Cour d'appel, chambre commerciale 3-2, 7 avril 2026 — n° 24/05744

PAR CES MOTIFS , La cour, statuant contradictoirement, Confirme le jugement en toutes ses dispositions ; Rejette les demandes formées en application de l'article 700 du code de procédure civile ; Autorise Mme Bigot, avocate à la cour, à recouvrer directement contre Mme [H] les frais compris dans les dépens dont elle aurait fait l'avance sans en avoir reçu provision ; Condamne Mme [H] aux dépens d'appel. - prononcé publiquement par mise à disposition de l'arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du code de procédure civile. - signé par Monsieur Ronan GUERLOT, Président, et par Madame Françoise DUCAMIN, Greffière, auquel la minute de la décision a été remise par le magistrat signataire. LA GREFFIÈRE LE PRÉSIDENT,

EXPOSE DU LITIGE Mme [D] [H] a ouvert dans les livres de la société coopérative Caisse d'Epargne Ile-de-France (la Caisse d'Epargne), un compte à vue. Le 7 juin 2022, elle a fait opposition à sa carte bancaire, et une nouvelle carte lui a été délivrée. Le 1er juillet 2022, elle a réalisé 10 opérations sur son application Banxo. Le lendemain, elle a fait opposition à sa carte bancaire et à plusieurs virements dont un virement de 7 666,66 euros vers « [M] », un virement de 4 350,50 euros vers « [E] » et un virement de 7 840 euros vers « [G] ». Elle a obtenu qu'une somme de 7 400 euros lui soit recréditée. Puis elle a déposé plainte, sans suite favorable. Le 15 juillet 2022, elle a sollicité en vain le remboursement des sommes ainsi payées. Le 31 octobre 2023, Mme [H] a assigné la Caisse d'Epargne devant le tribunal de commerce de Versailles en remboursement de ces sommes. Le 28 juin 2024, par jugement contradictoire, ce tribunal a : - débouté Mme [H] de l'ensemble de ses demandes ; - condamné Mme [H] à payer à la Caisse d'Epargne la somme de 500 euros suivant les dispositions de l'article 700 du code de procédure civile ; - condamné Mme [H] aux dépens. Le 27 août 2024, Mme [H] a interjeté appel de ce jugement en tous ses chefs de disposition. Par dernières conclusions du 15 janvier 2026, elle demande à la cour de : - infirmer le jugement rendu par le tribunal de commerce de Versailles du 28 juin 2024 en son entier, Statuant à nouveau, - condamner la Caisse d'Epargne à lui rembourser la somme de 12 457,16 euros ; - dire que cette somme portera intérêts au taux légal majoré de 5 points à compter de la demande, puis 10 points au-delà de sept jours de retard, puis de 15 points au-delà de trente jours de retard et que ces intérêts se capitaliseront pour porter eux-mêmes intérêts dès lors qu'ils seront dus pour une année entière ; - condamner la Caisse d'Epargne à lui verser la somme de 2 000 euros en réparation de son préjudice moral ; - la condamner à lui payer la somme de 5 000 euros par application des dispositions de l'article 700 du code de procédure civile, ainsi qu'aux entiers dépens dont distraction au profit de Mme Waligora dans les termes de l'article 699 du même code. Par dernières conclusions du 13 janvier 2026, la Caisse d'Epargne demande à la cour de : - confirmer le jugement entrepris en toutes ses dispositions ; A titre principal, - constater que les opérations de paiement litigieuses qui ont fait l'objet d'une authentification forte constituent des opérations de paiement autorisées ; - dire et juger qu'elle n'a commis aucun manquement à ses obligations de prudence et de vigilance ; - débouter en conséquence Mme [H] de l'intégralité de ses demandes, fins et conclusions ; A titre subsidiaire, - dire et juger que les manquements commis par Mme [H] à ses obligations l'ont été par négligence grave de sa part ; - dire et juger que ces manquements sont à l'origine exclusive des opérations de paiement litigieuses ; - dire et juger que les opérations de paiement litigieuses ont été correctement exécutées ; - débouter en conséquence Mme [H] de l'intégralité de ses demandes, fins et conclusions ; Encore plus subsidiairement, - dire et juger que la réalité des préjudices comme le lien de causalité ne sont pas établis ; - débouter en conséquence Mme [H] de l'ensemble de ses demandes, fins et conclusions ; En toute hypothèse, - condamner Mme [H] au paiement d'une somme de 2 500 euros par application de l'article 700 du code de procédure civile ; - condamner la même aux dépens qui seront recouvrés par Me Bigot, avocat au barreau de Versailles. La clôture de l'instruction a été prononcée le 22 janvier 2026. Pour plus ample exposé des moyens et prétentions des parties, il est renvoyé aux conclusions susvisées.

