TRIBUNAL

JUDICIAIRE

DE PARIS [1]

[1] Expéditions

exécutoires

délivrées le:

■

9ème chambre 3ème section

N° RG 23/03273 – N° Portalis 352J-W-B7H-CZIRS

N° MINUTE : 6

Assignation du :

09 Mars 2023

JUGEMENT

rendu le 02 Mai 2024

DEMANDERESSE

Madame [G] [I]

[Adresse 2]

[Localité 4]

représentée par Maître Charles de CORBIÈRE de la SCP STREAM, avocats au barreau de PARIS, vestiaire #P132

DÉFENDERESSE

S.A. BNP PARIBAS

[Adresse 1]

[Localité 3]

représentée par Maître Dominique PENIN du cabinet KRAMER LEVIN LLP, avocats au barreau de PARIS, avocat constitué, vestiaire #J0008

Décision du 02 Mai 2024

9ème chambre 3ème section

N° RG 23/03273 – N° Portalis 352J-W-B7H-CZIRS

COMPOSITION DU TRIBUNAL

Par application des articles R.212-9 du Code de l’Organisation Judiciaire et 812 du Code de Procédure Civile, l’affaire a été attribuée au Juge unique.

Avis en a été donné aux avocats constitués qui ne s’y sont pas opposés.

Madame Béatrice CHARLIER-BONATTI, Vice-présidente, statuant en juge unique,

assistée de Pierre-Louis MICHALAK, Greffier,

DÉBATS

A l’audience du 04 Avril 2024 tenue en audience publique, avis a été donné que la décision serait rendue par mise à disposition au greffe le 02 Mai 2024.

JUGEMENT

Prononcé en audience publique

Contradictoire

en premier ressort

FAITS ET PROCEDURE

Madame [I] est titulaire d’un compte bancaire ouvert dans les livres de BNP Paribas et bénéficie pour ses paiements par carte bancaire d’un système d’authentification forte.

Madame [I] a reçu le 12 mars 2022 un courriel adressé par «[Courriel 5]» censé être expédié par la plate-forme de vidéos à la demande Netflix l’invitant à mettre à jour ses coordonnées de sa carte bancaire.

Le 14 mars 2022, elle a été victime d’une escroquerie à la carte bleue, communément appelée « phishing » ou hameçonnage, en l’occurrence via l’appât de la plateforme NETFLIX.

Selon exploit de commissaire de justice du 9 mars 2023, Madame [G] [I] a assigné la BNP PARIBAS devant le tribunal judiciaire de Paris.

Par conclusions en date du 07 février 2024, Madame [G] [I] demande au tribunal de:

“CONDAMNER la BNP PARIBAS SA à rembourser Madame [I] du montant des opérations débitées sur son compte, soit 14.322 € ;

CONDAMNER la BNP PARIBAS SA à verser à Madame [I] la somme de 2.500 € de dommages-intérêts en réparation du préjudice subi du fait de la résistance abusive dont elle a fait preuve ;

CONDAMNER la BNP PARIBAS SA à verser à Madame [I] la somme de 12.000 € au titre de l’article 700 du code de procédure civile;

CONDAMNER la BNP PARIBAS SA aux entiers dépens.”

Madame [I] soutient que la BNP PARIBAS ne rapporte pas la preuve d’avoir satisfait à son devoir de vigilance. Elle considère également que la BNP PARIBAS n’apporte pas la preuve d’une quelconque négligence grave de sa part.

Par conclusions en date du 28 février 2024, la BNP PARIBAS demande au tribunal de:

“Débouter Madame [I] de l’intégralité de ses demandes à toutes fins qu’elles comportent ;

Ecarter l’exécution provisoire de droit ;

Condamner Madame [I] à verser à BNP Paribas la somme de 2.500 € au titre de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens.”

La BNP PARIBAS conteste devoir rembourser Madame [I] du montant de 14.322 € aux motifs qu’elle aurait eu un rôle actif dans les circonstances de la fraude caractérisant sa négligence.

La BNP PARIBAS prétend que Madame [I] a validé les paiements via le système de l’authentification forte par lequel « le client ne reçoit pas de SMS, mais une notification détaillée de l’opération à valider sur son téléphone pour la rendre effective ».

Conformément à l’article 455 du code de procédure civile, il est renvoyé aux écritures susvisées pour l’exposé complet des prétentions respectives des parties et de leurs moyens.

L’ordonnance de clôture est intervenue le 21 mars 2024 avec fixation à l’audience de juge unique du 4 avril 2024. L’affaire a été mise en délibéré au 2 mai 2024.

SUR CE:

I. Sur la responsabilité de la BNP PARIBAS:

L’article L133-16 du code monétaire et financier dispose que :

« Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées.

Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées. »

L’article L133-17 du code monétaire et financier dispose que :

« I. – Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci.

II. – Lorsque le paiement est effectué par une carte de paiement émise par un établissement de crédit, une institution ou un service mentionné à l’article L.518-1 et permettant à son titulaire de retirer ou de transférer des fonds, il peut être fait opposition au paiement en cas de procédure de redressement ou de liquidation judiciaires du bénéficiaire tant que le compte du prestataire de services de paiement du bénéficiaire n’a pas été crédité du montant de l’opération de paiement.»

