N° RG 24/01956 – N° Portalis DBZT-W-B7I-GLDD

[J] [C], [E] [W] épouse [C] / S.A. BNP PARIBAS

MINUTE :

RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS

TRIBUNAL JUDICIAIRE DE VALENCIENNES

JUGEMENT RENDU LE QUATORZE MARS DEUX MIL VINGT CINQ

DEMANDEURS

M. [J] [C]

né le 08 Janvier 1963 à ESCAUDAIN (59124), demeurant [Adresse 2], représenté par M^e Lucie DELPORTE, avocat au barreau de VALENCIENNES,

Mme [E] [W] épouse [C]

née le 08 Décembre 1965 à DENAIN (59220), demeurant [Adresse 2], représentée par M^e Lucie DELPORTE, avocat au barreau de VALENCIENNES,

DEFENDERESSE

S.A. BNP PARIBAS, dont le siège social est sis [Adresse 1], représentée par M^e Elodie VALETTE de la SCP BRYAN, CAVE, LEIGHTON, PAISNER LLP, avocat au barreau de PARIS,

COMPOSITION DU TRIBUNAL :

— Président : Pascal RUSSO, Magistrat à titre temporaire

— Greffier : Anna BACCHIDDU

DÉBATS :

— Date de saisine : 28 Juin 2024

— Date de l’acte de saisine : 27 Juin 2024

— Débats à l’audience publique du : 14 Février 2025

_____________________________________________________________

Copie délivrée à:

le:

Exécutoire délivré à :

1

EXPOSE DU LITIGE

Monsieur [J] [C] et Madame [E] [W] clients auprès de la société BNP Paribas bénéficient des produits et services fournis par cet établissement bancaire.

Ils ont été victimes de plusieurs prélèvements bancaires frauduleux opérés le 30/07/2023 sur leur compte bancaire.

La banque refusant toutefois de procéder au remboursement des sommes indûment prélevées, par acte en date du 27/06/2024 ils ont fait citer la société BNP Paribas devant la juridiction de céans.

Ils sollicitent du Tribunal :

La condamnation de la société BNP Paribas au paiement des sommes de :

-4049.07 euros correspondant au total des débits effectués avec intérêts au taux légal à compter du 30/07/2023.

-2000 euros de dommages et intérêts pour résistance abusive.

-2000 euros au titre de l’article 700 du CPC dont disxtraction au profit de Maître Lucie DELPORTE.

Le débouté de l’ensemble des demandes de la société BNP Paribas.

Le prononcé de l’exécution provisoire.

A l’audience du 07/03/2025 les parties sont représentées par leurs conseils respectifs.

Monsieur [J] [C] et Madame [E] [W] maintiennent leurs demandes.

La société BNP Paribas en réplique demande au Tribunal :

A titre liminaire :

D’écarter des débats la pièce n°13 concernant la position de la médiatrice du 21/02/2024.

D’écarter des débats toute mention ou référence concernant la position de la médiatrice du 21/02/2024.

Et sur la demande principale :

Juger que les opérations litigieuses ont été dûment authentifiées.

Juger que Les demandeurs ont commis une négligence grave.

En conséquence :

Les débouter de leur demande tendant au remboursement de la somme de 4049.07 euros.

Et sur la demande de dommages et intérêts.

Juger que le régime de responsabilité des prestataires de services de paiement défini au CMF fait l’objet d’une application exclusive et autonome.

Juge que la société BNP Paribas n’a commis aucune inexécution contractuelle.

En conséquence :

Déboute Monsieur [J] [C] et Madame [E] [W] de leur demande de dommages et intérêts.

En tout état de cause :

2

Déboute Monsieur [J] [C] et Madame [E] [W] de l’intégralité de leurs demandes.

Les condamne à 2500 euros au titre de l’article 700 du CPC ainsi qu’aux dépens.

Ecarte l’exécution provisoire.

L’affaire a été mise en délibéré au 07/03/2025 pui prorogé au 14/03/2025 par mise à disposition au greffe.

MOTIFS DE LA DECISION

Sur la demande principale.

Monsieur [J] [C] et Madame [E] [W] ont été victimes de quatre débits frauduleux passés sur leur compte bancaire le 30/07/2023 entre 13 H 21 et 14 H 21, pour un montant total de 4049,07 euros et dont ils nient être à l’origine.

Ils ont contesté immédiatement ces débits auprès de leur banque, puis ont déposé une plainte au commissariat.

