Cour d'appel, pôle 4 - chambre 9 - a, 7 mai 2026 — n° 25/08993

PAR CES MOTIFS LA COUR, Statuant publiquement par arrêt contradictoire et en dernier ressort, Confirme le jugement en toutes ses dispositions sauf en ce qu'il a condamné la Société Générale à payer à Mme [S] [B] la somme de 1 846,82 euros avec intérêts au taux légal à compter de l'assignation, la somme de 1 000 euros sur le fondement de l'article 700 du code de procédure civile et aux dépens ; Y ajoutant, Déboute Mme [S] [B] de l'ensemble de ses demandes ; Dit n'y avoir lieu à application des dispositions de l'article 700 du code de procédure civile ; Condamne Mme [S] [B] aux dépens de première instance et d'appel ; Rejette toute demande plus ample ou contraire. La greffière La présidente

FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES Mme [S] [B] est titulaire de deux comptes bancaires n° [XXXXXXXXXX01] et n° [XXXXXXXXXX02] dans les livres de la Société Générale auquel sont rattachées deux cartes bancaires n° [XXXXXXXXXX03] et n° [XXXXXXXXXX04]. Mme [B] se plaignant d'avoir été victime d'une escroquerie le 13 avril 2024, a fait opposition le même jour pour sept opérations dont elle ne serait pas à l'origine (trois paiements par carte bancaire et quatre retraits) et a déposé plainte le 14 avril 2024. La Société Générale a d'abord versé à Mme [B] la somme de 1 000 euros avant d'annuler le paiement au motif que les opérations avaient été autorisées par cette dernière. Mme [B] a fait assigner la banque par acte délivré le 16 juillet 2024 devant le juge des contentieux de la protection du tribunal judiciaire d'Evry, aux fins de la voir condamner à lui verser la somme principale de 3 846,82 euros en remboursement des sommes débitées frauduleusement de son compte bancaire, celle de 2 000 euros à titre de dommages et intérêts pour résistance abusive et celle de 2 500 euros au titre de l'article 700 du code de procédure civile. Suivant jugement contradictoire rendu le 10 avril 2025 auquel il convient de se reporter pour un exposé plus ample du litige, le juge a condamné la Société Générale à rembourser à Mme [B] la somme de 1 846,82 euros avec intérêts au taux légal à compter de l'assignation outre celle de 1 000 sur le fondement de l'article 700 du code de procédure civile et aux dépens. En application des articles L. 133-4, L. 133-15, L. 133-18 et L. 133-23 du code monétaire et financier, le premier juge a relevé que les opérations litigieuses avaient été réalisées sur le compte de Mme [B] au moyen de ses cartes bancaires authentiques ou en faisant usage de ses identifiants et mots de passe permettant l'accès à son espace en ligne sur le site de la banque, que dès lors toute déficience technique du système de sécurisation de l'espace en ligne devait être écartée, que Mme [B] avait concouru à la réalisation des opérations mais n'avait pas commis de négligence grave s'agissant des achats puisque sa vigilance avait été altérée par le biais d'une conversation téléphonique de plus de 30 minutes avec le fraudeur. Il en a conclu qu'elle pouvait prétendre à l'indemnisation des quatre paiements effectués frauduleusement. S'agissant des retraits d'espèces en revanche, il a estimé qu'elle avait fait preuve de négligence en remettant ses deux cartes bancaires à un coursier se présentant comme envoyé par la Société Générale alors qu'il s'agit d'un mode de relation inhabituel, que le code de chaque carte avait dû être utilisé et que sauf démonstration contraire Mme [B] avait dû donner ses codes au coursier. Il a ainsi refusé d'accueillir sa demande d'indemnisation pour les quatre opérations de retrait. Enfin il a rejeté la demande de dommages et intérêts pour résistance abusive au motif qu'il n'est pas démontré que les opérations frauduleuses aient eu lieu après l'opposition bancaire de Mme [B]. Par déclaration électronique du 15 mai 2025, la Société Générale a interjeté appel de cette décision. Aux termes de ses dernières écritures notifiées électroniquement le 14 janvier 2026, la Société Générale demande à la cour : - d'infirmer le jugement en ce qu'il l'a condamnée à payer à Mme [B] la somme de 1 846,82 euros avec intérêts au taux légal à compter de l'assignation, en ce qu'il a rejeté toutes ses demandes plus amples ou contraires, en ce qu'il l'a condamnée aux dépens de l'instance et à payer à Mme [B] la somme de 1 000 euros sur le fondement de l'article 700 du code de procédure civile, statuant à nouveau, - de débouter Mme [B] de toutes ses demandes,

