Cour d'appel, ch. civile et commerciale, 9 avril 2026 — n° 25/01237

PAR CES MOTIFS La cour statuant par arrêt contradictoire mis à disposition au greffe ; Infirme le jugement du tribunal judiciaire de Rouen du 27 janvier 2025 ; Statuant à nouveau et y ajoutant : Condamne la SA Crédit Lyonnais à payer à Mme [K] [C] la somme de 34 300 euros avec intérêts au taux légal à compter du 28 février 2022 et dit n'y avoir lieu à prononcé d'une astreinte pour assurer l'exécution de la présente décision ; Déboute Mme [K] [C] de sa demande de dommages et intérêts pour préjudice moral formée contre la SA Crédit Lyonnais ; Condamne la SA Crédit Lyonnais aux dépens de première instance et d'appel étant constaté que Mme [K] [C] bénéficie de l'aide juridictionnelle ; Condamne la SA Crédit Lyonnais à payer à Mme [K] [C] la somme de 2 500 euros au titre de l'article 700 du code de procédure civile. Le cadre greffier, Le conseiller, suppléant de la présidente empêchée,

* * * EXPOSE DES FAITS ET DE LA PROCEDURE Mme [K] [C] est titulaire d'un compte professionnel ouvert dans les livres de la SA Crédit Lyonnais. Mme [K] [C] indique avoir été victime, le 27 février 2022, d'opérations bancaires frauduleuses. Plusieurs virements ont été réalisés de ses livrets et compte personnels vers son compte professionnel, puis quatre virements ont été initiés de son compte professionnel au bénéfice de comptes externes aux noms de [O], [A], [I] et [L], respectivement de 2 300 euros, 10 000 euros, 12 000 euros et 10 000 euros. Mme [K] [C] a signalé ces fraudes à la société Crédit Lyonnais le 28 février 2022 et elle a déposé une plainte le 1er mars 2022. Par courrier du 4 avril 2022, Mme [K] [C] a sollicité le remboursement des sommes par la société Crédit Lyonnais. Par courriers des 13 et 28 juin 2022, la société Crédit Lyonnais lui a notifié son refus de lui rembourser les sommes litigieuses. Par des courriers des 27 et 30 juin 2022, Mme [K] [C] a mis en demeure la société Crédit Lyonnais de procéder au remboursement des opérations de paiement réalisées, en vain. Par acte d'huissier du 4 novembre 2022, Mme [K] [C] a fait assigner la société le Crédit Lyonnais devant le tribunal judiciaire de Rouen qui, par jugement du 27 janvier 2025, a : - rejeté l'ensemble des demandes de Mme [K] [C] ; - condamné Mme [K] [C] aux entiers dépens ; - rejeté les demandes respectives des parties au titre de l'article 700 code de procédure civile ; - rejeté toute autre demande non présentement satisfaite ; - rappelé le caractère exécutoire de droit de la décision rendue. Mme [D] [K] [C] a interjeté appel de ce jugement par déclaration du 31 mars 2025. EXPOSE DES PRETENTIONS Aux termes de ses dernières conclusions du 3 juin 2025, Mme [D] [K] [C] demande à la cour de : - infirmer le jugement rendu le 27 janvier 2025 par le tribunal judiciaire de Rouen en ce qu'il a : * rejeté l'ensemble des demandes de Mme [K] [C] ; * condamné Mme [K] [C] aux entiers dépens ; * rejeté les demandes respectives des parties au titre de l'article 700 code de procédure civile ; * rejeté toute autre demande non présentement satisfaite. En conséquence, statuant à nouveau : - recevoir l'intégralité des moyens et prétentions de Mme [D] [K] [C] ; - constater le manquement du Crédit Lyonnais dans le cadre de son obligation de vigilance à l'égard de Mme [K] [C] en application de l'article L.561-6 du code monétaire et financier ; - constater le manquement du Crédit Lyonnais à son obligation de remboursement à l'égard de Mme [K] [C] en application de l'article L.133-18 du code monétaire et financier ; - en conséquence, condamner le Crédit Lyonnais à rembourser à Mme [K] [C], la somme de 34 300 euros en capital sous astreinte de 500 euros par jour ; - juger que cette somme produit des intérêts au taux légal majoré de quinze points compte tenu du retard de plus de trente jours dans le remboursement ; - condamner le Crédit Lyonnais à verser à Mme [K] [C] la somme de 5 000 euros en réparation de son préjudice moral ; - condamner le Crédit Lyonnais à verser à Mme [K] [C] la somme de 2 500 euros au titre de l'article 700 du code de procédure civile ; - condamner le Crédit Lyonnais aux entiers dépens. Aux termes de ses dernières conclusions du 29 août 2025, la société Crédit Lyonnais demande à la cour de : - confirmer en toutes ses dispositions le jugement rendu le 27 janvier 2025 par le tribunal judiciaire de Rouen ; - débouter Mme [K] [C] de l'ensemble de ses demandes, fins et conclusions ; - condamner Mme [K] [C] au paiement d'une somme de 6 000 euros au titre de l'article 700 du code de procédure civile ; - condamner Mme [K] [C] à supporter l'intégralité des dépens. L'ordonnance de clôture a été rendue le 3 février 2026. Pour un exposé détaillé des demandes et moyens des parties, la cour renvoie à leurs conclusions conformément aux dispositions de l'article 455 du code de procédure civile.

