TRIBUNAL

JUDICIAIRE

DE PARIS [1]

[1] Copie conforme délivrée

le :

à :

Copie exécutoire délivrée

le :

à :

Pôle civil de proximité

■

PCP JTJ proxi requêtes

N° RG 22/06379 – N° Portalis 352J-W-B7G-CYAXM

N° MINUTE :

2/2024

JUGEMENT

rendu le mercredi 31 janvier 2024

DEMANDEURS

Madame [N] [M], demeurant [Adresse 1]

représentée par M^e Naïma HABIB-GOLDBERG, avocat au barreau d’ESSONNE,

Monsieur [O] [M], demeurant [Adresse 1]

représenté par M^e Naïma HABIB-GOLDBERG, avocat au barreau d’ESSONNE,

DÉFENDERESSE

S.A. BNP PARBAS, dont le siège social est sis [Adresse 2]

représentée par Maître Philippe METAIS du PARTNERSHIPS BRYAN CAVE LEIGHTON PAISNER (France) LLP, avocats au barreau de PARIS, vestiaire : #R030

COMPOSITION DU TRIBUNAL

Yanaël KARSENTY, Magistrat à titre temporaire, statuant en juge unique

assisté de Médéric CHIVOT, Greffier,

DATE DES DÉBATS

Audience publique du 21 novembre 2023

Décision du 31 janvier 2024

PCP JTJ proxi requêtes – N° RG 22/06379 – N° Portalis 352J-W-B7G-CYAXM

JUGEMENT

contradictoire, en dernier ressort, prononcé par mise à disposition le 31 janvier 2024 par Yanaël KARSENTY, Magistrat à titre temporaire assisté de Médéric CHIVOT, Greffier

FAITS ET PROCEDURE

Monsieur [O] [M] et Madame [N] [M] sont titulaires d’un compte joint au sein de la banque BNP PARIBAS, avec un plafond mensuel d’achat d’un montant fixé à 1000 euros maximum.

Le 21 octobre 2021, les époux [M] ont reçu un appel dont le numéro affiché était celui de la BNP PARIBAS LA DEFENSE (01 41 26 83 52) et dont l’interlocuteur se présentait comme un conseiller de la banque les informant que des opérations suspectes seraient en cours sur leur compte bancaire. L’interlocuteur les invitait alors à ouvrir l’application de la banque afin de faire opposition et d’annuler ces opérations frauduleuses par l’intermédiaire de leur clé digitale.

Suite à la demande du conseiller présumé leur précisant que les trois opérations frauduleuses seraient annulées par l’intermédiaire de la clé digitale, celles-ci ont été débitées en réalité sur leur compte bancaire pour un montant total de 3485,78 euros :

728 euros, opération réalisée le 21 octobre 2021 et somme débitée le 22 octobre 2021 au profit du site le Bon coin ; 1359 euros, opération réalisée le 21 octobre 2021 et somme débitée le 22 octobre 2021 au profit du site Vorwerk ;1398,78 euros, opération réalisée le 25 octobre 2021 et somme débitée le 18 novembre 2021 au profit du site Zalando.S’apercevant de la manipulation, les époux [M] ont fait opposition sur leurs cartes bancaires le lendemain, soit le 22 octobre 2021, et ont déposé plainte le 23 octobre 2021 au commissariat de [Localité 3] pour les deux débits frauduleux qui apparaissaient à ce moment-là sur leur compte bancaire (2087 euros).

Par courriers en date du 26 et 27 octobre 2021, la banque BNP PARIBAS, en soulignant que les époux [L] avaient été victime de « spoofing » (usurpation d’identité /numéro de téléphone), a refusé le remboursement des sommes débitées au motifs que « les opérations réalisées en vente à distance sécurisées ont été validées par votre clé digitale au numéro de téléphone portable que vous nous avez communiquez » ou encore que « la clé digitale est un système d’authentification forte qui permet de confirmer les données de votre carte et de s’assurer, lors de chaque paiement, que vous en êtes à l’initiative ».

