MINUTE N° :

JUGEMENT DU : 14 Novembre 2025

DOSSIER : N° RG 23/00493 – N° Portalis DBX4-W-B7H-RS57

NAC : 38E

TRIBUNAL JUDICIAIRE DE TOULOUSE

POLE CIVIL – Fil 6

JUGEMENT DU 14 Novembre 2025

COMPOSITION DU TRIBUNAL

En application de l’article 805 du Code de Procédure Civile, l’affaire a été débattue le 12 Septembre 2025, en audience publique, sans opposition des avocats devant :

Madame DURIN, Juge

Qui a rendu compte au Tribunal dans son délibéré composé de

Madame DURIN, Juge

Madame GALLIUSSI, Juge

M. CUDENNEC, Juge

GREFFIER lors du prononcé

M. PEREZ

JUGEMENT

Contradictoire, rendu après délibéré et en premier ressort, prononcé par mise à disposition au greffe. Rédigé par M. CUDENNEC

Copie revêtue de la formule

exécutoire délivrée

le

à

DEMANDEURS

M. [I] [K]

né le [Date naissance 3] 1973 à [Localité 6], demeurant [Adresse 4]

représenté par M^e Bérénice DE PERTHUIS FALGUEROLLES, avocat au barreau de TOULOUSE, avocat plaidant/postulant, vestiaire : 210

Mme [W] [M] épouse [K]

née le [Date naissance 5] 1975 à [Localité 7], demeurant [Adresse 4]

représentée par M^e Bérénice DE PERTHUIS FALGUEROLLES, avocat au barreau de TOULOUSE, avocat plaidant/postulant, vestiaire : 210

DEFENDERESSE

Compagnie d’assurance BNP PARIBAS, RCS PARIS 662 042 449, dont le siège social est sis [Adresse 2]

représentée par Maître Aurélie LESTRADE de la SELARL DECKER, avocats au barreau de TOULOUSE, avocats plaidant/postulant, vestiaire : 93

✯✯✯✯✯✯✯✯✯✯✯✯✯✯✯✯✯✯✯

EXPOSE DU LITIGE

Faits et procédure :

Mme [W] [M] épouse [K] et M. [I] [K] (ci-après “les époux [K]”) sont titulaires d’un compte joint auprès de la BNP PARIBAS n°02451 0000037 82 depuis l’année 2017 et ouvert via l’agence BANQUE PRIVEE OCCITANIE de [Localité 7].

Le 22 août 2022 à 14 heures, Mme [W] [M] épouse [K] a reçu un appel téléphonique d’une personne qui se serait présentée comme étant le collaborateur de Mme [A] [S], laquelle est la conseillère habituelle et responsable des comptes de la famille [K] auprès de la S.A.BNP PARIBAS. Cette personne aurait indiqué à Mme [W] [K] que l’authentification de sécurité bancaire sur son téléphone mobile devait faire l’objet d’une mise à jour et lui a adressé ainsi un lien informatique par message électronique avec la procédure à suivre.

Le même jour apparaissait, à 14h41 une opération bancaire d’un montant de 10 600 euros réalisée avec le compte joint des époux [K], et ce pour l’achat d’une montre de luxe auprès de la société HUBLOT, dont ils prenaient connaissance le lendemain.

Le 23 août 2022 à 16h17 un nouvel achat effectué avec le compte joint a eu lieu pour un montant de 200 euros auprès de l’enseigne SEPHORA. Les époux contestent avoir voulu réaliser de telles

opérations, et ont soulignés ne pas en être à l’origine.

Mme [W] [M] s’est présentée le 13 septembre 2022 au sein des services de gendarmerie nationale pour déposer plainte contre X en raison de faits d’escroquerie.

Par courrier du 14 septembre 2022, Mme [W] [M] a rapporté à la SA BNP PARIBAS en la personne de sa conseillère, Mme [A] [S], le déroulement du détournement de sa clef digitale et ses conséquences, et a souligné le fait que cet incident avait fait l’objet d’une information à la banque dès le 23 août 2022 quant aux paiements frauduleux réalisés via le compte joint, se plaignant de la carence des services bancaires suite à son précédent appel.

Le 26 septembre 2022 la S.A BNP PARIBAS a indiqué à Mme [W] [M] qu’elle refusait toute indemnisation de la somme de 10 600 euros, rappelant à la demanderesse qu’elle était responsable de l’utilisation et de la conservation de ses données personnelles.

Des échanges dans le cadre amiable ont été mis en oeuvre par le conseil des époux [K] à compter du 27 octobre 2022, la S.A. BNP PARIBAS renouvelant son refus de prise en charge par un ultime courrier du 1er décembre 2022.

