Extrait des minutes du greffe du tribunal judiciaire de Paris TRIBUNAL
JUDICIAIRE
DE PARIS
9ème chambre 2ème section
N° RG 23/01156 – N°
Portalis
352J-W-B7H-CY2CF
N° MINUTE: 3
JUGEMENT Assignation du : rendu le 06 Juin 2025 19 Janvier 2023
DEMANDERESSE
Madame X Y 18 rue du Moulin Vert
75014 PARIS représentée par Maître Dorothée LANTER, avocat au barreau de PARIS, vestiaire #A0640
DÉFENDERESSE
S.A. BNP PARIBAS
16 boulevard des Italiens
75009 PARIS représentée par Maître Philippe METAIS du PARTNERSHIPS BRYAN CAVE LEIGHTON PAISNER (France) LLP, avocats au barreau de PARIS, vestiaire #R030
Expéditions délivrées le:
06/06/2025 à
M^e LANTER
M^e METAIS
Page 1

---

allang ub 29junim zub 1611x3 20169 ob cion du 06 Juin 2025 Décision
9ème chambre 2ème section
N° RG 23/01156 – N° Portalis 352J-W-B7H-CY2CF
COMPOSITION DU TRIBUNAL
Gilles MALFRE, 1er Vice-Président adjoint Augustin BOUJEKA, Vice-Président Alexandre PARASTATIDIS, Juge
assistés de Diane FARIN, Greffière.
DÉBATS
A l’audience du 04 Avril 2025 tenue en audience publique devant, Augustin BOUJEKA, juge rapporteur, qui, sans opposition des avocats, a tenu seul l’audience, et, après avoir entendu les conseils des parties, en a rendu compte au Tribunal, conformément aux dispositions de l’article 805 du Code de Procédure Civile. Avis a été donné aux avocats que la décision serait rendue le 06 juin 2025.
JUGEMENT
Rendu publiquement par mise à disposition au greffe Contradictoire
En premier ressort
FAITS ET PROCÉDURE
Madame X Z est titulaire d’un compte courant n°30004 00828 00000600195 76 ouvert dans les livres de la société anonyme
BNP Paribas (ci-après la BNP).
A la date du 9 juin 2022, ce compte servait de support à une carte bancaire Visa Premier n°4974 XXX XXX 7712 à débit différé plafonnée à 4.500 euros de paiements sur 30 jours, émise par la BNP au profit de Madame Z.
Madame Z affirme avoir été contactée le 9 juin 2022 par une personne se présentant comme un conseiller bancaire de la BNP qui l’a informée qu’elle devait, suite à une opération de renforcement de sécurité organisée par la banque, confirmer l’activation de sa clé digitale sur son téléphone portable et qu’elle allait récevoir un email de confirmation en ce sens.
Ce même 9 juin 2022, le compte de Madame Z a été débité d’un paiement par carte bancaire de 9.855 euros et le lendemain, d’un autre paiement, également par carte bancaire, au montant de 1.894,95 euros.
Le 13 juin 2022, Madame Z a fait opposition à sa carte de paiement, affirmant avoir reçu des alertes concernant des tentatives de paiement frauduleux.
Elle indique en outre avoir, à réception de son relevé de compte le 26 juillet 2022, constaté le débit du paiement de 9.855 euros en date du 9 juin 2022 et un autre débit de 1.894,95 euros correspondant au paiement du 10 juin 2022.
Page 2

