Cour d'Appel · Pôle 5 - Chambre 6 — 21 janvier 2026

Copies exécutoires REPUBLIQUE FRANCAISE

délivrées aux parties le : AU NOM DU PEUPLE FRANCAIS







COUR D'APPEL DE PARIS

Pôle 5 - Chambre 6



ARRET DU 21 JANVIER 2026



(n° , 6 pages)



Numéro d'inscription au répertoire général : N° RG 24/10530 - N° Portalis 35L7-V-B7I-CJSDO



Décision déférée à la Cour : Jugement du 30 Mai 2024 - tribunal judiciaire de Paris 9ème chambre 3ème section - RG n° 23/01390





APPELANTE

 

Madame [F] [O]

née le [Date naissance 3] 1971 à [Localité 6]

[Adresse 1]

[Localité 5]



Représentée par Me Julie BARIANI, avocat au barreau de Paris, toque : B692





INTIMÉE 



S.A. BNP PARIBAS

[Adresse 2]

[Localité 4]

N°SIREN : 662 042 449

agissant poursuites et diligences de ses représentants légaux domiciliés en cette qualité audit siège



Représentée par Me Dominique PENIN du PARTNERSHIPS MORGAN LEWIS & BOCKIUS UK LLP, avocat au barreau de Paris, toque : J011





COMPOSITION DE LA COUR :



En application des dispositions des articles 805 et 907 du code de procédure civile, l'affaire a été débattue le 27 Novembre 2025, en audience publique, les avocats ne s'y étant pas opposés, devant Madame Valérie CHAMP, présidente de chambre, chargée du rapport.



Ce magistrat a rendu compte des plaidoiries dans le délibéré de la Cour, composée de :

Mme Valérie CHAMP, présidente de chambre

Mme Laurence CHAINTRON, conseillère

Mme Anne BAMBERGER, conseillère



Greffier, lors des débats : Mme Yulia TREFILOVA



 



ARRET :



- contradictoire



- par mise à disposition de l'arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du code de procédure civile.



- signé par Valérie CHAMP, présidente de chambre et par Mélanie THOMAS, greffière, présent lors de la mise à disposition.



* * * * *



FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES



Mme [O] est titulaire d'un compte bancaire ouvert dans les livres de la BNP Paribas (la banque) et bénéficie pour ses paiements par carte bancaire d'un système d'authentification forte. 



Le 10 août 2022, Mme [O] a reçu un lien par SMS, adressé sur son téléphone portable. 



Le 12 août 2022, Mme [O] a constaté un paiement frauduleux sur son compte bancaire à hauteur de 3 790 euros intervenu la veille, suivi de trois autres paiements à hauteur de 6 206,60 euros le 16 août 2022, de 353,44 et de 1 799 euros le 13 septembre 2022. Le 12 août 2022, elle a adressé un courriel à sa banque pour l'informer de la fraude subie.



Le 24 août 2022, elle a procédé à un signalement en ligne.



Par lettre du 22 août 2022, la banque a refusé la demande de remboursement de Mme [O] au motif que les recherches effectuées par ses services avaient permis de déterminer que chacune des opérations litigieuses à distance avaient été validées par l'usage de la « clé digitale », le dispositif de sécurité et d'authentification. 



Par exploit du 25 janvier 2023, celle-ci a assigné la banque devant le tribunal judiciaire de Paris.



Par jugement contradictoire du 30 mai 2024, le tribunal judiciaire de Paris a rejeté ses demandes, condamné Mme [O] aux dépens et dit n'y avoir lieu à application de l'article 700 du code de procédure civile.



Par déclaration du 6 juin 2024, Mme [O] a relevé appel de cette décision.

'

Par conclusions notifiées par voie électronique le 17 octobre 2025, Mme [O] demande, au visa des articles 'L. 133-17 et suivants du code monétaire et financier et des articles 1217 et 1231-1 du code civil, à la cour de':

-' infirmer le jugement en toutes ses dispositions,

Et, statuant à nouveau, 

- condamner la banque à lui payer la somme de 12 143,04 euros, en réparation de son préjudice matériel, au titre du remboursement du prélèvement frauduleux,

- condamner la banque à lui payer la somme de 346,87 euros, en réparation de son préjudice matériel, ayant trait à la facture de téléphonie suite à la fraude subie,

- condamner la banque à lui payer la somme de 2 000 euros, en réparation de son préjudice moral et de jouissance,

- condamner la banque à lui payer la somme de 5 000 euros, au titre des dispositions de l'article 700 du code de procédure civile,

- condamner la banque aux entiers dépens. 

'

Par conclusions notifiées par voie électronique le 17 octobre 2025, la banque demande à la cour, de':

- rejeter l'intégralité des demandes de Mme [O],

- confirmer le jugement entrepris en toutes ses dispositions, 

'Y ajoutant,' 

'- condamner Mme [O] à' lui payer' une' somme de 3 500 euros sur le fondement des dispositions de l'article 700 du code de procédure civile, ainsi qu'aux dépens. 

