TRIBUNAL

JUDICIAIRE

DE [Localité 1] [1]

[1]

Expéditions

délivrées le:

à

M^e COLLIN

M^e BOUSCATEL

■

9ème chambre 2ème section

N° RG 24/11452 – N° Portalis 352J-W-B7I-C5KLS

N° MINUTE :

Assignation du :

17 Juillet 2024

JUGEMENT

rendu le 22 Mai 2026

DEMANDERESSE

Madame [Z] [E]

[Adresse 1]

[Localité 2]

représentée par Maître Gaël COLLIN de la SELARL COLMAN AVOCATS, avocats au barreau de PARIS, vestiaire #C0907

DÉFENDERESSE

CAISSE D’EPARGNE ET DE PREVOYANCE ILE-DE-FRANCE

[Adresse 2]

[Localité 3]

représentée par Maître Claire BOUSCATEL de l’ASSOCIATION BIARD BOUSCATEL, avocats au barreau de PARIS, vestiaire #R0146

Décision du 22 Mai 2026

9ème chambre 2ème section

N° RG 24/11452 – N° Portalis 352J-W-B7I-C5KLS

COMPOSITION DU TRIBUNAL

Gilles MALFRE, 1er Vice-Président adjoint

Augustin BOUJEKA, Vice-Président

Alexandre PARASTATIDIS, Juge

assistés de Diane FARIN, Greffière.

DÉBATS

A l’audience du 13 mars 2026 tenue en audience publique devant Augustin BOUJEKA, juge rapporteur, qui, sans opposition des avocats, a tenu seul l’audience, et, après avoir entendu les conseils des parties, en a rendu compte au Tribunal, conformément aux dispositions de l’article 805 du Code de Procédure Civile. Avis a été donné aux avocats que la décision serait rendue le 22 mai 2026.

JUGEMENT

Rendu publiquement par mise à disposition au greffe

Contradictoire

En premier ressort

FAITS ET PROCÉDURE

Madame [Z] [E] est titulaire de plusieurs comptes bancaires ouverts dans les livres de la société coopérative Caisse d’Epargne et de Prévoyance d’Ile-de-France (ci-après la CEIDF), dont le compte chèque n°17515 90000 04623114875.

Madame [E] expose avoir reçu, le 2 juin 2022, un courrier électronique l’invitant à mettre à jour ses coordonnées bancaires, en raison des exigences de la directive DSP2, ce à quoi elle a procédé immédiatement.

Elle indique avoir reçu le même jour un mail faisant état d’un envoi de code confidentiel sur le numéro de téléphone mobile enregistrée auprès de la CEIDF, recevant simultanément un SMS et procédé au changement de code en utilisant son application bancaire.

Elle affirme encore qu’un SMS provenant d’un numéro de téléphone mobile lui aurait été envoyé dans la foulée, où il était précisé que le Secur’pass était en cours de synchronisation, ajoutant avoir reçu, le 6 juin 2022, un SMS de la CEIDF l’informant de l’ajout d’un bénéficiaire.

Madame [E] expose encore avoir constaté, en date du 6 juin 2022, deux virements de 5.000 euros qu’elle n’aurait pas effectués, à destination de deux bénéficiaires différents, ainsi qu’un paiement en ligne de 863,99 euros effectué au profit de Darty.com.

Elle a déposé plainte le 7 juin 2022, sollicitant simultanément le remboursement par la CEIDF de ces trois paiements, en vain.

Par lettre recommandée avec accusé de réception du 7 juillet 2023, le conseil de Madame [E] a en outre mis en demeure la CEIDF de rembourser à sa cliente la somme de10.863,99 euros sous huitaine, en vain.

