Cour d'Appel · Chambre Commerciale — 28 janvier 2026

COUR D'APPEL

DE [Localité 8]

Troisième chambre civile et commerciale















ARRET du 28 Janvier 2026



N° RG 25/00560 - N° Portalis DBVU-V-B7J-GK4I

ACB

Arrêt rendu le vingt huit Janvier deux mille vingt six



Sur appel d'un jugement du tribunal judiciaire d'Aurillac, décision attaquée en date du 13 Février 2025, enregistré sous le n° 23/00015 



COMPOSITION DE LA COUR lors du délibéré :

Mme Annette DUBLED-VACHERON, Présidente de chambre

Madame Anne Céline BERGER, Conseiller

Madame Aurélie GAYTON, Conseiller



En présence de : Mme Valérie SOUILLAT, Greffier, lors de l'appel des causes et du prononcé





ENTRE :



Mme [M] [T] veuve [X]

[Adresse 2]

[Localité 1]

Représentée par Me Laurent LAFON de la SELARL AURIJURIS, avocat au barreau d'AURILLAC

(bénéficie d'une aide juridictionnelle Totale numéro C-63113-2025du 10/03/2025 accordée par le bureau d'aide juridictionnelle de [Localité 7])



APPELANTE



ET :



CAISSE D'EPARGNE ET DE PREVOYANCE D'AUVERGNE ET DU LIMOUSIN

SA immatriculée au RCS de [Localité 6] sous le numéro 382 742 013

[Adresse 3]

[Localité 4]

Représentée par Me Olivier TOURNAIRE de la SELARL TOURNAIRE ET ASSOCIES, avocat au barreau de CLERMONT-FERRAND



INTIMÉE





DÉBATS :

Après avoir entendu en application des dispositions de l'article 805 du code de procédure civile, à l'audience publique du 25 Novembre 2025, sans opposition de leur part, les avocats des parties, Madame BERGER, magistrat chargé du rapport, en a rendu compte à la Cour dans son délibéré. L'affaire est mise en délibéré au 28 Janvier 2026. 







ARRET :

Prononcé publiquement le 28 Janvier 2026 par mise à disposition au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du code de procédure civile ;

Signé par Mme Annette DUBLED-VACHERON, Présidente de chambre, et par Mme Valérie SOUILLAT, Greffier, auquel la minute de la décision a été remise par le magistrat signataire. 



Suite à une annonce déposée sur sur le site Internet Le Bon Coin Mme [M] [T] veuve [X] a mis en vente une armoire et un lustre en fer forgé fin janvier 2021. A la demande d'un potentiel acquéreur, Mme [T] va créer, afin de percevoir le prix convenu, un compte PayPal. 



À la suite de cette opération, le 4 février 2021,la somme de 43 200 euros sera retirée frauduleusement de son compte et de ceux de ses deux enfants majeurs sur lesquels elle dispose de procuration. 



Elle déposera plainte pour escroquerie auprès du commissariat de police d'[Localité 5] le 5 février 2021.



La SA Caisse d'Epargne et de Prévoyance d'Auvergne et du Limousin (la Caisse d'Epargne) lui ayant remboursé la somme de 31'100 euros, Mme [T] a adressé un courrier le 19 février 2021 au service réclamation client de la Caisse d'épargne aux fins d'obtenir le paiement de la somme de 12'100 euros restée à sa charge.



Suite au refus de la banque adressée par courrier du 9 mars 2021 de lui rembourser cette somme, Mme [T] a saisi le médiateur auprès de la fédération bancaire française le 13 mars 2021. Celui-ci, par réponse du 4 octobre 2021, a conclu que la responsabilité de la caisse d'épargne n'était pas engagée et que celle-ci n'avait donc pas à lui rembourser une somme complémentaire.