'

En application des dispositions de l'article 455 du code de procédure civile, il est fait expressément référence aux conclusions des parties visées ci-dessus quant à l'exposé du surplus de leurs prétentions et de leurs moyens.



L'ordonnance de clôture est intervenue le 21 octobre 2025 et l'affaire a été fixée à l'audience du 27 novembre 2025.



MOTIFS



Sur la demande de remboursement



Moyens

'

Mme [O] soutient, notamment au visa des dispositions des articles L. 133-17 et suivants du code monétaire et financier, qu'elle n'a jamais donné un quelconque consentement aux virements frauduleux, ce dont elle a fait part à sa banque.

Elle fait valoir que':

- les opérations critiquées sont des opérations non autorisées, qu'elle n'a consenti ni à leur montant, ni à leur bénéficiaire,

- la banque n'établit pas que les opérations critiquées ont fait l'objet d'une authentification forte,

- celle-ci ne rapporte pas plus la preuve de la commission d'agissements frauduleux ou de manquement intentionnel/négligence grave de sa part,

- la banque est responsable de plein droit, en matière d'opérations de paiement non autorisées et n'a pas respecté son obligation de remboursement des fonds, conformément aux dispositions des articles L. 133-18 et suivants du code monétaire et financier,

- le comportement de la banque lui a causé non seulement un préjudice financier, mais également moral qu'elle est tenue d'indemniser.



La banque fait valoir que':

- Mme [O] omet volontairement d'indiquer ce qui s'est réellement passé le 10 août 2022, que celle-ci a transmis ses identifiant et mot de passe, en ayant cliqué sur un SMS frauduleux l'ayant renvoyée vers un faux site de la banque, puis a reçu un SMS l'invitant à activer sa clé digitale BNP, qu'elle a dû communiquer au fraudeur permettant ainsi à celui-ci d'activer la clé digitale sur son propre téléphone, lequel était ensuite reconnu sur son espace en ligne, ainsi qu'en atteste les traces informatiques des serveurs de la banque,

- 'à l'issue de cette opération, l'escroc disposait de la possibilité de valider à l'aide de son propre téléphone les achats réalisés avec la carte bancaire de Mme [O],

- Mme [O] n'a fait le nécessaire pour réinstaller sa clé digitale sur son téléphone que le 28 août 2022,

- la jurisprudence retient la négligence grave d'un utilisateur de service de paiement qui facilite le désenrôlement de sa clé digitale au profit d'un escroc,

- la modification du plafond de paiement n'est pas soumis à authentification forte aux termes de l'article L.133-44 du code monétaire et financier, le risque de fraude lié à une opération étant précisé par l'article 18 du règlement 2018/389 du 27 novembre 2017,

- le régime de responsabilité du prestataire de services de paiement à l'égard de l'utilisateur de services de paiement en cas d'opération non autorisée, établi par la directive 2007/64/CE puis par la directive (UE) 2015/2366 concernant les services de paiement dans le marché intérieur, codifiée en France aux articles L.133-1 et suivants du code monétaire financier est exclusif du régime de responsabilité de droit commun.



Réponse de la cour

'

L'article L. 133-23 du code monétaire et financier dispose :

'Lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre.

L'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière.

Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d'initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur de services de paiement.'



L'article L. 133-24 de ce code prévoit :

'L'utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n'ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III.'



En l'espèce, si la banque soutient que les opérations litigieuses ont été effectuées via son service sécurisé de banque à distance, il n'en ressort pas pour autant que l'utilisation de l'instrument de paiement telle qu'enregistrée par elle suffit à prouver que les opérations ont été autorisées, encore moins qu'elles résultent d'une négligence grave de Mme [O].



Au contraire, il est constant que Mme [O] a immédiatement contacté sa banque pour faire opposition aux opérations litigieuses.



Mme [O] communique le signalement effectué en ligne sur le site service-public.fr, toutefois ce document, qui ne fait que confirmer l'enregistrement du dossier et sa transmission pour exploitation par la gendarmerie nationale ne fournit aucun élément sur les circonstances des opérations litigieuses.



La banque ne conteste pas vraiment que Mme [O] n'a pas donné son consentement aux opérations litigieuses puisqu'elle indique dans ses écritures que l'appelante a cliqué sur un SMS frauduleux l'ayant renvoyée vers un faux site de la banque sur lequel elle a transmis ses identifiant et mot de passe, puis a reçu un SMS l'invitant à activer sa clé digitale BNP au moyen d'un code, qu'elle a dû communiquer au fraudeur permettant ainsi à celui-ci d'activer la clé digitale sur son propre téléphone.



Il s'en induit que les quatre opérations de paiement effectuées entre le 12 août et le 13 septembre 2022 n'étaient pas autorisées au sens des dispositions légales précitées.