---

Décision du 06 Juin 2025
9ème chambre 2ème section
N° RG 23/01156 – N° Portalis 352J-W-B7H-CY2CF
Le 26 juillet 2022, Madame Z a déposé plainte pour vol simple et contesté ces deux opérations auprès de la BNP en sollicitant le remboursement de la somme globale de 11.749,95 euros.
Par réponse du 27 juillet 2022, la BNP a rejeté la demande de Madame Z au motif que les deux opérations avaient été validées à l’aide de la clé digitale de Madame Z.
Madame Z a réitéré sa contestation par lettre recommandée avec accusé de réception de son conseil en date du 5 septembre 2022, recevant une réponse négative de la BNP formulée le 18 octobre 2022.
C’est dans ce contexte que par acte du 19 janvier 2023, Madame Z a fait assigner la BNP en recherche de la responsabilité de cet établissement et aux termes de ses dernières écritures signifiées le 29 janvier 2025, demande à ce tribunal, au visa des articles L133-4 f, L133-18, L133-19, L133-23 et L133-44 du code monétaire et financier,
1147 ancien du code civil, 6.2 de la loi n°2004- 575 du 21 juin 2004 dans sa rédaction applicable au moment des faits, de : "DEBOUTER la BNP PARIBAS de l’ensemble de ses demandes, fins et prétentions ; CONDAMNER la BNP PARIBAS à verser à Madame X Y les sommes de :
11.749,95 € en remboursement des sommes débitées frauduleusement de son compte bancaire ; 5.000 € à titre de dommages-intérêts pour avoir manqué à son devoir de vigilance;
5.000 € à titre de dommages-intérêts pour résistance abusive; 5.000 € au titre de l’article 700 du CPC ainsi qu’aux entiers dépens ; ASSORTIR l’ensemble des condamnations à intervenir d’une astreinte de 1.000 € par jour de retard à compter du prononcé du jugement à intervenir.
DIRE n’y avoir lieu à écarter l’exécution provisoire."
Par dernières écritures signifiées le 7 janvier 2025, la BNP demande à ce tribunal, au visa des articles L.133-4, L. 133-16 et suivants et L.
133-44 du code monétaire et financier, des directives (CE) 2007/64/CE du 13 novembre 2007 (« DSP 1 ») et (UE) 2015/366 du Parlement européen et du Conseil du 25 novembre 2015 (« DSP 2 ») concernant les services de paiement dans le marché intérieur, des articles 696 et 700 du code de procédure civile, de : Sur la demande formée par Madame Z tendant au remboursement des opérations litigieuses
- Juger que les transactions litigieuses ont été dûment authentifiées et que BNP Paribas a parfaitement respecté ses obligations en matière de sécurisation de l’instrument de paiement de Madame Z ;
- Juger que Madame Z a commis une négligence grave au sens de l’article L. 133-19 IV du Code monétaire et financier ;
En conséquence,
- Débouter Madame Z de sa demande de remboursement des opérations litigieuses à hauteur de 11.749,95 euros ; Sur la demande de dommages et intérêts formée par Madame Z sur le fondement du prétendu manquement de BNP Paribas à son devoir de vigilance et au titre de la prétendue résistance abusive
- Juger que le régime de responsabilité des prestataires de services de paiement fait l’objet d’une application exclusive et autonome ;
Page 3

---

Décision du 06 Juin 2025
9ème chambre 2ème section
N° RG 23/01156 – N° Portalis 352J-W-B7H-CY2CF
Juger que BNP Paribas n’a commis aucune inexécution contractuelle ;
En conséquence,
- Débouter Madame Z de sa demande de dommages et intérêts à hauteur de 5.000,00 euros au titre du prétendu manquement de BNP Paribas à son devoir de vigilance;
- Débouter Madame Z de sa demande de dommages et intérêts
à hauteur de 5.000,00 euros au titre de la prétendue résistance abusive lui ayant été opposée par BNP Paribas ; En tout état de cause
Débouter Madame Z de l’intégralité de ses demandes, fins et conclusions à l’encontre de BNP Paribas ;
- Condamner Madame Z à verser à BNP Paribas la somme de
2.500,00 euros au titre de l’article 700 du Code de procédure civile ainsi qu’aux entiers dépens ;
- Ecarter l’exécution provisoire de la décision à intervenir. "
La clôture a été prononcée le 21 février 2025, l’affaire étant appelée à l’audience du 4 avril 2025 et mise en délibéré au 6 juin 2025.
Il est fait expressément référence aux pièces du dossier et aux écritures déposées et visées ci-dessus pour un plus ample exposé des faits de la cause et des prétentions des parties conformément aux dispositions de l’article 455 du code de procédure civile.
MOTIFS DE LA DÉCISION
1. Súr les demandes principales
Madame Z soutient que la BNP a gravement manqué à l’obligation de vigilance lui incombant, prenant appui sur les dispositions des articles L.133-18, L.[…].133-23 du code monétaire et financier. Elle rappelle l’exigence d’authentification forte à la charge des prestataires de services de paiement, celle-ci, même mise en œuvre, n’exonérant le prestataire de sa responsabilité qu’en présence de la démonstration par celui-ci d’une négligence grave du client et de ce que les opérations contestées ont été authentifiées, dûment enregistrées et comptabilisées et qu’elles n’ont pas été affectées par une déficience technique ou autre. Elle affirme que la BNP ne démontre en rien l’existence d’une négligence grave à la charge de la concluante, estimant que l’arrêt rendu par la Cour de cassation le 23 octobre 2024 (Cass. com., 23 octobre 2024, n°23-16.267) correspond très exactement aux faits du présent litige, sa solution devant être reprise en l’espèce. Elle indique ne pouvoir apporter la preuve de son absence de négligence grave, du défaut de communication de ses identifiant et mot de passe ou du défaut de réception d’un SMS d’authentification forte, autant de faits négatifs dont la preuve, impossible, ne peut être mise à sa charge alors que c’est à la banque de démontrer positivement l’existence d’une négligence grave. Elle affirme que la BNP fait état, dans ses écritures en date du 31 mai 2024 et pour la première fois, de ce que la concluante aurait communiqué l’intégralité de ses informations bancaires confidentielles sur un site internet frauduleux directement au fraudeur, ouvrant ainsi un accès à son espace en ligne, ce qu’elle ne démontre en rien. Ce faisant, selon Madame Z, la BNP accrédite l’existence d’un « site miroir » véhiculant un risque de détournement dont les conséquences doivent être supportées
Page 4