C’est dans ce contexte que par acte du 17 juillet 2024, Madame [E] a fait assigner la CEIDF en responsabilité civile pour obtenir remboursement de ces sommes et aux termes de ses dernières écritures signifiées le 16 octobre 2025, elle demande à ce tribunal, au visa des articles L. 133-1 et suivants, L. 133-18 et suivants du code monétaire et financier, de :

«  CONDAMNER la Caisse d’Epargne à payer à Madame [Z] [E] la somme de 10 863,99 euros au titre du remboursement des opérations non autorisées par Madame [Z] [E] ;

CONDAMNER la Caisse d’Epargne à payer à Madame [Z] [E] la somme de 7 470,24 euros au titre des intérêts échus pour la période du 11 juillet 2022 au 15 octobre 2025 ;

CONDAMNER la Caisse d’Epargne à payer à Madame [Z] [E] les intérêts au taux légal majoré de 15 points conformément à l’article L. 133-18 du Code monétaire et financier et à compter du 16 octobre 2025 ;

DEBOUTER la Caisse d’Epargne de l’ensemble de ses prétentions, fins et conclusions,

Concernant l’exécution provisoire,

DEBOUTER la Caisse d’Epargne de sa demande tendant à écarter l’exécution provisoire de droit du jugement à venir ;

Concernant les frais irrépétibles,

CONDAMNER la Caisse d’Epargne à payer à Madame [Z] [E] la somme de 2.500 euros au titre de l’article 700 du Code de procédure civile ;

CONDAMNER la Caisse d’Epargne aux entiers dépens. "

Par dernières écritures signifiées le 17 novembre 2025, la CEIDF demande à ce tribunal de :

«  -DEBOUTER ainsi Madame [E] de l’intégralité des demandes, fins et prétentions formulées à l’encontre de la CAISSE D’EPARGNE ILE-DE-FRANCE ;

— CONDAMNER Madame [E] au paiement de la somme de 2.500 euros à la CAISSE D’EPARGNE ILE-DE-FRANCE au titre de l’article 700 du Code de procédure civile ainsi qu’aux entiers dépens ;

— ECARTER l’exécution provisoire de la décision à intervenir. "

La clôture a été prononcée le 19 décembre 2025, l’affaire étant appelée à l’audience du 13 mars 2026 et mise en délibéré au 22 mai 2026.

Il est fait expressément référence aux pièces du dossier et aux écritures déposées et visées ci-dessus pour un plus ample exposé des faits de la cause et des prétentions des parties conformément aux dispositions de l’article 455 du code de procédure civile.

MOTIFS DE LA DÉCISION

1. Sur les demandes principales

Madame [E] se prévaut des dispositions de l’article L.133-6 du code monétaire et financier pour soutenir n’avoir pas consenti au paiement en litige, invoquant en outre celle des articles L.133-7 et L.133-18 du même code pour affirmer avoir signalé le détournement de ses données bancaires ayant donné lieu à la fraude dont elle a été victime, de telle sorte qu’elle a droit au remboursement des sommes prélevées sur son compte, au montant total de 10.869,99 euros. Elle estime que l’argument de la banque tenant à ce que les opérations en litige ont fait l’objet d’une authentification forte, adossé sur l’article L.133-23 du code monétaire et financier, n’apparaît pas pertinent dès lors que pareille authentification n’est pas suffisante pour considérer que les paiements contestés ont été autorisés. Elle affirme que les logs informatiques produits par la banque ne démontrent pas l’effectivité de son consentement au sens des dispositions de l’article L.133-6 du code monétaire et financier, la jurisprudence étant constante sur ce point. Elle indique que l’usage d’une validation par le système « Secur’Pass », selon la banque, est attesté par des logs informatiques produits qui ne sont corroborés par aucun autre élément. Elle ajoute n’avoir reçu ni appel téléphonique, ni mail d’alerte, ni SMS spécifique l’ayant sollicité pour une quelconque validation des opérations en litige.

