TRIBUNAL JUDICIAIRE

DE [Localité 10]

Cité [9]

TJ PROCEDURES ORALES

[Adresse 4]

[Adresse 7]

[Localité 2]

JUGEMENT DU 24 Février 2025

N° RG 23/02653 – N° Portalis DBYC-W-B7H-KJZV

JUGEMENT DU :

24 Février 2025

[N] [C]

C/

S.A. SOCIETE GENERALE

EXÉCUTOIRE DÉLIVRÉ

LE

à

Au nom du Peuple Français ;

Rendu par mise à disposition le 24 Février 2025 ;

Par Aude PRIOL, Vice-Président au Tribunal judiciaire de RENNES, assistée de Anaïs SCHOEPFER, Greffier ;

Audience des débats : 16 Décembre 2024.

En présence de Carole BAZZANELLA, magistrate en formation qui a tenu l’audience.

Le juge à l’issue des débats a avisé les parties présentes ou représentées, que la décision serait rendue le 24 Février 2025, conformément aux dispositions de l’article 450 du Code de Procédure Civile.

Et ce jour, le jugement suivant a été rendu par mise à disposition au greffe ;

ENTRE :

DEMANDEUR

Monsieur [N] [C]

[Adresse 6]

[Localité 3]

représenté par M^e Arnaud DELOMEL, avocat au barreau de RENNES, avocat plaidant

ET :

DEFENDERESSE

S.A. SOCIETE GENERALE

[Adresse 1]

[Localité 5]

représentée par M^e Dominique FONTANA, avocat au barreau de PARIS, avocat plaidant, substitué par M^e Marine ORESVE, avocat au barreau de RENNES

EXPOSE DU LITIGE

M. [N] [C] est titulaire d’un compte-courant au sein de la S.A. Société Générale et, dans le cadre de la convention de compte conclu avec sa banque, il a accès à un service de banque à distance.

Le 31 août 2022, M. [N] [C] a déposé plainte auprès de la gendarmerie de [Localité 11] pour escroquerie suite à des paiements du 20 juillet 2022, qu’il déclarait, non autorisés à partir de son compte bancaire.

Se prévalant du refus de l’établissement bancaire de procéder au remboursement total des sommes débitées sur son compte bancaire, malgré des démarches amiables entreprises, par acte de commissaire de justice délivré le 4 avril 2023, M. [N] [C] a fait assigner devant le Tribunal judiciaire de Rennes la S.A. Société Générale aux fins d’engager la responsabilité de la banque et obtenir l’indemnisation de ses préjudices.

L’affaire a été appelée à l’audience du 16 octobre 2023. A cette date, faute d’être en état d’être jugée, elle a été renvoyée, à la demande des parties, à plusieurs reprises pour être retenue à l’audience du 16 décembre 2024.

A cette date, M. [N] [C] a comparu représenté par son conseil. Il a soutenu oralement ses dernières écritures déposées à l’audience et préalablement communiquées à la partie adverse.

Ainsi, au visa des articles L.133-17 et suivants du Code monétaire et financier, 1217 et 1231-1 du Code civil, il sollicite la condamnation de la S.A. Société Générale à lui verser les sommes suivantes :

—  2.200 euros en réparation de son préjudice matériel au titre du remboursement du prélèvement frauduleux ;

—  1.000 euros en réparation de son préjudice moral et de jouissance ;

—  2.000 euros au titre de l’article 700 du Code de procédure civile outre aux entiers dépens.

Au soutien de ses prétentions, il expose que le 20 juillet 2022, il était contacté par un faux conseiller bancaire au sujet de fraudes éventuellement subies, qu’il ne fournissait aucun code personne à cette personne et contactait sa banque qui lui confirmait qu’il s’agissait d’une fraude. Il précise qu’il était pourtant débité de 1.200 euros et 1.000 euros vers la banque Revolut en Irlande. Malgré ses demandes, l’établissement bancaire refusait de le rembourser. Il rappelle qu’il a immédiatement informé sa banque de la fraude et qu’il n’a pas autorisé les opérations de paiement. Il souligne que sa responsabilité ne saurait être engagée quand son instrument de paiement ou les données liées à celui-ci ont été détournées à son insu et qu’en refusant de le rembourser la responsabilité de l’établissement bancaire est engagée de plein droit. Il considère que la banque ne démontre ni des agissements frauduleux de sa part ni un manquement intentionnel ou une négligence grave à ses obligations de prudence et de sécurité. Il affirme qu’il n’a pas fourni ses codes bancaires, qu’il n’a pas davantage validé d’opérations sur son téléphone et remarque que l’opération a été passée vers l’Irlande, autant d’éléments confirmant qu’il a été victime d’une escroquerie. Il considère justifier de son préjudice matériel, faute d’avoir été remboursé par la banque, et de son préjudice moral au vu du refus de la banque de respecter ses obligations légales malgré ses démarches amiables.