Par acte délivré le 5 janvier 2023, Mme [T] a alors fait assigner la Caisse d'Epargne devant le tribunal judiciaire d'Aurillac aux fins d'obtenir sa condamnation à lui payer les sommes de 12'100 euros correspondant à la somme détournée à son préjudice, outre les intérêts au taux légal à compter de la date de la délivrance de l'assignation, la somme de 1 000 euros à titre de dommages et intérêts pour préjudice moral ainsi que celle de 2 000 euros en application de l'article 700 du code de procédure civile.



 Par jugement du 13 février 2025, le tribunal judiciaire d'Aurillac a : 

- rejeté l'exception de nullité de l'assignation délivrée le 5 janvier 2023 ;

- rejeté les demandes de Mme [T] aux fins de condamner la Caisse d'Epargne à lui payer la somme de 12'100 euros correspondant à la somme détournée à son préjudice, outre les intérêts au taux légal ainsi que la somme de 1 000 euros à titre de dommages et intérêts pour préjudice moral ;

- rappelé que la présente décision est exécutoire de droit par provision ;

- condamné Mme [T] à payer à la Caisse d'Epargne la somme de 1 500 euros sur le fondement de l'article 700 du code de procédure civile ;

- condamner Mme [T] aux entiers dépens avec distraction au profit de Maître Nathalie Fauron avocat constituée ;

- rejeté toute demande autre ou plus ample formulée par les parties. 



Mme [T] a interjeté appel du jugement par déclaration électronique le 28 mars 2025.



Par conclusions déposées au greffe par voie électronique le 25 juin 2025 , l'appelante demande à la cour, au visa de l'article L. 1231-1 du code civil, de :

- annuler et/ou infirmer les chefs de jugement rendu par le tribunal judiciaire du 13 février 2025;

- la déclarer recevable et bien fondée en ses prétentions et en conséquence condamner la Caisse d'Epargne à lui payer les sommes suivantes :

' 12'100 euros correspondant à la somme détournée à son préjudice, avec intérêts au taux légal à compter de la date de la délivrance de l'assignation introductive d'instance ;

' 1 000 euros au titre de dommages et intérêts pour préjudice moral ;

' 2 000 euros en application de l'article 700 du code de procédure civile

- condamner la Caisse d'Epargne aux entiers dépens et dire que conformément aux dispositions de l'article 699 du code de procédure civile Maître Lafon pourra recouvrer directement les frais dont il a fait l'avance sans en avoir reçu provision ;

- rejeté toute demande prétentions et conclusions en sens contraire.



Aux termes de ses conclusions déposées et notifiées le 1er septembre 2025, la Caisse d'Epargne demande à la cour, au visa des articles L.133-3 et suivants du code monétaire et financier et de la directive DSP2, de :

- confirmer en toutes ces dispositions le jugement rendu par le tribunal judiciaire d'Aurillac le 13 février 2025 ;

- à titre principal :

- juger que les opérations contestées ont été soumises à authentification forte ;

- juger que opérations contestées ont été enregistrées, comptabilisées, authentifiées, et n'ont pas été affectées par une déficience technique ou autre ;

- débouter Mme [T] de l'ensemble de ses demandes, fins et conclusions ;

- à titre subsidiaire :

- juger que les opérations contestées ont été soumises à authentification forte ;

- juger que les opérations contestées ont été enregistrées, comptabilisées, authentifiées, et n'ont pas été affectées par une déficience technique ou autre ;

- juger que Mme [T] a été gravement négligente dans la conservation de ses données confidentielles ;

- débouter Mme [T] de l'ensemble de ses demandes, fins et conclusions.

- en tout état de cause :

- condamner Mme [T] à lui payer et porter la somme de 4 000 euros sur le fondement de l'article 700 du code de procédure civile,

- condamner Mme [T] aux dépens de l'instance.



Il sera renvoyé pour l'exposé complet des demandes et moyens des parties à leurs dernières écritures conformément aux dispositions de l'article 455 du code de procédure civile.



L'ordonnance de clôture a été rendue le 16 octobre 2025.