Par courrier RAR en date du 28 octobre 2021, les époux [M] adressaient une réclamation au service dédié de la BNP PARIBAS afin d’être remboursés des sommes ainsi débitées.

Suite au refus confirmé de la BNP PARIBAS, les époux [M] ont adressé en date du 7 décembre 2021 une demande de médiation qui n’a pas abouti.

Faisant valoir que la banque ne leur a pas remboursé les montants des achats et débits frauduleux, les époux [M] ont sollicité, par voie de requête enregistrée au greffe en date du 3 octobre 2022, la convocation devant la présente juridiction de la société BNP PARIBAS aux fins d’obtenir sa condamnation à leur verser la somme de 2087 euros au titre du préjudice financier subi pour les deux débits du 21 octobre 2021 (remboursement des opérations frauduleuses avec intérêts au taux légal à compter de cette date), la somme de 1398,78 euros au titre du préjudice financier subi pour le débit en date du 25 octobre 2021(remboursement de l’opération frauduleuse avec intérêts au taux légal à compter de cette date), ainsi qu’une somme de 1400 euros au titre de l’article 700 du CPC et les entiers dépens.

Les parties ont été convoquées par le greffe à l’audience du 22 mai 2023 au cours de laquelle l’affaire a été renvoyée à celle du 21 novembre 2023 pendant laquelle les parties furent représentées par leurs avocats.

Les parties, sollicitant une procédure sans audience, ont déposé leurs conclusions écrites qui ont été signées et visées par le greffe à l’audience.

Dans leurs dernières conclusions, dont les demandes sont identiques à la requête initiale hormis la demande de l’article 700 du CPC s’élevant désormais à 2000 euros, les requérants précisent, au soutien de la demande de remboursement de la somme de 2087 euros et au visa des articles L133-18, L133-19 II, L133-19 III et L133-24 du code monétaire et financier, que le refus de la banque doit s’appuyer sur la preuve d’agissements frauduleux émanant de l’utilisateur du service (ou du titulaire de la carte bancaire) ou sur la preuve qu’il n’a pas satisfait à ses obligations intentionnellement ou par négligence grave. Ils précisent qu’ils ont été victime de « spoofing » et non de « phishing », qu’aucune faute ou négligence ne leur est imputable – l’usurpation d’identité de la banque ayant assoupi leur vigilance en leur faisant croire qu’il devait suivre les directives avisées d’un vrai conseiller – et que la responsabilité de la banque ne saurait être écartée par l’existence d’une authentification forte comme celle d’une clé digitale. En outre, au soutien de la demande de remboursement de la somme de 1398,78 euros (opération du 25 octobre 2021) et au visa de l’article L133-15 du code monétaire et financier, les époux [M] précisent que la BNP PARIBAS aurait nécessairement commis une faute en ayant autorisé un débit frauduleux postérieurement à la date à laquelle ils ont formé opposition (22 octobre 2021).

Dans ses dernières conclusions récapitulatives en défense, la société BNP PARIBAS explique qu’elle est étrangère à cette fraude, et qu’elle a respecté ses obligations relatives à la sécurisation des instruments de paiement, telle qu’issues des dispositions de l’article L133-4 du code monétaire et financier, par la mise en place d’un ensemble d’outils protecteurs (accès personnel à l’application bancaire rattaché au téléphone mobile, notification d’achat sur téléphone mobile puis demande de validation, puis code confidentiel personnalisé de la clé digitale). La société défenderesse soutient que les époux [L] ont permis les opérations frauduleuses par leurs nombreuses négligences successives pendant toutes les étapes du processus (communication des données de la carte bancaire par un moyen quelconque, clic sur un site frauduleux, validation par trois fois d’opérations d’achat différentes par le biais de la clé digitale…). Considérant que les époux [L] ont concouru à leur propre dommage, la société défenderesse conclut à ce qu’ils soient déboutés de leur demande tendant au remboursement des opérations frauduleuses, et demande à ce qu’il soit jugé que Monsieur et Madame [L] ont commis des négligences graves et répétées, que les transactions ont été dûment authentifiées en l’espèce, et que la société BNP PARIBAS ne peut voir sa responsabilité engagée ni en sa qualité de prestataire de service de paiement ni en sa qualité de cocontractant n’ayant commis aucune inexécution contractuelle. La défenderesse sollicite en outre l’octroi de la somme de 2500 euros au titre l’article 700 du CPC.