Madame [E] expose encore que la banque ne démontre pas sa négligence grave, alors qu’elle s’est contentée d’activer le code Secur’pass afin qu’il soit conforme aux nouvelles dispositions de la directive DSP2. Elle précise n’avoir pas eu la possibilité d’effectuer des opérations après cette activation, vraisemblablement en raison du détournement du système. Elle rappelle que la notion de négligence grave est d’interprétation stricte, ne pouvant être déduite de la seule utilisation des données bancaires du client. Elle indique que le mail qu’elle a reçu le 2 juin 2022 usurpait parfaitement l’apparence des communications officielles de la banque. Face aux reproches de la banque d’avoir masqué l’adresse de l’expéditeur du mail reçu à 16h30, alors que cet expéditeur figure dans le procès-verbal de la plainte qu’elle a déposée, Madame [E] rétorque que la possibilité de connaître l’expéditeur de ce mail n’est pas déterminante au cas particulier, les mentions rassurantes du message, inscrites en bas de celui-ci, portant notamment sur la sécurité étant de nature à la conforter dans l’idée que le message émanait bien de la banque. Elle ajoute que ce mail ne comportait aucun indice permettant de déceler une fraude. Elle considère que la banque ne procède que par supposition pour soutenir que des données confidentielles ont été transmises à un tiers. Elle indique avoir signalé les paiements litigieux et fait opposition le jour même, tout en déposant plainte. Elle demande, outre le remboursement des sommes détournées, l’octroi d’intérêts au taux légal majoré suivant les conditions énoncées à l’article L.133-18 du code monétaire et financier, ainsi que le maintien de l’exécution provisoire en réponse à la demande contraire de la banque.

En réplique, la CEIDF fait valoir que Madame [E] doit être déboutée de ses demandes, estimant que celle-ci a donné son code confidentiel à un tiers qui a pu effectuer les paiements en litige, se prévalant des dispositions des articles L.133-6, L.133-7 et L.133-23 du code monétaire et financier, ainsi que des stipulations de l’article 6.1.3.5 des conditions générales de la convention de compte liant les parties. Elle précise que ces opérations ont fait l’objet d’une authentification par le système « Secur’Pass », lequel n’est mis en œuvre qu’après accès à l’espace bancaire en ligne du client au moyen d’un identifiant et d’un code confidentiel, l’un et l’autre personnels au client. Elle souligne que les logs informatiques produits aux débats attestent du déroulement du processus des opérations, lesquelles ont fait l’objet d’une authentification forte, ont été dûment enregistrées et comptabilisées, sans que le système ait connu une quelconque déficience, Madame [E] ayant en l’occurrence suivi les stipulations de l’article 5 des conditions « Banque à distance ». Elle note que les ajouts des deux comptes externes ont été réalisés le 6 juin 2022 au moyen du Secur’Pass, impliquant l’usage d’un appareil téléphonique dédié. Elle estime que Madame [E] doit être en conséquence déboutée de sa demande de remboursement des sommes en litige comme des intérêts au taux légal majoré.

La banque soutient, en tout état de cause, que Madame [E] a commis une négligence grave excluant tout remboursement, en se prévalant des dispositions des articles L.133-19, IV, L.133-16, L.133-17 et L.133-23 du code monétaire et financier. Elle souligne que la négligence grave de la demanderesse tient à ce qu’elle reconnaît elle-même avoir répondu à un mail lui demandant de communiquer ses données, alors qu’elle aurait dû savoir qu’un tel établissement bancaire ne demande jamais de telles informations à ses clients. Elle note que Madame [E] a bien produit ledit mail mais en masquant l’adresse d’envoi et s’est abstenue de communiquer sa réponse, malgré la demande de la concluante faite en ce sens. Elle souligne que Madame [E] affirme, non sans mauvaise foi, que cette adresse expéditeur serait normale sans pour autant la reproduire tout en mentionnant ladite adresse dans sa plainte, alors que ce mail ne pouvait provenir de la Caisse d’Epargne. Elle précise s’appuyer non seulement sur les logs qu’elle a produits, mais encore sur la plainte déposée par Madame [E] qui y reconnaît avoir communiqué des informations volontairement. Elle demande, à titre très subsidiaire, que l’exécution provisoire soit écartée si le tribunal venait à faire droit à la demande de Madame [E], cette exécution étant incompatible avec la nature de l’affaire.

