Cour d'appel, pôle 4 - chambre 9 - a, 2 avril 2026 — n° 25/00442

PAR CES MOTIFS LA COUR, Statuant publiquement par arrêt contradictoire et en dernier ressort, Confirme le jugement en toutes ses dispositions' sauf en ce qu'il a condamné la société BNP Paribas à payer à Mme [B] [F] épouse [G] la somme de 500 euros de dommages-intérêts pour préjudice moral ; Y ajoutant, Rejette la demande de dommages et intérêts présentée par Mme [B] [F] épouse [G] ; Condamne la société BNP Paribas à payer à Mme [B] [G] née [F] une somme de 1 500 euros sur le fondement de l'article 700 du code de procédure civile ; Condamne la société BNP Paribas aux dépens d'appel ; Rejette toute demande plus ample ou contraire. La greffière La présidente

FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES Mme [B] [G] née [G] est titulaire d'un compte bancaire avec son époux et d'un compte professionnel dans les livres de la société BNP Paribas. Mme [G] a contesté le 20 février 2023 être l'auteure de deux paiements par carte réalisés depuis son compte professionnel pour un montant total de 6 670,77 euros ; elle a constaté par la suite qu'un troisième paiement par carte bleue avait été effectué depuis son compte personnel pour un total de 1 371,37 euros à régler en trois fois. Elle a déposé plainte le 14 mars 2023 expliquant avoir reçu le 15 février 2023 un SMS de la société Chronopost l'informant qu'il manquait 1,46 centimes pour recevoir un colis, avoir cliqué sur le lien qu'il contenait et avoir renseigné le n° de carte de son compte joint puis avoir reçu un appel émanant du même numéro que celui de sa banque l'alertant du piratage de son compte et lui demandant de valider au moyen de sa carte digitale plusieurs demandes d'opposition à prélèvements frauduleux, ce qu'elle avait fait. La banque a refusé le 20 février 2023 puis le 1er mars 2023 tout remboursement et par exploit de commissaire de justice délivré le 29 janvier 2024, Mme [G] a fait assigner la société BNP Paribas devant le juge des contentieux de la protection du tribunal judiciaire de Paris aux fins de la voir condamner principalement à lui régler la somme de 9 042,14 euros avec intérêts au taux légal à compter de sa contestation du 20 février 2023, en remboursement des sommes frauduleusement soustraites, outre une somme de 750 euros à titre de dommages et intérêts pour l'indemniser de son préjudice moral et une somme de 2 000 euros au titre des frais irrépétibles et aux dépens. Par jugement contradictoire du 20 novembre 2024 auquel il convient de se reporter pour un exposé plus ample du litige, le juge des contentieux de la protection du tribunal judiciaire de Paris a : - condamné la société BNP Paribas à payer à Mme [G] la somme de 8 042,14 euros au titre des opérations de paiement non autorisées avec intérêts au taux légal à compter du 29 janvier 2024, - condamné la société BNP Paribas à payer à Mme [G] la somme de 500 euros à titre de dommages et intérêts pour préjudice moral, - condamné la société BNP Paribas à payer à Mme [G] la somme de 2 000 euros en application de l'article 700 du code de procédure civile, - rejeté le surplus des demandes, - condamné la société BNP Paribas aux dépens de l'instance. Aux termes de son jugement, le juge a appliqué les dispositions des articles L. 133-3, L. 133-6, L. 133-16 à 19 du code monétaire et financier et a estimé que Mme [G] n'avait aucunement tardé dans la révélation de ces opérations litigieuses à sa banque et que, quand bien même elle avait renseigné son numéro de carte bancaire à la suite d'un SMS frauduleux reçu, puis son code confidentiel à l'occasion d'un échange téléphonique avec un tiers se faisant passer pour un conseiller de la banque en le saisissant sur son application, il n'est pas caractérisé de négligence grave de sa part au motif que le mode opératoire du « spoofing » l'avait mise en confiance et avait diminué sa vigilance. La société BNP Paribas a interjeté appel de ce jugement par déclaration électronique 17 décembre 2024. Par conclusions d'incident en date du 11 juin 2025, Mme [G] a élevé un incident tendant à l'irrecevabilité de l'appel de la société BNP Paribas s'agissant du remboursement des opérations litigieuses et a sollicité du conseiller de la mise en état qu'il déclare la société de crédit irrecevable en son appel pour défaut d'intérêt à agir. Par ordonnance en date du 7 octobre 2025, le conseiller de la mise en état a déclaré recevable l'appel interjeté par la banque, a rejeté la fin de non-recevoir soulevé par Mme [G] et l'a condamnée au paiement de la somme de 500 euros au titre de l'article 700 du code de procédure civile ainsi qu'aux dépens.

