Cour d'Appel · Pôle 5 - Chambre 6 — 20 mai 2026

Copies exécutoires REPUBLIQUE FRANCAISE

délivrées aux parties le : AU NOM DU PEUPLE FRANCAIS







COUR D'APPEL DE PARIS

Pôle 5 - Chambre 6



ARRET DU 20 MAI 2026



(n° , 7 pages)



Numéro d'inscription au répertoire général : N° RG 24/20047 - N° Portalis 35L7-V-B7I-CKOK2



Décision déférée à la Cour : Jugement du 03 Octobre 2024 - tribunal judiciaire de Paris 9ème chambre 3ème section - RG n° 23/10150





APPELANTS

 

Monsieur [F] [R]

né le [Date naissance 1] 1951 à [Localité 1] 

[Adresse 1]

[Localité 2]



Madame [A] [C] épouse [R]

née le [Date naissance 2] 1951 à [Localité 3]

[Adresse 1]

[Localité 2]



Représentés par Me Sandrine PRISO de la SELARL SOCIETE D'AVOCAT GOGET-PRISO, avocat au barreau d'Essonne



INTIMÉE 



S.A. CAISSE D'EPARGNE ILE DE FRANCE

[Adresse 2]

[Localité 4] 

N°SIREN : 382 900 942

agissant poursuites et diligences en la personne de ses représentants légaux domiciliés en cette qualité audit siège



Représentée par Me Stéphane FERTIER de la SELARL JRF & TEYTAUD SALEH, avocat au barreau de Paris, toque : L0075

Ayant pour avocat plaidant Me Claire BOUSCATEL de l'ASSOCIATION BIARD BOUSCATEL et ASSOCIES, avocat au barreau de Paris, toque : R146





COMPOSITION DE LA COUR :



En application des dispositions des articles 805 et 907 du code de procédure civile, l'affaire a été débattue le 26 Mars 2026, en audience publique, les avocats ne s'y étant pas opposés, devant Madame Laurence CHAINTRON, conseillère, chargée du rapport.



Ce magistrat a rendu compte des plaidoiries dans le délibéré de la Cour, composée de :

M. Vincent BRAUD, président de chambre

Mme Laurence CHAINTRON, conseillère

Mme Anne BAMBERGER, conseillère 

Greffier lors des débats : Mme Mélanie THOMAS



 



ARRET :



- contradictoire



- par mise à disposition de l'arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du code de procédure civile.



- signé par M. Vincent BRAUD, président de chambre et par Mme Mélanie THOMAS, greffier, présent lors de la mise à disposition.



* * * * *



FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES





M. [F] [R] et Mme [A] [R] (les époux [R]) sont clients de la Caisse d'épargne et de prévoyance Ile-de-France (la banque).



Ils exposent avoir subi, les 16 et 17 janvier 2022, un piratage de leur compte bancaire consistant en l'ajout de trois comptes bénéficiaires : [U] [E], SARL [Q] [K] et [V] [N]. 



Trois virements vers ces comptes bénéficiaires ont été effectués aux mêmes dates pour des montants respectifs de 4 977 euros, 4 940 euros et 5 000 euros, soit une somme totale de l4 9l7 euros. 



Le 17 janvier 2022, les époux [R] ont déposé plainte, puis ont fait une demande de remboursement auprès de la banque.



Celle-ci n'a pas accepté cette demande au motif que l'ensemble des opérations contestées ont été validées par Secur'Pass, dispositif d'authentification forte.



Par acte extrajudiciaire en date du 28 juillet 2023, les époux [R] ont fait assigner la banque en responsabilité et en indemnisation devant le tribunal judiciaire de Paris.



Par jugement contradictoire rendu le 3 octobre 2024, le tribunal judiciaire de Paris a :

- débouté M. et Mme [F] [R] de l'ensemble de leurs demandes formées contre la Caisse d'épargne et de prévoyance Ile-de-France ;

- condamné M. et Mme [F] [R] aux dépens ;

- dit n'y avoir lieu à application des dispositions de l'article 700 du code de procédure civile.



Par déclaration remise au greffe de la cour le 27 novembre 2024, les époux [R] ont interjeté appel de cette décision. 