MOTIFS Sur le caractère autorisé des paiements Mme [H] soutient que son consentement a été extorqué par une fraude élaborée supposant l'immixtion dans ses comptes et l'usurpation des numéros de sa banque. Rappelant les prescriptions de l'article 1109 du code civil, elle en déduit n'avoir pas consenti aux opérations critiquées et sollicite l'application de l'article L. 133-18 du code monétaire et financier. Elle conteste avoir été gravement négligente, au vu des informations détenues par son interlocuteur et du stress induit par la révélation d'une tentative de fraude qu'elle devait, dans l'urgence, juguler. La Caisse d'épargne conteste l'application des dispositions sollicitées, puisque les opérations ont été consenties selon la forme convenue d'une procédure d'authentification forte, qui s'entend hors de toute considération du rapport sous-jacent. Elle souligne que son dispositif est sécurisé à partir d'un seul appareil mobile déclaré par le client, sur lequel est adressé le mot de passe. S'appuyant sur les stipulations du contrat, elle conclut que Mme [H] a consenti aux opérations litigieuses. A défaut, elle plaide la négligence grave qui s'apprécie in abstracto, en faisant valoir la légèreté de son adversaire, au regard des circonstances douteuses énoncées. Elle rappelle qu'en effet, Mme [H] a validé des opérations non initiées alors que la banque l'avait avisée, par message, qu'elle n'avait pas à le faire. Réponse de la cour Selon l'article L. 133-3 du code monétaire et financier, applicable, aux termes de l'article L. 133-1 du même code, lorsque le paiement est réalisé en euros entre deux banques localisées dans l'Espace économique européen, une opération de paiement est une action consistant à verser, transférer ou retirer des fonds, indépendamment de toute obligation sous-jacente entre le payeur et le bénéficiaire, initiée par le payeur, ou pour son compte, ou par le bénéficiaire ; une telle opération peut être initiée par le payeur, qui donne un ordre de paiement à son prestataire de services de paiement. Selon les articles L. 133-6 et L. 133-7 de ce code, une opération de paiement est autorisée si le payeur a donné son consentement à son exécution sous la forme convenue avec le prestataire de services de paiement. Aux termes de l'article L. 133-18 de ce code, en cas d'opération de paiement non autorisée signalée par l'utilisateur dans les conditions prévues à l'article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l'opération non autorisée immédiatement après avoir pris connaissance de l'opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s'il a de bonnes raisons de soupçonner une fraude de l'utilisateur du service de paiement et s'il communique ces raisons par écrit à la Banque de France. (') L'article L. 133-4, f), dispose : f) Une authentification forte du client s'entend d'une authentification reposant sur l'utilisation de deux éléments ou plus appartenant aux catégories " connaissance " (quelque chose que seul l'utilisateur connaît), " possession " (quelque chose que seul l'utilisateur possède) et " inhérence " (quelque chose que l'utilisateur est) et indépendants en ce sens que la compromission de l'un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d'authentification. Selon l'article L. 133-44, I, le prestataire de services de paiement est tenu d'appliquer une telle authentification forte lorsque le payeur accède à son compte de paiement en ligne, initie une opération de paiement électronique ou exécute une opération par le biais d'un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse. La responsabilité des prestataires de services de paiement en raison d'une opération de paiement autorisée ne peut être engagée que sur le fondement de la responsabilité contractuelle, à l'exclusion