Cour d'Appel · Chambre Commerciale — 5 octobre 2022

COUR D'APPEL

DE RIOM

Troisième chambre civile et commerciale















ARRET N°



DU : 05 Octobre 2022



N° RG 21/00398 - N° Portalis DBVU-V-B7F-FRNH

VTD

Arrêt rendu le cinq Octobre deux mille vingt deux



Sur APPEL d'une décision rendue le 2 février 2021 par le Tribunal de commerce de CUSSET (RG n° 2020 000519)

 

COMPOSITION DE LA COUR lors des débats et du délibéré :

Madame Anne-Laurence CHALBOS, Président

Mme Virginie THEUIL-DIF, Conseiller

M. François KHEITMI, Magistrat Honoraire



En présence de : Mme Cécile CHEBANCE, Greffier, lors de l'appel des causes et Mme Christine VIAL, Greffier, lors du prononcé



ENTRE :



La société BNP PARIBAS

SA immatriculée au RCS de Paris sous le n° 662 042 449 00014

[Adresse 2]

[Localité 4]



Représentants : Me Lucie CLOUVEL, avocat au barreau de CLERMONT-FERRAND

(postulant) et Me Dominique PENIN du LLP KRAMER LEVIN NAFTALIS & FRANKEL LLP, avocat au barreau de PARIS (plaidant)



APPELANTE



ET :



La société ECS ENVIRONNEMENT 

SARL immatriculée au RCS de Cusset sous le n° 484 410 337

[Adresse 3]

[Localité 1]



Représentants : Me Maud ROUCHOUSE, avocat au barreau de CLERMONT-FERRAND (postulant) et Me Marina STEFANIA, avocat au barreau de LYON (plaidant)



INTIMÉE



DEBATS : A l'audience publique du 15 Juin 2022 Madame THEUIL-DIF a fait le rapport oral de l'affaire, avant les plaidoiries, conformément aux dispositions de l'article 785 du CPC. La Cour a mis l'affaire en délibéré au 05 Octobre 2022. 



ARRET : 

Prononcé publiquement le 05 Octobre 2022, par mise à disposition au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du code de procédure civile ;

Signé par Madame Virginie THEUIL-DIF, Conseiller, pour le Président empêché, et par Mme Christine VIAL, Greffier, auquel la minute de la décision a été remise par le magistrat signataire. 



EXPOSE DU LITIGE



La SARL ECS Environnement est titulaire d'un compte ouvert dans les livres de la SA BNP Paribas depuis le 13 septembre 2005.



Elle a contesté des opérations de paiement effectuées sur son compte le 28 août 2019 et demandé à la SA BNP Paribas de lui rembourser le montant de deux virements de 5 988 euros et 5 982 euros. Elle a en outre déposé plainte auprès de la gendarmerie de [Localité 5] le 29 août 2019.



Par courriers du 17 septembre 2019, puis du 28 octobre 2019 de son conseil, la SARL ECS Environnement a sollicité le remboursement des sommes objets des virements. La banque a refusé ces demandes faisant valoir que le gérant M. [J] [D] avait communiqué un code reçu par SMS à son père M. [H] [D] et que les ordres avaient été validés par signature électronique grâce à la saisie des identifiants de M. [J] [D] en qualité de gérant de la SARL ECS Environnement, par une tierce personne non habilitée.



Par acte d'huissier du 18 février 2020, la SARL ECS Environnement a fait assigner la SAS BNP Paribas devant le tribunal de commerce de Cusset aux fins notamment de voir :

- dire qu'elle ne doit subir aucune perte résultant des virements frauduleux, et ce conformément à la réglementation en vigueur ;

- dire que la SA BNP Paribas a manqué à ses obligations professionnelles, et notamment à son obligation de vigilance ;

- dire qu'aucune faute ne peut être reprochée à la SARL ECS Environnement en raison de la méthode utilisée par les escrocs ;

- dire qu'en tout état de cause, en l'absence d'une faute de la part du déposant, la SA BNP Paribas engage sa responsabilité ;

- condamner la SA BNP Paribas à payer à la SARL ECS Environnement la somme de 11 970 euros au titre du préjudice subi du fait des deux virements frauduleux outre intérêts au taux légal à compter desdits virements, soit du 28 août 2019 ;

- condamner la SA BNP Paribas à payer à la SARL ECS Environnement la somme de 2 521,50 euros au titre du préjudice de trésorerie ;

- condamner la SA BNP Paribas à payer à la SARL ECS Environnement la somme de 5 000 euros de dommages et intérêts pour résistance abusive ;

- rejeter toutes demandes, fins et conclusions contraires ;

- condamner la SA BNP Paribas à payer à la SARL ECS Environnement la somme de 3 000 euros au titre de l'article 700 du code de procédure civile ;

- condamner la SA BNP Paribas aux dépens.



