TRIBUNAL

JUDICIAIRE

DE [Localité 7] [1]

[1] Expéditions

exécutoires

délivrées le :

à

M^e HUET

M^e GOSSET

■

9ème chambre 3ème section

N° RG 24/05909

N° Portalis 352J-W-B7I-C4IME

N° MINUTE : 8

Assignation du :

29 Avril 2024

JUGEMENT

rendu le 20 Mars 2025

DEMANDEURS

Monsieur [R] [F]

et

Madame [K] [F]

demeurant ensemble

[Adresse 1]

[Localité 4]

représentés par Maître Ludovic HUET, avocat au barreau de PARIS, vestiaire #C2123

DÉFENDERESSE

Société Anonyme coopérative banque Populaire BRED BANQUE POPULAIRE

[Adresse 2]

[Localité 3]

représentée par Maître Jean-philippe GOSSET de la SELEURL CABINET GOSSET, avocats au barreau de PARIS,vestiaire #B0812

Décision du 20 Mars 2025

9ème chambre 3ème section

N° RG 24/05909 – N° Portalis 352J-W-B7I-C4IME

COMPOSITION DU TRIBUNAL

Par application des articles R.212-9 du Code de l’Organisation Judiciaire et 812 du Code de Procédure Civile, l’affaire a été attribuée au Juge unique.

Avis en a été donné aux avocats constitués qui ne s’y sont pas opposés.

Béatrice CHARLIER-BONATTI, Vice-présidente, statuant en juge unique, assistée de Chloé DOS SANTOS, Greffière.

DÉBATS

A l’audience du 06 Février 2025 tenue en audience publique, avis a été donné aux avocats des parties que la décision serait rendue le 20 Mars 2025.

JUGEMENT

Rendu publiquement par mise à disposition au greffe

Contradictoire

En premier ressort

EXPOSE DU LITIGE

M. [R] [F] et Mme [K] [F] ci-après dénommés " Les époux [F] " sont titulaires d’un compte joint ouvert dans les livres de la BRED.

Lors de la consultation de leur compte sur internet, les époux [F] se sont aperçus qu’en date du 3 mars 2021 deux opérations frauduleuses sont intervenues pour un montant global de 24 000 euros, ils ont contacté la BRED le 5 mars 2021 et ont dénoncé les virements réalisés.

Le même jour, un dépôt de plainte a été déposé par les époux [F] auprès du commissariat de police de [Localité 6].

Considérant que les opérations litigieuses se sont déroulées à leur insu et sans la moindre intervention de leur part, par courrier du 12 mars 2021, les époux [F] ont sollicité le remboursement de la somme détournée auprès de la BRED.

Par courriers du 20 mai 2021, la BRED a refusé le remboursement desdites sommes évoquant qu’après analyse les époux [F] avaient fait preuve de négligences dans la préservation de leurs données de sécurité personnalisées.

C’est dans ces circonstances que les époux [F] ont, par acte de commissaire de justice en date du 29 avril 2024, assigné la BRED.

Par dernières conclusions n°1 signifiées par voie électronique le 23 octobre 2024, aux visas des 1231-1 et 1240 du code civil, des articles L. 133-18 et suivants du code monétaire et financier, les époux [F] demandent au tribunal de :

“- Juger que les époux n’ont communiqué aucune information bancaire et facilité de quelque manière que ce soit la fraude dont ils ont été victimes ;

— Juger que les opérations frauduleuses n’ont pas fait l’objet d’une double authentification par les époux [F] ;

— Juger que la validation des opérations n’a pas été effectuée depuis les coordonnées de contact connus par la banque concernant ses clients ;

— Condamner la BRED à leur verser la somme de 24 000 € avec intérêt légal à compter de l’assignation en date du 17 juin 2021 et calculée en fonction des dispositions de l’article L. 133-18 du code monétaire et financier prévoyant un taux d’intérêt majoré ;

— Condamner la BRED à leur verser la somme de 4 000 euros à titre de dommages et intérêts du fait de la rétention abusive de la défenderesse ;

— Condamner la BRED à leur verser la somme de 5 000 euros au titre de l’article 700 du code de procédure civile ;

— Condamner la BRED aux entiers dépens.”