du régime de responsabilité du code monétaire et financier issu de la transposition des directives 2007-64 et 2015/2366 (Com, 12 juin 2025, n°24-10.168, publié ; 12 juin 2025, n°24-13.697, publié). L'article 5-7 des conditions générales spécifiques du service Direct Ecureuil liant les parties stipule que « la signature via l'utilisation de l'identifiant, du mot de passe et éventuellement du code d'authentification vaut signature manuscrite ». En l'occurrence, Mme [H] admet, notamment dans sa plainte, avoir confirmé son identifiant, s'être connectée sur son application bancaire et avoir personnellement validé chacune des opérations litigieuses, proposées par un tiers qui l'avait prévenue d'une fraude sur ses comptes. Elle ne peut ainsi prétendre, dans le même temps, ne pas les avoir autorisées, alors qu'elle a donné son consentement dans les termes contractuels que corrobore le justificatif généré par l'application d'« une authentification par secur'pass » supposant, d'après les documents produits par la banque, la réception d'une notification suivie de l'usage d'un code personnel, c'est-à-dire une authentification forte. Dès lors, l'appelante n'est pas fondée à invoquer l'article L. 133-18 précité, dont le champ est circonscrit aux paiements non autorisés dans la forme convenue avec l'opérateur, sans considération du rapport sous-jacent en fondant la cause. Sur le manquement de la banque aux obligations prévues par droit commun Mme [H] estime que la banque a manqué à son obligation de prudence et de vigilance. Elle considère son système informatique perméable aux intrusions et que ses données personnelles n'ont pas été mises à l'abri. Elle lui reproche de ne pas s'être préoccupée du caractère inhabituel des opérations litigieuses. Elle sollicite sur ce fondement le remboursement des sommes détournées. Elle ajoute avoir subi un préjudice moral dû à l'anxiété consécutive à la position obtuse de son contradicteur. La Caisse d'épargne conteste la fragilité de son système de sécurité, en soulignant que la première tentative de fraude arrivée en juin 2022 a permis à l'escroc de s'introduire dans l'ordinateur de Mme [H]. Elle rappelle être mandataire de sa cliente et tenue d'un devoir de non-immixtion dans ses affaires limité par les anomalies manifestes qui s'interprètent strictement, si elles sont intellectuelles. Elle relève qu'ici les fonds ont abondé les comptes de banques de bonne renommée. Réponse de la cour L'article 1231-1 du code civil dispose que « le débiteur est condamné, s'il y a lieu, au paiement de dommages et intérêts soit à raison de l'inexécution de l'obligation, soit à raison du retard dans l'exécution, s'il ne justifie pas que l'exécution a été empêchée par la force majeure. » La responsabilité pour manquement au devoir de vigilance du prestataire de services de paiement, tenu à une obligation de non-ingérence dans les affaires de son client, peut être engagée si des opérations de paiement présentent une anomalie apparente, dont l'existence l'oblige à procéder à des vérifications particulières (voir par exemple Com, 21 sept 2022, n°21-12.335, publié ; Com, 2 mai 2024, n°22-17.233, publié), notamment à s'assurer qu'elle ne sont pas inhabituelles dans la pratique commerciale de son client (Com, 14 fév. 2024, n°22-11.654, publié) et à demander confirmation des ordres suspects à la personne habilitée à émettre des ordres de paiement (Com, 12 juin 2025, n°24-13.697, publié). Il n'est tenu de l'alerter que si ces anomalies apparentes sont aisément décelables par un professionnel normalement diligent (Com, 19 nov. 2025, n°24-17.056, publié). Les anomalies apparentes peuvent être d'ordre formel ou intellectuel (Com, 14 février 2024, n°22-11.654, publié ; Com, 19 novembre 2025, n°24-18.534, publié).