Par conclusions notifiées par voie électronique le 10 mars 2026, les époux [R] demandent, au visa des articles L. 133-19 IV, L. 133-23 et L. 133-24 du code monétaire et financier à la cour de :



- déclarer recevables et bien fondés M. et Mme [R] en leurs présentes écritures,

- infirmer le jugement entrepris rendu le 3 octobre 2024,

Statuant de nouveau :

- condamner la Caisse d'épargne et de prévoyance Ile-de-France au paiement de la somme de 14 917 euros au profit de M. et Mme [R] en remboursement des opérations de paiement effectuées par internet non autorisées,

- condamner la même au paiement de la somme de 2 000 euros au titre de dommages et intérêts pour résistance abusive ainsi qu'une somme de 3 000 euros en application de l'article 700 du code de procédure civile,

- condamner la Caisse d'épargne et de prévoyance Ile-de-France aux entiers dépens.



Par conclusions notifiées par voie électronique le 6 mars 2026, la Caisse d'épargne et de prévoyance Ile-de-France demande à la cour de :



- confirmer en toutes ses dispositions le jugement rendu le 3 octobre 2024 par le tribunal judiciaire de Paris,

Y ajoutant,

- condamner solidairement M. et Mme [R] à payer à la Caisse d'épargne et de prévoyance Ile de France la somme de 3 000 euros au titre de l'article 700 du code de procédure civile,

- condamner M. et Mme [R] aux dépens.



Pour un plus ample exposé des faits, de la procédure, des moyens et des prétentions des parties, il est expressément renvoyé au jugement déféré et aux dernières conclusions écrites déposées en application de l'article 455 du code de procédure civile.



L'ordonnance de clôture a été rendue le 17 mars 2026 et l'affaire a été fixée à l'audience du 26 mars 2026. 



MOTIFS 



Sur la responsabilité de la banque



Les époux [R] font valoir, au visa des articles L. 133-19 IV, L. 133-23 et L. 133-24 du code monétaire et financier, qu'ils n'ont nullement autorisé l'ajout de trois bénéficiaires, ni les virements des sommes dont ils réclament le remboursement. Ils soulignent que ces opérations ont été réalisées les 16 et 17 janvier 2022 à une heure très tardive et qu'ils les ont immédiatement contestées et ont déposé plainte le 17 janvier 2022. 

Ils font valoir qu'elles ont été réalisées à l'aide d'un Iphone avec une adresse IP sur la commune de [Localité 5] et que l'enrôlement de cet appareil de type apple en tant que téléphone de sécurité s'est fait sans aucune validation de la part de Mme [R], qui ne peut donc pas être à l'origine des opérations. En effet, Mme [R] dispose uniquement d'un "smartphone" de marque Samsung type Galaxy J3 4G avec lequel elle a actionné le service d'authentification forte Secur'Pass le 13 janvier 2022 et c'est lors de l'installation de ce dispositif sur son appareil de téléphone mobile, que son identifiant et son mot de passe ont été détournés pour être enregistrés sur un autre appareil. Cette manipulation frauduleuse a permis de récupérer l'ensemble des informations personnelles et par conséquent de substituer les appareils téléphoniques, de passer l'étape des modalités d'authentification, d'ajouter les bénéficiaires et de réaliser des virements frauduleux sur un temps très bref. Ils soutiennent qu'il y a eu une défaillance technique du système de la banque qui a permis le piratage des données de Mme [R] et qu'il appartient à la banque de justifier que le dispositif n'a pas rencontré de dysfonctionnement technique. 

Ils allèguent que la banque ne démontre pas qu'ils aient révélé à un tiers leurs identifiants et mots de passe. 

Ils ajoutent qu'ils ont été reçus le mardi 18 janvier 2022, par Mme [M], conseillère financière de la banque, qui a réinstallé l'application sur le portable Samsung de Mme [R] en lui demandant au préalable son numéro de téléphone. 

Ils font valoir enfin qu'il ressort de l'audition de M. [K], propriétaire de la pharmacie et prétendue bénéficiaire de l'un des virements contestés, que ce dernier reconnaît avoir reçu par erreur ce virement, révélant une défaillance dans le dispositif Secur'Pass et qu'il ne peut y avoir de doute sur la réalité des détournements.



