TRIBUNAL

JUDICIAIRE

DE [Localité 3] [1]

[1] Copie conforme délivrée

le :

à : Maître Dominique [Localité 4]

Copie exécutoire délivrée

le :

à :Maître Benoît ROBINET

Pôle civil de proximité

■

PCP JTJ proxi fond

N° RG 24/05890 – N° Portalis 352J-W-B7I-C6GH3

N° MINUTE :

2/2025

JUGEMENT

rendu le vendredi 07 novembre 2025

DEMANDEUR

Monsieur [N] [E] [U] [Z], demeurant [Adresse 2]

représenté par Maître Benoît ROBINET de la SELARL DOURDIN ROBINET FERAL, avocats au barreau de PARIS, vestiaire : #P0236

DÉFENDERESSE

S.A. BNP PARIBAS, dont le siège social est sis [Adresse 1]

représentée par Maître Dominique PENIN du PARTNERSHIPS MORGAN LEWIS & BOCKIUS UK LLP, avocats au barreau de PARIS, vestiaire : #J11

COMPOSITION DU TRIBUNAL

Mathilde CLERC, Juge, statuant en juge unique

assistée de Sirine BOUCHAOUI, Greffier,

DATE DES DÉBATS

Audience publique du 10 septembre 2025

JUGEMENT

contradictoire, en premier ressort, prononcé par mise à disposition le 07 novembre 2025 par Mathilde CLERC, Juge assistée de Sirine BOUCHAOUI, Greffier

Décision du 07 novembre 2025

PCP JTJ proxi fond – N° RG 24/05890 – N° Portalis 352J-W-B7I-C6GH3

EXPOSE DU LITIGE

M. [N] [Z] est titulaire d’un compte bancaire ouvert auprès de la SA BNP PARIBAS auquel est rattachée une carte bancaire.

Le 28 septembre 2022, M. [N] [Z] a été contacté par téléphone par une prétendue collaboratrice de la banque BNP PARIBAS, qui lui a signalé d’importants paiements opérés depuis son compte bancaire, correspondants à des achats sur internet. Suivant les consignes de son interlocutrice, il s’est connecté à son application mobile aux fins de suppression et de réinstallation de cette dernière, après commande d’une nouvelle clé digitale. La même interlocutrice l’a de nouveau contacté le 30 septembre 2022 pour l’informer d’une régularisation en cours. Le 3 octobre 2022, il a reçu un SMS lui demandant d’activer une clé digitale. Il a par la suite constaté que quatre paiements d’un montant total de 5316 euros, dont il n’était pas à l’origine, avaient été réalisés entre le 28 septembre 2022 et le 2 octobre 2022 depuis son compte bancaire.

Comprenant qu’il avait été victime d’une escroquerie, M. [N] [Z] a fait opposition à sa carte bancaire le 3 octobre 2022 et a déposé plainte le 6 octobre 2022 pour utilisation frauduleuse de sa carte bancaire.

Il a ensuite contesté les quatre opérations auprès de la BNP PARIBAS.

Le 5 octobre 2022, la SA BNP PARIBAS a refusé de procéder au remboursement d’une somme de 816 euros, au motif que les opérations litigieuses avaient fait l’objet d’une authentification forte, refus renouvelé s’agissant cette fois d’un montant total de 5316 euros par courrier du 24 octobre 2022, au motif que sa clé digitale avait été enrôlée sur un nouveau téléphone portable, ce qui n’avait pu advenir qu’avec son identifiant client et son code confidentiel.

M. [N] [Z] a par la suite adressé plusieurs courriers à la SA BNP PARIBAS aux fins de contestation de ce refus.

Par courrier du 21 novembre 2022, la SA BNP PARIBAS a réitéré les termes de sa réponse du 24 octobre 2022, du fait de ce qu’elle qualifiait alors de contribution involontaire à la réalisation des paiements frauduleux, lui indiquant toutefois créditer la somme de 500 euros sur son compte bancaire, aux fins de l’accompagner dans les jours suivants.

M. [N] [Z] a saisi le Médiateur de la Fédération Bancaire Française par courrier du 9 novembre 2022.

Il a, par la suite, souscrit auprès de la banque BNP PARIBAS un crédit d’un montant total de 6200 euros, au taux débiteur fixe de 4,69%, aux fins de régularisation de la situation de son solde débiteur.