Par jugement du 2 février 2021, le tribunal a :

- déclaré recevable la demande formulée par la SARL ECS Environnement ;

- jugé que la SARL ECS Environnement ne doit subir aucune perte résultant des virements frauduleux ;

- jugé que la SA BNP Paribas a manqué à ses obligations professionnelles et notamment à son obligation de vigilance ;

- jugé qu'aucune faute ne peut être reprochée à la SARL ECS Environnement en raison de la méthode utilisée par les escrocs ;

- jugé qu'en tout état de cause, en l'absence d'une faute de la part du déposant, la SA BNP Paribas engage sa responsabilité en tant que professionnel ;

- condamné la SA BNP Paribas à payer à la SARL ECS Environnement la somme de 11 970 euros au titre du préjudice subi du fait des deux virements frauduleux, outre intérêts au taux légal à compter desdits virements, soit du 28 août 2019 ;

- condamné la SA BNP Paribas à payer à la SARL ECS Environnement la somme de 2 000 euros au titre de l'article 700 du code de procédure civile et aux dépens ;

- rejeté toutes les autres demandes, fins et conclusions des parties. 



Le tribunal a énoncé au visa des articles L.133-23 et L.133-24 du code monétaire et financier que la SA BNP Paribas ne démontrait pas que la SARL ECS Environnement avait agi frauduleusement ou n'aurait pas satisfait intentionnellement ou par négligence grave à ses obligations ;

que d'une part, certes la SARL ECS Environnement avait transmis par l'intermédiaire de son gérant, M. [J] [D], un code d'activation pour l'ajout d'un nouveau bénéficiaire reçu par SMS à son père, M. [H] [D], ancien dirigeant de l'entreprise et responsable actuel des achats ; que M. [J] [D] pensait que ce code servait à valider le paiement d'une facture d'achat de papier ; que ce transfert est intervenu 8 minutes après avoir reçu le code par SMS, mais le mail de confirmation de l'ajout a été envoyé 1 minute avant l'envoi du code qui était indispensable à l'ajout sur le site internet de la banque ; qu'enfin M. [H] [D] a attesté sur l'honneur ne pas avoir effectué ces deux virements ; 

que d'autre part, pour valider un virement, la procédure BNP exigeait à la fois la connexion à l'espace personnel à l'aide d'un identifiant et mot de passe et la réception par SMS d'un code à usage unique ; que M. [H] [D] a attesté sur l'honneur ne pas avoir communiqué l'identifiant ni le code d'accès au site internet de la banque à qui que ce soit et en aucun cas lors d'un contact téléphonique ;

qu'en outre, la banque a transmis la preuve que les ordres de virements avaient été effectués depuis une adresse IP différente de celle utilisée habituellement par la SARL ECS Environnement ;

que l'enquêteur en charge de la plainte de la SARL ECS Environnement a confirmé être face à une escroquerie, ajoutant que la somme d'un des virements avait été transférée en Allemagne. 



La SA BNP Paribas a interjeté appel du jugement suivant déclaration électronique reçue au greffe de la cour en date du 17 février 2021.



Aux termes de ses conclusions déposées et notifiées le 10 mars 2022, la SA BNP Paribas demande à la cour de :

- déclarer la SA BNP Paribas recevable et bien fondée en son appel ;

- infirmer le jugement en ce qu'il a : 

' condamné la SA BNP Paribas à rembourser la SARL ECS Environnement une somme de 11 970 euros en principal outre 2 000 euros au titre de l'article 700 du code de procédure civile ;

' condamné la SA BNP Paribas aux dépens ; 

- confirmer le jugement en ce qu'il a débouté la SARL ECS Environnement de ses demandes au titre de ses préjudices accessoires;

Statuant à nouveau : 

- débouter la SARL ECS Environnement de l'intégralité de ses demandes à toutes fins qu'elles comportent ; 

- condamner la SARL ECS Environnement à rembourser à la SA BNP Paribas les sommes payées au titre de l'exécution provisoire ; 

- la condamner à verser à la SA BNP Paribas la somme de 2 000 euros au titre de l'article 700 du code de procédure civile ;

- la condamner aux entiers dépens de première instance et d'appel. 