MOTIFS DE LA DECISION Exposé des moyens : Mme [K] [C] soutient que : - elle n'est pas à l'origine des virements effectués de ses livrets et compte personnels vers son compte professionnel pas plus qu'elle ne l'est pour les quatre virements au profits de comptes externes dont elle ne connaît pas les titulaires ; - elle n'a autorisé ni authentifié aucune de ces opérations ; - elle se fonde sur l'article L.133-18 du code monétaire et financier régissant les opérations non autorisées et sur l'article L.561-6 du même code soumettant la banque à une obligation de vigilance ; - elle conteste avoir jamais reçu un quelconque SMS qui lui aurait été adressé par sa banque lui demandant notamment de valider la modification de son téléphone portable ; - elle a tenté d'obtenir des justificatifs de son opérateur téléphonique qui exige une réquisition judiciaire pour déférer à la demande ; - la banque ne démontre pas que ce SMS a été reçu par Mme [K] [C] et que celle-ci a renseigné le code d'activation qui figurait dans ce message ; - l'enregistrement d'un nouvel appareil de confiance et les ordres de virement ont été effectués par le fraudeur ; - le premier juge s'est fondé sur des documents internes à la SA Crédit Lyonnais pour faire droit à ses demandes ; la banque n'a pas transmis le relevé des SMS émis et elle doit avoir nécessairement connaissance de l'appareil avec lequel les démarches de modification ont été effectuées ; - la SA Crédit Lyonnais a été victime d'un piratage massif de sorte que les identifiants et mots de passe de certains de ses clients ont été subtilisés ; le préjudice subi par les clients s'est élevé à 360 000 euros ; - les articles L.561-5 et suivants du code monétaire et financier sur le blanchiment imposent une obligation de vigilance aux banques ; les opérations frauduleuses présentaient des anomalies matérielles et intellectuelles qui auraient dû alerter la banque ; - aucun courrier électronique ne lui a été adressé lors du changement de l'appareil de confiance ; l'augmentation du plafond de 3 000 euros à 45 000 euros, l'ajout de nouveaux destinataires à l'étranger, des virements très importants portant sur la quasi-totalité des avoirs de Mme [K] [C], virements vers des comptes situés à l'étranger effectués en un trait de temps n'ont pas entraîné de réaction de la banque alors que Mme [K] [C] n'avait jamais effectué de telles opérations antérieurement ; - la banque, dans un document interne, a elle-même qualifié certaines opérations effectuées de « sensibles » ; ces opérations étaient anormales ; - Mme [K] [C] est coiffeuse ; la fraude l'a placée dans une situation financière délicate puisqu'elle a été privée de la quasi intégralité de sa trésorerie ; elle n'a pu se verser de salaire et son épargne a été impactée ; le retard de paiement de la banque devra entraîner l'application de la sanction prévue par l'article L.133-18 du code monétaire et financier ; - elle a subi un préjudice moral. La SA Crédit Lyonnais fait valoir que : - Mme [K] [C] dispose d'un abonnement au service bancaire en ligne de la SA Crédit Lyonnais dénommé « LCL Access » ; elle peut consulter ses comptes avec son ordinateur ou avec son téléphone sur lequel est installé l'application de la banque intitulée « Mes Comptes - LCL » ; - des relevés télématiques de la SA Crédit Lyonnais il apparaît que le 20 février 2022, Mme [K] [C] s'est connectée sur son espace en ligne avec son téléphone, qu'elle a demandé l'enrôlement d'un appareil de confiance, qu'un SMS avec un code unique lui a été envoyé au n° [XXXXXXXX01] qui est bien son numéro de téléphone, que quelques instants plus tard, le code unique a été utilisé pour enrôler un nouvel appareil Iphone, enrôlement confirmé par l'envoi d'un SMS par la banque, que sept jours plus tard, le plafond de