Par courrier du 2 janvier 2023, le conseil de M. [N] [Z] a mis la banque en demeure de régler sous quinzaine à son client la somme de 5316 euros, outre une somme de 600 euros, correspondante au coût de son intervention.

La SA BNP PARIBAS a, par courrier du 9 janvier 2023, répondu à M. [N] [Z] qu’il ne lui était plus possible d’intervenir sur ce sujet, dès lors qu’il avait saisi la Médiation auprès de la Fédération Bancaire Française.

C’est dans ce contexte que, le 3 octobre 2024, M. [N] [Z] a fait assigner la SA BNP PARIBAS devant le juge de proximité du tribunal judiciaire de Paris, aux fins d’obtenir:

— la condamnation de la SA BNP PARIBAS à lui payer la somme de 5316 euros au titre des paiements frauduleux dont il a été victime,

— la condamnation de la SA BNP PARIBAS à lui payer la somme de 2500 euros en réparation de son préjudice moral,

— la condamnation de la SA BNP PARIBAS à lui payer la somme de 764 euros en remboursement des intérêts du prêt du 7 décembre 2022,

— la condamnation de la SA BNP PARIBAS à lui payer la somme de 2000 euros au titre de l’article 700 du code de procédure civile, outre aux entiers dépens.

L’affaire a été appelée à l’audience du 24 mars 2025, et a fait l’objet d’un renvoi à l’audience du 10 septembre 2025, aux fins de permettre aux parties de se mettre en état.

A l’audience du 10 septembre 2025, M. [N] [Z], représenté par son conseil, a déposé des conclusions, aux termes desquelles il réitère les demandes contenues dans son acte introductif d’instance, actualisant sa demande formée au titre du remboursement du montant des paiements frauduleux à la somme de 4816 euros, correspondante à la somme détournée de 5316 euros, déduction faite des 500 euros versés par la banque le 21 novembre 2022.

A l’appui de ses prétentions, M. [N] [Z] invoque les articles L 133-16, L. 133-17, 133-19 et L 133-23 du code monétaire et financier ; il soutient n’avoir pas consenti aux paiements frauduleux, rappelant que c’est à la banque de rapporter la preuve que l’utilisateur qui nie avoir autorisé une opération de paiement a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations, ce que la SA BNP PARIBAS échoue selon lui à faire en l’espèce.

Il soutient tout d’abord que le simple fait que l’escroc ait eu connaissance de ses informations personnelles et qu’il ait disposé de l’accès à son application BNP PARIBAS présume à lui-seul d’une déficience technique dans le traitement des données personnelles des clients de la BNP PARIBAS. Il ajoute qu’alors que sa carte bleue bénéficie d’un cryptogramme dynamique, permettant la modification perpétuelle du cryptogramme de sa carte bancaire, trois paiements ont été réalisés à des dates différentes, ce qui est selon lui révélateur d’une déficience imputable à la banque.

Il rappelle par ailleurs que le banque a toujours reconnu qu’il avait été victime de manœuvres frauduleuses de sorte qu’elle ne saurait aujourd’hui contester le spoofing dont il a été victime, dont il souligne qu’il n’existe à ce jour pas de définition légale. Il conteste toute négligence grave, expliquant que son niveau de vigilance a décru du fait du niveau d’information détenu par son interlocutrice, rendu possible par la déficience technique de sa banque.

Au soutien de sa demande indemnitaire, il expose avoir été rendu destinataire de nombreux courriers de relance et menaces de clôture de compte en raison du solde débiteur de son compte, du fait des paiements frauduleux ; il ajoute que cette situation l’a empêché d’honorer plusieurs échéances mensuelles, notamment le paiement de la pension alimentaire de son fils, le contraignant à contracter un prêt remboursable en 60 mois, et ainsi à régler des intérêts qu’il n’aurait pas payés si les paiements frauduleux n’avaient pas eu lieu.