Par exploit d’huissier en date du 26 janvier 2023, les époux [K] ont assigné la S.A. BNP PARIBAS devant le Tribunal judiciaire de TOULOUSE aux fins de voir les défaillances de cette dernière établies et obtenir l’indemnisation des préjudices subis.

À l’initiative de Mme [W] [M] épouse [K], M. [L] [B]-[X] a été missionné aux fins d’expertise amiable, dont le rapport a été rendu le 12 juin 2023. La S.A. BNP PARIBAS n’a pas pris part aux opérations d’expertise.

Parallèlement une procédure pénale a eu lieu quant aux faits d’escroquerie dont ont été victimes les consorts [K] et mettant en cause M. [T] [E] qui a été jugé par le Tribunal correctionnel de Paris le 6 juillet 2023. A cette audience Mme [W] [M] s’est constituée partie civile, étant précisé que la juridiction est entrée en voie de condamnation à l’encontre du prévenu concernant l’action publique, et a renvoyé le dossier sur intérêts civils.

Par jugement du 19 septembre 2023, le Tribunal correctionnel de Paris statuant sur intérêts civils a condamné M. [T] [E] à payer à Mme [W] [M] la somme de 10 600 euros en réparation du préjudice matériel, 2 000 euros au titre du préjudice moral et une indemnité de 2 500 euros en application des dispositions de l’article 475-1 du Code de procédure pénale.

Suivant ordonnance du 8 novembre 2024, le Juge de la mise en état a débouté la S.A..BNP PARIBAS de sa demande de fin de non-recevoir au titre de l’intérêt à agir à l’encontre de Mme [W] [M] épouse [K], de sa demande de fin de non recevoir au titre de l’intérêt et de la qualité à agir à l’encontre de M. [I] [K] et de ses plus amples demandes, déclaré recevables les demandes formés par les époux [K] et condamné la S.A. BN PARIBAS à payer aux époux [K] la somme de 1000 euros au titre de l’article 700 du code de procédure civile ainsi qu’anx entiers dépens.

La clôture est intervenue le 23 mai 2025. L’affaire a été retenue à l’audience du 12 septembre 2025 et mise en délibéré au 14 novembre 2025.

Prétentions et moyens :

Aux termes de leurs dernières écritures notifiées par voie électronique le 14 mai 2025, les époux [K] sollicitent du tribunal de bien vouloir :

— donner acte aux époux [I] et [W] [K] de leur double engagement :

— d’informer l’avocat de Monsieur [T] [E] de toute indemnité qu’ils viendraient à percevoir de la S.A BNP PARIBAS en exécution du jugement à intervenir ;

— parallèlement, d’informer l’avocat de la S.A BNP PARIBAS de tout paiement indemnitaire qu’ils seraient amenés à recevoir en exécution du jugement sur intérêts civils rendu à l’encontre de Monsieur [T] [E] par le Tribunal correctionnel de Paris ;

— condamner la S.A BNP PARIBAS à leur payer la somme de 10.600,00 € en remboursement et réparation du prélèvement frauduleux dont ils ont été victimes sur leur compte joint n° 02451 00000337782 le 23 août 2022 ;

— d’assortir cette condamnation d’intérêts complémentaires au :

— taux légal majoré de 5 points du 23 août au 30 août 2022 ;

— taux légal majoré de 10 points du 1er au 23 septembre 2022 ;

— taux légal majoré de 15 points du 24 septembre 2022 jusqu’à parfait paiement ;

— condamner en outre la S.A BNP PARIBAS à leur payer une indemnité de 5.000,00 € en réparation de leur préjudice moral ;

— condamner encore la S.A BNP PARIBAS à payer à leur payer une indemnité de 6.000,00 € TTC au titre des frais irrépétibles de conseil, d’assistance et de représentation en application des dispositions de l’article 700 du Code de procédure civile ;

— condamner enfin la S.A BNP PARIBAS aux entiers dépens de l’instance, avec distraction au profit de Maître Hervé JEANJACQUES, Avocat, sur ses affirmations de droit, en application des dispositions de l’article 699 du Code de procédure civile ;