Elle soutient que les deux virements n'ont été réalisés au détriment de la SARL ECS Environnement qu'en raison de la seule et unique négligence du dirigeant. Les opérations contestées consistent en deux virements réalisés le 28 août 2019 par internet vers un bénéficiaire figurant déjà dans sa liste des bénéficiaires de confiance mais dont les coordonnées bancaires ont été modifiées avec l'accord de la SARL ECS Environnement par authentification via l'envoi d'un code à usage unique. Or, selon les propres dires du gérant, il a délibérément laissé M. [H] [D] se connecter à distance. Si le code à usage unique n'avait pas été communiqué, les coordonnées bancaires de 'Fondis' n'auraient pas pu être modifiées et l'escroc n'aurait eu aucun moyen pour obtenir le bénéfice des virements.



Elle ajoute que la SARL ECS Environnement ne peut se prévaloir des dispositions des articles L.561-1 et suivants du code monétaire et financier qui ont pour unique finalité la lutte contre le blanchiment et le financement du terrorisme. 



Dans ses dernières conclusions déposées et notifiées le 11 avril 2022, la SARL ECS Environnement demande à la cour, au visa des articles du code monétaire et financier, et de l'article 1240 du code civil, de :

- confirmer le jugement, sauf en ce qu'il a rejeté toutes les autres demandes, fins et conclusions des parties ;

- se faisant, condamner la SA BNP Paribas à payer à la SARL ECS Environnement la somme de 2 521,50 euros au titre du préjudice de trésorerie et d'image ;

- condamner la SA BNP Paribas à payer à la SARL ECS Environnement la somme de 5 000 euros de dommages et intérêts pour résistance abusive ;

- rejeter toutes demandes, fins et conclusions contraires ;

- condamner la SA BNP Paribas à payer à la SARL ECS Environnement la somme de 5 000 euros au titre de l'article 700 du code de procédure civile ;

- condamner la SA BNP Paribas aux dépens.



Elle fait valoir que le fait pour M. [J] [D] d'envoyer à M. [H] [D] le code reçu par SMS, sans que ce code ne soit jamais utilisé, ne saurait constituer un fait fautif ; qu'en application de l'article L.133-19 IV du code monétaire et financier, il incombe à l'établissement bancaire de rapporter la preuve d'une négligence grave ou d'un fait intentionnel commis par le payeur. Elle ne démontre pas en quoi l'envoi d'un code constitue une fraude ou une négligence grave de la part de la SARL ECS Environnement. 



Il sera renvoyé pour l'exposé complet des demandes et moyens des parties, à leurs dernières conclusions.

 

L'ordonnance de clôture a été rendue le 5 mai 2022.





MOTIFS



L'article L.133-16 du code monétaire et financier dispose que dès qu'il reçoit un instrument de paiement, l'utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. Il utilise l'instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées.



L'article L.133-19 IV dudit code prévoit que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.133-16 et L.133-17.



L'article L.133-23 énonce que lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération qui a été exécutée ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre.

L'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataires de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d'initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur des services de paiement.



Il résulte de ces dispositions qu'il incombe au prestataire de paiement de rapporter la preuve que l'utilisateur qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n'a pas satisfait intentionnellement ou par négligence grave à ses obligations. Cette preuve ne peut se déduire du seul fait que l'instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisées : ainsi la seule preuve de l'utilisation des identifiants par le client ne peut suffire à décharger la banque de sa responsabilité.



En l'espèce, les opérations contestées par la SARL ECS Environnement portent sur deux virements réalisés le 28 août 2019 depuis son espace internet, qui a requis préalablement la modification du RIB d'un bénéficiaire préexistant, opération authentifiée par d'une part la saisie de son identifiant et de son code personnel confidentiel, et d'autre part la saisie du code à usage unique reçu par SMS.



