Cour d'Appel · Chambre Commerciale — 15 janvier 2025

COUR D'APPEL

DE RIOM

Troisième chambre civile et commerciale















ARRET N°



DU : 15 Janvier 2025



N° RG 23/01428 - N° Portalis DBVU-V-B7H-GB2H

SN

Arrêt rendu le quinze Janvier deux mille vingt cinq



Sur APPEL d'une décision rendue le 02 août 2023 par le Tribunal Judiciaire de Clermont Ferrand 



COMPOSITION DE LA COUR lors du délibéré :

Mme Annette DUBLED-VACHERON, Présidente de chambre

Mme Sophie NOIR, Conseiller

Madame Anne Céline BERGER, Conseiller



En présence de : Mme Valérie SOUILLAT, Greffier, lors de l'appel des causes et du prononcé



ENTRE :



CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL DE CENTRE FRANCE

Société coopérative à capital et personnel variables immatriculée au RCS de CLERMONT-FERRAND sous le n° 445 200 488 00010

[Adresse 2]

[Localité 3] 

Représentée par Me Jean-Eudes BASSET de la SCP BASSET, avocat au barreau de CLERMONT-FERRAND



APPELANTE



ET :



Mme [J] [K]

[Adresse 1]

[Localité 4]

Représentantée par Me Marion LIBERT de la SCP GOUNEL-LIBERT-PUJO, avocat au barreau de CLERMONT-FERRAND



M. [L] [K]

[Adresse 1]

[Localité 4]

Représentanté par Me Marion LIBERT de la SCP GOUNEL-LIBERT-PUJO, avocat au barreau de CLERMONT-FERRAND



INTIMÉS



DÉBATS :

Après avoir entendu en application des dispositions de l'article 805 du code de procédure civile, à l'audience publique du 14 Novembre 2024, sans opposition de leur part, les avocats des parties, Madame NOIR, magistrat chargé du rapport, en a rendu compte à la Cour dans son délibéré.



ARRET :

Prononcé publiquement le 15 Janvier 2025 par mise à disposition au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du code de procédure civile ;

Signé par Mme Annette DUBLED-VACHERON, Présidente de chambre, et par Mme Valérie SOUILLAT, Greffier, auquel la minute de la décision a été remise par le magistrat signataire. 





Mme [J] [K] et M. [L] [K] sont titulaires d'un compte courant et d'un LDD ouverts dans les livres de la Caisse régionale de Crédit agricole Mutuel Centre France.



Le 3 juin 2020, ils ont dénoncé à leur banque quatre virements frauduleux de 2500 euros chacun adressés à des bénéficiaires inconnus, effectués les 24, 25, 27 et 28 mai 2020 au moyen de quatre RIB préalablement créés via l'application 'Ma Banque' installée sur le téléphone portable de M. [K], en utilisant le système d'authentification forte de paiement Sécuripass.



Mme [J] [K] et M. [L] [K] ont demandé le remboursement de ces 4 virements frauduleux à la Caisse régionale de Crédit agricole Mutuel Centre France le 3 juin 2020 sur le fondement de l'article L133-18 du code monétaire et financier.



La Caisse régionale de Crédit agricole Mutuel Centre France est alors intervenue auprès des établissements bancaires des bénéficiaires des 4 virements mais n'a pu obtenir la restitution que du seul virement du 28 mai 2020.

Elle a donc restitué la somme de 2 500 euros à Mme [J] [K] et M. [L] [K] le 5 juin 2020 mais a refusé de leur rembourser le surplus.



M. [K] a déposé plainte le 4 juin 2020.



Le 27 octobre 2020, le médiateur de la consommation a rendu un avis défavorable à la demande de restitution intégrale formée par Mme [J] [K] et M. [L] [K] au motif que ces derniers avaient été victimes d'une fraude dont l'établissement bancaire n'était pas responsable.



Par acte du 18 juin 2021, Mme [J] [K] et M. [L] [K] ont assigné la Caisse régionale de Crédit agricole Mutuel Centre France devant le tribunal judiciaire de Clermont-Ferrand.



Par jugement en date du 2 août 2023, le tribunal judiciaire de Clermont-Ferrand à :

- condamné la Caisse régionale de Crédit agricole Mutuel Centre France à payer à Mme [J] [K] et M. [L] [K] la somme de 7 500 euros au titre de son obligation de restitution ;

- dit que cette somme portera intérêt au taux légal à compter du 3 juin 2020 ;

- ordonné la capitalisation des intérêts ;

- rejeté la demande indemnitaire formée par Mme [J] [K] et M. [L] [K] ;

- condamné la Caisse régionale de Crédit agricole Mutuel Centre France aux dépens et dits qu'ils seront recouvrés directement par la SCP Gounel-Libert-Pujo ;

- condamné la Caisse régionale de Crédit agricole Mutuel Centre France à payer à Mme [J] [K] et M. [L] [K] la somme de 3 000 euros au titre de l'article 700 du code de procédure.