La Banque refuse de créditer leur compte des sommes correspondantes au motif que sa responsabilité ne se trouve pas engagée en vertu des dispositions légales applicables au paiement à distance prévues aux articles L131-1 et suivants du CMF.

Elle invoque l’article L133-16 du CMF lequel dispose que le client doit prendre toutes les mesures raisonnables pour préserver la confidentialité des données de sécurité personnalisées qui lui ont été communiquées et sont rattachées au service de paiement électronique de son compte bancaire.

Elle invoque une négligence grave de ses clients dans la préservation de leurs données pour expliquer les opérations contestées, lesquelles ont toutes été dûment authentifiées par le système de la Clé Digitale, dispositif enrôlé sur le téléphone portable des demandeurs, identifié sur l’espace en ligne des clients.

Elle fait valoir que la Clé Digitale est rattachée à un unique appareil mobile et associé au numéro de téléphone renseigné par le client.

Elle conteste donc sa responsabilité puisque l’opération frauduleuse ne peut être initiée que l’accès du fraudeur à l’espace personnel des clients ainsi que par la validation des paiements au moyen de la Clé Digitale.

Elle en déduit que les données nécessaires pour avoir accès à l’application et valider les paiements étant très précises (identifiant, mot de passe, adresse mail, code personnel) Monsieur [J] [C] et Madame [E] [W] n’ont pas satisfait à leur obligation définie à l’article L133-16 du CMF consistant à prendre toutes les mesures destinées à assurer la sécurité de leur moyen de paiement et qu’il ont sciemment ou non communiqué ces informations à un tiers.

La Banque conclut que ses clients ne démontrant pas que leur instrument de paiement ou les données qui y sont liées ont pu être détournés à leur insu, alors qu’elle même justifie que les opérations ont été dûment authentifiées, elle ne peut être considérée comme responsable et aucune action ne saurait prospérer à son encontre.

Ceci étant précisé, il convient de noter que selon le 2eme alinéa de l’article L123-23 du CMF, l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de service de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière.

3

Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.

Or la juridiction constate toutefois que Monsieur [J] [C] et Madame [E] [W] contestent formellement avoir divulgué leurs codes bancaires confidentiels à un tiers.

Et il est établi que le 13/07/2023 à 13 H 20, soit quelques minutes seulement avant que les débits frauduleux aient été initiés, il a été sollicité via l’espace personnel des demandeurs et à partir d’une adresse IP inconnue d’eux, à savoir l’IP 72.139.194.220, un transfert de la Clé Digitale sur un nouvel appareil téléphonique, également inconnu d’eux.

Le transfert de cette Clé a été effectivement finalisé par l’intermédiaire d’un lien à code unique transmis par SMS par la banque sur le téléphone portable des demandeurs, lien que ceux-ci indiquent n’avoir jamais reçu.

La banque qui estime de fait avoir rempli l’intégralité de ses obligations, et tente de le justifier en indiquant que les demandeurs restent particulièrement silencieux sur les conditions de la fraude et notamment sur le contexte dans lequel la Clé Digitale a pu être enrôlée sur l’appareil du fraudeur.

Il convient cependant de rappeler que la Haute juridiction a indiqué que le Code monétaire et financier fait peser le risque sur celui qui fournit un instrument de paiement, que c’est à lui de faire en sorte qu’il ne soit pas accessible à d’autres personnes, et qu’il lui incombe de prouver que l’utilisateur n’a pas pris les mesures de sécurité nécessaires, intentionnellement ou par négligence, ou qu’il a agi frauduleusement.

Elle a indiqué que cette preuve ne saurait résulter de la validation des opérations de paiement par le code personnel du client.

Dès lors que la banque reconnait l’initiation en ligne d’une demande d’enrôlement de Clé digitale sur un nouvel appareil téléphonique, et que cette opération qui a immédiatement précédée les débits frauduleux, ainsi que les débits eux-mêmes, a été initiée à partir d’une adresse IP inconnue des demandeurs, la juridiction considère qu’il existe des éléments sérieux susceptibles d’établir qu’une intrusion frauduleuse s’est réellement produite sur les comptes des clients de l’organisme bancaire.

Et dès lors que ceux-ci contestent toute négligence dans la conservation de leurs données personnelles, la banque ne saurait se retrancher derrière le dispositif de sécurité qu’elle a mis en place afin de s’exonérer de toute responsabilité, sans démontrer le comportement fautif de ses clients.