MOTIFS



Sur la demande en remboursement formée par Mme [T] :



Au soutien de ses demandes, Mme [T] fait valoir que :

- il appartient à la banque de prouver qu'elle a commis une faute et le bon fonctionnement de la procédure bancaire ;

- en créant son compte PayPal elle a fait l'objet d'une opération de phishing de sorte qu'à son insu elle a transmis ses identifiants personnels à un tiers ; aucune négligence grave au sens du code monétaire et financier (CMF) ne peut donc être retenue à son encontre ; dès lors qu'elle a été victime d'un hameçonnage elle n'a pas consenti aux opérations litigieuses qui ne peuvent donc s'analyser en des opérations autorisées au sens du CMF ;

- une première défaillance technique est intervenue dès lors que la Caisse d'Epargne n'a pas mis en place un process pour interrompre l'opération frauduleuse alors qu'elle l'a alertée très rapidement ;

- ensuite l'enrôlement d'un appareil de confiance et la création d'un code Sécur'Pass par le fraudeur sans que la banque n'ait été alertée par la différence d'opérateur entre son appareil et celui du fraudeur est constitutif d'une défaillance technique ;

- ces fautes de la banque justifient qu'il soit fait droit à sa demande de remboursement et de dommages-intérêts.



En réplique, la Caisse d'Epargne fait valoir que :

- sa responsabilité ne peut être retenue au titre du devoir de vigilance dès lors que seul le CMF trouve application dans l'hypothèse d'un phishing ;

- en l'espèce les opérations ont été autorisées de sorte qu'elle n'a pas à démontrer une négligence grave ;

- à titre subsidiaire, il est établi que Mme [T] a commis plusieurs négligences graves en répondant à un mail frauduleux, en communiquant des données confidentielles permettant à un tiers d'accéder à son espace DirectEcureuil et d'installer Sécur'pass sur son téléphone portable et, enfin, en ne réagissant pas aux SMS reçus';

- il n'y a aucune défaillance de la banque dans la gestion de la fraude ; en effet, l'activation et l'utilisation de Secur'Pass répondent aux critères de l'authentification forte ; Mme [T] confond l'accès à Direct Ecureuil et la réalisation d'opérations sensibles par authentification forte; le fait que plusieurs appareils se connectent sur le compte Direct Ecureuil de Mme [T] ne constitue pas une anomalie ; il n'y a pas eu de défaillance du système dès lors que Sécur'Pass n'est associé qu'à un seul téléphone, en l'espèce celui du tiers, sur lequel celui-ci a activé Sécur Pass le 1er février 2021 à 19h32 du fait des négligences graves de Mme [T] et les opérations litigieuses ont été été authentifiées, enregistrées, comptabilisées.



Sur ce la cour, 



- sur le caractère autorisé des virements réalisés :



Selon les articles L. 133-6 et L. 133-7 du code monétaire et financier, une opération de paiement est autorisée si le payeur a donné son consentement à son exécution, ce consentement étant donné sous la forme convenue entre le payeur et son prestataire de services de paiement.



Si le code monétaire et financier ne précise pas la définition d'une opération de paiement non autorisée, en application de ce texte, le paiement n'est pas considéré comme autorisé à la suite d'un simple fait matériel (l'ordre du payeur) et il est nécessaire que le payeur ait donné son consentement à l'ordre donné. Ainsi, la seule démonstration par le prestataire de services de paiement qu'un tel service, doté d'un dispositif de sécurité, a été utilisé, ne permet pas de présumer que l'utilisateur du service de paiement a donné son autorisation à l'opération de paiement litigieuse (Cass. com., 30 nov. 2022, n° 21-17.614).

