Cour d'appel, pôle 5 - chambre 6, 1 avril 2026 — n° 24/03251

PAR CES MOTIFS , CONFIRME le jugement du tribunal commerce de Paris du 15 décembre 2023 ; Y ajoutant, DIT n'y avoir lieu à application de l'article 700 du code de procédure civile ; CONDAMNE la société [Localité 1] aux entiers dépens d'appel ; REJETTE toute autre demande. La greffière La présidente

* * * * * FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES La société [Localité 1] est une société de production audiovisuelle spécialisée dans la production de films publicitaires. Elle est titulaire d'un compte ouvert dans les livres de la Banque populaire rives de Paris (BPRI). Le 26 février 2020, afin de régler un acompte à un sous-traitant au Chili, la société The Roots, chargée de réaliser pour elle un spot publicitaire, la société [Localité 1] a émis, sur la base d'une facture et d'un RIB attachés à un courriel qu'elle croyait provenir de son prestataire, un ordre de virement au bénéfice de la société 'steelroots13" d'un montant de 204 979 euros, à destination d'un compte ouvert dans les livres d'une banque croate. Le 28 février 2020, le virement a fait l'objet d'un rejet de la banque croate destinataire. Le 2 mars 2020, la société [Localité 1] a de nouveau reçu un courriel de son correspondant, la pressant de réaliser le règlement convenu et lui indiquant que le rejet provenait probablement d'une confusion dans le nom du bénéficiaire. Il lui a proposé de substituer 'steel 13" à 'steelroots 13". Le lendemain, la société [Localité 1] a reçu une facture rectifiée et un nouveau RIB d'un compte ouvert dans les livres d'une autre banque croate. La société [Localité 1] a ainsi effectué trois virements d'un montant total de 409 958 euros sous les nouvelles références mentionnées par son correspondant, se décomposant comme suit : - un virement du 5 mars 2020, d'un montant de 130 000 euros à partir de son compte BPRI, - deux virements en date des 3 et 10 mars 2020 d'un montant respectif de 209 958 euros et 70 000 euros, soit un montant total de 279 958 euros, à partir d'un compte qu'elle détenait auprès de la banque [Localité 4] OBC. Par courriel du 17 mars 2020, à la suite de la réaction de son prestataire chilien, The Roots, qui lui a indiqué que le compte bancaire sur lequel les fonds avaient été virés n'était pas le sien, la société [Localité 1] réalisant sa méprise, a demandé à la BPRI le rapatriement de la somme de 130 000 euros virée par son intermédiaire le 5 mars 2020. Par courriel du 18 mars 2020, la BPRI a indiqué à la société [Localité 1] que sa demande de rappel des fonds avait bien été traitée et qu'elle attendait le retour de la banque de leur destinataire. Par courriel du 24 mars 2020, la société [Localité 1] a relancé la BPRI. Une expertise informatique réalisée par la société Aamset Systèmes et Réseaux diligentée par la société [Localité 1] a révélé le 27 mars 2020 que son correspondant était en réalité un 'hacker'qui s'était fait passer pour son fournisseur chilien et s'était introduit frauduleusement dans sa messagerie. Par courriel du 30 mars 2020, la société [Localité 1] a informé la BPRI de la fraude dont elle avait été victime et lui a reproché son manque de vigilance. Par courrier du 30 avril 2020, la BPRI a décliné toute responsabilité dans cette affaire. Les sommes payées par virement n'ont pas pu être récupérées. Soupçonnant la BPRI d'avoir effectué tardivement les démarches nécessaires à la récupération des sommes versées, la société [Localité 1] a sommé la banque de lui communiquer tous les échanges intervenus avec la banque croate. Mettant en avant le secret interbancaire, la BPRI a exigé une réquisition judiciaire, mais a cependant communiqué à la société [Localité 1] une partie des documents demandés. Le 29 janvier 2021, la société [Localité 1] a mis en demeure la BPRI de lui payer la somme de 450 455 euros à titre de dommages et intérêts en réparation du préjudice subi. Par acte de commissaire de justice du 23 avril 2021, la société [Localité 1] a fait assigner la BPRI en responsabilité et en indemnisation devant le tribunal de commerce de Paris.