Le jugement énonce que, en cas d'opérations bancaires non autorisées par le client, la charge de la preuve d'une négligence ou d'une faute imputable à ce dernier incombe à l'établissement bancaire, que l'article L133-19-IV du code monétaire et financier applicable au litige fait ainsi supporter à l'utilisateur défaillant les conséquences d'une opération de paiement non autorisée sans toutefois faire exception à la règle de preuve prévue à l'article L 123-33, que c'est donc à tort que la Caisse régionale de Crédit agricole Mutuel Centre France soutient que la mise en 'uvre du système à authentification forte Securipass fait automatiquement présumer la faute des époux [K] pouvant expliquer les opérations non autorisées, que ce dispositif ne constitue qu'un élément d'appréciation du contexte des opérations, qu'il ne suffit pas pour l'établissement bancaire de prouver qu'il fournit un système sécurisé et qu'il lui incombe en réalité de démontrer que ses clients ont commis une fraude ou négligence grave dans l'utilisation de ce système, que la trace d'un tel comportement ne peut se déduire de la seule survenue d'opérations non autorisées malgré l'activation du dispositif Securipass, que la Caisse régionale de Crédit agricole Mutuel Centre France ne démontre pas l'existence d'une fraude, d'une négligence grave ou d'un comportement sciemment déraisonnable de Mme [J] [K] et M. [L] [K], que l'envoi d'un courriel signalant à M. [K] l'ajout d'un bénéficiaire inconnu est inopérant puisque cet élément n'était pas à lui seul susceptible d'attirer efficacement l'attention du demandeur sur la fraude dont il était victime.



La Caisse régionale de Crédit agricole Mutuel Centre France a interjeté appel de ce jugement le 12 septembre 2023.



Aux termes de ses dernières conclusions notifiées par RPVA le 22 mars 2024, la Caisse régionale de Crédit agricole Mutuel Centre France demande à la cour de :



- réformer le jugement en ce qu'il l'a condamnée à payer à Mme [J] [K] et M. [L] [K] la somme de 7500 euros au titre de son obligation de restitution, avec intérêts au taux légal à compter du 3 juin 2020 et capitalisation de ces intérêts ;



- réformer le jugement déféré en ce qu'il l'a condamnée à payer à Mme [J] [K] et M. [L] [K] la somme de 3 000 euros sur le fondement de l'article 700 du code de procédure civile ainsi qu'aux entiers dépens ;



Statuant à nouveau :



- confirmer le jugement entrepris en ce qu'il a débouté Mme [J] [K] et M. [L] [K] de leur demande indemnitaire complémentaire ;



- rejeter l'ensemble des demandes et prétentions de Mme [J] [K] et M. [L] [K] ;



- condamner Mme [J] [K] et M. [L] [K] à lui payer la somme de 2000 euros en application de l'article 700 du code de procédure civile ;



- condamner Mme [J] [K] et M. [L] [K] aux entiers dépens d'instance et d'appel.



Dans leurs dernières conclusions notifiées par RPVA le 2 janvier 2024, Mme [J] [K] et M. [L] [K] demandent à la cour de :



- confirmer le jugement déféré en ce qu'il a condamné la Caisse régionale de Crédit agricole Mutuel Centre France à leur payer la somme de 7500 euros au titre de leur préjudice matériel, avec intérêts au taux légal à compter du 3 juin 2020 et capitalisation des intérêts, outre la somme de 3000 euros sur le fondement de l'article 700 du code de procédure civile et les dépens de la procédure de première instance et en ce qu'il a débouté la Caisse régionale de Crédit agricole Mutuel Centre France de l'intégralité de ses demandes ;



- infirmer le jugement déféré en ce qu'il a rejeté leur demande de dommages et intérêts en réparation du préjudice lié à la violation par la Caisse régionale de Crédit agricole Mutuel Centre France de son devoir de non-ingérence ;



En conséquence :



- condamner la Caisse régionale de Crédit agricole Mutuel Centre France à leur payer la somme de 3000 euros à titre de dommages et intérêts, assortie des intérêts légaux à compter du 3 juin 2020 et avec capitalisation de ces intérêts à compter du 18 juin 2021, date de l'assignation ;



En tout état de cause :



- débouter la Caisse régionale de Crédit agricole Mutuel Centre France de l'intégralité de ses prétentions ;



- condamner la Caisse régionale de Crédit agricole Mutuel Centre France à leur payer la somme de 6 000 euros sur le fondement de l'article 700 du code de procédure civile au titre de la procédure d'appel, outre les entiers dépens de la procédure de première instance et d'appel, dont distraction au profit de la SCP Gounel-Libert-Pujo sur son affirmation de droit.