Au soutien de leur demande principale, les époux [K] se fondent sur les obligations pesant sur les établissements bancaires en matière d’instruments de paiement, notamment de remboursement du montant des opérations de paiement non autorisées par les clients, prévues aux articles L.133-16 et suivants du Code monétaire et financier, et observent un certain nombre de négligences de la S.A. BNP PARIBAS dans son système de cybersécurité ayant permis l’escroquerie par un tiers s’étant procuré des informations confidentielles en ligne. Ils exposent n’être personnellement à l’origine d’aucune fraude, ni même responsables d’une quelconque négligence, ayant été diligents pour signaler les difficultés constatées auprès de la banque. En réponse aux écritures défensives, ils rappellent qu’il appartient à l’établissement bancaire, pour être exonéré de son obligation de remboursement en cas de négligence grave ou intentionnelle de son client, de prouver au préalable que l’opération a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une défaillance technique. Ils écartent tout partage de responsabilité avec la S.A. BNP PARIBAS. Ils observent que la circonstance que l’auteur principal de l’escroquerie ait été condamné sur intérêts civils et l’absence de constitution de la banque devant le juge pénal, excluant toute subrogation dans les droits de ses clients, ne sauraient faire obstacle à l’engagement de la responsabilité de la S.A. BNP PARIBAS, précisant par ailleurs qu’ils n’avaient aucune intention de solliciter une indemnisation à double titre.

Pour conclure à une demande indemnitaire au titre du préjudice moral, ils considèrent, sur le fondement de l’article 1217 du code civil, que la S.A. BNP PARIBAS n’a pas fait un traitement adéquat de leur réclamation, se contentant de leur renvoyer à leur propre responsabilité et leur adressant des réponses blessantes, et qu’ils ont perdu confiance en leur établissement bancaire.

Aux termes de ses dernières conclusions communiquées par voie électronique le 23 août 2024, la S.A. BNP PARIBAS sollicite du tribunal, au visa des articles L.133-4, L.133-16 et suivants du code monétaire et financier, de bien vouloir :

— déclarer irrecevables les conclusions du rapport d’expertise ;

— juger que les époux [K] ont commis une négligence grave au sens de l’article L. 133- 19 IV du code monétaire et financier ;

— retenir la responsabilité exclusive des consorts [K] ;

— juger que la S.A BNP PARIBAS n’a commis aucun manquement ;

— juger que la S.A BNP PARIBAS a respecté ses obligations en matière de sécurisation de la carte bancaire ;

— débouter les époux [K] de l’intégralité de leurs demandes, fins et prétentions à l’encontre de BNP Paribas ;

— condamner les époux [K] à verser à lui verser la somme de 2 500 euros au titre de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens ;

— juger n’y avoir lieu à exécution provisoire ;

Au soutien de sa demande concernant les conclusions du rapport d’expertise amiable du 12 juin 2023, la S.A. BNP PARIBAS considère que celui-ci doit être écarté par la juridiction car non contradictoire et techniquement critiquable. Pour conclure au rejet de la demande principale en remboursement, elle expose avoir respecté ses obligations relatives à la sécurisation des opérations en ligne, en mettant notamment en place un système d’authentification “forte” comprenant une clé digitale, et écarte toute défaillance de sa part en rappelant le principe de non-immixtion des établissements bancaires dans les affaires de leurs clients. Elle considère en outre qu’aucune anomalie ne peut être relevée en l’état concernant le défaut d’alerte du cotitulaire du compte, dès lors que l’opération avait été dûment authentifiée. Elle estime ne pas être tenue à remboursement des sommes correspondant aux opérations contestées dès lors que Madame Mme [M] épouse [K] a nécessairement fait preuve d’une négligence grave en deux temps : d’une part, en permettant au fraudeur de disposer de ces codes d’accès à son espace en ligne et de ses coordonnées bancaires en répondant à un message frauduleux la renvoyant vers un site frauduleux ; d’autre part, en suivant les instructions données par téléphone par le fraudeur et en lui communiquant le code confidentiel reçu par SMS, lequel a permis au fraudeur d’activer la clé digitale sur son propre téléphone. La banque considère que ces actions n’ont pu être réalisées qu’avec le concours de Mme [W] [M] épouse [K], qui aurait dû faire preuve de plus de vigilance notamment au regard des systèmes de sensibilisation et outils mis à sa disposition par l’établissement bancaire. En outre, elle avance que le jugement correctionnel sur intérêts civils ayant accordé des dommages-intérêts à Mme [W] [M] épouse [K] au titre du dommage matériel fait obstacle à une réparation au civil, sauf à violer le principe de réparation intégrale en ce qu’elle se verrait indemnisée deux fois pour le même préjudice. Elle avance, enfin, n’avoir commis aucune faute susceptible d’entraîner une réparation au titre du préjudice moral sollicité.

MOTIFS DE LA DÉCISION

A titre liminaire, le tribunal, tenu par le seul dispositif des conclusions, rappelle qu’il ne sera statué sur les demandes des parties tendant à “donner acte”, “retenir” et “”juger que”, que dans la mesure où elles constituent des prétentions au sens de l’article 4 du code de procédure civile.

I. Sur la demande aux fins d’irrecevabilité des conclusions du rapport d’expertise amiable

Selon l’article 16 du code de procédure civile, le juge doit, en toutes circonstances, faire observer et observer lui-même le principe de la contradiction. Il ne peut retenir, dans sa décision, les moyens, les explications et les documents invoqués ou produits par les parties que si celles-ci ont été à même d’en débattre contradictoirement.

