TRIBUNAL

JUDICIAIRE

DE PARIS [1]

[1]

Expéditions

délivrées le:

à

M^e CALLON

M^e DREYFUS

■

9ème chambre 2ème section

N° RG 24/03377 – N° Portalis 352J-W-B7I-C4IGM

N° MINUTE :

Assignation du :

04 Mars 2024

JUGEMENT

rendu le 24 Septembre 2025

DEMANDEUR

Monsieur [U] [G]

[Adresse 2]

[Localité 4]

représenté par Maître Jean-Eric CALLON de la SELEURL CALLON Avocat & Conseil, avocats au barreau de PARIS, vestiaire #R0273

DÉFENDERESSE

S.A. LA BANQUE POSTALE

[Adresse 1]

[Localité 3]

représentée par Maître Lucas DREYFUS de la SELARL DREYFUS FONTANA, avocats au barreau de PARIS, vestiaire #K0139

Décision du 24 Septembre 2025

9ème chambre 2ème section

N° RG 24/03377 – N° Portalis 352J-W-B7I-C4IGM

COMPOSITION DU TRIBUNAL

Gilles MALFRE, 1er Vice-Président adjoint

Augustin BOUJEKA, Vice-Président

Alexandre PARASTATIDIS, Juge

assistés de Diane FARIN, Greffière.

DÉBATS

A l’audience du 18 Juin 2025 tenue en audience publique devant, Alexandre PARASTATIDIS, juge rapporteur, qui, sans opposition des avocats, a tenu seul l’audience, et, après avoir entendu les conseils des parties, en a rendu compte au Tribunal, conformément aux dispositions de l’article 805 du Code de Procédure Civile. Avis a été donné aux avocats que la décision serait rendue le 24 septembre 2025.

JUGEMENT

Rendu publiquement par mise à disposition au greffe

Contradictoire

En premier ressort

FAITS ET PROCEDURE

Par réclamation en date du 11 juillet 2022, M. [U] [G] a contesté auprès de la SA La Banque postale sept retraits effectués à l’étranger entre les 21 avril et 13 juin 2022 sur son compte courant ouvert dans les livres de cet établissement, au moyen de la carte bancaire qui y est liée, pour une somme totale de 6.805,38 euros comprenant les frais, taxes et agios occasionnés, et ce après avoir déposé une plainte en ligne le 9 juillet 2022.

Les opérations en cause sont les suivantes :

Débit du 22/04/2022 : Retrait Alkhoudh [W], opération du 21/04/22 : 963,86 euros,

Débit du 29/04/2022 : Retrait Muscat, opération du 28/04/22 : 988,54 euros,

Débit du 06/05/2022 : Retrait Nbo Cash Mgt Se, opération du 05/05/22 : 989,27 euros,

Débit du 17/05/2022 : Retrait Nbo Cash Mgt Se, opération du 16/05/22 : 753,21 euros,

Débit du 27/05/2022 : Retrait Al masha station, opération du 25/05/22 : 974,93 euros,

Débit du 07/06/2022 : Retrait Bank Sohar Bank, opération du 05/06/22 : 970,74 euros,

Débit du 14/06/2022 : Retrait [H] [W], opération du 13/06/22 : 989,27 euros.

Par lettre du 31 octobre 2022, l’établissement bancaire a notifié à M. [G] son refus de faire droit à sa réclamation.

Par lettre de son assureur de protection juridique du 27 décembre 2022, M. [G] a mis en demeure La Banque postale de l’indemniser et/ou de lui communiquer les données informatiques des opérations, demande à laquelle l’établissement bancaire a opposé un nouveau refus par lettre du 24 février 2023.

Les différentes démarches entreprises par M. [G], dont la saisine du médiateur de la consommation, n’ont pas permis la résolution du litige.

C’est dans ce contexte que, par acte de commissaire de justice du 4 mars 2024, M. [G] a fait assigner La Banque postale devant le tribunal judiciaire de Paris aux fins d’obtenir sa condamnation à l’indemniser de ses préjudices financier et moral.

La clôture de l’instruction a été prononcée le 7 mars 2025 puis révoquée le 9 avril 2025.