Il sera renvoyé pour l'exposé complet des demandes et moyens des parties, à leurs dernières conclusions.





MOTIFS :



Sur la demande de remboursement de la somme de 7 500 euros au titre des virements frauduleux :



L'article L 133-16 du code monétaire et financier dispose : 'Dès qu'il reçoit un instrument de paiement, l'utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées.



Il utilise l'instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées.'



L'article L 133-17 du code monétaire et financier dispose : 'I. ' Lorsqu'il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l'utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l'instrument, son prestataire ou l'entité désignée par celui-ci.



II. ' Lorsque le paiement est effectué par une carte de paiement émise par un établissement de crédit, une institution ou un service mentionné à l'article L. 518-1 et permettant à son titulaire de retirer ou de transférer des fonds, il peut être fait opposition au paiement en cas de procédure de redressement ou de liquidation judiciaires du bénéficiaire tant que le compte du prestataire de services de paiement du bénéficiaire n'a pas été crédité du montant de l'opération de paiement.'



Selon l'article L 133-19 du code monétaire et financier qui définit le régime de la responsabilité en cas d'opération de paiement non autorisée : 'I. ' En cas d'opération de paiement non autorisée consécutive à la perte ou au vol de l'instrument de paiement, le payeur supporte, avant l'information prévue à l'article L. 133-17, les pertes liées à l'utilisation de cet instrument, dans la limite d'un plafond de 50 euros.



Toutefois, la responsabilité du payeur n'est pas engagée en cas :



' d'opération de paiement non autorisée effectuée sans utilisation des données de sécurité personnalisées ;



' de perte ou de vol d'un instrument de paiement ne pouvant être détecté par le payeur avant le paiement ;



' de perte due à des actes ou à une carence d'un salarié, d'un agent ou d'une succursale d'un prestataire de services de paiement ou d'une entité vers laquelle ses activités ont été externalisées.



II. ' La responsabilité du payeur n'est pas engagée si l'opération de paiement non autorisée a été effectuée en détournant, à l'insu du payeur, l'instrument de paiement ou les données qui lui sont liées.



Elle n'est pas engagée non plus en cas de contrefaçon de l'instrument de paiement si, au moment de l'opération de paiement non autorisée, le payeur était en possession de son instrument.



III. ' Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l'information aux fins de blocage de l'instrument de paiement prévue à l'article L. 133-17.



IV. ' Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.



V. ' Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l'opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n'exige une authentification forte du payeur prévue à l'article L. 133-44.



VI. ' Lorsque le bénéficiaire ou son prestataire de services de paiement n'accepte pas une authentification forte du payeur prévue à l'article L. 133-44, il rembourse le préjudice financier causé au prestataire de services de paiement du payeur.



L'article L 133-23 du code monétaire et financier, qui définit la charge de la preuve du caractère autorisé ou non autorisé de la transaction dispose : 'Lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre.



L'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d'initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur de services de paiement.'



Il résulte ainsi des articles L. 133-19, IV, et L. 133-23, alinéa 1, du code monétaire et financier, que s'il entend faire supporter à l'utilisateur d'un instrument de paiement doté d'un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17 de ce code, le prestataire de services de paiement doit, au préalable, prouver que l'opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre (Com., 20 novembre 2024, pourvoi n° 23-15.099).



En l'espèce, il ressort des pièces versées aux débats que quatre virements ont été réalisés à partir du compte courant de Mme [J] [K] et M. [L] [K] ouvert auprès de la Caisse régionale de Crédit agricole Mutuel Centre France les 24, 25, 27 et 28 mai 2020, après que quatre nouveaux RIB ont été créés les 24, 26, 27 et 28 mai 2020 au profit de bénéficiaires personnes physiques inconnues des payeurs.



Il est constant que ces créations de RIB et les virements qui s'en sont suivis ont été réalisés par une personne qui détenait les coordonnées bancaires et les codes bancaires lui permettant d'accéder à l'application bancaire en ligne de la Caisse régionale de Crédit agricole Mutuel Centre France intitulée 'Ma Banque' téléchargée sur le téléphone portable de M. [K], mais également le code Sécuripass de Mme [J] [K] et M. [L] [K] dont il n'est pas contesté qu'il s'agit d'un dispositif de sécurité personnalisé que la banque qualifie d'authentification forte.