Il résulte de ce texte qu’un rapport d’expertise amiable, établi unilatéralement à la demande d’une partie, peut valoir comme élément de preuve devant la juridiction, dès lors qu’il a été régulièrement produit aux débats et soumis à la libre discussion des parties. Le juge ne peut pas l’écarter des débats sans l’examiner au fond.

En l’espèce, s’il est constant que le rapport d’expertise extrajudiciaire établi le 12 juin 2023 par M. [L] [B]-[X] n’est pas contradictoire, il n’en demeure pas moins qu’il a été versé en temps utile au débat par les demandeurs, permettant ainsi à la S.A. BNP PARIBAS de prendre connaissance de ses conclusions et d’en débattre dans ses écritures, à charge pour la juridiction d’apprécier sa valeur probante et sa portée lors de l’examen au fond du litige.

En conséquence, les conclusions du rapport d’expertise amiable sont parfaitement recevables et la demande de la S.A. BNP PARIBAS tendant à les écarter des débats sera rejetée.

II. Sur la demande en remboursement des opérations contestées

L’article L.133-3 du code monétaire et financier définition l’opération de paiement comme une action consistant à verser, transférer ou retirer des fonds, indépendamment de toute obligation sous-jacente entre le payeur et le bénéficiaire, initiée par le payeur, ou pour son compte, ou par le bénéficiaire.

Il résulte des articles L.133-6 et L.133-7 du même code qu’une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. Ce consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement. En l’absence d’un tel consentement, l’opération ou la série d’opérations de paiement est réputée non autorisée.

L’article L.133-16 du même code prévoit que dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées.

L’article L.133-17 du même code dispose quant à lui que lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci.

L’authentification forte est définie par l’article L33-4 comme une authentification reposant sur l’utilisation de deux éléments ou plus appartenant aux catégories « connaissance » (quelque chose que seul l’utilisateur connaît), « possession » (quelque chose que seul l’utilisateur possède) et « inhérence » (quelque chose que l’utilisateur est) et indépendants en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d’authentification.

Selon l’article L.133-18, en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.

Aux termes de l’article L.133-19 II, la responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées.

Elle n’est pas engagée non plus en cas de contrefaçon de l’instrument de paiement si, au moment de l’opération de paiement non autorisée, le payeur était en possession de son instrument.

Selon le IV du même article, le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.133-16 et L.133-7.

L’article L.133-23 précise que lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.

Enfin, l’article L.133-24 dispose que l’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III.

Sauf dans les cas où l’utilisateur est une personne physique agissant pour des besoins non professionnels, les parties peuvent convenir d’un délai distinct de celui prévu au présent article.

Les dispositions du présent article s’appliquent, indifféremment de l’intervention d’un prestataire de services de paiement fournissant un service d’initiation de paiement dans l’opération de paiement.

En l’espèce, il n’est pas contesté par la S.A. BNP PARIBAS que Mme [K] a fait l’objet d’une escroquerie consistant pour le fraudeur à obtenir de la cliente des informations par téléphone en se faisant passer pour un collaraborateur de sa conseillère (technique dite du “spoofing”) le 22 août 2022.

Cette escroquerie est au demeurant attestée par la demanderesse au moyen de la copie du jugement du tribunal correctionnel de Paris du 6 juillet 2023 ayant condamné l’auteur principal, de sorte que le débat ne porte pas sur le fait de savoir si l’opération litigieuse en cause, à savoir l’achat en ligne pour un montant de 10 600 euros, était autorisée ou non au sens des dispositions précitées du code monétaire et financier.

En application des articles L.133-19 et L.133-23 précités, il appartient à la S.A. BNP PARIBAS, si elle entend être exonérée de son obligation de remboursement de la somme issue de l’opération de paiement non autorisée, de démontrer une négligence grave de Mme [W] [M] épouse [K] quant à son obligation de prudence dans la conservation et l’utilisation de son instrument de paiement, après avoir préalablement prouvé que l’opération litigieuse a été authentifiée, dûment enregistrée et comptabilisé et n’a pas été affectée par une déficience technique ou autre.

À ce titre, il résulte des relevés informatiques issus des serveurs de la S.A. BNP PARIBAS (pièces n° 1 et 4) que l’opération litigieuse (“Hublot Boutique Vendôme”) a fait l’objet d’une validation au moyen d’un dispositif d’authentification forte entre 14h41 (soit l’heure d’envoi du message de demande d’authentification) et 14h42 (soit l’heure de validation de la clé digitale), à partir de l’adresse IP 86.227.123.182, cette opération n’ayant été rendue possible que par le transfert de la clé digitale vers un nouveau téléphone portable (nommé “iPhone”) utilisé par l’auteur de l’escroquerie, à 14h20, toujours à partir de l’adresse IP précitée.