Sur ce,

En application des dispositions des articles L.133-18, L.133-24, L.133-23, L.133-4 f, L.133-19, IV et L.133-16 du code monétaire et financier, en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France.

L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III.

Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

Une authentification forte du client s’entend d’une authentification reposant sur l’utilisation de deux éléments ou plus appartenant aux catégories « connaissance » (quelque chose que seul l’utilisateur connaît), « possession » (quelque chose que seul l’utilisateur possède) et « inhérence » (quelque chose que l’utilisateur est) et indépendants en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d’authentification.

Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées.

Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées.

En vertu de ces textes, l’utilisateur recherchant la responsabilité d’un prestataire de services de paiement en raison de paiements non autorisés doit obtenir remboursement des sommes indûment payées qu’à la seule condition d’avoir contesté les opérations dans le délai de treize mois suivant leur exécution.

Le prestataire ne peut s’exonérer de sa responsabilité, du fait des paiements non autorisés, qu’à la double condition qu’il établisse que ces paiements ont été authentifiés, dûment enregistrés et comptabilisés et que son système n’a pas été affecté par une déficience technique, d’une part et, d’autre part, que l’utilisateur a commis une négligence grave.

Au cas particulier, la CEIDF ne conteste pas le caractère non autorisé des paiements en litige, justifiant son refus de remboursement par le fait que Madame [E] a communiqué ses codes confidentiels à un tiers qui a pu initier les paiements en litige, ce qui constitue une négligence grave exonératoire de responsabilité pour un prestataire de services de paiement.

Cependant, pour qu’une telle position de la banque soit juridiquement fondée, il convient qu’elle démontre, d’une part, que les paiements en litige ont été authentifiés, dûment enregistrés, comptabilisés et que son système n’a été affecté d’aucune déficience technique, d’autre part, que l’utilisateur a commis une négligence grave tenant, tantôt dans un manquement dans la préservation de la sécurité de ses données de sécurité personnalisées, tantôt dans le défaut d’information du prestataire ou d’opposition diligente quand il a eu connaissance de la perte, du vol ou du détournement de l’instrument ou des données liées ou de toute autre utilisation non autorisée.

Au cas particulier, la CEIDF affirme que les paiements en litige ont fait l’objet d’une authentification forte au sens des dispositions de l’article L.133-4 f du code monétaire et financier, ce que conteste Madame [E].

Ce faisant, l’établissement bancaire produit aux débats les traces informatiques tant de l’enregistrement d’un nouvel appareil de téléphone mobile sur l’espace en ligne de Madame [E] et du transfert du code Secur’Pass de celle-ci que des trois paiements en litige.

La seule circonstance que ces documents émanent de la banque n’est pas de nature à remettre en cause leur valeur probante dans la mesure où le prestataire de service de paiement pourrait difficilement démontrer autrement l’existence d’une authentification forte mise en œuvre dans son système interne.

Il convient dès lors de retenir qu’il constitue un commencement de preuve par écrit au sens des dispositions de l’article 1361 du code civil, lequel doit être nécessairement complété par des éléments extérieurs pour faire preuve.

En l’occurrence, Madame [E] ne conteste pas sérieusement l’enregistrement d’un nouvel appareil téléphonique sur son espace effectif le 6 juin 2022 à 1h56 16 secondes.

Il en est de même d’un premier virement de 5.000 euros effectué le même jour à 1h59 11 secondes et d’un second d’égal montant effectué le 7 juin 2022 à 1h04 01 seconde.

La chronologie de ces opérations recoupe les termes de la plainte déposée par Madame [E] le 7 juin 2022 dans la mesure où leur réalisation est postérieure aux manipulations auxquelles elle s’est livrée après avoir reçu un courrier électronique de hameçonnage l’ayant conduite à modifier les données de son espace de paiement sécurisé, sur instruction d’un tiers prétendant agir pour le compte de la Caisse d’Epargne.