virement a été porté jusqu'à 45 000 euros et l'Allemagne a été ajouté comme pays bénéficiaire de virements au moyen d'une authentification forte, que des virements ont été opérés de comptes au nom de Mme [K] [C] vers son compte professionnel puis des virements d'un total de 34 300 euros vers des comptes externes ont été ordonnés avec des IBAN authentifiés fortement vers l'Allemagne et l'Italie ; - lorsqu'elle a porté plainte le 29 février 2022, Mme [K] [C] a sciemment omis d'indiquer qu'elle avait reçu deux SMS dont l'un permettait d'enrôler un nouvel appareil de confiance ; - dès lors que l'opération a été ordonnée selon la forme contractuellement convenue, elle est autorisée ; les opérations ordonnées au moyen d'une authentification forte constituée par un identifiant, un mot de passe et un téléphone enregistré sont des opérations nécessairement autorisées par Mme [K] [C] et n'ont pu l'être que par elle ; - Mme [K] [C] ne produit aucune pièce confirmant qu'elle a bien demandé à son opérateur un relevé des SMS reçus par elle ; elle ne conteste pas avoir toujours été en possession de son téléphone et ne démontre pas qu'il a été piraté ou qu'il a existé une quelconque défaillance technique des opérations ; Mme [K] [C] a accepté la valeur probante des éléments informatiques produits par la banque selon les conditions générales du compte professionnel de cette dernière versées aux débats ; - si les opérations devaient être considérées comme non autorisées, Mme [K] [C] a commis des négligences graves en ayant nécessairement communiqué au fraudeur ses données personnelles ; par ailleurs, elle a dissimulé avoir reçu deux SMS - la SA Crédit Lyonnais avait informé ses clients du risque de fraude informatique sur son site internet durant les mois précédents et avait bien précisé qu'aucun conseiller ne leur demanderait jamais leurs identifiants et mots de passe ; - en cas d'opération non autorisée, seul le régime spécial des articles L.133-18 et suivants du code monétaire et financier est applicable à l'exclusion des règles de droit commun ; en cas d'opération autorisée, la banque n'est responsable qu'en cas de manquement à son obligation de vigilance ; toutes les opérations ont été autorisées par Mme [K] [C] et la banque n'est pas responsable des opérations sous-jacentes ayant déterminé les virements ; le solde du compte de Mme [K] [C] permettait tous les virements et ni les habitudes antérieures, ni la destination des virements vers des comptes situés à l'étranger ni leur montant ne constituent des anomalies apparentes ; s'il est exact que la banque considère les virements comme des « opérations sensibles », elles ont été soumises à un système d'authentification forte ; - les règles applicables au blanchiment ne peuvent fonder une action en responsabilité civile diligentée contre la banque par ses clients. Réponse de la cour : Sur l'application des articles L.561-1 et suivants du code monétaire et financier : Ces articles sont relatifs à la lutte contre le blanchiment des capitaux, le financement des activités terroristes, les loteries, jeux et paris prohibés et l'évasion et la fraude fiscales. La victime d'agissements frauduleux ne peut se prévaloir de l'éventuelle inobservation des obligations de vigilance et de déclaration prévues par ces articles pour réclamer des dommages et intérêts à l'organisme financier. (Cour de cassation, Com. 21 septembre 2022, 21-12.335). Le moyen contraire soutenu par Mme [K] [C] est inopérant. Sur l'application de l'article L.133-18 du code monétaire et financier : L'article L.133-18 du code monétaire et financier dans sa version en vigueur du 13 janvier 2018 au 18 août 2022 disposait que : « En cas d'opération de paiement non autorisée signalée par l'utilisateur dans les conditions prévues à l'article L.