La SA BNP PARIBAS, représentée par son conseil, a déposé des écritures, précisant renoncer à la demande tendant à constater la forclusion des demandes de M. [N] [Z] qui y figure, aux termes desquelles elle sollicite :

— le rejet de l’ensemble des demandes de M. [N] [Z], à toutes fins qu’elles comportent,

— Subsidiairement, la limitation de sa condamnation au paiement de la somme de 4816 euros,

— la condamnation de de M. [N] [Z] au paiement de la somme de 2500 euros au titre de l’article 700 du code de procédure civile, outre aux entiers dépens,

— que l’exécution provisoire soit écartée.

Au soutien de ses prétentions, elle observe en premier lieu que la situation dans laquelle s’est trouvé M. [N] [Z] ne saurait être qualifiée de spoofing dès lors que ce dernier ne produit aucune pièce permettant d’établir qu’il aurait été contacté par un faux conseiller ayant usurpé le numéro de téléphone de la banque. Elle précise, s’agissant de l’arrêt de la cour de cassation du 23 octobre 2024 dont se prévaut M. [N] [Z], qu’il n’est pas transposable aux faits de l’espèce, les circonstances étant différentes.

Elle soutient par ailleurs que M. [N] [Z] se serait rendu coupable d’une négligence grave, en communiquant ses données personnelles au fraudeur, le demandeur ne prouvant nullement que son mot de passe aurait fait l’objet d’une fuite ou de divulgation en raison d’une défaillance informatique de la banque. Elle ajoute qu’il résulte des traces informatiques que la clé digitale permettant l’accès à l’application et la validation des opérations litigieuses a été enrôlée sur un nouveau téléphone, grâce à un SMS adressé à M. [N] [Z] qui a nécessairement été communiqué à l’escroc, lequel a disposé de cinq jours pour achever son forfait, en l’absence de réaction de M. [N] [Z] avant le 3 octobre 2022.

Elle ajoute, s’agissant de réparation du préjudice moral de M. [N] [Z], que le régime de responsabilité du prestataire de service de paiement en cas de paiements non autorisés, défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier, est exclusif de tout autre régime de responsabilité concurrent, de sorte que la demande indemnitaire sur le fondement de la responsabilité contractuelle doit être écarté.

S’agissant du préjudice financier de ce dernier, elle souligne qu’en tant que seul responsable de son préjudice pour avoir permis le désenrôlement de se clé digitale de son téléphone, il ne démontre pas de lien de causalité entre la faute de la banque, au demeurant non démontrée, et la souscription d’un crédit impliquant le paiement d’intérêts.

A l’issue des débats, l’affaire a été mise en délibéré au 7 novembre 2025, par mise à disposition au greffe, en application des dispositions de l’article 450 alinéa 2 du Code de procédure civile.

MOTIFS DE LA DECISION

Sur le régime de responsabilité applicable

Il est constant que dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier.

L’article L.133-6 du Code monétaire et financier dispose qu’une opération de paiement est autorisée si le payeur a donné son consentement à son exécution.

Il a été jugé qu’une opération de paiement initiée par le payeur, qui donne un ordre de paiement à son prestataire de service de paiement, est réputée autorisée uniquement si le payeur a également consenti à son bénéficiaire (Cass. Com, 1 juin 2023, 21-19.289)

En l’espèce, M. [N] [Z] explique avoir été contacté en date du 28 septembre 2022, par une interlocutrice se présentant comme une collaboratrice de la SA BNP PARIBAS, l’alertant de débits de sommes importantes sur son compte bancaire, correspondant à des achats sur internet. Cet interlocuteur l’aurait informé de la nécessité de se connecter à son espace sécurisé aux fins de désinstallation de l’application et de commande d’une nouvelle clé digitale. Il déclare avoir suivi les consignes de son interlocutrice.

M. [N] [Z] reconnaît ainsi avoir été trompé par un interlocuteur se faisant passer pour un employé de sa banque. C’est postérieurement à cet appel que les paiements frauduleux ont été réalisés. Les circonstances de la fraude résultent donc de l’authentification de la victime, sans que celle-ci ait voulu s’authentifier aux fins de procéder à des paiements en ligne, mais au contraire, alors qu’elle s’inquiétait de paiements annoncés comme ayant été frauduleusement réalisés.

Il ne saurait donc, dans ces circonstances, être considéré que M. [N] [Z] a consenti aux paiements ou à leur bénéficiaire.