Les époux [F] font valoir que :

— Deux opérations de virements frauduleux de 9 000 et 15 000 euros ont été effectuées le 3 mars 2021 à des bénéficiaires qu’ils ne connaissaient pas et n’ont aucune information sur ces opérations.

— Il ne s’agit que d’une pure opération frauduleuse de piratage de leur espace bancaire en ligne. On ne peut que présumer qu’une personne est entrée sur leur espace personnelle en ligne.

— Considérant que l’opération de paiement non autorisée a été effectuée sans utilisation des données de sécurité personnalisées et considérant, l’absence de démonstration de toute implication des époux [F], il est demandé le remboursement de la somme de 24 000 euros par la BRED.

— La banque se contente de communiquer des relevés généraux sur lesquels on ne peut lire aucun élément relatif aux coordonnées de contact des époux [F], les opérations auraient été authentifiées par mail et téléphone, 4 fois dans la même seconde, le numéro de téléphone et le courriel des époux [F] ne figurent pas sur ce relevé de sorte qu’il est impossible de prouver que c’est à eux que la banque à envoyer ces informations pour validation des opérations frauduleuses.

— La double authentification n’est même pas présentée, la preuve de la validation par le téléphone portable des époux [F] n’est pas démontrée et démontrable car aucun numéro n’y figure et que la modification des coordonnées a pu être effectuées.

— Il est probable que la fraude n’a pu être effectuée que par un piratage de la banque et/ou une modification des coordonnées de contact des époux [F] par des fraudeurs. La banque a été nécessairement peu précautionneuse dans le contrôle du changement des coordonnées de contact de ses clients ou, un piratage encore plus complexe.

— La BRED montre sa mauvaise foi et une résistance abusive quant au refus du remboursement justifiant le paiement de dommage et intérêts.

Par dernières conclusions signifiées par voie électronique le 25 septembre 2024, aux visas des articles L. 1103, 1358 et 1362 du code civil, des articles L. 133-18 et suivants du code monétaire et financier, la BRED demande au tribunal de :

“- Recevoir la BRED en ses conclusions, l’y déclarant bien fondée ;

— Juger que les époux [F] ne peuvent obtenir le remboursement par la BRED des opérations de virement en ligne qu’ils contestent en présence d’opérations conformément authentifiées et donc autorisées ;

— En toute hypothèse, exécutées suite à leurs négligences graves,

— Débouter les demandeurs de l’intégralité de leurs demandes, fins et prétentions ;

— Condamner solidairement les demandeurs à verser à la BRED la somme de 3 000 € au titre de l’article 700 du code de procédure civile ;

— Les condamner solidairement aux entiers dépens.”

La BRED soutient que :

— La fraude alléguée par les demandeurs n’a en toute hypothèse été possible que du fait qu’un tiers a été mis en possession de l’identifiant du compte et du mot de passe strictement personnels aux titulaire et cotitulaire dudit compte.

— Sans cette mise en place préalable il n’aurait pas été en mesure de procéder aux virements aujourd’hui contestés.

— Or, il convient de rappeler que les circonstances dans lesquelles un tel ajout a été possible ne relèvent nullement de la sphère d’intervention de l’établissement teneur de compte.

— La justification par la BRED de l’authentification forte mise en œuvre concernant l’autorisation des virements en ligne litigieux exclut toute obligation de remboursement des opérations à l’égard des époux [F] dès lors que celles-ci sont dûment authentifiées et juridiquement consenties par le titulaire ou le cotitulaire du compte.

— En l’espèce, il convient de rappeler que l’authentification conforme des virements en ligne enregistrée par les services de la BRED constitue la preuve du consentement des consorts [F].