Ce paiement de 10 600 euros est ensuite apparu au débit du compte bancaire de Madame [W] [M] épouse [K], ce dont elle s’est aperçue dès le lendemain, 23 août 2022, ainsi qu’elle l’écrit dans son courrier de réclamation du 14 septembre 2022 (pièce n° 2).

Il apparaît dès lors que l’opération litigieuse du 22 août 2022 a été authentifiée, dûment enregistrée et comptabilisée par la banque.

Par suite, il convient de s’assurer que cette opération, bien qu’authentifiée, dûment enregistrée et comptabilisée par la banque, n’ait pas été affectée par une déficience technique ou autre.

La banque démontre, au moyen des relevés informatiques précités, que l’opération a été correctement exécutée par elle, après une augmentation du plafond bancaire à 14h16 à 20 000 euros (pièce n° 4), soit un montant supérieur à la somme objet du paiement litigieux, et un transfert de la clé digitale vers un autre appareil, lequel transfert a nécessairement impliqué la saisie d’un code reçu par SMS lors de l’appel téléphonique, message que Mme [W] [K] ne conteste pas avoir reçu, cette dernière contestant seulement avoir cliqué sur le lien transmis.

Il convient de rappeler que, bien que tenue d’un devoir de vigilance, la banque est également soumise au respect du principe de non-immixtion dans la gestion courante de leurs affaires par ses clients, de sorte qu’il ne saurait lui être reproché en l’espèce, contrairement à ce qu’affirment les demandeurs, de ne pas avoir été alertée par le transfert soudain de la clé digitale pouvant régulièrement être réalisé par le client, ni de ne pas avoir réagi. Il en va de même pour l’ordre d’exécuter le paiement, la banque étant simple teneuse de compte.

En outre, si les demandeurs affirment n’avoir reçu un SMS de confirmation du transfert de la clé digitale que trois jours après, ce qu’ils ne démontrent au demeurant qu’au moyen d’un courrier établi par Mme [W] [K] unilatéralement, la banque justifie de l’envoi d’un mail envoyé à l’adresse de cette dernière le 22 août 2022 à 14h20, soit aussitôt le transfert réalisé (pièce n° 3).

Par ailleurs, les reproches faits par les demandeurs à la S.A. BNP PARIBAS au titre de défaillances de son système de cybersécurité, à savoir la connaissance par l’escroc d’informations non publiques et confidentielles (identité de la conseillère bancaire, références des comptes) possiblement issue d’une fuite de données, les carences de celle-ci dans le traitement de sa réclamation, l’absence d’alerte du cotitulaire du compte ainsi que l’absence de réaction par la banque d’une connexion suspecte à l’application bancaire de Mme [K] le 17 août 2022 depuis la Tunisie, ne sauraient constituer des déficiences techniques ou humaines internes à la banque ayant pu affecter l’opération de paiement pour des raisons de temporalité, ces reproches visant non pas l’exécution de l’opération en soi mais des considérations antérieures ou ultérieures à celle-ci.

Il est ainsi démontré préalablement par la S.A. BNP PARIBAS qu’aucune déficience technique ou autre n’est venue affecter la réalisation de l’opération de paiement non autorisée du 22 août 2022 en tant que telle.

S’agissant de la condition prévue à l’article L.133-19 IV du code monétaire et financier, dont la charge de la preuve incombe également à l’établissement bancaire, la S.A. BNP PARIBAS reproche à Mme [W] [K] plusieurs négligences graves :

— avoir nécessairement, antérieurement à la date de l’opération litigieuse, cliqué sur un lien reçu par voie électronique la dirigeant vers un site frauduleux, où elle a pu renseigner ses codes d’accès à son espace client (identifiants et code personnel), permettant ainsi au fraudeur de s’y connecter ;

— avoir nécessairement divulgué ses coordonnées bancaires (numéro, date d’expiration et cryptogramme) au fraudeur, ou depuis le site frauduleux, ou par téléphone, lui permettant ainsi de procéder à l’achat ;

— avoir nécessairement divulgué au fraudeur le code confidentiel qui lui a été transmis le 22 août 2022 sur son téléphone personnel, permettant l’enrôlement de la clé digitale vers le téléphone portable utilisé par le fraudeur ;

S’agissant de la première négligence invoquée, il est manifeste que l’auteur de l’escroquerie a obtenu les codes d’accès à l’espace client pour s’y connecter le 22 août 2022 à 14h14 à partir de l’adresse IP 86.227.123.182, étant observé par ailleurs qu’une autre connexion depuis la Tunisie est intervenue le 17 août 2022 à 15h55 à partir d’une autre autre adresse 213.150.180.57 (pièce n° 4 en défense), sans certitude sur l’identité de la personne à l’origine de cette connexion suspecte.