L'article L. 133-18, alinéa 1, du code monétaire et financier pose le principe du remboursement par la banque des opérations non autorisées dans les termes suivants :

'En cas d'opération de paiement non autorisée signalée par l'utilisateur dans les conditions prévues à l'article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l'opération non autorisée immédiatement après avoir pris connaissance de l'opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s'il a de bonnes raisons de soupçonner une fraude de l'utilisateur du service de paiement et s'il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l'état où il se serait trouvé si l'opération de paiement non autorisée n'avait pas eu lieu.'

Par dérogation, l'article L. 133-19 de ce code, paragraphe IV, dispose, dans le cas particulier des instruments de paiement dotés de données de sécurité personnalisées que :

'Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17', lesquels lui font obligation de préserver la sécurité de ses données.



Il est jugé qu'il résulte de l'article L. 133-19, IV, du code monétaire et financier, dans sa rédaction antérieure à celle issue de l'ordonnance n° 2017-1252 du 9 août 2017, que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées s'il n'a pas satisfait par négligence grave, exclusive de toute appréciation de sa bonne foi, à l'obligation, imposée à l'utilisateur de services de paiement par l'article L. 133-16 du même code, dans sa rédaction antérieure à celle issue de la même ordonnance, de prendre toute mesure raisonnable pour préserver la sécurité du dispositif de sécurité personnalisé mis à sa disposition (Com., 1er juillet 2020, n° 18-21.487, publié).



En l'espèce, Mme [O] ne conteste pas bénéficier du système d'authentification forte mis en place par la banque correspondant au système de 'clé digitale', lequel suppose selon la fiche sur l'authentification forte, les explications sur l'enrôlement de la clé digitale et le modèle de SMS produits par la banque que le client possède un smartphone et dispose d'un code secret qu'il est seul à connaître, que pour enrôler la clé digitale sur un smartphone, le client doit télécharger l'application 'Mes comptes', puis à l'aide de son identifiant et de son mot de passe, il doit se connecter sur cette application, puis cliquer sur « Profils & Paramètres », puis "Clé Digitale" et sur « Activer la Clé Digitale » et personnaliser le nom de son téléphone, que pour activer la clé digitale, un code est envoyé par SMS par la banque.



Il résulte des traces informatiques des serveurs de la banque et du suivi des enrôlements de la clé digitale de Mme [O] produits par la banque que le 10 août 2022, son espace client a été activé à 15h33 et qu'à 15h37 un nouveau portable de marque Apple dénommé 'Iphone de [F]' était enrôlé, qui n'était pas celui utilisé antérieurement par celle-ci. Dans sa lettre de réclamation du 5 septembre 2022, Mme [O] a admis avoir reçu un SMS s'étant avéré être un faux, qui l'avait invitée à activer sa clé digitale BNP, puis avoir constaté les virements litigieux. Or, en répondant au SMS frauduleux reçu, Mme [O] a commis une négligence grave laquelle a permis à l'auteur de l'escroquerie d'avoir accès à ses données de sécurité personnalisées sans lesquelles aucune fraude n'aurait été possible.



Comme l'a souligné le tribunal, à l'issue de la manipulation, l'escroc a disposé de la possibilité de valider à l'aide de son propre téléphone, les opérations litigieuses réalisées.



Il se déduit de ces éléments que la preuve est rapportée par la banque que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre. Ceux-ci permettent également de retenir que la preuve de la négligence grave commise par l'utilisateur de services de paiement est établie, notamment au regard de l'article L. 133-16 du code monétaire et financier qui impose à ce dernier de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées, et d'utiliser l'instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation.



Mme [O] doit en conséquence supporter toutes les pertes occasionnées par les opérations de paiement non autorisées.



En conséquence de ce qui précède, il y a lieu de confirmer le jugement entrepris en ce qu'il a débouté Mme [O] de toutes ses demandes.



Sur les dépens et les frais irrépétibles



Aux termes de l'article 696, alinéa premier, du code de procédure civile, la partie perdante est condamnée aux dépens, à moins que le juge, par décision motivée, n'en mette la totalité ou une fraction à la charge d'une autre partie. L'appelante sera donc condamnée aux dépens.



En application de l'article 700 du code de procédure civile, le juge condamne la partie tenue aux dépens ou qui perd son procès à payer à l'autre partie la somme qu'il détermine, au titre des frais exposés et non compris dans les dépens. En l'espèce, il n'apparaît pas inéquitable de laisser à la charge de la banque les frais irrépétibles qu'elle a été contrainte d'engager dans la présente instance pour assurer la défense de ses intérêts. Elle sera par conséquent déboutée de sa demande au titre de l'article 700 du code de procédure civile.



PAR CES MOTIFS,



CONFIRME le jugement du tribunal judiciaire de Paris du 30 mai 2024 ;



Y ajoutant,



DIT n'y avoir lieu à application de l'article 700 du code de procédure civile ;



CONDAMNE Mme [O] aux entiers dépens d'appel ;



REJETTE toute autre demande.





* * * * *



 La greffière La présidente