---

Décision du 06 Juin 2025
9ème chambre 2ème section
N° RG 23/01156 – N° Portalis 352J-W-B7H-CY2CF
par la seule BNP. A l’argument adverse selon lequel il existait à l’époque des alertes à destination des clients de la BNP sur les risques de fraude comme celle de l’espèce, la preuve de leur existence à la date des faits n’est pas démontrée par la BNP, selon Madame Z qui estime de son côté avoir alerté à deux reprises son agence sur la situation d’exposition aux risques à laquelle elle était confrontée, sans avoir reçu de réponse alors qu’un prétendu préposé lui avait fait croire qu’elle installait une nouvelle clé digitale sur son téléphone mobile. Elle précise que le fraudeur procédait de la sorte sur un téléphone en sa possession, le message de confirmation de l’installation, émanant prétendument de la banque, n’étant pas de nature à la mettre en alerte. Elle conteste l’envoi par la BNP d’un SMS sur l’iPhone 4 en sa possession alors que ce SMS a été envoyé à l’époque sur un iPhone 4 appartenant au fraudeur. Elle indique que les opérations frauduleuses en cause ne sont pas apparues immédiatement sur son compte, de telle sorte qu’elle s’en est inquiétée après leur matérialisation, étant observé que la carte utilisée par la concluante était à débit différé. Elle affirme encore que sa réaction intervenue 20 jours après la réception de son relevé de compte n’aurait en rien changé la situation, la BNP affirmant elle-même que les opérations étaient devenues irrévocables bien avant, ajoutant que le fait de se rapprocher des bénéficiaires des paiements frauduleux ne s’avère pas plus pertinent.
Madame Z rappelle l’exigence d’authentification forte prévue à l’article L.133-44 du code monétaire et financier, précisant que le numéro de téléphone de la BNP a été usurpé, ce qui constitue une défaillance technique, une autre défaillance technique résidant dans le fait que le fraudeur a pu se connecter au système de la banque sans que la concluante lui ait communiqué le moindre identifiant ou mot de passe malgré les allégations adverses, une autre défaillance technique étant perceptible dans l’absence de mécanisme de détection, d’identification et de vérification du code IP sur lequel s’installe la clé digitale de la BNP mise en regard avec l’appareil de confiance utilisé par le client. Elle indique qu’il n’est pas contesté par la BNP que la concluante n’a jamais validé les opérations en litige, ajoutant qu’une
¹¹ apparence d’authentification n’est pas une authentification ", l’authentification ne consistant pas à prévenir le client une fois que l’opération a été réalisée. Elle souligne que toute opération dématérialisée est susceptible de s’inscrire dans un processus frauduleux, la BNP ne l’ignorant pas. Madame Z soutient encore que la BNP a manqué à son devoir général de vigilance en application de l’article 1347 du code civil, précisant que cette banque n’a pas réagi face aux opérations frauduleuses contestées, pas plus qu’elle n’a réagi aux deux demandes écrites de la concluante à la suite de contacts avec les fraudeurs. Elle affirme que l’application des dispositions des articles L.133-18 et suivants du code monétaire et financier n’exclut pas celle des articles 1231 du code civil, de telle sorte que la BNP devra être condamnée à lui payer la somme de 5.000 euros pour manquement au devoir de vigilance, ainsi que celle de 5.000 euros pour résistance abusive, en application de l’article 32 du code de procédure civile, en ce que la banque a rejeté sans fondement la demande d’indemnisation de la concluante depuis près d’un an et demi et alors que celle-ci souffre d’angoisse et de tracas.
Page 5