Ces codes d’accès sont constitués par l’identifiant client ainsi que par un code confidentiel, dont seule Mme [W] [K] avait connaissance et qu’elle devait conserver sans le divulguer à un tiers, conformément à son obligation de prudence édictée à l’article L.133-16 précité et aux alertes sécurité mises à la disposition de ses clients par la banque (pièce n° 7).

La S.A. BNP PARIBAS, pour caractériser l’imprudence de sa cliente, affirme, par un raisonnement par induction, qu’il est nécessaire que Mme [K] ait dévoilé ses codes au fraudeur pour que celui-ci puisse accéder à l’espace client, en suggérant dans ses conclusions qu’elle ait, antérieurement à l’appel téléphonique, cliqué sur un lien hypertexte renvoyant vers un site frauduleux imitant celui de la banque où elle a pu renseigner ses identifiant et code personnel, ou répondu à un mail frauduleux.

S’il apparaît évident, au regard des débats, qu’une telle action de Mme [K] soit effectivement à l’origine de l’escroquerie, aucune pièce ne permet cependant d’apprécier si cette dernière a fait preuve de négligence, ni que celle-ci a été suffisamment grave pour écarter son indemnisation.

En effet, rien ne permet d’établir la date à laquelle ces codes ont été transmis, ni via quel support, ni, à supposer acquis qu’un lien la renvoyant vers un site frauduleux lui ait été adressé, que l’adresse ou la présentation de ce site comportait ou non les indices d’une fraude permettant à un client particulier raisonnablement informé d’être alerté sur le risque d’y renseigner ses codes d’accès à son espace client.

Il ne peut être reproché à Mme [K] de ne pas fournir d’explications sur ce point dans la mesure où la charge de la preuve de la négligence, tant dans son principe que sa gravité, repose uniquement sur l’établissement bancaire qui, en l’espèce, échoue à caractériser cette première négligence devant la juridiction.

S’agissant de la deuxième négligence invoquée, la S.A. BNP PARIBAS se borne à affirmer que Mme [K] est à l’origine de la divulgation de ses coordonnées bancaires et ne répond pas d’une part aux conclusions de l’expert amiable (pièce n° 11 en demande) faisant état de l’existence de piratages de grande ampleur permettant à des personnes malveillantes de récupérer auprès de sites de commerce en ligne des informations associées à une carte bancaire à l’insu des internautes (“Magecart”, p. 10 du rapport) ni, d’autre part, sur les explications fournies par l’escroc devant le tribunal correctionnel de Paris, dont la motivation précise “il achetait en cryptommonaie des informations sur les comptes bancaires des victimes en amont des appels (…) Il allait aussi sur des sites de carding et achetait les données bancaires par lot, il y avait les 16 chiffres, le cryptogramme, la date d’expiration, le nom du client” (pièce n° 12, p. 8-9).

Au vu de ces éléments et en l’absence d’autres explications fournies par la défenderesse, aucune négligence grave n’est susceptible d’être retenue à l’encontre de Mme [W] [K] au titre de la divulgation de ses coordonnées bancaires, lesquelles ont pu être récupérés par le fraudeur indépendamment de toute action imprudente de la part de cette dernière.

Enfin, s’agissant de la troisième négligence invoquée par la banque, il est constant que le transfert de la clé digitale a été réalisé à 14h20 le 22 août 2022 à l’initiative du fraudeur au cours d’un appel téléphonique avec Mme [W] [K].

La S.A. BNP PARIBAS relate, à l’appui de son argumentation, le processus par lequel un clé digitale peut être enrôlée frauduleusement sur un nouveau téléphone portable, impliquant que l’escroc, connecté sur l’espace bancaire du client fraudé, sollicite un enrôlement de la clé sur son propre téléphone, entraînant l’envoi d’un message sur le téléphone de ce dernier (car comportant la carte SIM du numéro de téléphone sécurisé), messsage contenant un code qui permettra au fraudeur de valider le changement de clé digitale, à la condition toutefois qu’il lui ai été divulgué pour qu’il puisse reconstituer le lien hypertexte depuis son propre téléphone sur lequel l’enrôlement est en attente (pièce n° 5).

Si la copie de ce SMS n’est pas produite par la défenderesse, qui justifie néanmoins d’un exemple (pièce n° 6), Mme [K] ne conteste pas avoir reçu un tel message, tout en précisant dans son dépôt de plainte du 13 septembre 2022 qu’elle n’a, d’après ses souvenirs, pas cliqué sur le lien (pièce n° 1 en demande).