Rien ne permet d’établir que l’accès à l’espace personnel des clients n’ait pu être obtenu de manière frauduleuse, étant précisé qu’ils ne leur appartiennent pas d’expliquer le mode opératoire utilisé par les fraudeurs.

Et dès lors qu’ils avaient accès à cet espace, les fraudeurs avaient tout loisir afin d’initier une validation de Clé Digitale sur un appareil inconnu et d’initier les débits frauduleux.

Etant précisé que les demandeurs établissent, par production de captures d’écran, qu’ils n’ont pas été destinataires du SMS concernant la validation de la Clé Digitale sur le nouvel appareil.

En outre il n’est plus à démontrer que les données des cartes bancaires équipées du paiement sans contact, sont susceptibles d’être piratées sans difficultés par les fraudeurs en dehors de toute intervention du titulaire de la carte.

De même ils justifient se trouver en voyage à l’étranger au moment de ces incidents et dès lors, il ne saurait raisonnablement leur être fait grief de n’avoir dénoncé à la banque que le 02/08/2023 les opérations litigieuses initiées le 30/07/2023.

4

L’organisme bancaire sera en conséquence condamné à rembourser à Monsieur [J] [C] et Madame [E] [W] la somme de 4049,07 euros au titre des 4 opérations litigieuses débitées de leur compte, ladite somme portant intérêts au taux légal à compter de la présente décision.

Sur le préjudice lié à la résistance abusive.La résistance abusive suppose une intention malveillante de son auteur visant à nuire à son contradicteur.

En l’espèce le litige est soumis aux dispositions de l’article L133-18 et suivants du CMF, l’article L133-18 disposant qu’en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.

Or malgré le contexte rappelé au paragraphe précédent, mettant en évidence une intrusion extérieure sur le compte des clients, la banque a refusé sa garantie, sans toutefois démontrer le comportement fautif de ses clients.

Les demandeurs sont donc habilités à solliciter réparation de leur préjudice, sur la base de la responsabilité contractuelle de l’organisme bancaire, lequel n’ayant pas apporté la preuve de la négligence grave de ses clients, démontre qu’elle n’a pas satisfaite à la sécurisation de l’instrument de paiement, les faits révélant que les opérations suspectes ont vraisemblablement été initiées par des tiers.

Les demandeurs ont vu leur compte amputé d’une somme conséquente sur une période allant de 07/2023 jusqu’à ce jour, soit pendant près de 2 ans, durant laquelle ils ont été contraint de diligenter de nombreuses démarches administratives et judiciaires afin d’obtenir gain de cause.

Cette résistance de la banque à satisfaire à ses obligations légales se trouve à l’origine de l’abus de droit évoqué ainsi que du préjudice subi dont les demandeurs sollicitent l’indemnisation.

Ce préjudice pourra être équitablement évalué à la somme de 1500 euros, dont la société BNP Paribas sera déclarée redevable.

Sur l’article 700 du CPC.Aux termes de l’article 700 du Code de procédure civile, “Le juge condamne la partie tenue aux dépens ou qui perd son procès à payer à l’autre partie la somme qu’il détermine au titre des frais exposés et non compris dans les dépens. Dans tous les cas, le juge tient compte de l’équité ou de la situation économique de la partie condamnée. Il peut, même d’office, pour des raisons tirées des mêmes considérations, dire qu’il n’y a lieu à condamnation”.

La société BNP Paribas sera condamnée à ce titre au paiement de la somme de 2000 euros.

Sur les dépens.Aux termes de l’article 696 du Code de procédure civile, “La partie perdante est condamnée aux dépens, à moins que le juge, par décision motivée, n’en mette la totalité ou une fraction à la charge d’une autre partie”.

La société BNP Paribas sera condamnée aux dépens de l’instance.

5

PAR CES MOTIFS

Le tribunal judiciaire, statuant publiquement, par mise à disposition de la décision au greffe à la date indiquée à l’issue des débats en audience publique en application de l’article 450 alinéa 2 du Code de procédure civile, par jugement contradictoire rendu en premier ressort

Condamne la société BNP Paribas à payer à M. [J] [C] et Mme [E] [W] épouse [C] les sommes de :

-4049.07 euros en remboursements des débits frauduleux.

-1500 euros à titre de dommages et intérêts.

-2000 euros au titre de l’article 700 du CPC.

Condamne la société BNP Paribas aux dépens de l’instance.

Déboute les parties de leurs autres demandes.

Rappelle que la décision est exécutoire à titre provisoire.

LE GREFFIER LE MAGISTRAT