Les paiements litigieux n’ont donc pas été autorisés par M. [N] [Z], de sorte qu’il convient d’examiner la responsabilité de la banque sur le fondement des articles L. 133-18 et suivants du code monétaire et financier.

Sur la responsabilité de la SA BNP PARIBAS

L’article L.133-16 du même code prévoit que dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées ; il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées.

En vertu de l’article L.133-18 du code monétaire et financier, en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L.133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France.

L’article L.133-19 du même code dispose que la responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées. Toutefois, le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.133-16 et L.133-17. Enfin, il est précisé que sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44.

Dès lors, le prestataire de services de paiement du payeur ne peut s’exonérer du remboursement du montant de l’opération non autorisée que s’il parvient à démontrer l’agissement frauduleux ou la négligence grave du payeur.

Il résulte de l’article L.133-23 dudit code, que lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

Le prestataire de paiement doit donc non seulement prouver les manquements par le payeur à ses obligations, notamment en matière de conservation des données de sécurité personnalisées, mais aussi de prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée et n’a pas été affectée par une déficience technique ou autre dans une affaire de paiement par carte bancaire avec utilisation d’un code 3D sécure (Cass. Com. 12 novembre 2020, n 19-12.212)

Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’authentification forte, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.

Si la négligence grave du payeur ne saurait résulter de la seule utilisation de son moyen de paiement, elle peut en revanche être déduite de son comportement à l’occasion d’une telle utilisation et des circonstances de l’espèce. Elle s’apprécie en tenant compte de sa vigilance à réception de messages ou d’informations lui demandant la communication des données censées protéger les ordres de paiement. Le critère permettant de déterminer le degré de vigilance requis du payeur est celui de « l’utilisateur normalement attentif » (Com., 28 mars 2018, n 16-20.018).

Il est enfin constant que le mode opératoire par l’utilisation du « spoofing » diminue la vigilance d’un utilisateur, inférieure, face à un appel téléphonique émanant prétendument de sa banque pour lui faire part du piratage de son compte, à celle d’une personne réceptionnant un courriel, laquelle dispose de davantage de temps pour s’apercevoir d’éventuelles anomalies révélatrices de son origine frauduleuse (Cass. Com. 23 octobre 2024 n° 23-16.267), de sorte qu’aucune négligence grave ne peut être retenue même si l’utilisateur a saisi lui-même ses informations confidentielles.

En application de l’article 9 du code de procédure civile, il incombe à chaque partie de prouver conformément à la loi les faits nécessaires au succès de sa prétention.

En l’espèce, il est constant que M. [N] [Z] a été contacté par téléphone par un tiers se prétendant employé par la BNP PARIBAS, et qu’il s’est, à sa demande, connecté à son espace sécurisé, a désinstallé l’application, sur laquelle il s’est authentifié au moyen d’un moyen d’identification forte, et a commandé une nouvelle clé digitale, ce qui résulte des traces informatiques produites par la banque. Il n’est en outre pas contesté que M. [N] [Z] a reçu un SMS le 28 septembre 2022 contenant un code permettant d’activer cette nouvelle clé digitale.

Des traces informatiques et du relevé de compte bancaire que la banque produit, il résulte que les achats suivants ont été effectués depuis le compte bancaire de M. [N] [Z], suite à l’activation de la nouvelle clé digitale:

—  3500 euros en date du 28 septembre 2022 ;

—  1000 euros le 29 septembre 2022 à 15h23 ;

—  316 euros le 30 septembre 2022 à 21h04 ;

—  500 euros le 2 octobre 2022 à 10h13.

La preuve que doit apporter le prestataire de paiement de l’absence de déficience technique lors de l’opération, préalable à la preuve de la négligence grave du client, en cas d’opération non autorisée, repose sur les traces informatiques et moyens techniques; elle est en l’espèce apportée, dès lors qu’il est établi et au demeurant non contesté que M. [N] [Z] s’est connecté à son application via le système d’authentification forte de la banque.

M. [N] [Z] ne produit par ailleurs pas la capture d’écran permettant d’identifier depuis quel numéro de téléphone il a été contacté, le demandeur ne soutenant en tout état de cause pas que ce numéro était celui de sa banque. Il ne saurait ainsi se prévaloir d’une vilgilance diminuée par un numéro de téléphone usurpé.