Aux termes de ses dernières conclusions signifiées le 21 janvier 2025, aux visas des articles L.133-19 et suivants du code monétaire et financier, et 700 du code de procédure civile, M. [G] demande au tribunal de :

«  CONDAMNER la BANQUE POSTALE à payer à Monsieur [U] [G] la somme de 10.805,38 € à titre de dommages et intérêts avec intérêts au taux légal et anatocisme ;

CONDAMNER LA BANQUE POSTALE à payer à Monsieur [U] [G] la somme de 2.000 € au titre de l’article 700 du Code de Procédure Civile, outre les entiers dépens. "

Par dernières conclusions signifiées le 30 août 2024, aux visas des articles L.133-16 et L.133-19 du code monétaire et financier, et 696 et 700 du code de procédure civile, la Banque postale demande au tribunal de :

«  DIRE ET JUGER Monsieur [U] [G] mal fondé en ses demandes, fins et conclusions.

En conséquence,

L’en DEBOUTER.

En tout état de cause,

CONDAMNER Monsieur [U] [G] au paiement de la somme de 2.000 € sur le fondement de l’article 700 du Code de Procédure Civile.

CONDAMNER Monsieur [U] [G] aux entiers dépens, en application de l’article 696 du Code de Procédure Civile, dont distraction au profit de la SELARL DREYFUS FONTANA, Avocats, qui en poursuivra le recouvrement conformément aux dispositions de l’article 699 du CPC. "

La clôture de l’instruction a été prononcée le 14 mai 2025. L’affaire a été évoquée à l’audience de plaidoiries tenue en juge rapporteur du 18 juin 2025 et mise en délibéré au 24 septembre 2025.

Conformément aux dispositions de l’article 455 du code de procédure civile, il est renvoyé aux dernières écritures des parties pour l’exposé des moyens et arguments venant au soutien de leurs demandes.

MOTIFS DE LA DÉCISION

1 – Sur le retrait d’office de la pièce n°10 de La Banque postale

Il résulte des articles 21-3 de la loi n° 95-125 du 8 février 1995 relative à l’organisation des juridictions et à la procédure civile, pénale et administrative, L.612-3 du code de la consommation et 9 du code de procédure civile, qu’en dehors des cas dérogatoires prévus par la loi, l’atteinte à l’obligation de confidentialité de la médiation impose que les pièces produites sans l’accord de la partie adverse soient, au besoin d’office, écartées des débats par le juge.

En l’espèce, La Banque postale verse aux débats une pièce n°10 intitulée « Réponse du médiateur de la consommation en date du 5 janvier 2024 » qui est couverte par le sceau de la confidentialité et dont il n’est pas démontré que sa production a été approuvée par M. [G].

En conséquence, le tribunal ordonne le retrait de cette pièce des débats.

2 – Sur la responsabilité de l’établissement bancaire

Sur le fondement des articles L.133-19 et L.133-23 du code monétaire et financier, M. [G] fait valoir que c’est au prestataire de paiement qu’il incombe de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations. Il précise que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés.

Il expose ainsi qu’au cas particulier, les opérations litigieuses ont été effectuées dans un pays étranger, le sultanat d’Oman, dont une le 16 mai 2022, date à laquelle il justifie avoir été en France par la production du résultat d’un test antigénique. Il ajoute que l’argument tiré de l’absence d’utilisation de sa carte pendant cette période est inopérant, expliquant que l’époque en cause correspond à la crise sanitaire pendant laquelle, compte tenu de sa situation précaire, il était hébergé dans sa famille et n’utilisait pas cet instrument de paiement. Il soutient de plus que la fraude a pu être réalisée sans que sa carte soit perdue ou volée, notamment par un clonage à son insu de la carte à puce.

Il fait dès lors valoir un préjudice financier de 6.805,38 euros, correspondant à 7 retraits effectués entre les 22 avril et 14 juin 2022 et les frais/taxes/agios qu’ils ont occasionnés. Il réclame également l’indemnisation de son préjudice moral, faisant valoir qu’il souffre d’un syndrome anxiodépressif trouvant sa cause dans les opérations frauduleuses ainsi que dans l’attitude de l’établissement bancaire.