En l'espèce, il ressort de la plainte déposée par Mme [T] devant les services de police le 5 février 2021 (pièce 2) et de ses déclarations au médiateur de la fédération bancaire française (pièce 7) que les virements critiqués sont intervenus à la suite de la création d'un compte PayPal à la demande d'un potentiel acheteur dans le cadre d'une transaction sur le site le Bon coin. Or, les éléments du dossier ont établi, compte tenu de la concomitance entre la création de ce compte et la connexion par un tiers sur son compte Direct Ecureuil, que Mme [T] a été victime d'un phishing lors de la création de ce compte. Par ailleurs, un enrôlement au service Sécur'Pass a été réalisé par ce tiers le 1er février 2021. Par la suite dans la nuit du 4 au 5 février 2021 de multiples ajouts de comptes externes ont été réalisés depuis l'espace en ligne de Mme [T] avec l'émission de plusieurs virements de son compte et de ceux de ses enfants majeurs du fait de la procuration existante les 4 et 5 février 2021. Mme [T] a déposé plainte le 5 février dès qu'elle s'est aperçue de ces opérations.

Les fichiers logs versés aux débats par la banque viennent confirmer cette chronologie des faits (pièce 25). 

Il ressort de ces éléments que si ces opérations ont été effectuées à l'issue d'un procédé d'authentification forte, elles n'ont pas pour autant été autorisées par Mme [T], payeur, au sens des articles précités, dès lors que celle-ci n'a pas consenti à leur principe et à leur montant. En effet, ces virements ont pu être faits par le tiers sans l'autorisation de Mme [T] du fait de l'opération de phishing intervenue puis de l'enrôlement au service Secur'Pass sur le portable de l'ecroc.

Les différentes opérations de paiement constituent donc des opérations de paiement non autorisées.





- sur la négligence grave de Mme [T] :

Selon l'article L 133-18 du code monétaire et financier, dans sa version antérieure à la loi n° 2022-1158 du 16 août 2022 : 'En cas d'opération de paiement non autorisée signalée par l'utilisateur dans les conditions prévues à l'article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l'opération non autorisée immédiatement après avoir pris connaissance de l'opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s'il a de bonnes raisons de soupçonner une fraude de l'utilisateur du service de paiement et s'il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l'état où il se serait trouvé si l'opération de paiement non autorisée n'avait pas eu lieu.'

Il résulte des articles L. 133-19, IV, et L. 133-23 alinéa 1 du code monétaire et financier que s'il entend faire supporter à l'utilisateur d'un instrument de paiement doté d'un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17 de ce code, le prestataire de services de paiement doit au préalable prouver que l'opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre.

En application de ces textes, le teneur de compte est tenu de rapporter la preuve d'une négligence grave dans la conservation des données de sécurité par le titulaire du compte pour s'exonérer de cette responsabilité de plein droit. De telles dispositions, en cas de caractère non autorisé de l'opération, ne nécessitent pas de la part du demandeur, victime de la fraude, de rapporter la preuve de la faute de l'établissement bancaire.

Enfin, la seule fourniture par la banque du justificatif établissant que les paiements ont été validés après authentification forte ne suffit pas à dégager la banque de sa responsabilité, dès lors que cet élément est, en soi, insuffisant pour caractériser le manquement intentionnel ou la négligence grave du payeur.

Il convient dès lors de rechercher si Mme [T] peut se voir reprocher une négligence grave au sens des articles L.133-16, L.133-17 et L.133-19 IV et suivants du code monétaire et financier faisant obstacle à son indemnisation.

En l'espèce, Mme [T] dit avoir été victime d'un phishing lors de la création du compte PayPal. Néanmoins, Mme [T] ne verse aux débats ni le mail du tiers ayant sollicité dans le cadre de la transaction du bon coin l'ouverture de ce compte Paypal, ni les mails reçus lors de l'ouverture de ce compte PayPal en réalité frauduleux. La cour n'est donc pas en mesure d'apprécier si Mme [T] a fait preuve ou non d'une négligence fautive en créant ce compte à la suite du mail reçu. De surcroît, comme le souligne à juste titre le médiateur de la banque, les conditions mêmes de création de ce compte restent floues puisque Mme [T] affirme que pour créer son compte elle n'a pas cliqué sur le lien qui était dans le mail reçu mais en se rendant sur un moteur de recherche alors que la fraude semble manifestement liée à la création de ce compte. Au regard de ces éléments et en l'absence d'élément produit par Mme [T] pour établir qu'elle n'a pas manqué de prudence lors de la création de son compte Paypal, il sera retenu qu'elle a commis une négligence grave en créant ce compte qui a permis la divulgation à un tiers de ses données bancaires personnelles.