L'adresse I.P. utilisée habituellement par la SARL ECS Environnement est la suivante : '82.127.177.17".



Il n'est pas contesté par la banque que ladite société a été victime d'une escroquerie de la part d'une personne ayant utilisé l'adresse I.P suivante '93.1.2.48".



Il ressort du relevé de connexion à l'espace sécurisé de la SARL ECS Environnement produit en pièce n°5 par l'appelante, que le 27 août 2019 à :

- 18h39, une personne s'est connectée sur le compte de la société (opération 'CANALNET') à partir de l'adresse IP '93.1.2.48" ;

- 18h42, les coordonnées bancaires d'un RIB déjà enregistré ont été modifiées (opération 'CANALMODRIB') à partir de cette même adresse I.P., ce qui a déclenché l'envoi d'un courrier électronique à 18:42:55 informant la SARL ECS Environnement que le RIB 'Fondis' avec de nouvelles coordonnées bancaires avait été ajouté et l'envoi d'un SMS à 18:43 à M. [J] [D] contenant un code à usage unique requis pour valider cette modification ;

- 18h54, la SARL ECS Environnement s'est connectée sur son compte à partir de son adresse I.P. habituelle '82.127.177.17" (opération 'CANALNET') ;

- 18h54, les nouvelles coordonnées du RIB 'Fondis' (opération 'CANALVALID') ont été validées à partir de l'adresse I.P. '93.1.2.48" au moyen du code à usage unique.



Par ailleurs, au vu de la plainte déposée le 29 août 2019 par M. [J] [D], gérant de la SARL ECS Environnement, il est établi que ce dernier a reçu le SMS sus-mentionné du 27 août 2019 à 18:42:55 et qu'il l'a transféré à son père M. [H] [D], salarié de la société, à 18h48. M. [J] [D] a exposé avoir reçu le même jour plusieurs appels de son père à 18h36 et 18h51, celui-ci lui demandant 'un code de confirmation pour l'achat de papier spécifique sur internet' ; qu'il lui a fourni le code de confirmation demandé ; qu'il n'a pas lu le contenu du SMS avant de le transférer à son père.



Il est également acquis aux débats que l'escroc s'est connecté sur l'espace en ligne de la SARL ESC Environnement le 28 août 2019 et qu'à:

- 18h55, il a modifié le nom du bénéficiaire de 'Fondis' en '[B] [M]' (opération 'CANALMODRIB') depuis l'adresse I.P. '93.1.2.48", cette modification ne nécessitant pas une validation par un code à usage unique ;

- 18h58, il a exécuté un virement de 5 982 euros (opération 'EXEVIRSEPA') depuis l'adresse I.P. '93.1.2.48" ;

- 19h02, il a exécuté un virement de 5 988 euros (opération 'EXEVIRSEPA') depuis l'adresse I.P. '93.1.2.48". 



La banque soutient qu'une personne est entrée en communication téléphonique avec la SARL ECS Environnement en se faisant passer pour un salarié de la BNP Paribas ; que la SARL ECS Environnement a communiqué ses codes de connexion à son espace personnel ; que l'escroc a ensuite modifié les coordonnées bancaires d'un fournisseur de la SARL, à savoir 'Fondis', pour y substituer les siennes car ces deux opérations ont été faites avec l'adresse I.P. '93.1.2.48" ; que les nouvelles coordonnées bancaires ont été renseignées sur l'application 'Mes comptes' avec une authentification, en l'espèce, le code à usage unique, ce qui a nécessité une validation à la suite d'un SMS reçu sur le téléphone de M. [J] [D]. Elle prétend que si le code à usage unique n'avait pas été communiqué, les coordonnées bancaires de 'Fondis' n'auraient pas pu être modifiées et l'escroc n'aurait eu aucun moyen pour obtenir le bénéfice de ces deux virements.

Elle invoque la négligence du dirigeant, faisant valoir qu'il a validé au moyen du système sécurisé l'opération frauduleuse, sans même s'enquérir de l'opération ni s'interroger sur l'identité du 'nouveau bénéficiaire' ; que la notification de la création d'un nouveau bénéficiaire aurait dû interroger le représentant légal de la SARL ECS Environnement et l'inviter à s'assurer de sa parfaite régularité.