Conformément aux dispositions de l’article 455 du code de procédure civile, il est renvoyé aux dernières écritures des parties pour l’exposé des moyens et arguments venant au soutien de leurs demandes.

La clôture de l’instruction a été prononcée le 5 décembre 2024. L’affaire a été tenue en juge rapporteur du 6 février 2025 et mise en délibéré au 20 mars 2025.

MOTIFS DE LA DECISION

Il est rappelé, à titre liminaire, qu’il n’y a pas lieu de statuer sur les demandes de « dire/juger » qui ne constituent pas des prétentions susceptibles d’entrainer des conséquences juridiques au sens de l’article 4 du code de procédure civile, mais uniquement la reprise des moyens développés dans le corps dans conclusions et qui ne doivent pas, à ce titre, figurer dans le dispositif des écritures des parties.

I. Sur les opérations non autorisées

L’article L. 133-16 du code monétaire et financier dispose que « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées ».

En l’espèce, les époux [F] indiquent dans leurs écritures que deux opérations litigieuses ont été réalisées à leur insu le 3 mars 2021 au profit de bénéficiaires qu’ils ne connaissaient pas, qu’ils n’ont jamais révélés leurs identifiants ou données personnelles permettant d’accéder à leur compte.

L’article L 133-17 du code monétaire et financier dispose que : " I. – Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci”.

Les époux [L] indiquent également qu’il ne peut s’agir que d’une entrée frauduleuse sur leur espace personnel en ligne et que les opérations ont été effectuées sans utilisation de leurs données de sécurité personnalisées.

Ainsi, ils confirment que lors d’une consultation de leur compte, M. [F] s’est aperçu que deux virements datés du 3 mars 2021 avaient été effectués au bénéfice pour le premier de Mme [E] [W] pour un montant de 15 000 euros et le second de 9 000 euros au bénéfice d’Ocefama.

C’est dans ces circonstances, qu’ils ont contacté leur banque le 5 mars 2021 et ont déposé plainte auprès des services de police le même jour.

Selon L’article L 133-18 du code monétaire et financier dispose que : " En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L.133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.

Lorsque l’opération de paiement non autorisée est initiée par l’intermédiaire d’un prestataire de services de paiement fournissant un service d’initiation de paiement, le prestataire de services de paiement gestionnaire du compte rembourse immédiatement, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, au payeur le montant de l’opération non autorisée et, le cas échéant, rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. La date de valeur à laquelle le compte de paiement du payeur est crédité n’est pas postérieure à la date à laquelle il avait été débité.

Si le prestataire de services de paiement qui a fourni le service d’initiation de paiement est responsable de l’opération de paiement non autorisée, il indemnise immédiatement le prestataire de services de paiement gestionnaire du compte, à sa demande, pour les pertes subies ou les sommes payées en raison du remboursement du payeur, y compris le montant de l’opération de paiement non autorisée.

Le payeur et son prestataire de services de paiement peuvent décider contractuellement d’une indemnité complémentaire. ".

En application des articles L.133-19 IV et L.133-23 du code monétaire et financier, lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre, et il appartient également à la banque, qui se prévaut des articles L.133-16 et L.133-17 du code monétaire et financier imposant à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées, que l’utilisateur a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations. Cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés.

En l’espèce, la BRED soutient que les virements litigieux ont fait l’objet d’une authentification forte qui constitue la preuve du consentement des époux [F] aux opérations litigieuses.

La BRED verse aux débats les fichiers retraçant les connexions à la banque en ligne du 3 mars 2021, des opérations effectuées depuis le site « BREDConnect » ainsi que les notifications « SMS et Mails » d’envois de création de Rib bénéficiaires ainsi que des confirmations de virements Sepa au profit de Mme [E] [W] et d’Ocefama.