A l’audience, la S.A. Société Générale a comparu représentée par son conseil. Elle a entendu oralement se référer à ses dernières écritures déposées à l’audience et préalablement communiquées à la partie demanderesse.

Au visa des articles L.133-16 et L.133-19 IV du Code monétaire et financier, de l’article 1353 du Code civil et des articles 696 et 700 du Code de procédure civile, elle sollicite de débouter M. [N] [C] de l’ensemble de ses demandes et de le condamner à lui verser la somme de 2.000 euros au titre de l’article 700 du Code de procédure civile outre aux entiers dépens.

A titre de moyens en défense, la S.A. Société Générale fait valoir que le demandeur occulte les circonstances dans lesquelles les opérations de paiement ont été réalisées alors qu’elle démontre que les opérations de paiement contestées ont été authentifiées, dûment enregistrées et comptabilisées et qu’elles n’ont pas été affectées par une déficience technique ou autre. Elle précise que ces opérations ont été exécutées avec une authentification forte du payeur à savoir la saisie d’un code de sécurité renforcé dans l’espace client sécurisé, code communiqué sur le numéro de téléphone enregistré par le client. Elle rappelle que les sms d’envoi de ces codes de sécurité contiennent systématiquement la formule suivante : « Ne pas communiquer ses codes à un tiers » et que les opérations ayant été validées par le client, elle n’avait aucun motif pour ne pas les exécuter. Le défendeur affirme démontrer la négligence grave commise par son client lequel a reconnu avoir délibérément communiqué ses identifiants et codes au fraudeur et ce après avoir été victime d’un « phishing » en recevant un sms d’un faux service AMELI. Elle rappelle au vu des campagnes d’information régulières tant d’AMELI que des établissements bancaires, que ces tentatives de phishing sont fréquentes, que les personnes en sont informées et sont incitées à faire preuve de prudence et à ne jamais communiquer leurs données confidentielles, et qu’il appartenait à son client de faire les vérifications nécessaires au vu du caractère suspect de ce sms mais aussi de chercher à vérifier l’authenticité de l’appel face à une démarche inhabituelle. Elle estime que la concomitance de l’appel du fraudeur et des actions réalisées depuis le compte du demandeur confirme la participation active de ce dernier au préjudice allégué alors qu’il aurait pu éviter le paiement en se montrant plus attentif.

A l’issue des débats, les parties ont été informées que la décision été mise en délibéré pour être rendue le 24 février 2025 par mise à disposition au greffe.

MOTIFS DE LA DECISION

1/ Sur la demande principale

Aux termes de l’article L. 133-19 du Code monétaire et financier, « I. — En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17, les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 euros.

Toutefois, la responsabilité du payeur n’est pas engagée en cas :

— d’opération de paiement non autorisée effectuée sans utilisation des données de sécurité personnalisées ;

— de perte ou de vol d’un instrument de paiement ne pouvant être détecté par le payeur avant le paiement ;

— de perte due à des actes ou à une carence d’un salarié, d’un agent ou d’une succursale d’un prestataire de services de paiement ou d’une entité vers laquelle ses activités ont été externalisées.

II. — La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées.

Elle n’est pas engagée non plus en cas de contrefaçon de l’instrument de paiement si, au moment de l’opération de paiement non autorisée, le payeur était en possession de son instrument.

III. — Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l’information aux fins de blocage de l’instrument de paiement prévue à l’article L. 133-17.

IV. — Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

V. — Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44.

VI. — Lorsque le bénéficiaire ou son prestataire de services de paiement n’accepte pas une authentification forte du payeur prévue à l’article L. 133-44, il rembourse le préjudice financier causé au prestataire de services de paiement du payeur».

L’article L. 133-17 du Code monétaire et financier précise en son I, que « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci ».

L’article L. 133-23 du même Code dispose que « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.»

Enfin, l’article L. 133-44 du même Code précise les hypothèses dans lesquelles une authentification forte est exigée, cette notion étant par ailleurs définie à l’article L. 133-4 f dans les termes suivants : « f) Une authentification forte du client s’entend d’une authentification reposant sur l’utilisation de deux éléments ou plus appartenant aux catégories « connaissance » (quelque chose que seul l’utilisateur connaît), « possession » (quelque chose que seul l’utilisateur possède) et « inhérence » (quelque chose que l’utilisateur est) et indépendants en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d’authentification».

En application de ces textes, il est admis que la charge de la preuve incombe à l’établissement bancaire qui doit à la fois démontrer la faute du client et l’absence de déficience de son système technique.