En réplique, la Banque postale soutient que les opérations contestées ont été réalisées au moyen de la carte bancaire de M. [G] (un élément de possession) et du code confidentiel (un élément de connaissance) qui y est attaché, soit selon une procédure d’authentification forte conforme à la directive DSP2. Elle ajoute produire des relevés informatiques du service monétique chargé d’autoriser les retraits tout en contrôlant la carte bancaire qui démontrent que les retraits ont été effectués au moyen de la carte physique de M. [G], soit avec la puce, et non une copie de la bande magnétique, la preuve en étant rapportée par les numéros d’ordre, dit ATC (Application Transaction Counter), générés lors de chaque opération sans discontinuité. Elle fait valoir que dès lors que M. [G] affirme qu’il a toujours été en possession de sa carte, il s’en déduit que ce dernier a, soit remis volontairement son instrument de paiement, soit s’est fait subtilisé celui-ci par une personne à laquelle il a nécessairement communiqué son code confidentiel, ne prenant pas ainsi les précautions utiles pour assurer la sécurité de l’instrument de paiement et du code, en méconnaissance de ses obligations légales et contractuelles.

Elle ajoute qu’à supposer que M. [G] n’était pas dans le sultanat d’Oman à l’époque des faits, preuve qui selon elle ne peut être rapportée par la seule production d’un certificat de test Covid en date du 16 mai 2022, cet élément n’excluant pas la possibilité que le demandeur se soit rendu à plusieurs reprises à l’étranger pendant la période considérée, et ce d’autant plus que ses relevés de compte ne font apparaître aucune dépense en France réalisée avec sa carte bancaire à cette époque, cela n’exclut pas la négligence grave de ce dernier. Elle s’étonne par ailleurs du caractère tardif de la découverte des opérations litigieuses par M. [G], pourtant destinataire mensuellement de ses relevés de compte, et de son dépôt de plainte.

Elle conclut en conséquence au rejet des demandes indemnitaires, entendant préciser qu’elle n’a fait preuve ni d’inertie ni d’un manque de transparence dans les réponses apportées à la réclamation de M. [G] qui ne saurait dès lors arguer d’un préjudice moral résultant de son attitude.

Sur ce,

Une opération de paiement n’est autorisée au sens des articles L.133-3 et L.133-6 du code monétaire et financier que si le payeur l’a initiée et a consenti au montant de l’opération.

Dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L.133-18 à L.133-24 du code précité qui transposent les articles 58, 59 et 60 §1 de la directive 2007/64/CE, tout autre régime alternatif de responsabilité résultant du droit national devant être écarté.

En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les délais prévus par l’article L.133-24 du même code, le prestataire de services de paiement du payeur rembourse à ce dernier le montant de l’opération non autorisée sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement.

Dans cette hypothèse, il incombe au prestataire de paiement de prouver que l’opération litigieuse a été effectuée après une authentification forte, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre, l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement, à savoir l’utilisation des identifiants du client et l’absence de déficience technique ou autre, notamment par le biais de la production d’un relevé de ses connexions, ne suffisant pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur.

L’article L. 133-4 (f) du code précité précise qu’une authentification forte s’entend d’une authentification reposant sur l’utilisation de deux éléments ou plus appartenant aux catégories « connaissance » (quelque chose que seul l’utilisateur connaît telle qu’un mot de passe, un code secret, une question secrète, etc…), « possession » (quelque chose que seul l’utilisateur possède telle qu’un téléphone portable, une montre connectée, une clé USB etc…) et « inhérence » (quelque chose que l’utilisateur est telle que la reconnaissance faciale ou vocale, la reconnaissance par empreinte digitale, etc…) et indépendants en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d’authentification. L’authentification forte repose donc sur l’utilisation de deux de ces éléments, voire plus.

Par ailleurs, la responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à son insu, l’instrument de paiement ou les données qui lui sont liées. Cependant, il supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’agissements frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 du code précité.

Ainsi, pour échapper au remboursement de l’opération contestée, le prestataire de services de paiement doit démontrer, soit que l’ordre émanait bel et bien du client dûment authentifié dans son espace personnel, soit que le vol des identifiants de connexion (ou d’autres données) n’est que la conséquence d’une faute grave de sa part consistant à ne pas avoir satisfait intentionnellement aux obligations lui incombant en la matière ou à les avoir gravement négligées.