L’affaire a été mise en délibéré au 31 janvier 2024.

MOTIFS DE LA DECISION

Sur la demande de remboursement des opérations frauduleuses débitées le 21 octobre 2021 (2087 euros)

En vertu de l’article L. 133-16 du code monétaire et financier : « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés.

Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées ; »

En vertu de l’alinéa 1er de l’article L.133-17 du code monétaire et financier : « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci ; »

En vertu de l’article L. 133-18 du code monétaire et financier : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L.133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu (…) ; »

En vertu de l’article L. 133-19 du code monétaire et financier :

« II. 'La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées. (…)

« IV. ' Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 (…) ; »

En vertu de l’article L. 133-23 du code monétaire et financier : « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement (…) fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement ; »

En vertu de l’article L.133-24 du code monétaire et financier : « l’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion (….). »

Il ressort de ces textes que le titulaire d’un compte bancaire doit exprimer son consentement à toute opération de paiement. Si ce consentement n’est pas exprimé par le débiteur, l’opération est ainsi considérée comme non autorisée, ce qui est susceptible de caractériser une faute de la banque qui est alors dans l’obligation de rembourser le titulaire du compte bancaire dès le signalement des opérations non consenties.

En outre, l’utilisation de l’instrument de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière.

La charge de la preuve de la régularité de l’autorisation pèse ainsi sur le prestataire de services de paiement, qui doit établir que l’ordre émane bien de l’utilisateur du service. C’est au prestataire bancaire qu’il incombe de démontrer la négligence grave de son client, étant observé que la preuve d’une telle négligence de l’utilisateur ne peut se déduire de la seule utilisation effective de son instrument de paiement ou des données personnelles qui lui sont liées et qu’aucune présomption ne doit être attachée à l’infaillibilité supposée des instruments de paiement fortement sécurisés dès lors que le risque de la fraude ne pèse pas sur l’utilisateur.

En l’espèce, la plainte déposée dès le 23 octobre 2021, Madame [M] précise « qu’au cours d’un appel émanant du siège de la banque BNP PARIBAS, l’opérateur nous demande de valider les opérations frauduleuses par une clé digitale. On a dû se connecter sur l’application BNP, et on a vu la notification de notre banque sur leur application, et on a validé. Il n’y avait pas de possibilité de refuser la validation. L’opérateur avait toutes nos données personnelles, identité et adresse, coordonnées bancaires et dernières opérations que nous avions effectuées sur notre compte joint. »

Il n’est pas contesté que les époux [M] ont bien exécuté, en suivant les directives téléphoniques du faux conseiller bancaire, les opérations litigieuses par clé digitale en validant la notification reçue sur leur téléphone à l’aide de leur code secret personnel.

Cependant, alors que le numéro d’appel s’affichait comme étant celui de la BNP PARIBAS LA DEFENSE et que les époux [L] pouvaient ainsi légitimement croire qu’ils étaient en communication avec un vrai conseiller, aucune négligence grave n’apparaît clairement caractérisée. En effet, il apparait que le mode opératoire utilisé par usurpation d’identité téléphonique, appelé «spoofing », a rassuré les victimes et a diminué leur vigilance, et ce d’autant que le faux conseiller qui connaissait déjà tout de leur situation bancaire s’est présenté comme voulant les protéger contre les opérations litigieuses en cours. Les époux [L], qui ne peuvent être tenue a priori responsable du piratage de leur compte bancaire, ont cru de bonne foi valider des opérations d’annulation sur une application bancaire vraisemblablement sécurisée. En outre, si la BNP PARIBAS donne certaines informations sur son site internet ou envoie certains messages concernant la fraude, celles-ci ne sont pas clairement repérables ni suffisantes dans le flot des informations commerciales qui sont transmises à sa clientèle.