Il ressort du justificatif d'envoi de ce système Sécuripass produit par la Caisse régionale de Crédit agricole Mutuel Centre France en pièce 1 que ce système a été adressé à M. [K] par sa banque le 23 mai 2020 par SMS , c'est à dire la veille de la création du premier RIB et du premier virement frauduleux.



La Caisse régionale de Crédit agricole Mutuel Centre France fait valoir que cette nouvelle installation du système Sécuripass - une première installation ayant été réalisée le 2 mai 2020 - faisait suite à un changement d'opérateur téléphonique de M. [K] mais le document qu'elle produit en pièce 1 - une copie d'écran de l'historique des opérations Sécuripass réalisées par M. [K] entre le 2 et le 28 mai 2020 - comporte la mention 'changement d'opérateur courant mai (usurpation de carte SIM ')'.



Postérieurement à l'installation du système Sécuripass, M. [K] s'est plaint par courriel du 30 mai 2020 à sa conseillère bancaire en ces termes : 'le nouveau système d'identification en ligne n'est pas vraiment une réussite par rapport à l'ancien. Il n'est pas limpide je dirais même opaque j'ai pu accéder par deux fois à mes comptes avec peine depuis quelques jours je ne reçois plus aucun message pour la connexion sur ipad ou iphone (...)'.



Cette pièce démontre que Mme [J] [K] et M. [L] [K] n'ont effectivement pas eu accès à leur compte bancaire pendant la période durant laquelle les RIB ont été créés et que, comme ils le soutiennent, les créations des RIB et les virements effectués se sont produits durant la période de mise en place du système Sécuripass destiné à sécuriser l'accès à leur compte bancaire.



De son côté, la Caisse régionale de Crédit agricole Mutuel Centre France ne rapporte pas la preuve de ce que Mme [J] [K] et M. [L] [K] sont à l'origine de la création des quatre RIB et des quatre virements consécutifs, ce que ces derniers contestent en précisant, sans être contredits sur ce point que, si M. [K] avait validé l'ajout de quatre nouveaux bénéficiaires de virements, la banque serait en mesure de justifier des accusés réception de ces créations de nouveaux bénéficiaires.



De plus, la Caisse régionale de Crédit agricole Mutuel Centre France ne reproche pas à Mme [J] [K] et M. [L] [K] une fraude mais une négligence grave dans la conservation de leur téléphone, la sécurisation de leurs moyens d'authentification et de sécurisation de leurs moyens de paiement ainsi qu'une 'légèreté de leur réaction face à l'information qui leur a été donnée via leur adresse électronique lors de chaque ajout des 4 RIB ayant permis les virements frauduleux.



Cependant, elle ne rapporte pas la preuve qui lui incombe d'une négligence de Mme [J] [K] et M. [L] [K] dans la surveillance de leur téléphone sur lequel est installé l'application 'Ma Banque', pas plus que l'absence de sécurisation des moyens d'authentification et de sécurisation de leurs moyens de paiement. En effet, elle se borne à déduire ces manquements du fait que la possibilité de créer de nouveaux RIB et d'effectuer des virements via l'application 'Ma Banque' n'ont pu se faire que par une personne en possession des identifiants bancaires, du mot de passe de Mme [J] [K] et M. [L] [K] et du code d'authentification du système Sécuripass qui étaient en leur seule possession.



S'agissant de l'absence de prise en compte des courriels de la banque signalant les quatre ajouts de RIB, la Caisse régionale de Crédit agricole Mutuel Centre France justifie de l'envoi d'un seul courriel de la conseillère bancaire de Mme [J] [K] et M. [L] [K] daté du 28 mai 2020 adressé sur leur boîte personnelle à l'adresse [Courriel 5]@orange.fr les informant de l'ajout d'un nouveau compte bénéficiaire depuis leur application mobile 'Ma Banque' au profit d'un IBAN dont les coordonnées étaient détaillées dans ce courriel.



Ce courriel ayant été envoyé après la création des RIB et la réalisation des virements frauduleux et alors que Mme [J] [K] et M. [L] [K] étaient privés depuis plusieurs jours de l'accès à leur compte bancaire en ligne, il ne peut leur être reproché d'avoir, par leur absence de réaction à ce premier courriel d'information tardif, omis de prévenir leur conseillère bancaire et ainsi empêché de bloquer les 'tentatives ultérieures' de virements.