En l’espèce, l’établissement bancaire produit en pièce n°5 le relevé informatique de son service monétique et journal des retraits intervenus entre les 13 janvier et 13 juin 2022 dont il n’est pas contesté qu’il concerne le compte de M. [G] et dont il résulte que les retraits litigieux ont généré, pour chacun d’entre eux, un numéro d’ordre, dit ATC (Application Transaction Counter), et ce sans discontinuité avec les autres opérations non contestées mentionnées sur ce document.

Ces copies d’écran, issues du système informatique de la banque, doivent être regardées comme un commencement de preuve dès lors que, d’une part, la partie adverse dispose de toute latitude pour en contester les termes et que, d’autre part, il s’agit des seuls documents justificatifs dont peut valablement disposer l’établissement bancaire. Dénier toute valeur probante, même relative, aux pièces fournies par l’établissement bancaire reviendrait, de fait, à priver ce dernier de toute possibilité de prouver l’authentification et l’enregistrement des opérations litigieuses.

Or, il n’est pas utilement discuté par le demandeur que l’ATC est un compteur à deux octets stocké et maintenu par la puce d’une carte de paiement répondant à la norme EMV (Europay Mastercard Visa) telle que celle qui lui a été délivrée et que ce numéro est augmenté d’une valeur fixe par la puce elle-même au début de chaque transaction, fournissant un numéro de référence séquentiel pour chaque transaction effectuée par cette carte.

Les numéros ATC vont de 0 à 9 puis de A à F en continuant de la même façon de sorte que lorsque l’ATC généré par une opération est dans la même série que celle des ATC des opérations réalisées précédemment ou dans une série suivante, l’usage d’une carte falsifiée est peu crédible.

Au cas particulier, il ressort de la pièce n°5 de la banque précitée que le numéro ATC généré (00DC) lors du premier retrait litigieux effectué le 21 avril 2022 à 12h44 pour un montant de 963,86 euros s’inscrit dans la série suivante du numéro ATC (00D8) généré lors du retrait précédent que le demandeur ne conteste pas avoir effectué le 20 février 2022 à 18h41 pour un montant de 100 euros, étant précisé que trois autres demandes de retraits ont généré entretemps, à 12h37, 12h38 et 12h43, les numéros ATC 00D9, 00DA et 00DB qui caractérisent la continuité des séries.

La Banque postale rapporte dès lors la preuve que les retraits litigieux ont été réalisés au moyen d’une utilisation physique de la carte bancaire originale délivrée à M. [G] et de la composition du code confidentiel qui lui est associé, aucune opération dans un distributeur automatique de billets ne pouvant être réalisée sans ce dernier, et qu’ils ont donc été effectués après une authentification forte, dûment enregistrée et comptabilisée et qu’ils n’ont pas été affectés par une déficience technique ou autre, sauf à ce que le demandeur rapporte la preuve contraire, ce qu’il ne fait pas au cas particulier.

Cependant, il ne peut se déduire du seul fait que l’instrument de paiement et les données personnelles qui lui sont liées ont été effectivement utilisés qu’en l’espèce, M. [G] a validé lesdites opérations et, a fortiori, consenti à celles-ci dès lors qu’il déclare ne pas être l’auteur des retraits.

De plus, si La Banque postale relève, à juste titre, que la seule production d’un test antigénique réalisé le 16 mai 2022 à 19h07 ne permet pas d’exclure la possibilité que M. [G] se soit rendu dans le sultanat d’Oman et ait procédé lui-même aux retraits litigieux, y compris le 16 mai 2022, date à laquelle un retrait de 753,21 euros a été effectué, elle n’en rapporte pas pour autant la preuve.

Il convient dès lors de considérer que les opérations n’ont pas été autorisées par le demandeur et de rechercher s’il peut se voir reprocher une négligence grave au sens des articles L.133-16 et suivants du code monétaire et financier faisant obstacle à son indemnisation, étant rappelé que le régime de responsabilité s’appliquant aux opérations non autorisées énoncé par ces articles est exclusif de tout autre régime de responsabilité, notamment sur le fondement d’un manquement à l’obligation générale de vigilance.