De plus, la société BNP PARIBAS n’apporte aucun élément permettant d’établir la preuve que les époux [L] ont divulgué à un tiers, de manière intentionnelle, par imprudence ou par négligence grave, des éléments d’identification strictement confidentiels ayant permis les opérations contestées.

En effet, si les époux [L] ont bien fait usage de leur code confidentiel sur l’application sécurisée, il n’est pas démontré qu’ils aient communiqué des informations sensibles à quiconque par le biais d’un autre support.

En outre, il n’est pas contesté que les époux [L] ont été diligents en faisant opposition sur les opérations frauduleuses et en portant plainte, respectivement 1 jour et 2 jours après les faits.

Par conséquent, en l’absence de toute démonstration de négligence grave de la part des époux [L], la banque BNP PARIBAS, en sa qualité de prestataire de service de paiement, sera tenue de rembourser les fonds correspondant aux opérations litigieuses effectuée 21 octobre 2021, soit la somme de 2087 euros.

Sur la demande de remboursement de l’opération frauduleuse débitée le 25 octobre 2021 (1398,78 euros)

En vertu de l’article L133-15 III du code monétaire et financier, « le prestataire de services de paiement empêche toute utilisation de l’instrument de paiement après avoir été informé, conformément aux dispositions de l’article L. 133-17, de sa perte, de son vol, de son détournement ou de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées ».

En l’espèce, il ressort des relevés bancaires produits que l’opération frauduleuse a été réalisée le 25 octobre 2021 et que le paiement afférent (Zalando) a été débité sur le compte bancaire des époux [L] le 18 novembre 2021. Or, il n’est pas contesté que Monsieur et Madame [L] ont fait opposition de leur carte bancaire dès le 22 octobre 2021. Suite à l’opposition diligente de leur client, le débit de 1398,78 euros, passé en écriture le 18 novembre 2021, n’aurait pas dû être autorisé par la BNP PARIBAS. Ce dommage aurait ainsi pu être évité par la banque moyennant l’information qu’elle avait reçue par le biais de l’opposition.

Il en résulte que la société BNP PARIBAS, en sa qualité de prestataire de service de paiement, n’a pas respecté les dispositions de l’article 133-15 III du code monétaire et financier en validant une opération frauduleuse alors que celle-ci avait fait l’objet d’une opposition préalable sur carte bancaire le 22 octobre 2021, et en ne remboursant pas la somme ainsi débitée.

En conséquence, la société BNP PARIBAS sera condamnée à payer à la somme de 1398,78 euros en remboursement de la somme débitée, assortie des intérêts au taux légal à compter du 18 novembre 2021.

Sur l’article 700 du code de procédure civile

Il convient de condamner la société BNP PARIBAS à payer à la somme de 1000 euros en application de l’article 700 du Code de Procédure Civile, au titre des frais exposés non compris dans les dépens.

Sur les dépens

Partie perdante, la société BNP PARIBAS sera condamnée aux dépens de la présente instance.

PAR CES MOTIFS

Le tribunal statuant par jugement remis au greffe, contradictoire et en dernier ressort,

CONDAMNE la société BNP Paribas à verser à Monsieur [O] [L] et Madame [N] [L] la somme de 2.087 euros avec intérêts au taux légal à compter du 22 octobre 2021,

CONDAMNE la société BNP Paribas à verser à Monsieur [O] [L] et Madame [N] [L] la somme de 1.398,78 euros avec intérêts au taux légal à compter du 18 novembre 2021,

DEBOUTE les parties du surplus de leurs prétentions,

RAPPELLE que la présente décision bénéficie de l’exécution provisoire de droit,

CONDAMNE la société BNP Paribas à verser à Monsieur [O] [M] et Madame [N] [M] la somme de 1 000 euros en application des dispositions de l’article 700 du code de procédure civile,

CONDAMNE la société BNP PARIBAS aux dépens de la présente instance.

Fait et jugé à Paris le 31 janvier 2024

le greffierle Président