La banque réplique, au visa des articles L. 133-6 et L. 133-7 du code monétaire et financier, que les opérations contestées ont été autorisées par les époux [R]. Elle expose qu'aux termes de la convention de compte, la connexion à l'espace personnel par la saisie de l'identifiant et du code confidentiel puis la validation du dispositif d'authentification forte, caractérisent le consentement du client lorsque le virement litigieux a été initié via l'espace personnel de banque à distance. 

Elle souligne que les trois virements litigieux ont été saisis grâce à une connexion sécurisée au service Banque à distance des époux [R] puis autorisés par l'authentification renforcée via le dispositif Secur'Pass dont ils disposent.

Elle expose que l'application Direct Ecureuil est un dispositif de sécurité renforcé qui permet à un client d'accéder à distance à divers services bancaires et notamment de saisir des opérations de paiement à distance via un ordinateur, une tablette ou un téléphone mobile. Les conditions générales spécifiques à la sécurisation des opérations en ligne et les conditions générales d'utilisation du service Direct Ecureuil démontrent que pour accéder en ligne à ses comptes, le client doit nécessairement être en possession d'un numéro d'identifiant et d'un code confidentiel que lui seul connaît. Un tiers ne peut pas se connecter à cet espace, sans l'identifiant et le mot de passe qui sont propres à chaque utilisateur, à moins que ces informations aient été dévoilées par le client.

Elle soutient qu'il résulte des logs retraçant l'historique des connexions sur l'espace Direct Ecureuil des époux [R], que le mot de passe a été requis afin de permettre la connexion, ce qui signifie que la connexion au service de Banque à distance a été faite après que l'identifiant et le mot de passe ont été renseignés. Elle fait valoir qu'une fois la connexion faite, les opérations de paiement et d'ajout de comptes bénéficiaires nécessitent l'utilisation d'une procédure d'authentification renforcée via le dispositif Secur'Pass. Elle souligne que l'activation et la gestion de Secur'Pass ne peuvent être associées qu'à un seul et unique smartphone.

La banque expose que toutes les opérations ont été effectuées à partir du même téléphone et que l'enrôlement au dispositif Secur'Pass des époux [R] date du 13 janvier 2022 et non pas du 16 janvier 2022. Les époux [R] ont donc eux-mêmes activé le service Secur'Pass, comme ils le reconnaissent. Elle soutient que l'ajout des comptes externes et les virements contestés ont été faits depuis le même téléphone que celui qui a enrôlé Secur'Pass, ce dont il se déduit que les époux [R] qui reconnaissent avoir souscrit à Secur'Pass ont nécessairement effectué les opérations litigieuses puisqu'elles ont été validées du même appareil.

Elle affirme qu'un fraudeur n'a pas pu pirater l'identifiant et le mot de passe et qu'il n'y a pas eu de changement de smartphone.

La banque ajoute que la responsabilité d'un établissement bancaire ne doit pas être retenue dès lors que celui-ci rapporte la preuve de l'utilisation du dispositif d'authentification forte pour réaliser les opérations contestées par le client. Elle en déduit que les opérations ont été autorisées de sorte qu'elle n'est pas tenue de rembourser les époux [R].

La banque soutient encore que l'avenant au contrat Services de banque à distance du 18 janvier 2022 permet de confirmer que les époux [R] sont à l'origine de l'activation de Secur'Pass, mais qu'il ne permet pas d'établir la marque du téléphone utilisé par les appelants.

Elle expose que la facture d'achat d'un téléphone Samsung est établie au nom de M. [R] et non pas au nom de Mme [R], alors que c'est cette dernière qui a activé le service Secur'Pass et que cette facture est datée du mois de mai 2017 soit près de 5 ans avant les transactions litigieuses. De plus, les appelants ne démontrent pas qu'en 2022 ce téléphone était encore utilisé par Mme [R], laquelle aurait pu être détentrice d'un autre téléphone.

Elle ajoute que les attestations de M. [P] et de M. [W] affirmant que Mme [R] n'utilisait qu'un Samsung sont strictement identiques et que l'attestation rédigée par [Y] [W] apparaît comme ayant été dictée et ne remplit pas les conditions prescrites par l'article 202 du code de procédure civile. La dernière attestation établie par M. [X] n'indique pas le lien de ce dernier avec les appelants et ne remplit pas non plus les conditions édictées par les articles 200 et suivants du code de procédure civile. Ces attestations ne sont pas probantes et elles se heurtent à la fiabilité de la pièce technique qu'elle produit, à savoir le tableau des logs.