En l’espèce, il résulte des éléments du dossier et notamment des déclarations effectuées par M. [N] [C] lors de son dépôt de plainte que celui-ci a été victime d’un hameçonnage ou phishing ; ainsi il déclare : « je me présente ce jour pour déposer plainte suite à une escroquerie dont j’ai été victime le 20 juillet 2022 par le biais au départ de sms reçu le 17 juillet 2022 provenant de mon compte AMELI. J’ai eu un interlocuteur au téléphone qui disait appartenir à la DGCCRF et plus particulièrement au service des fraudes bancaires. Cet homme m’a demandé de modifier urgemment mes codes bancaires suite à des tentatives de prélèvements qui auraient été générés sur mon compte à la Société Générale. Pensant cette personne de bonne foi et au vu des informations qu’elle détenait me concernant je ne me suis pas méfié outre mesure et je me suis donc exécuté. J’ai transmis les quatre chiffres du milieu de ma carte bancaire car ils avaient déjà ceux du début et de la fin. Dans la même communication, l’homme m’a demandé de mettre en place un système de sécurité pour ma carte bancaire et m’a donné une adresse mail, [Courriel 8], que je devais suivre afin de mettre en place un filtre de sécurité. Il m’a également demandé une copie de ma carte d’identité ». Il précisait que l’homme lui avait dit se nommer [X] [D] et lui avait donné son numéro de téléphone. Il expliquait avoir constaté les deux prélèvements litigieux en consultant ses relevés bancaires.

L’étude des documents produits par l’établissement bancaire, tant celui lié aux données des éléments adressés sur son téléphone que celui lié aux connexions sur son espace bancaire sécurisé, permet de confirmer que M. [C] s’est connecté à son espace bancaire sécurisé le 20 juillet 2022 au moyen de son code secret et qu’il a validé deux paiements, l’un à 15h06 portant sur une somme de 1.200 euros, l’autre à 15h35 portant sur une somme de 1.000 euros.

Ainsi, la S.A. Société Générale justifie de l’emploi d’une authentification forte en ce qu’elle reposait sur l’utilisation de deux éléments, l’un appartenant à la catégorie « connaissance » (soit quelque chose que seul l’utilisateur connaît, à savoir le code de sécurité défini par le client), et l’autre à la catégorie « possession» (soit quelque chose que seul l’utilisateur possède, à savoir le téléphone portable personnel du client).

Force est de constater que les explications données par M. [C] au cours de sa déclaration de plainte ne permettent pas d’expliquer la validation de ces deux paiements, qu’il ne mentionne d’ailleurs pas, alors même que l’établissement bancaire justifie de leur réalité, qu’il ne détaille pas davantage ce qu’il a pu transmettre sur la boite mail communiquée par l’individu.

Ses déclarations laissent toutefois apparaître que M. [C] s’est montré particulièrement imprudent à plusieurs reprises ainsi, en donnant les 4 chiffres manquant du numéro de sa carte bancaire à une personne inconnue quelque soit la qualité qu’elle lui avait fourni et ce alors que l’adresse mail donnée par l’individu n’apparaissait en rien comme celle d’une administration officielle, même pour un profane ; que le laps de temps écoulé entre les deux opérations aurait pu lui permettre de procéder immédiatement aux vérifications nécessaires auprès de sa banque.

Par suite, la réception d’un premier message frauduleux trois jours plus tôt puis l’appel d’une personne inconnue se présentant comme un agent de la DGCCRF, la communication à celle-ci de codes confidentiels que lui seul détenait et du numéro complet de sa carte bancaire, l’adresse mail donnée dont la dénomination ne correspondait ni au nom donné par l’individu ni à une adresse mail d’une administration, sont autant d’éléments qui auraient dû alerter M. [N] [C] et ce d’autant qu’un message de prudence était rappelé lors de l’envoi des codes par sms.

Ces éléments sont constitutifs d’une négligence caractérisée du client à ses obligations de sécurité et de prudence.

En conséquence, M. [N] [C] sera débouté de ses demandes de dommages et intérêts.

2/ Sur les demandes accessoires

Sur les dépens

En application de l’article 696 du Code de procédure civile, partie perdante, M. [N] [C] sera condamné aux dépens de l’instance.

Sur les frais irrépétibles

En application de l’article 700 du Code de procédure civile, condamné aux dépens, la demande de M. [N] [C] au titre des frais irrépétibles ne pourra qu’être rejetée.

L’équité commande de rejeter la demande de la S.A. Société Générale au même titre.

PAR CES MOTIFS

Le tribunal statuant, après débats en audience publique, par jugement mis à disposition au greffe, contradictoire, et en dernier ressort,

DEBOUTE M. [N] [C] de ses demandes de dommages et intérêts ;

CONDAMNE M. [N] [C] aux dépens de l’instance ;

REJETTE la demande de M. [N] [C] au titre de l’article 700 du Code de procédure civile ;

REJETTE la demande de la S.A. Société Générale au titre de l’article 700 du Code de procédure civile.

Ainsi jugé par mise à disposition au greffe le 24 février 2025, et signé par la juge et la greffière susnommées.

La Greffière, La Présidente,