En outre, il est établi que le tiers a réussi à activer Secur'Pass sur son propre téléphone portable ce qui implique que l'appelante a également donné à ce tiers le code à 6 chiffres qu'elle a nécessairement reçu pour activer cette fonctionnalité. 

Enfin, Mme [T] reconnaît qu'elle a reçu différents sms lui indiquant l'ajout de bénéficiaires puis la réalisation de virements le 4 février entre 19h44 et 20h04. Alertée par la réception de ces sms, les logs informatiques établissent que Mme [T] s'est alors connectée à son espace Direct Ecureuil et qu'elle a, afin de bloquer son espace en ligne, inséré trois fois un mot de passe erroné afin de bloquer son espace bancaire en ligne. Elle affirme qu'elle a agi sur conseil d'une personne contactée au sein de la caisse d'Epargne sans néanmoins l'établir. Pendant la nuit de nouveaux virements frauduleux sont intervenus mais il ne peut être reproché à Mme [T] de ne pas avoir réagi aux sms reçus entre 00h34 et 00h55. Puis, dès le lendemain 5 février Mme [T] a contacté sa banque qui a bloqué son compte de banque à distance à 8h56 et le même jour elle a déposé plainte auprès des services de police.

Il ressort de l'ensemble de ces éléments que si Mme [T] a réagi rapidement suite à réception des SMS de la banque et qu'il ne peut être retenu aucune faute de ce chef, en revanche celle-ci, même étant présumée de bonne foi, a fait preuve d'une négligence grave en communiquant ses identifiants au fraudeur et notamment le code qu'elle a nécessairement reçu sur son téléphone portable pour permettre au tiers d'enrôler le service Secur'Pass sur son propre portable.



- sur l'authentification, l'enregistrement des opérations litigieuses et l'absence de défaillance dans le système informatique :

Il est manifeste que la fraude a pu intervenir principalement parce que le tiers a réussi à activer sur son propre téléphone portable Secur'Pass, Mme [T] ne l'ayant pas, à la date des faits, encore enrôlé sur son téléphone. 

Si comme l'explique la banque une telle opération est techniquement possible par la communication de Mme [T] au tiers malveillant de ses données et du code reçu, la circonstance que cet enrôlement soit survenu sur un autre téléphone que celui déclaré par Mme [T] à sa banque reste une procédure peu conforme. A cet égard, Mme [T] produit de la documentation issue de questions/réponses du site Internet de la Caisse d'Epargne au terme de laquelle il est précisé que ' si vous changez de numéro de téléphone, informez-en au plus tôt votre conseiller. Votre numéro de smartphone doit être renseigné auprès de votre banque pour bénéficier du service Sécur'Pass' (pièce 10). Il s'en déduit qu'habituellement c'est sur le smartphone dont le numéro a été déclaré que l'application Sécur'pass est usuellement installée. S'agissant d'une opération sensible, un délai jusqu'à 72 heures est ensuite nécessaire pour que Sécur'Pass soit opérationnel afin de permettre à la banque de procéder à des vérifications. 

En l'espèce, suite à cette activation le 1er février 2021 à 19h32 sur un autre téléphone que l'appareil de confiance déclaré par Mme [T] la banque a mis en opposition la carte bancaire de Mme [T] le 2 février 2021 à 8h33, (pièce 6), et ce, alors qu'à cette date Mme [T] n'avait pas avisé sa banque d'une quelconque difficulté. La banque a précisé au médiateur que cette mise en opposition a été réalisée suite à la détection d'une anomalie sur la carte bancaire de Mme [T] le 1er février 2021 à 20h26 et qu'elle avait réussi à joindre Mme [T] à 17h43 pour l'aviser de cette suspicion de fraude (pièce 11 page 7 du rapport du médiateur). Cependant, force est de constater que la banque ne justifie par aucune pièce qu'elle aurait joint et averti Mme [T] et elle ne justifie également pas qu'elle a, par mail ou sms, confirmé à cette dernière l'activation de Secur'Pass sur un autre téléphone portable que le sien. 