Il ressort cependant des traces informatiques de l’espace en ligne communiquées par la BRED, la chronologie des connexions et opérations réalisées le 3 mars 2023 :

— Concernant les traces techniques :

o 9h10mn : connexion à l’espace sécurisé de M. [R] [F] depuis le site WWW.bred.fr et de l’identifiant client domtuaux ;

o 21h50mn32 secondes : nouvelle connexion à l’espace sécurisé de M. [R] [F] depuis le site services.bred.fr , de l’identifiant client domtuaux ;

o 21h50mn50secondes : nouvelle connexion à l’espace sécurisé de M. [R] [F] depuis le site services.bred.fr, de l’identifiant client 35429429 ;

o 21h53mn34secondes : nouvelle connexion à l’espace sécurisé de M. [R] [F] depuis le site WWW.bred.fr, de l’identifiant client domtuaux ;

o 22h02mn21secondes : nouvelle connexion à l’espace sécurisé de M. [R] [F] depuis le site services.bred.fr, de l’identifiant client 35429429 ;

o 22h02mn27secondes : nouvelle connexion à l’espace sécurisé de M. [R] [F] depuis le site services.bred.fr, de l’identifiant client 35429429.

— Concernant la transcription exacte des traces techniques :

o A 21h55mn 11secondes : 5 envois de confirmation de création de RIB bénéficiaire ont été adressés par téléphone et mail ;

o A 21h56mn 33secondes : 2 envois de confirmation de virement SEPA ont été adressés par téléphone et mail ;

o A 21h59mn 40secondes : 2 envois de confirmation de création de RIB bénéficiaire ont été adressés par téléphone et mail ;

o A 22h00mn 31secondes : 3 envois de confirmation de virement SEPA ont été adressés par téléphone et mail.

Ainsi :

— Deux virements ont été réalisés le 3 mars 2021 le premier à 21h56 mn 33 secondes d’un montant de 15 000 euros vers le compte DE581101015818997245 bénéficiaire Mme [E] [W] et le second à 22h00 mn 31 secondes d’un montant de 9 000 euros vers le compte [XXXXXXXXXX05] bénéficiaire OCEFAMA.

— Les opérations litigieuses réalisées ont toutes été opérées de connexions et de différentes adresses ID trh9gr.pwsbzqd4w4d6sj2xkexe/ sjlew6vm9v6q8563f4xx88jzzan/ qe4e7akyujmjxg67lm5bbbvcu2, et tmnmpw764ysf78zhdejch57nt6,

— Lors desdites connexions les Identifiants clients et notamment celles de 21h50mn50 secondes, 22h02mns21 secondes et 22hh02mn27 secondes ont été quant à elles faites de l’identifiant client 35429429 via un site « services.bred.fr » alors que les trois autres connexions l’ont été avec l’identifiant client « domtuaux » via un site « www.bred.fr », ce qui auraient dus alerter la BRED.

Si ces éléments attestent d’une connexion à l’espace de la banque en ligne des époux [F] et de la réalisation des virements litigieux, les pièces précitées produites par la banque n’établissent que le succès de l’authentification du client ou d’un tiers et non la mise en œuvre d’une authentification forte.

Les époux [F] affirment ne pas avoir communiqué leurs données confidentielles, il est relevé, au regard de la chronologie relatée ci-avant et notamment dans la transcription exacte des traces techniques que douze notifications soit par mails soit par téléphone entre 21h55 mn 11 secondes et 22 h 00 mn 31 secondes, sans aucune mention concernant les envois de SMS et Courriels au titulaire du compte pour valider les opérations.

L’ensemble de ces informations ne suffisent pas à établir la mise en œuvre d’une authentification forte pour enregistrer un bénéficiaire et effectuer un virement.

Il résulte des dispositions de l’article L. 133-23, alinéa 2 du code monétaire et financier sur les modalités pratiques en cas d’opérations de paiement non autorisées ou mal exécutées, que la preuve que l’utilisateur a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations, ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont effectivement été utilisées.