---

Décision du 06 Juin 2025
9ème chambre 2ème section
N° RG 23/01156 N° Portalis 352J-W-B7H-CY2CF
-
En réplique, la BNP fait valoir que la demande de remboursement des fonds détournés au détriment de Madame Z doit être rejetée en ce que celle-ci ne démontre pas le défaut de vigilance de la concluante. Elle se prévaut des dispositions des articles L.133-44 et L.133-4 f du code monétaire et financier pour soutenir avoir mis en place un mécanisme d’authentification forte par recours à une clé digitale. Elle considère que le fraudeur n’a pu enrôler la clé digitale de Madame Z sur son propre appareil que grâce à une action humaine exclusive d’une défaillance du système de la concluante. Elle note qu’un tel enrôlement ne peut intervenir sans connexion sur l’espace de Madame Z au moyen d’un identifiant et d’un mot de passe dont seule la défenderesse a la garde. Elle précise que la clé digitale, installée sur l’appareil de Madame Z, pouvait techniquement, à l’initiative de celle-ci, être transférée sur l’appareil d’un tiers, le fraudeur en l’occurrence. Elle souligne que le numéro de téléphone renseigné sur l’espace en ligne de Madame Z n’a jamais varié et que la modification du plafond de paiement est une opération n’entrant pas dans le champ de l’obligation d’authentification forte. Elle note que l’appel du fraudeur est intervenu le 9 juin 2022, le transfert de la clé digitale sur l’appareil du fraudeur étant intervenu à cette date. Elle indique que les opérations en litige ont été authentifiées, enregistrées et comptabilisées, effectuées sans aucune défaillance technique ou autre, la concluante ayant parfaitement rempli ses obligations.
La BNP soutient que sa responsabilité est exclue, en ce que Madame Z a commis une négligence grave au sens des dispositions des articles L.133-19, IV, L.[…].133-16 du code monétaire et financier. Elle affirme que Madame Z n’a pas pris toutes les mesures raisonnables pour préserver la sécurité de ses dispositifs de sécurité personnalisés, commettant une négligence ayant permis au fraudeur de soustraire de son compte bancaire la somme de 11.749,95 euros. Elle souligne que Madame Z a communiqué au fraudeur ses identifiant et mot de passe personnels, dans la mesure où l’enrôlement de la clé digitale sur son espace de paiement implique nécessairement l’usage de ces données, ainsi que le montre le relevé informatique produit, la demanderesse n’expliquant pas comment, sans ces données, le fraudeur a pu se connecter sur son espace en ligne. Elle précise que jusqu’aux dernières écritures de Madame Z, celle-ci n’a pas fait mention de ce que le fraudeur utilisait un numéro de téléphone de la BNP, employant ce dernier argument en opportunité pour se prévaloir de la solution de l’arrêt de la chambre commerciale de la Cour de cassation du 23 octobre 2024, n°23-16.267, laquelle n’est pas susceptible de généralisation, les témoignages produits par Madame Z pour justifier de la réception de l’appel sur ce numéro n’étant pas probants. Elle estime dès lors que la demande d’indemnisation, infondée, doit être rejetée. Elle considère, à propos des demandes de Madame Z fondées sur le devoir général de vigilance et la résistance abusive, que l’action en responsabilité fondée sur un paiement non autorisé par carte bancaire, régie par les dispositions du code monétaire et financier, est exclusive de tout régime alternatif de responsabilité prévu en droit national, la demande afférente devant être rejetée.
Sur ce,
Page 6