Dès lors, cette mise en opposition de la carte bancaire de l'appelante par la banque quelques heures après l'enrôlement de Sécur'Pass sur un autre appareil que celui enregistré auprès de ses services établit que la banque avait décelé une fraude. Or, il s'évince qu'en autorisant ensuite l'enregistrement de bénéficiaires et la réalisation de virements via Sécur'Pass malgré cette alerte, l'existence d'une défaillance dans le système informatique lors de l'authentification, l'enregistrement et la comptabilité des opérations litigieuses est suffisamment établie. En effet, la seule mise en opposition de la carte bancaire n'était pas suffisante pour faire échec aux virements frauduleux qui ont été opérés et ces dysfonctionnements, en l'absence d'information donnée à Mme [T] sur la suspicion de fraude, ont permis au fraudeur de réaliser les opérations contestées.

Le jugement sera donc infirmé en ce qu'il a débouté Mme [T] de sa demande de remboursement des opérations contestées et la Caisse d'Epargne sera condamnée à payer à Mme [T] la somme de 12 100 euros avec intérêts au taux légal à compter de la décision d'appel en application de l'article 1231-7 du code civil s'agissant d'une condamnation indemnitaire.







Sur la demande en dommages-intérêts formée par Mme [T] au titre de son préjudice moral :



Mme [M] [T] sollicite la somme de 1 000 euros faisant valoir qu'elle a subi un préjudice moral.

Il convient de rappeler que la Caisse d'Epargne a remboursé à Mme [T] après les faits la somme de 31 100 euros et qu'elle n'est pas à l'origine de la fraude. 

Si le refus de procéder au paiement des sommes frauduleusement détournées a conduit, en l'espèce, Mme [T] à introduire une procédure judiciaire, il ne peut être tenu pour fautif dans la mesure où la banque a pu considérer, ainsi que développé dans le cadre de la présente procédure et en dépit de la solution apportée au présent litige, que sa cliente avait commis une négligence grave.

De plus, elle ne justifie par aucun élément, autre que ses allégations, l'existence de son préjudice.

Le jugement qui l'a déboutée de ce chef sera donc confirmé.



Sur les dépens et les frais irrépétibles :



La Caisse d'Epargne, qui succombe, sera condamnée aux dépens de première instance et d'appel et sera condamnée à payer à Mme [T] la somme de 2 000 euros au titre des dispositions de l'article 700 du code de procédure civile.



PAR CES MOTIFS,



La cour, statuant publiquement, par arrêt contradictoire et en dernier ressort ;



Infirme le jugement du tribunal judiciaire d'Aurillac du 13 février 2025 sauf en ce qu'il a débouté Mme [T] de sa demande en dommages-intérêts au titre de son préjudice moral ;



Statuant à nouveau , 



Condamne la SA Caisse d'Epargne et de Prévoyance d'Auvergne et du Limousin à payer à Mme [T] veuve [X] la somme de 12 100 euros avec intérêts au taux légal à compter du présent arrêt ;



Condamne la SA Caisse d'Epargne et de Prévoyance d'Auvergne et du Limousin à payer à Mme [T] veuve [X] la somme de 2 000 euros au titre des dispositions de l'article 700 du code de procédure civil ;



Condamne la SA Caisse d'Epargne et de Prévoyance d'Auvergne et du Limousin aux dépens de première instance et d'appel ;



Dit que conformément aux dispositions de l'article 699 du code de procédure civile, maître Lafon pourra recouvrer directement les frais dont il a fait l'avance sans avoir reçu provision.



Le greffier La présidente