MOTIFS DE LA DÉCISION Sur le bien-fondé de la demande de remboursement Il résulte des articles L. 133-3, L. 133-6 et L. 133-7 du code monétaire et financier que la détermination du caractère autorisé d'une opération ne dépend pas de l'obligation sous-jacente qui est sans conséquence sur la validité de l'ordre, mais du consentement du payeur lequel est donné sous la forme convenue entre le payeur et son prestataire. Une des formes convenues envisagée par la loi est l'usage d'un dispositif de paiement avec données de sécurité personnalisées défini à l'article L. 133-4 du code monétaire et financier qui permettent d'authentifier son auteur. Les articles L. 133-16 et L. 133-17 du même code imposent à la banque qui délivre un instrument de paiement : - de s'assurer que les données de sécurité personnalisées telles que définies à l'article L. 133-4 ne sont pas accessibles à d'autres personnes que l'utilisateur autorisé à utiliser cet instrument, - de mettre en place, à titre gratuit, les moyens appropriés permettant à l'utilisateur de procéder à tout moment à l'information prévue à l'article'L. 133-17, - et d'empêcher toute utilisation de l'instrument de paiement après avoir été informée, conformément aux dispositions de l'article L. 133-17, de sa perte, de son vol, de son détournement ou de toute utilisation non autorisée de l'instrument de paiement ou des données qui lui sont liées. De son côté l'utilisateur doit : - aux termes de l'article L. 133-16 du même code, prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées et utiliser l'instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées, - aux termes de l'article L. 133-17 du même code, dès qu'il en a connaissance prévenir sa banque de toute perte, vol, détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées aux fins de blocage. Il résulte des dispositions l'article L. 133-23 du code monétaire et financier : - que lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre, - que la seule utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière et que le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d'initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur de services de paiement. Il résulte par ailleurs des articles L. 311-18 et L. 311-19 du code monétaire et financier que ce n'est que dans le cas où une opération n'est pas autorisée par le client et qu'il l'a signalée dans les conditions prévues à l'article'L. 133-24 que le prestataire de services de paiement du payeur rembourse au payeur le montant de l'opération non autorisée immédiatement après avoir pris connaissance de l'opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s'il a de bonnes raisons de soupçonner une fraude de l'utilisateur du service de paiement et s'il communique ces raisons par écrit à la Banque de France. Lorsque l'opération de paiement non autorisée est consécutive à la perte ou au vol de l'instrument de paiement, le payeur ne supporte, avant l'information prévue à l'article L. 133-17, que les pertes liées à l'utilisation de cet instrument, dans la limite d'un plafond de 50 euros sauf si l'opération non autorisée a été effectuée sans utilisation des données de sécurité personnalisées ou que la perte ou de vol d'un instrument de paiement ne pouvait être détecté par le payeur avant le paiement, ou que la perte est due à des actes ou à une carence d'un salarié, d'un agent ou d'une succursale d'un prestataire de services de paiement ou d'une entité vers laquelle ses activités ont été externalisées. La responsabilité du payeur n'est pas non plus engagée si l'opération de paiement non autorisée a été effectuée en détournant, à l'insu du payeur, l'instrument de paiement ou les données qui lui sont liées, ni en cas de contrefaçon de l'instrument de paiement si, au moment de l'opération de paiement non autorisée, le payeur était en possession de son instrument. Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l'information aux fins de blocage de l'instrument de paiement prévue à l'article L. 133-17. En revanche, le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. Enfin, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l'opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n'exige une authentification forte du payeur prévue à l'article L. 133-44. Il résulte donc de l'enchevêtrement de ces textes que pour éviter toute fraude, la banque se doit de mettre en 'uvre des procédés techniques de protection des opérations au moyen d'éléments personnels d'identification de l'utilisateur, que plus l'opération nécessite l'utilisation de données d'authentification, plus elle est considérée comme ayant été autorisée par l'utilisateur, lequel peut toujours nier néanmoins l'avoir autorisée, que dans ce cas la banque doit : 1) prouver que ce sont bien les données d'authentification de l'utilisateur qui ont été utilisées et qu'il n'y a pas eu de défaillance technique, et 2) même dans ce cas où l'authentification est renforcée et où ces données ont été utilisées, fournir les éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur de services de paiement. En l'espèce les traces informatiques produites par la banque en sa pièce 3 (captures d'écran, relevés du compte de Mme [G]) démontrent que chacune des trois opérations d'achat auxquelles Mme [G] croyait s'opposer, ont été réalisées à l'aide des cartes bancaires de Mme [G] ( n° 49 70 88 50 70 68 103, n° 49 74 08 85 07 06 32 et n° 49 74 90 80 20 76 61 04) et authentifiées par la saisie de la clé digitale attribuée à Mme [G], le 15 février 2023 à 20 heures 14 et 13 secondes avec un achat de 3 500 euros, le même jour à 20 h 58 et 28 secondes avec un achat pour 3 170,77 euros et le dernier, le même jour à 20 h 01 et 55 secondes pour 1 371,37 euros et sans que Mme [G] ne fasse état d'une perte ou d'un vol de sa carte bancaire. Ceci atteste suffisamment que les opérations ont bien été authentifiées, identifiées avec un système d'« authentification forte » acceptée par le système bancaire, dûment enregistrées et comptabilisées et qu'elles n'ont pas été affectées par une déficience technique ou autre au sens du texte susvisé. La cour observe toutefois que le 15 février 2023, jour de la fraude dénoncée, l'adresse IP du porteur de la carte se situe pour deux transactions en France avec des numéros IP différents et pour la dernière aux Emirats Arabes Unis alors qu'elles ont eu lieu à quelques minutes d'intervalle, ce qui est pour le moins suspect.