Aux termes de l'article L. 133-6, paragraphe premier, alinéa premier, du code monétaire et financier, une opération de paiement est autorisée si le payeur a donné son consentement à son exécution.

L'article L. 133-7, alinéas 1 et 3, du même code dispose :

« Le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement. [...]

« En l'absence d'un tel consentement, l'opération ou la série d'opérations de paiement est réputée non autorisée. »



L'article L. 133-4 f) du même code dispose, dans sa rédaction issue de l'ordonnance n° 2017-1252 du 9 août 2017, que :

« Une authentification forte du client s'entend d'une authentification reposant sur l'utilisation de deux éléments ou plus appartenant aux catégories " connaissance " (quelque chose que seul l'utilisateur connaît), " possession " (quelque chose que seul l'utilisateur possède) et " inhérence " (quelque chose que l'utilisateur est) et indépendants en ce sens que la compromission de l'un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d'authentification. »



L'article L. 133-44, paragraphe premier, du même code prévoit, dans sa rédaction également issue de l'ordonnance n° 2017-1252 du 9 août 2017, que :

« Le prestataire de services de paiement applique l'authentification forte du client définie au f de l'article L. 133-4 lorsque le payeur :

« 1° Accède à son compte de paiement en ligne ;

« 2° Initie une opération de paiement électronique ;

« 3° Exécute une opération par le biais d'un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse. »



L'article L. 133-23 du code monétaire et financier dispose :

« Lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre.

« L'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. »





En l'espèce, il ressort de l'article 6.1.3.5 des conditions générales de la convention de compte de dépôt et services associés de la Caisse d'épargne Ile-de-France que :

"La Banque et le Client conviennent que le Client donne son consentement à une opération de virement :

'

- pour les ordres de virement initiés à partir de l'espace personnel de banque à distance du Client, (après s'être connecté à cet espace selon la procédure d'authentification requise) : par la saisie de l'ordre de virement et sa validation, le cas échéant, par le dispositif d'authentification forte requis par la Banque." 



L'article 3 a) alinéa 4 des conditions générales spécifiques du service Direct Ecureuil dont il n'est pas contesté qu'elles soient applicables, dispose que :

"L'émission de virements vers un tiers nécessite que le Client ajoute préalablement le compte du bénéficiaire sur sa liste de bénéficiaires de virements. L'ajout de ce compte sur cette liste de bénéficiaires ainsi que l'émission d'un virement externe nécessitera l'authentification du Client."



L'article 5-2 prévoit que :

"...

La Banque met en place un dispositif d'authentification du Client pour l'accès à son compte en ligne et la réalisation des opérations de paiement (virements), des opérations sensibles (ajout d'un compte de bénéficiaire, enregistrement ou modification d'un ordre de virement permanent') par l'intermédiaire des services de Direct Ecureuil.

Ce dispositif d'authentification mis en place par la Banque repose sur l'utilisation de la solution Sécur'Pass ou d'un autre dispositif, le cas échéant.

...

Ce dispositif d'authentification repose sur l'utilisation d'au moins deux éléments parmi les trois catégories suivantes : 1) une information que le Client est seul à connaître (mot de passe, code secret, code [Localité 6]), 2) l'utilisation d'un appareil qui appartient au Client (téléphone portable, montre connectée, appareil dédié fourni par la Banque...), 3) une caractéristique personnelle qui est intimement liée au Client (empreinte digitale, reconnaissance, faciale, vocale).'



Enfin, l'article 5-7 de ces mêmes conditions générales stipule que :

"La preuve des opérations effectuées pourra être faite par toute forme d'enregistrements résultant des moyens de communication utilisés entre le Client et la Banque. De convention expresse, les parties reconnaissent que les enregistrements effectués par la Banque, quel qu'en soit le support, feront foi, sauf preuve contraire. La preuve des opérations effectuées pourra également être rapportée par tous moyens notamment par les récapitulatifs des transactions établies par les systèmes informatiques de la Banque." 