MOTIFS DE LA DÉCISION Sur le bien-fondé de la demande de remboursement Il résulte des articles L. 133-3, L. 133-6 et L. 133-7 du code monétaire et financier que la détermination du caractère autorisé d'une opération ne dépend pas de l'obligation sous-jacente qui est sans conséquence sur la validité de l'ordre, mais du consentement du payeur lequel est donné « sous la forme convenue entre le payeur et son prestataire ». Une des formes convenues envisagée par la loi est l'usage d'un dispositif de paiement avec données de sécurité personnalisées défini à l'article L. 133-4 du code monétaire et financier qui permettent d'authentifier son auteur. En vertu de l'article L. 133-44 du même code, le prestataire de services de paiement applique l'authentification forte du client définie au f de l'article L. 133-4 lorsque le payeur : 1° accède à son compte de paiement en ligne ; 2° initie une opération de paiement électronique ; 3° exécute une opération par le biais d'un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse. Les articles L. 133-16 et L. 133-17 du même code imposent à la banque qui délivre un instrument de paiement : - de s'assurer que les données de sécurité personnalisées telles que définies à l'article L. 133-4 ne sont pas accessibles à d'autres personnes que l'utilisateur autorisé à utiliser cet instrument, - de mettre en place, à titre gratuit, les moyens appropriés permettant à l'utilisateur de procéder à tout moment à l'information prévue à l'article'L. 133-17 - et d'empêcher toute utilisation de l'instrument de paiement après avoir été informé, conformément aux dispositions de l'article L. 133-17, de sa perte, de son vol, de son détournement ou de toute utilisation non autorisée de l'instrument de paiement ou des données qui lui sont liées. De son côté l'utilisateur doit : - aux termes de l'article L. 133-16 du même code, prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées et utiliser l'instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées, - aux termes de l'article L. 133-17 du même code, dès qu'il en a connaissance prévenir sa banque de toute perte, vol, détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées aux fins de blocage. Il résulte des dispositions de l'article L. 133-23 du code monétaire et financier : - que lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre, - que la seule utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière et que le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d'initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur de services de paiement. Il résulte par ailleurs des articles L. 311-18 et L. 311-19 du code monétaire et financier que ce n'est que dans le cas où une opération n'est pas autorisée par le client et qu'il l'a signalée dans les conditions prévues à l'article'L. 133-24 que le prestataire de services de paiement du payeur rembourse au payeur le montant de l'opération non autorisée immédiatement après avoir pris connaissance de l'opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s'il a de bonnes raisons de soupçonner une fraude de l'utilisateur du service de paiement et s'il communique ces raisons par écrit à la Banque de France. Lorsque l'opération de paiement non autorisée est consécutive à la perte ou au vol de l'instrument de paiement, le payeur ne supporte, avant l'information prévue à l'article L. 133-17, que les pertes liées à l'utilisation de cet instrument, dans la limite d'un plafond de 50 euros sauf si l'opération non autorisée a été effectuée sans utilisation des données de sécurité personnalisées ou que la perte ou le vol d'un instrument de paiement ne pouvait être détecté par le payeur avant le paiement, ou que la perte est due à des actes ou à une carence d'un salarié, d'un agent ou d'une succursale d'un prestataire de services de paiement ou d'une entité vers laquelle ses activités ont été externalisées. La responsabilité du payeur n'est pas non plus engagée si l'opération de paiement non autorisée a été effectuée en détournant, à l'insu du payeur, l'instrument de paiement ou les données qui lui sont liées, ni en cas de contrefaçon de l'instrument de paiement si, au moment de l'opération de paiement non autorisée, le payeur était en possession de son instrument. Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l'information aux fins de blocage de l'instrument de paiement prévue à l'article L. 133-17. En revanche, le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. Enfin, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l'opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n'exige une authentification forte du payeur prévue à l'article L. 133-44. Il résulte donc de l'enchevêtrement de ces textes que pour éviter toute fraude, la banque se doit de mettre en 'uvre des procédés techniques de protection des opérations au moyen d'éléments personnels d'identification de l'utilisateur, que plus l'opération nécessite l'utilisation de données d'authentification, plus elle est considérée comme ayant été autorisée par l'utilisateur, lequel peut néanmoins toujours nier l'avoir autorisée, que dans ce cas la banque doit : 1/ prouver que ce sont bien les données d'authentification de l'utilisateur qui ont été utilisées et qu'il n'y a pas eu de défaillance technique, et 2/ même dans le cas où l'authentification est renforcée et où ces données ont été utilisées, fournir des éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur de services de paiement. L'utilisateur qui nie avoir autorisé une opération réalisée avec ses données d'authentification forte se doit de prévenir sa banque dès qu'il en a connaissance. D'autre part l'utilisateur qui se doit de préserver ses données d'authentification forte doit être vigilant à réception de messages ou d'informations lui demandant la communication des données censées protéger les ordres de paiement mais il ne commet pas nécessairement de négligence fautive s'il se les fait dérober. Il a ainsi pu être jugé que ne commettait pas de faute l'utilisateur qui, répondant à un numéro d'appel apparaissant sur son téléphone portable comme étant celui de sa banque, procédait à la validation d'opération mais que commettait une négligence grave celui qui répondait à des messages dont la nature frauduleuse aurait dû lui apparaître ou cliquait sur des liens douteux. 1) S'agissant des paiements