Il ne produit pas non plus les SMS reçus le 28 septembre 2022 et le 3 octobre 2022, envoyés sur son numéro de téléphone portable, en dépit de la demande de communication de pièces formulée par la banque. La banque en produit cependant un modèle, dont il résulte qu’y figure la mention, en lettres capitales : « NE JAMAIS COMMUNIQUER CE CODE ». Or, l’installation d’une nouvelle application sur un nouveau téléphone portable, en l’espèce, celui de l’escroc, a nécessairement nécessité de M. [N] [Z] qu’il le lui communique. Les allégations de ce dernier, selon lesquelles son interlocutrice connaissait ses données personnelles d’accès à son application bancaire, apparaissent par ailleurs contradictoires avec le fait de téléphoner à l’utilisateur pour lui demander de se connecter lui-même à l’application.

Ainsi, alors que la banque démontre que M. [N] [Z] s’est connecté à son application sécurisée au moyen d’un mode d’identification forte, a désinstallé l’application et a commandé une nouvelle clé digitale, laquelle lui a été envoyée par SMS, sur son numéro de téléphone personnel, M. [N] [Z] qui argue d’une déficience technique ne produit pas les éléments, notamment, pas les SMS contenant sa nouvelle clé digitale, qui lui ont été communiqués par sa banque.

En l’absence d’éléments probatoires produits par M. [N] [Z] sur le SMS envoyé le 28 septembre 2022 sur le n° de téléphone référencé par lui pour ses opérations bancaires à distance, et alors qu’il explique avoir suivi des instructions données par un tiers par téléphone, sans numéro correspondant de la banque, il en résulte qu’il a par négligence grave donné des éléments d’informations, notamment le code confidentiel contenu dans le SMS qu’il a reçu, qu’il devait ne pas divulguer. Cette communication d’éléments a été à l’origine, avant qu’il ne fasse opposition, des paiements contestés, effectués par authentification forte.

M. [N] [Z] sera donc débouté de sa demande de remboursement.

Sur les dommages et intérêts

L’article 1231-6 du code civil dispose que les dommages et intérêts dus à raison du retard dans le paiement d’une obligation de somme d’argent consistent dans l’intérêt au taux légal, à compter de la mise en demeure.

Ces dommages et intérêts sont dus sans que le créancier soit tenu de justifier d’aucune perte. Le créancier auquel son débiteur en retard a causé, par sa mauvaise foi, un préjudice indépendant de ce retard, peut obtenir des dommages et intérêts distincts de l’intérêt moratoire.

En l’espèce, M. [N] [Z] fait état d’un préjudice moral pour les désagréments pendant plusieurs mois pour une somme importante et d’un préjudice matériel pour les intérêts réglés au titre du prêt bancaire qu’il a dû contracter pour régulariser le solde débiteur de son compte.

Toutefois, étant débouté au principal pour les motifs précités, il sera débouté de sa demande de dommages et intérêts.

Sur les demandes accessoires

M. [N] [Z], partie perdante, sera condamné aux dépens en application de l’article 696 du Code de procédure civile et débouté de sa demande au titre de l’article 700 du Code de procédure civile.

L’équité commande de rejeter la demande formée par la SA BNP PARIBAS sur le fondement de l’article 700 du Code de procédure civile.

En application de l’article 514 du Code de Procédure civile, l’exécution provisoire, de droit en la matière, ne sera pas écartée.

PAR CES MOTIFS,

Le juge du tribunal judiciaire de Paris, statuant publiquement en premier ressort par jugement contradictoire mis à disposition au greffe,

REJETTE la demande tendant à voir la SA BNP PARIBAS condamnée à payer à M. [N] [Z] la somme de 5316 euros au titre des paiements non autorisés et réalisés depuis son compte bancaire;

DEBOUTE M. [N] [Z] de sa demande d’indemnisation de son préjudice moral,

DEBOUTE M. [N] [Z] de sa demande d’indemnisation de son préjudice financier,

CONDAMNE M. [N] [Z] aux dépens de l’instance ;

REJETTE la demande formée par la SA BNP PARIBAS par au titre de l’article 700 du code de procédure civile

RAPPELLE que l’exécution provisoire de la présente décision est de droit.

Le greffier La présidente