Si le gérant de la SARL a reconnu avoir transféré le SMS dans lequel figurait le code à usage unique, il convient de préciser que le destinataire, M. [H] [D], était l'ancien gérant de la société, devenu salarié au début de l'année 2019 et, surtout responsable des achats. Si le père du gérant avait ainsi accès au compte de la société, cela s'explique par les responsabilités qu'il avait au sein de la structure, et la simple communication de ce SMS en soi ne constitue pas une faute de la part de la SARL ECS Environnement.



Par ailleurs, M. [H] [D] conteste fermement avoir utilisé le code d'activation reçu par SMS transmis par son fils, tout comme il conteste avoir communiqué les identifiant et code personnel confidentiel d'accès au compte bancaire de la société.



Or, il appartient à la banque de rapporter la preuve d'une fraude ou d'une négligence grave commise par l'utilisateur de services de paiement.



En l'état, il est établi que M. [J] [D], gérant de la SARL ECS Environnement, a envoyé un SMS contenant un code à usage unique à M. [H] [D], salarié et responsable des achats, mais il n'est nullement rapporté la preuve que M. [J] [D], ou son père, a communiqué des données personnelles, notamment les identifiant et code personnel.

En outre, la connexion du 27 août 2019 à 18h54 avec l'adresse I.P. '82.127.177.17", adresse habituelle de connexion de la SARL, opération intitulée 'CANALNET', ne suffit pas à démontrer qu'elle a validé la modification du RIB.



Les développements de la banque sur l'existence d'un appel téléphonique au cours duquel un représentant de la SARL ECS Environnement aurait communiqué à l'escroc se faisant passer pour un salarié de la banque, ses codes de connexion à son espace personnel, ne reposent que sur des allégations. 



Par ailleurs, ainsi que l'a relevé le tribunal, l'adresse I.P. '93.1.2.48" est présente de nouveau le 29 août 2019 pour une tentative sans succès d'un troisième virement ; la SA BNP Paribas ne donne pas d'explications sur l'échec de ce troisième virement qui compte tenu de son heure matinale (07h23) et avant même tout contact entre la SARL ECS Environnement et la SA BNP Paribas, laisse à penser que le système de détection de fraude digitale a rempli ses fonctions en refusant de valider ce troisième virement. 



Ainsi, la banque ne rapporte pas la preuve que la SARL ECS Environnement a divulgué à un tiers de manière intentionnelle, par imprudence ou par négligence grave des éléments d'identification strictement confidentiels ayant permis les virements contestés, la société BNP Paribas se bornant en effet à invoquer des hypothèses, la SARL ECS Environnement contestant fermement avoir communiqué ses codes d'accès et utilisé le code à usage unique reçu par SMS.



Il convient de confirmer, par motifs en partie substitués, le jugement en ce qu'il a condamné la SA BNP Paribas à rembourser à la SARL ECS Environnement la somme de 11 970 euros au titre du préjudice subi du fait des deux virements frauduleux, outre intérêts au taux légal à compter des virements soit du 28 août 2019.



La demande de dommages et intérêts formée par la SARL ECS Environnement au titre du préjudice de trésorerie sera rejetée, l'attestation de l'expert-comptable du 31 janvier 2022 faisant état d'un retard de règlement du salaire de M. [H] [D] durant la période de novembre 2019 à janvier 2020. Ces difficultés de très courte durée ne peuvent être considérées comme ayant affecté l'image de la société, le créancier concerné étant le salarié de la société, ancien gérant et connaissant parfaitement la situation.



De même, aucun abus de la banque n'est caractérisé justifiant l'octroi de dommages et intérêts pour résistance abusive.



Succombant à l'instance, la SA BNP Paribas sera condamnée aux dépens d'appel et à une indemnité complémentaire de 3 500 euros au titre de l'article 700 du code de procédure civile.





PAR CES MOTIFS : 



La cour, statuant publiquement, par arrêt mis à disposition au greffe, contradictoire,



Confirme le jugement entrepris par motifs en partie substitués ;



Condamne la SA BNP Paribas à payer à la SARL ECS Environnement la somme de 3 500 euros en application des dispositions de l'article 700 du code de procédure civile, ainsi qu'aux dépens d'appel.



Le greffier, Le président,