Au cas particulier, comme développé ci-avant, il est rapporté la preuve que les retraits ont été effectués au moyen d’une utilisation physique de la carte bancaire de M. [G] et de la composition du code confidentiel qui lui est associé.

Si M. [G] affirme qu’il n’est pas l’auteur des retraits et qu’il est toujours en possession de son instrument de paiement, il n’en reste pas moins que la chronologie des faits démontre que le demandeur n’a pas pris toute mesure raisonnable pour préserver la sécurité de sa carte bancaire qui lui a été subtilisé pendant presque deux mois sans qu’il s’en aperçoive, soit du 22 avril au 14 juin 2022, permettant ainsi la réalisation de sept retraits frauduleux sur cette période, ce qui est constitutif d’une négligence grave au sens des dispositions de l’article L.133-19 du code monétaire et financier.

Par ailleurs, si M. [G] indique n’avoir obtenu un accès vers son espace personnel en ligne pour consulter ses extraits de compte que le 29 juin 2022, produisant à l’appui de cette affirmation une lettre de la banque lui communiquant un mot de passe provisoire pour accéder aux services en ligne, le tribunal relève que le formulaire d’ouverture de compte qu’il produit daté du 13 mai 2013 mentionne qu’il bénéficiait dès cette date dudit service en ligne.

M. [G] ne peut raisonnablement soutenir qu’il n’a eu accès à son compte, ouvert depuis 2013, qu’en juin 2022, et ce sans rapporter la preuve d’une moindre démarche auprès de son établissement bancaire pour réclamer un tel accès ou des relevés de compte pendant toutes ces années.

Or, M. [G] n’a signalé les opérations litigieuses pour la première fois que le 9 juillet 2022 alors que la première opération contestée a été réalisée le 21 avril 2022, ce qui caractérise un défaut de surveillance de sa part des mouvements sur son compte et un manquement à l’obligation d’informer sans tarder sa banque de l’existence d’opérations suspectes.

Dès lors, le tribunal retient qu’en s’abstenant de surveiller d’une part son instrument de paiement et, d’autre part, les mouvements sur son compte, et ce pendant plus de deux mois, M. [G] n’a pas satisfait, par négligence grave, à ses obligations de prendre toute mesure raisonnable pour préserver la sécurité de ses instruments de paiement et données de sécurité et d’informer sans tarder l’établissement bancaire de l’utilisation non autorisée de ceux-ci, conformément aux dispositions des articles L.133-16 et L.133-17 du code monétaire et financier, ce qui le prive de la possibilité de faire supporter par la banque les pertes occasionnées par les opérations de paiement non autorisées.

En conséquence, M. [G] est débouté de l’ensemble de ses demandes indemnitaires.

3 – Sur les autres demandes

3.1 – Sur les frais du procès

M. [G] qui succombe est condamné aux dépens, dont distraction au profit de la Selarl Dreyfus Fontana, Avocats.

Le demandeur est également condamné à payer à La Banque postale la somme de 1.000 euros sur le fondement de l’article 700 du code de procédure civile.

3.2 – Sur l’exécution provisoire

La présente décision est revêtue de droit de l’exécution provisoire conformément aux dispositions de l’article 514 du code de procédure civile dans sa version applicable en l’espèce, l’instance ayant été introduite postérieurement au 31 décembre 2019.

L’issue donnée au litige commande d’écarter l’exécution provisoire.

PAR CES MOTIFS

Le tribunal, statuant publiquement, contradictoirement et en premier ressort, par mise à disposition au greffe,

ORDONNE le retrait des débats de la pièce n°10 produite par la SA La Banque postale intitulée « Réponse du médiateur de la consommation du 5 janvier 2024 » ;

DEBOUTE M. [U] [G] de ses demandes ;

CONDAMNE M. [U] [G] aux dépens, dont distraction au profit de la Selarl Dreyfus Fontana, Avocats, conformément aux dispositions de l’article 699 du code de procédure civile ;

CONDAMNE M. [U] [G] à payer à la SA La Banque postale la somme de 1.000 euros au titre de l’article 700 du code de procédure civile ;

ECARTE l’exécution provisoire.

Fait et jugé à Paris le 24 Septembre 2025

LA GREFFIÈRE LE PRÉSIDENT