnée à payer à ce dernier la somme de 3.518,85 euros en remboursement des opérations non autorisées sur son compte.

L’article L.133-18 alinéa 3 3° du code monétaire et financier dispose que les sommes dues en raison d’un manquement du prestataire de services de paiement aux obligations prévues en la matière produisent intérêts au taux légal majoré de quinze points au-delà de trente jours après le premier jour ouvrable suivant celui où il a eu connaissance de l’opération non autorisée.

En l’espèce, si M. [X] indique avoir formulé une réclamation concernant les opérations dès le 4 avril 2022, il n’est produit qu’un accusé réception de celle-ci par la banque en date du 14 avril 2022 qui était un jour ouvrable.

En conséquence, la condamnation sera assortie de l’intérêt légal majoré de quinze points à compter du 16 mai 2022.

2 – Sur les autres demandes

La société ING Bank qui succombe est condamnée aux dépens.

Elle est également condamnée à payer la somme de 1.500 euros à M. [X] au titre de l’article 700 du code de procédure civile.

Les intérêts sur les sommes allouées seront capitalisés dans les conditions de l’article 1343-2 du code civil, étant précisé que cette capitalisation est réservée pour les intérêts dus au moins pour une année entière.

PAR CES MOTIFS

Le tribunal statuant publiquement, par mise à disposition de la décision au greffe de la juridiction, par jugement contradictoire et rendu en premier ressort,

CONDAMNE la société ING Direct à payer à M. [E] [X] la somme de 3.518,85 euros avec intérêts au taux légal majoré de quinze points à compter du 16 mai 2022 ;

CONDAMNE la société ING Direct aux dépens ;

CONDAMNE la société ING Direct à payer à M. [E] [X] la somme de 1.500 euros en application des dispositions de l’article 700 du code de procédure civile ;

ORDONNE la capitalisation des intérêts dans les conditions prévues par l’article 1343-2 du code civil.

Fait et jugé à Paris le 31 Janvier 2024

Le GreffierLe Président