En l’espèce la banque ne démontre pas un agissement frauduleux de la part des époux [F], qui ne résulte d’aucun élément au dossier et qui constitue le seul cas emportant exonération de son obligation de remboursement.

Quand bien même la BRED soutient la négligence grave des époux [F], elle n’invoque et ne démontre pas un agissement frauduleux de leur part, les opérations litigieuses ne sont pas autorisées, au sens où elles n’ont pas été consenties par les époux [F] ce que les données techniques permettent de conforter selon les traces informatiques de l’espace en ligne produite par la BRED.

S’il ressort au demeurant que les virements litigieux ont tous été effectués le 3 mars 2021 pour un montant de 24 000 euros, il n’est pas contesté qu’ils ont été effectués à partir de plusieurs adresses ID et de sites différents et sans authentification forte.

Afin d’apporter la preuve que les époux [F] ont commis des négligences graves, il appartenait à la BRED de produire aux débats des éléments informatiques reprenant les données techniques déterminant les différentes adresses IP, ID et des sites à partir desquelles les connexions frauduleuses ont été effectuées ainsi qu’une consultation informatique justifiant que les identifiants personnels dont se servaient les époux [F] lorsqu’ils se connectaient sur le site de la banque n’avaient pas fait l’objet d’un hameçonnage.

Ces éléments auraient été de nature à justifier que seuls les époux [F] pouvaient être à l’origine de la divulgation de leurs identifiants personnels.

Ainsi, la BRED n’apporte pas la preuve que les époux [F] ont transmis leurs coordonnées et leurs identifiants ni réalisé les deux virements litigieux et Il y a lieu de souligner que les époux [F] n’ont jamais reconnu les avoir communiqués à un tiers inconnu que ce soit lors de leur dépôt de plainte que dans les différents courriers envoyés à la banque.

En conséquence, il y a lieu de condamner la BRED à rembourser aux époux [F] la somme de 24 000 euros avec intérêts au taux légal majoré de quinze points à compter du 17 avril 2021.

II. Sur la demande de dommages et intérêts du fait de la rétention abusive de la BRED

En application de l’article 1231-1 du code civil, « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure ».

Selon l’article 1240 du code civil : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ».

En l’espèce, le simple refus de la BRED de procéder au remboursement des virements litigieux ne permet pas d’établir l’existence d’une rétention abusive au regard notamment des conditions dans lesquelles les virements ont été passés depuis l’espace privé en ligne des époux [F].

En conséquence, la demande est rejetée.

III. Sur les frais du procès

L’article 695 du code de procédure civile énumère les frais du procès qui entrent dans la catégorie des dépens. Il est de principe que les dépens sont à la charge de la partie perdante, conformément à l’article 696 du code de procédure civile.

Partie perdante au procès, la BRED sera condamnée au paiement des entiers dépens, conformément à l’article 696 du code de procédure civile.

Elle sera également condamnée à payer M. [R] [F] et Mme [K] [F] la somme de 2 000 euros afin de compenser les frais de justice non compris dans les dépens qu’ils ont dû exposer afin d’assurer la défense judiciaire de leurs intérêts, en application de l’article 700 du code de procédure civile.

PAR CES MOTIFS

Le tribunal, statuant publiquement, par jugement contradictoire en premier ressort, mis à disposition au greffe,

CONDAMNE la BRED BANQUE POPULAIRE à payer à M. [R] [F] et Mme [K] [F] la somme de 24 000 euros avec intérêt au taux légal majoré de quinze points à compter du 17 avril 2021 ;

DEBOUTE les parties de leurs demandes plus amples et contraires ;

CONDAMNE la BRED BANQUE POPULAIRE aux dépens ;

CONDAMNE la BRED BANQUE POPULAIRE à payer à M. [R] [F] et Mme [K] [F] la somme de 2 000 euros sur le fondement des dispositions de l’article 700 du code de procédure civile.

Fait et jugé à [Localité 7] le 20 Mars 2025.

LA GREFFIERE LE PRÉSIDENT