Cependant, ainsi qu’il est démontré par la S.A. BNP PARIBAS, le simple fait de cliquer sur le lien est en réalité indifférent, puisque ne permettait pas à lui-seul de valider l’enrôlement de la clé digitale vers le téléphone du fraudeur.

En effet, encore fallait-il que Mme [K] dévoile ce code au fraudeur lors de l’appel téléphonique, ce qu’elle ne conteste pas ni dans ses écritures, ni dans ses pièces.

Aussi, il y a lieu de considérer que Mme [K] a nécessairement communiqué au fraudeur le code contenu dans le SMS, oralement.

En agissant ainsi, alors que le SMS type contient un message d’alerte écrit en capitales (“ne jamais communiquer ce code”) et qu’il peut raisonnablement être attendu d’un utilisateur de services de paiement qu’il ne dévoile jamais les codes dont il a connaissance pour préserver la sécurité de ses moyens de paiement, Mme [K] a fait preuve d’une négligence certaine ayant permis le succès de la fraude.

Toutefois, Mme [W] [K] explique qu’elle pensait à cette occasion être contactée par un numéro de téléphone appartenant à la S.A. BNP PARIBAS ([XXXXXXXX01]) et être en ligne avec une personne se présentant comme un collaborateur de sa conseillère bancaire habituelle, Mme [A] [S], ayant accès à différentes informations quant à ses comptes et l’informant de la nécessité de procéder à une mise à jour de son système d’authenfication.

Si la S.A. BNP PARIBAS soutient qu’il n’est pas démontré que le nom de la conseillère ait été expressément nommé par la fraudeur, ni que le numéro de téléphone utilisé lui appartenait, ces éléments sont contredits par la motivation du jugement correctionnel dont il ressort que l’auteur de l’escroquerie reconnait avoir appelé avec le numéro de la banque grâce à l’application Telegram, en exploitant une faille des banques, et pouvait acheter les donnés bancaires sur des sites de “carding”, comportant le nom du client mais également parfois le nom du conseiller bancaire. L’hypothèse de la fuite de données ayant permis la divulgation de ces informations non publiques est également avancée par l’expert amiable dans son rapport.

Il en résulte que Mme [K], lors de cet appel téléphonique de plusieurs minutes, a cru être contactée par un professionnel de la S.A. BNP PARIBAS, ayant connaissance d’un certain nombre d’informations fiables, personnelles et non-publiques concernant ses comptes bancaires et a ainsi été placée dans une situation de confiance légitime envers son interlocuteur, ce qui au demeurant était l’objectif affiché de l’escroc d’après ses déclarations devant le tribunal correctionnel.

Il apparaît ainsi que les circonstances de l’espèce, révélant une crédulité de Mme [K] entretenue par l’auteur de l’escroquerie avant qu’il n’en abuse, excluent toute condition de gravité dans la négligence dont elle a fait preuve.

En conséquence, la S.A. BNP PARIBAS échoue à démontrer une quelconque négligence grave de Mme [K] vis-à-vis de son obligation de prudence dans la préservation de la sécurité de ses données de sécurité personnalisées au sens de l’article L.133-19 IV du code monétaire et financier et est ainsi tenue au remboursement de la somme objet du paiement litigieux.

En l’absence d’identité de parties entre l’affaire portée devant le tribunal correctionnel de PARIS statuant sur intérêts civils et la présence espèce et la condamnation de l’auteur principal de l’escroquerie à payer à Mme [K] la somme correspondant au paiement litigieux ne faisant aucunement obstacle aux époux [K] de rechercher la responsabilité de la banque au titre de son obligation de remboursement, c’est à tort que la S.A. BNP PARIBAS invoque le bénéfice du principe de la réparation intégrale des préjudices, qui ne trouve pas à s’appliquer à l’espèce, pour dire que les demandeurs ne sauraient bénéficier d’une indemnisation à double titre, étant observé par ailleurs que la banque pourra toujours exercer un recours contre le tiers auteur de l’escroquerie.

Partant, la S.A. BNP PARIBAS sera condamnée à payer aux époux [K] la somme de 10 600 euros au titre du remboursement de l’opération non autorisée du 22 août 2022.

Cette somme produira intérêt au taux légal majoré conformément à l’article L.133-18 du code monétaire et financier, ainsi qu’il sera précisé au dispositif.

III. Sur la demande de dommages-intérêts

L’article 1217 du code civil dispose que la partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut demander réparation des conséquences de l’inexécution.

L’article 1231-1 du même code précise qu’en matière contractuelle, le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure.