L’article L133-18 du code monétaire et financier dispose que :

« En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L.133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.

Lorsque l’opération de paiement non autorisée est initiée par l’intermédiaire d’un prestataire de services de paiement fournissant un service d’initiation de paiement, le prestataire de services de paiement gestionnaire du compte rembourse immédiatement, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, au payeur le montant de l’opération non autorisée et, le cas échéant, rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. La date de valeur à laquelle le compte de paiement du payeur est crédité n’est pas postérieure à la date à laquelle il avait été débité.

Si le prestataire de services de paiement qui a fourni le service d’initiation de paiement est responsable de l’opération de paiement non autorisée, il indemnise immédiatement le prestataire de services de paiement gestionnaire du compte, à sa demande, pour les pertes subies ou les sommes payées en raison du remboursement du payeur, y compris le montant de l’opération de paiement non autorisée.

Le payeur et son prestataire de services de paiement peuvent décider contractuellement d’une indemnité complémentaire. »

L’article L.133-19 du code monétaire et financier dispose que :

« I. – En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L.133-17, les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 €.

Toutefois, la responsabilité du payeur n’est pas engagée en cas d’opération de paiement non autorisée effectuée sans utilisation des données de sécurité personnalisées ; de perte ou de vol d’un instrument de paiement ne pouvant être détecté par le payeur avant le paiement; de perte due à des actes ou à une carence d’un salarié, d’un agent ou d’une succursale d’un prestataire de services de paiement ou d’une entité vers laquelle ses activités ont été externalisées.

II. – La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées.

Elle n’est pas engagée non plus en cas de contrefaçon de l’instrument de paiement si, au moment de l’opération de paiement non autorisée, le payeur était en possession de son instrument.

III. – Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l’information aux fins de blocage de l’instrument de paiement prévue à l’article L.133-17.

IV. – Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.133-16 et L.133-17.

V. – Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L.133-44.

VI. – Lorsque le bénéficiaire ou son prestataire de services de paiement n’accepte pas une authentification forte du payeur prévue à l’article L.133-44, il rembourse le préjudice financier causé au prestataire de services de paiement du payeur. »

Enfin, l’article L133-33 du code monétaire et financier dispose que :

« Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement. »

Ainsi, s’il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l’instrument de paiement ou des données sui lui sont liées, c’est au prestataire qu’il incombe de rapporter la preuve que l’utilisateur a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations.

Cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés.

Aucune présomption n’est attachée à l’infaillibilité supposée des instruments de paiement sécurisés dès lors que le risque de la fraude ne pèse pas sur l’utilisateur.

Au cas présent, Madame [I] reconnait aux termes de sa plainte, qu’elle a cliqué sur le lien mentionné dans le courriel qui l’a redirigée vers un site miroir de Netflix (i.e. un site ressemblant au « vrai » site internet de Netflix) et : précise « J’y ai inséré les coordonnées de ma carte bancaire ».

Mise en confiance, Madame [I] a ensuite validé, au lieu d’annuler, une à une chacune des six notifications destinées à accepter les opérations d’achat qui se sont affichées sur son téléphone portable.

Il ressort des termes de sa plainte : « Elle [l’escroc] m’a dit qu’elle allait m’envoyer une notification sur mon application bancaire, ce qu’elle a fait.

Du coup, j’étais en confiance. De là, elle m’a demandé d’authentifier des opérations pour me recréditer les montants prélevés pour les paris, ce que j’ai fait sur mon application ».

Madame [I] a ainsi accepté de concourir à cette prétendue «invalidation» des six opérations d’achats sans qu’elle n’ait lu les notifications sur son téléphone, opéré la moindre vérification auprès de ses canaux habituels de contact de la BNP PARIBAS, effectué une opposition immédiate à sa carte bancaire et plus encore vérifié les propos tenus par un parfait inconnu.

La BNP PARIBAS, simple teneuse de compte, a convenablement exécuté les achats réalisés par sa cliente et, en conséquence, il ne saurait lui être reproché un manquement au sujet de son obligation générale de vigilance.

En conséquence, Madame [I], qui a commis une négligence grave dans la conservation de ses moyens de paiement et de dispositifs de sécurité qui y sont attachés, sera déboutée de ses demandes de remboursement des opérations frauduleuses survenues sur son compte bancaire ainsi que de sa demande de condamnation de la BNP PARIBAS pour résistance abusive.

II. Sur les autres demandes:

Madame [I] qui succombe, sera condamnée aux dépens.

Il n’apparait cependant pas inéquitable de ne pas faire droit aux demandes au titre de l’article 700 du code de procédure civile.

PAR CES MOTIFS:

Le tribunal, statuant publiquement, par jugement contradictoire, rendu en premier ressort, par mise à disposition au greffe :

DÉBOUTE Madame [G] [I] de l’ensemble de ses demandes;

DIT n’y avoir lieu à application des dispositions de l’article 700 du code de procédure civile ;

CONDAMNE Madame [G] [I] aux entiers dépens.

Fait et jugé à Paris le 02 Mai 2024

Le GreffierLa Présidente