MOTIFS Sur le devoir de vigilance La société [Localité 1] fait valoir, au visa du considérant 48 de la directive 2007/64 CE, des articles 1231-1 et 1937 du code civil et L. 561-6, L. 561-10-2 du code monétaire et financier, que la BPRI a manqué à son devoir de vigilance à son égard. Elle soutient que les règles spécifiques du code monétaire et financier relatives à la responsabilité du prestataire de services de paiement en cas d'opérations de paiement non autorisées ou mal exécutées ne font pas obstacle à l'application du régime de responsabilité de droit commun. Elle rappelle que si les banques sont tenues d'un devoir de non-immixtion, celui-ci trouve sa limite dans leur devoir de vigilance et que tout établissement bancaire est soumis à des obligations de vigilance particulières en matière de lutte contre le blanchiment des capitaux et le financement du terrorisme. Elle estime qu'en vertu de ce devoir de vigilance, les banques doivent alerter leur client, au moyen de contre-appel, notamment, en présence d'opérations de paiement présentant des anomalies apparentes, quand bien même le donneur d'ordre aurait été habilité à initier l'opération. Or, la BPRI n'a pas alerté sa cliente au moyen d'un contre-appel afin de vérifier l'authenticité du virement en date du 5 mars 2020, malgré les anomalies qu'il présentait au regard : - de l'existence d'un premier virement en date du 26 février d'un montant de 204 979 euros qui a fait l'objet d'un rejet le 28 février 2020 et dont le montant et la destination (un compte ouvert dans les livres d'une banque croate) étaient inhabituels, - du montant élevé des virements par rapport à l'activité habituelle du compte, - de la destination des virements vers de nouveaux comptes bancaires domiciliés en Croatie qui est identifiée comme une zone à risque en matière de flux de capitaux issus d'escroqueries aux virements, - de l'information donnée à la banque que le bénéficiaire du virement était un producteur établi au Chili, - de la modification du RIB du bénéficiaire à la suite du rejet du premier virement, - du fait que la banque du bénéficiaire, la Zagrebacka Banka, faisait l'objet d'une enquête de la Banque centrale croate, selon le site international d'information Bloomberg. La société [Localité 1] fait également valoir que la BPRI aurait dû s'enquérir du motif du rejet du premier virement. Elle soutient qu'une alerte de la banque dès le rejet de ce premier virement aurait permis d'éviter la réalisation de l'ensemble des virements, peu important que certains aient été ordonnés depuis un compte ouvert dans les livres de la banque [Localité 4] OBC, de sorte que son préjudice correspond, à titre principal, à la perte de chance de prévenir la perte des fonds estimée à 75 % de la perte totale d'un montant de 409 958 euros, soit 307 468 euros, et subsidiairement à 75 % de la perte du virement de 130 000 euros réalisé depuis le compte de la BPRI, soit à 97 500 euros. La Banque populaire rives de Paris fait valoir, en premier lieu, que l'obligation de vigilance particulière imposée aux organismes financiers par les articles L. 561-6 et L. 561-10-2 du code monétaire et financier ne s'applique pas en l'espèce, car elle concerne la lutte contre le blanchiment des capitaux et le financement du terrorisme, de sorte que ces dispositions légales ne peuvent pas être invoquées par les particuliers à l'appui d'une demande de dommages et intérêts. En deuxième lieu, elle prétend qu'en application des articles L. 113-3, L. 133-13 et L. 133-21 du code monétaire et financier, aucun manquement ne peut lui être reproché au titre de l'exécution du virement litigieux. Elle expose que le prestataire de services de paiement est tenu d'exécuter les opérations de paiement autorisées conformément à l'identifiant bancaire transmis par le donneur d'ordre. Elle rappelle qu'elle est tenue à un devoir de non-immixtion dans les affaires de son client et n'a pas à s'interroger sur les circonstances de l'opération sous-jacente. Elle ajoute que le seul contrôle exercé par la banque porte sur l'authenticité de l'ordre transmis et non sur l'opportunité de l'opération ou sur la concordance entre le nom du bénéficiaire et l'identifiant transmis par le donneur d'ordre. S'agissant des virements litigieux, elle relève que la société [Localité 1] reconnaît avoir enregistré elle-même sur son espace sécurisé en ligne Cyberplus les identifiants uniques du bénéficiaire des virements et ordonné les opérations des 26 février et 5 mars 2020, de sorte qu'il s'agit d'opérations autorisées, l'intervention des escrocs n'ayant pas affecté la régularité des ordres de paiement. Elle ajoute que la société [Localité 1] ne peut pas valablement lui reprocher un quelconque manquement à ses obligations de dépositaire au sens de l'article 1937 du code civil, l'exécution conforme de l'ordre de virement constituant la justification de ce qu'elle s'est valablement libérée des fonds déposés. Elle fait également valoir que les éléments évoqués par la société [Localité 1] ne constituent pas des anomalies apparentes aux motifs que : - le montant du virement de 130 000 euros du 5 mars 2020 n'était pas constitutif d'une anomalie, faute d'avoir placé le solde du compte en position débitrice, - il était cohérent avec les montants d'autres opérations réalisées par la société [Localité 1] et s'inscrivait dans le cadre de son activité commerciale internationale, - le virement était destiné à un compte ouvert dans les livres d'une banque implantée en Croatie qui est membre de l'Union européenne et appartient à la zone euro, - elle ne peut pas consulter l'ensemble des sites internet de tous les pays de l'Union européenne et l'existence d'une enquête concernant la banque du bénéficiaire du virement n'induisait pas sa culpabilité, - aucun contre-appel à la société [Localité 1] n'était justifié, l'auteur de l'ordre au sein de la société [Localité 1] étant habilité à ordonner des virements et cette pratique n'étant prévue par aucune obligation contractuelle, - le rejet du premier virement et le changement des coordonnées du bénéficiaire n'étaient pas de nature à l'alerter, dans la mesure où l'identifiant utilisé pour le premier virement avait été enregistré par la société [Localité 1] sur son espace personnel sécurisé ; le motif du rejet tenait selon la banque destinataire au nom du bénéficiaire, ce que la société [Localité 1] a confirmé, avant de procéder à une modification de l'identifiant unique depuis son espace en ligne. Par ailleurs, dans l'hypothèse où sa responsabilité serait retenue, la banque fait valoir qu'aucun lien de causalité avec le préjudice allégué par la société [Localité 1] ne peut être établi. S'agissant des virements réalisés depuis les comptes détenus par la société [Localité 1] dans les livres de la banque [Localité 4] OBC, elle soutient être étrangère à son activité, de sorte que leur exécution relève uniquement de la responsabilité de celle-ci. S'agissant du virement ordonné depuis le compte ouvert au sein de la BPRI, elle allègue que la perte subie par sa cliente est uniquement la conséquence de ses propres négligences. Le tribunal a rappelé à bon droit que les obligations de vigilance et de déclaration imposées aux organismes financiers en application des articles L. 561-2 à L. 561-22 du code monétaire et financier ont pour seule finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme et que la victime d'agissements frauduleux ne peut se prévaloir de l'inobservation de ces obligations de vigilance et de déclaration pour réclamer des dommages et intérêts à l'organisme financier (Com., 28 avr. 2004, n° 02-15.054 ; 21 sept. 2022, n° 21-12.335).