---

Décision du 06 Juin 2025
9ème chambre 2ème section
N° RG 23/01156 N° Portalis 352J-W-B7H-CY2CF
En application des dispositions des articles L.133-18, L.133-19, IV, L.133-24, L.133-44, I et L. 133-4 f du code monétaire et financier, dans leur rédaction applicable, en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France.
Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.
L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III.
Le prestataire de services de paiement applique l’authentification forte du client définie au f de l’article L. 133-4 lorsque le payeur :
1° Accède à son compte de paiement en ligne ;
2° Initie une opération de paiement électronique ;
3° Exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse.
Une authentification forte du client s’entend d’une authentification reposant sur l’utilisation de deux éléments ou plus appartenant aux catégories ^connaissance" (quelque chose que seul l’utilisateur 11
connaît), « possession » (quelque chose que seul l’utilisateur possède) et« inhérence » (quelque chose que l’utilisateur est) et indépendants en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d’authentification.
Au cas particulier, la BNP sollicite le rejet des demandes de Madame Z au motif que les paiements litigieux ont été dûment autorisés, ayant fait l’objet de la procédure d’authentification forte prévue aux fins de leur exécution.
Or Madame Z conteste le caractère autorisé de ces paiements, de telle sorte qu’il y a lieu de rechercher si les conditions posées à l’article L.133-18 du code monétaire et financier sont réunies pour considérer un paiement comme non autorisé appelant le remboursement de son montant par le prestataire.
Page 7

---

Décision du 06 Juin 2025
9ème chambre 2ème section
N° RG 23/01156 – N° Portalis 352J-W-B7H-CY2CF
En l’espèce, la BNP, préalablement à la démonstration de l’existence d’une négligence grave commise par Madame Z, dont la preuve lui incombe, doit établir que les paiements en litige ont été dûment authentifiés, comptabilisés et enregistrés et que le système n’a pas été affecté d’une déficience technique.
En l’espèce, la BNP produit une pièce 1 qu’elle présente comme la preuve de l’authentification forte des virements contestés.
Toutefois, cette pièce révèle une chronologie d’opérations avec indication des dates et heures présentée par la BNP comme issue de son espace en ligne sécurisé qui ne sont corroborés par aucun autre élément propre à justifier de l’existence de l’authentification forte dont se prévaut l’établissement bancaire.
En outre, la BNP se borne, dans cette pièce, à présenter un exemple de SMS d’information du client utilisateur de ce qu’une opération exige l’authentification forte.
Pour autant, l’établissement bancaire n’apporte pas la preuve de l’envoi d’un semblable SMS à l’occasion de la réalisation des deux paiements litigieux, se bornant à affirmer que Madame Z a dû nécessairement communiquer son identifiant et son mot de passe au fraudeur pour permettre la réalisation des deux opérations en litige.
La BNP fait plus généralement état de courriers électroniques et de messages SMS supposément transmis à Madame Z dans le processus d’authentification forte des paiements en litige, dont la teneur n’est cependant pas révélée, ainsi que des traces de leur envoi.
Par suite, et sans qu’il soit besoin de rechercher si les opérations en litige ont été enregistrées et comptabilisées, pas davantage si Madame Z a commis une négligence grave, il y a lieu de faire droit à la demande de remboursement.
Il sera par ailleurs retenu que la BNP ne conteste pas le montant des opérations litigieuses, de 11.749,95 euros, au paiement duquel elle sera condamnée.
Quant à la prétention afférente à la réparation du préjudice lié au manquement au devoir général de vigilance et à la résistance abusive de la BNP, il sera rappelé que les dispositions du code monétaire et financier relatives au régime de responsabilité du fait des paiements non autorisés étant exclusives de tout autre régime de responsabilité, une telle demande ne peut prospérer.
2. Sur les demandes annexes
Succombant, la BNP sera condamnée aux dépens et à verser à Madame X Z la somme de 2.000 euros en application de l’article 700 du code de procédure civile.
Par ailleurs, il n’y a pas lieu de faire droit à la demande de prononcé d’une astreinte sollicitée par Madame X Z.
Page 8

---

Décision du 06 Juin 2025
9ème chambre 2ème section
N° RG 23/01156 – N° Portalis 352J-W-B7H-CY2CF
PAR CES MOTIFS
Le tribunal, statuant publiquement par jugement contradictoire, en premier ressort et par mise à disposition au greffe,
-DÉBOUTE la société anonyme BNP Paribas de ses demandes ;
-CONDAMNE la société anonyme BNP Paribas à payer à Madame X Z la somme de 11.749,95 euros ;
-CONDAMNE la société anonyme BNP Paribas aux dépens;
-CONDAMNE la société anonyme BNP Paribas à verser à Madame X Z la somme de 2.000 euros en application de l’article 700 du code de procédure civile ;
-DÉBOUTE Madame X Z du surplus de ses demandes.
Fait et jugé à Paris le 06 Juin 2025
LA GREFFIÈRE LE PRESIDENT
DE P AR RE IS
Copie certifiée conforme à la minute
Le greffier
2020-1105
Page 9