Il résulte de ces conditions générales que la création de Sécur'Pass nécessite : 

- l'identifiant Direct Ecureuil,

- le mot de passe d'accès à Direct Ecureuil,

- la carte bancaire associé au compte afin de compléter les numéros manquants,

- la saisie d'un code confidentiel à six chiffres reçu par SMS,

- le choix d'un code à quatre chiffres.



Ainsi, tant l'ajout de bénéficiaires, que la réalisation de virements via le dispositif Secur'Pass mis à la disposition des époux [R] nécessite une authentification forte grâce à un code confidentiel ou une fonction biométrique, dont seuls les époux [R] avaient connaissance. 



En l'espèce, les appelants reconnaissent dans leurs écritures (page 14) qu'ils ont souscrit au dispositif Secur'Pass le 13 janvier 2022.



Comme l'expose la banque, le mail qu'ils ont reçu le 16 janvier 2022 et qu'ils versent aux débats correspond à la confirmation de l'enrôlement au service Secur'Pass envoyé après un délai de sécurité de 72 heures suivant la demande.



Il ressort de l'extrait des logs versés aux débats par la banque que l'enrôlement à Sécur'Pass a été effectué depuis le terminal suivant 373E[Immatriculation 1]-FB21-421D-B3DF-DF072952AC99.

Or, cet extrait démontre également que les ajouts de bénéficiaires et les trois virements litigieux ont été effectués au moyen du même téléphone que celui qui a enrôlé le dispositif Sécur'Pas, à savoir 373E[Immatriculation 1]-FB21-421D-B3DF-DF072952AC99. 



Il en résulte que les époux [R] qui reconnaissent avoir souscrit à Secur'Pass ont nécessairement effectué les opérations litigieuses puisqu'elles ont été validées avec le même appareil téléphonique, de sorte que leurs développements sur le fait qu'ils auraient été victimes d'une escroquerie et les attestations versées aux débats de diverses personnes témoignant que Mme [R] n'utilisait qu'un téléphone de marque Samsung et non l'appareil IPhone avec lequel les virements ont été effectués sont inopérants et ne sont pas, en tout état de cause, de nature à remettre en question le fait que l'ensemble des opérations a été effectué avec un seul et unique téléphone.



De surcroît, une des opérations en cause au profit de la pharmacie [K] n'a pas été effectuée au bénéfice d'un fraudeur, mais résulte certainement d'une erreur puisque cette pharmacie a proposé de les rembourser, remboursement sur lequel les époux [R] sont au demeurant taisants.



Il en résulte que les virements litigieux ont été authentifiés, dûment enregistrés et comptabilisés et qu'ils n'ont pas été affectés par une déficience technique ou autre, ce dont il se déduit en application de l'article L. 133-7, alinéa premier précité et des clauses contractuelles liant les parties que les opérations de paiement litigieuses sont autorisées par les époux [R], si bien que la banque n'a pas à les rembourser.



Le jugement déféré sera par conséquent confirmé en ce qu'il a débouté les époux [R] de l'ensemble de leurs demandes.



Sur les dépens et les frais irrépétibles



Aux termes de l'article 696, alinéa premier, du code de procédure civile, la partie perdante est condamnée aux dépens, à moins que le juge, par décision motivée, n'en mette la totalité ou une fraction à la charge d'une autre partie. Les appelants seront donc condamnés aux dépens.



En application des dispositions de l'article 700 du code de procédure civile, le juge condamne la partie tenue aux dépens ou qui perd son procès à payer à l'autre partie la somme qu'il détermine, au titre des frais exposés et non compris dans les dépens. Sur ce fondement, les époux [R] seront condamnés à payer la somme de 2 000 euros à la Caisse d'épargne et de prévoyance Ile-de-France.





PAR CES MOTIFS,





CONFIRME le jugement du tribunal judiciaire de Paris du 3 octobre 2024 ;



Y ajoutant,



CONDAMNE in solidum M. [F] [R] et Mme [A] [R] à payer à la Caisse d'épargne et de prévoyance Ile-de-France la somme de 2 000 euros au titre de l'article 700 du code de procédure civile ;



CONDAMNE M. [F] [R] et Mme [A] [R] aux entiers dépens d'appel ;



REJETTE toute autre demande.





* * * * *



 Le greffier Le président