Il y a lieu de rappeler à titre liminaire que l’exclusivité du régime de responsabilité prévu par les articles précités du code monétaire et financier n’est attachée qu’à la demande visant au remboursement des opérations frauduleuses ; il ne fait aucunement obstacle à la mise en jeu de la responsabilité contractuelle de droit commun s’agissant de l’indemnisation des conséquences d’un refus par l’établissement bancaire de procéder au remboursement.

Les époux [K] fondent leur demande au titre du préjudice sur le traitement que leur a réservé la banque dans le suivi de leur réclamation, les accusations blessantes dont ils ont fait l’objet, l’absence de prise en compte de l’escroquerie dont ils avaient été victime et la perte de confiance en leur établissement bancaire.

En l’espèce, il ne ressort pas des éléments transmis l’existence d’une faute de la S.A. BNP PARIBAS, qui s’est contentée de faire valoir l’existence d’une négligence grave de sa cliente pour refuser de rembourser la somme sollicitée, argument qui a été soumis au débat et tranché par le présent jugement.

En particulier, aucune communication de la banque ne révèle des propos de nature à blesser les époux [K], la S.A. BNP PARIBAS ayant au contraire maintenu un ton respectueux, rappelé à ses clients les possibilités de contestation, cherché à motiver son refus de prise en charge sans pour autant nier leur qualité de victime dans l’escroquerie.

En l’absence d’un préjudice distinct que l’octroi du remboursement de la somme de 10 600 euros avec intérêts au taux légal majoré n’aurait pas suffisamment réparé, la demande indemnitaire des époux [K] sera rejetée.

IV. Sur les demandes accessoires

Sur les dépens,

Aux termes de l’article 696 du code de procédure civile, la partie perdante est condamnée aux dépens, à moins que le juge, par décision motivée, n’en mette la totalité ou une fraction à la charge d’une autre partie.

En l’espèce, il y a lieu de condamner la S.A. BNP PARIBAS, partie succombante, aux dépens de l’instance avec distraction au profit de M^e Hervé JEANJACQUES, avocat, sur ses affirmations de droit, en application de l’article 699 du code de procédure civile.

Sur les frais irrépétibles,

Aux termes de l’article 700 du code de procédure civile, le juge condamne la partie tenue aux dépens ou qui perd son procès à payer à l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens. Dans tous les cas, le juge tient compte de l’équité ou de la situation économique de la partie condamnée. Il peut, même d’office, pour des raisons tirées des mêmes considérations, dire qu’il n’y a pas lieu à ces condamnations.

Au regard de la nature et de la résolution du litige, ainsi que de l’équité, il y a lieu de condamner la S.A. BNP PARIBAS à payer aux époux [K] la somme de 4 000 euros sur le fondement de l’article 700 du code de procédure civile. La demande formée à ce titre par la défenderesse sera ainsi rejetée.

Sur l’exécution provisoire,

Selon l’article 514 du code de procédure civile, les décisions de première instance sont de droit exécutoires à titre provisoire à moins que la loi ou la décision rendue n’en dispose autrement.

En l’espèce, aucune circonstance de droit ou de fait ne justifie que l’exécution provisoire de droit de la présente décision, compatible avec la nature de l’affaire, soit écartée.

PAR CES MOTIFS,

Le tribunal, statuant publiquement, par jugement contradictoire et en premier ressort, prononcé par mise à disposition au greffe,

DECLARE recevables les conclusions du rapport d’expertise amiable ;

CONDAMNE la S.A. BNP PARIBAS à payer à [W] [M] épouse [K] et [I] [K] la somme de 10 600 euros en remboursement de l’opération frauduleuse du 22 août 2022, avec intérêts au taux légal majoré de la façon suivante :

—  5 points du 23 août 2022 au 30 août 2022 ;

—  10 points du 1er septembre 2022 au 23 septembre 2022 ;

—  15 points du 24 septembre 2022 jusqu’à complet paiement ;

REJETTE la demande de [W] [M] épouse [K] et [I] [K] au titre du préjudice moral ;

CONDAMNE la S.A. BNP PARIBAS aux dépens de l’instance ;

AUTORISE M^e Hervé JEANJACQUES à recouvrir directement contre la S.A. BNP PARIBAS ceux des dépens dont l’avocat a fait l’avance sans avoir reçu de provision ;

CONDAMNE la S.A. BNP PARIBAS à payer à [W] [M] épouse [K] et [I] [K] la somme de 4 000 euros au titre de l’article 700 du code de procédure civile ;

REJETTE la demande formée par la S.A. BNP PARIBAS au titre des frais irrépétibles ;

DIT N’Y AVOIR LIEU à écarter l’exécution provisoire de droit de la présente décision.

LE GREFFIER LA PRESIDENTE