Par suite, ces deux paiements doivent être considérés comme ayant fait l’objet d’une authentification forte, en ce qu’ils ont été validées au moyen du système Secur’Pass avec transmission d’un code à usage unique sur l’appareil censé enregistré par Madame [E] mais détourné par le fraudeur.

Quant au paiement de 863,99 euros effectué le 6 juin 2022 depuis le compte chèque de Madame [E] au profit du site Darty.com, la banque ne démontre pas qu’il a fait l’objet d’une authentification forte, de telle sorte que son remboursement est dû par l’établissement bancaire, sans qu’il y ait lieu de rechercher si Madame [E] a commis une négligence grave.

Concernant précisément la négligence grave dont se prévaut la Caisse d’Epargne pour refuser le remboursement, la CEIDF prétend que Madame [E] a communiqué à un tiers des données confidentielles ayant permis à un tiers d’accéder à son espace de paiement sécurisé.

Ce faisant, elle ne produit aucun élément propre à étayer cette assertion.

Certes, Madame [E] a commis une négligence en se connectant sur son espace de paiement après réception, le 2 juin 2022 à 16h36, d’un courrier électronique émanant de l’expéditeur " [Courriel 1] ", qui ne peut sérieusement être considéré comme émanant de la Caisse d’Epargne contrairement aux dires de la demanderesse.

Ce message était censé permettre à Madame [E] de synchroniser ses données personnelles au regarde de nouvelles exigences de la directive DSP2.

Pour autant, l’action de Madame [E], ayant consisté à effectuer des manipulations à partir de ce courrier électronique, ne peut être considérée comme une négligence grave au sens des dispositions des articles L.133-16 et L.133-17 du code monétaire et financier dès lors que la banque n’établit pas que ce faisant, la demanderesse a compromis la sécurité de ses données de sécurité personnalisées ni communiqué ces données à un tiers.

Par suite, n’ayant pas démontré que Madame [E] a commis une négligence grave au sens des dispositions de l’article L.133-19, IV du code monétaire et financier, la CEIDF sera condamnée à rembourser les paiements en litige.

Par ailleurs, Madame [E] sera déboutée de sa demande à ce que la somme remboursée soit augmentée des intérêts au taux légal majoré, dans la mesure où les faits se sont produits sous l’empire de l’article L.133-18 dans sa version applicable du 13 janvier 2018 au 18 août 2022, qui ne prévoit pas l’application d’une telle majoration.

En conséquence, la CEIDF sera condamnée à payer à Madame [E] la somme de 10.863,99 euros, augmentée des intérêts au taux légal à compter du 7 juillet 2023.

2. Sur les demandes annexes

Succombant, la CEIDF sera condamnée aux dépens et à verser à Madame [Z] [E] la somme de 2.500 euros en application des dispositions de l’article 700 du code de procédure civile.

Par ailleurs, il n’y a pas lieu d’écarter l’exécution provisoire qui est compatible avec le présent litige et la décision afférente.

PAR CES MOTIFS

Le tribunal, statuant publiquement par jugement contradictoire, en premier ressort et par mise à disposition au greffe,

— CONDAMNE la société coopérative Caisse d’Epargne et de Prévoyance d’Ile-de-France à payer à Madame [Z] [E] la somme de 10.863,99 euros, augmentée des intérêts au taux légal à compter du 7 juillet 2023 ;

— CONDAMNE la société coopérative Caisse d’Epargne et de Prévoyance d’Ile-de-France aux dépens et à verser à Madame [Z] [E] la somme de 2.500 euros en application de l’article 700 du code de procédure civile ;

— DÉBOUTE les parties de leurs demandes plus amples ou contraires.

Fait et jugé à [Localité 1] le 22 Mai 2026

LA GREFFIÈRE LE PRÉSIDENT