Ainsi, la Caisse régionale de Crédit agricole Mutuel Centre France ne rapporte aucune preuve de ce que les quatre virements litigieux n'ont pas été affectés par une déficience technique ou autre. En effet, il ne peut être tiré aucune conséquence en terme de preuve de la création de 4 nouveaux bénéficiaires de virement sur 4 jours - qui, selon la Caisse régionale de Crédit agricole Mutuel Centre France, rendrait peu probable l'existence d'une 'défaillance' technique - ou encore du fait que la preuve d'une telle défaillance lui est impossible à rapporter dans la mesure où toutes les attestations qu'elle pourrait produire seraient automatiquement considérées comme étant des attestations de complaisance.



De même, il résulte de ce qui précède que la Caisse régionale de Crédit agricole Mutuel Centre France ne rapporte pas non plus la seconde preuve qui lui incombe de ce que les pertes qui résultant de ces virements bancaires ont été rendues possibles par un manquement de Mme [J] [K] et M. [L] [K], intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17 du code monétaire et financier.



En conséquence et par application des principes susvisés, la cour confirme le jugement déféré en ce qu'il a retenu la responsabilité de la Caisse régionale de Crédit agricole Mutuel Centre France et a condamné cette dernière à payer à Mme [J] [K] et M. [L] [K] la somme de 7 500 euros, avec intérêts légaux à compter du 3 juin 2020, lesquels seront capitalisés conformément aux dispositions de l'article 1343-2 du code civil.



Sur la demande de dommages et intérêts pour immixtion de la banque :



Au soutien de leur demande de dommages et intérêts, Mme [J] [K] et M. [L] [K] reprochent à la Caisse régionale de Crédit agricole Mutuel Centre France d'avoir débité leur compte courant de la somme de 2 500 euros le 27 mai 2020 pour créditer leur LDD sans leur demande ou autorisation. Ils considèrent qu'il s'agit là d'une faute grave et d'une immixtion fautive de la Caisse régionale de Crédit agricole Mutuel Centre France opérée en violation de son obligation de non ingérence. Ils alléguent que cette opération interdite leur a causé à minima un préjudice moral dans la mesure où, à défaut d'information de la part de la banque, ils ont légitimement cru que leurs fonds étaient à nouveau détournés.



La Caisse régionale de Crédit agricole Mutuel Centre France ne répond pas sur ce point et le jugement a considéré que Mme [J] [K] et M. [L] [K] ne rapportaient pas la preuve d'un quelconque dommage.



Cependant, dès lors que Mme [J] [K] et M. [L] [K] soutiennent par ailleurs ne pas avoir été en mesure de consulter leur compte bancaire en ligne avant le 30 mai 2020,ils ne rapportent pas la preuve de l'inquiétude générée par le nouveau virement opéré, cette fois par la banque et sans leur autorisation, le 27 mai 2020.



En conséquence la cour, confirmant le jugement déféré de ce chef, rejette la demande de dommages et intérêts formée par Mme [J] [K] et M. [L] [K].



Sur les frais irrépétibles et les dépens :



Partie perdante, la Caisse régionale de Crédit agricole Mutuel Centre France supportera la charge des dépens de première instance et d'appel.



La Caisse régionale de Crédit agricole Mutuel Centre France sera également condamnée à payer à Mme [J] [K] et M. [L] [K] la somme de 2 000 euros sur le fondement de l'article 700 du code de procédure civile au titre de la procédure de première instance et la somme de 2 500 euros au titre de la procédure d'appel.





PAR CES MOTIFS, 



La cour, statuant publiquement, par arrêt contradictoire, après en avoir délibéré conformément à la loi, 



Confirme le jugement entrepris SAUF en ce qu'il a condamné la Caisse régionale de Crédit agricole Mutuel Centre France à payer à Mme [J] [K] et M. [L] [K] la somme de 3 000 euros sur le fondement de l'article 700 du code de procédure civile ;



Et statuant à nouveau sur ce chef et y ajoutant :



Condamne la Caisse régionale de Crédit agricole Mutuel Centre France à payer à Mme [J] [K] et M. [L] [K] les sommes suivantes :



- 2 000 euros sur le fondement de l'article 700 du code de procédure civile au titre de la procédure de première instance ;



- 2 500 euros sur le fondement de l'article 700 du code de procédure civile au titre de la procédure d'appel ;



CONDAMNE la Caisse régionale de Crédit agricole Mutuel Centre France aux entiers dépens de première instance et d'appel, qui seront directement recouvrés par la SCP Gounel-Libert-Pujo.





Le greffier La présidente