Cour d'appel, pôle 4 - chambre 9 - a, 7 mai 2026 — n° 25/08321

PAR CES MOTIFS LA COUR, Statuant par arrêt contradictoire, Infirme le jugement sauf en ce qu'il a reçu M. [D] [E] en son action et rejeté la demande indemnitaire formée par lui ; Statuant à nouveau et y ajoutant, Déboute M. [D] [E] de toutes ses demandes ; Condamne aux dépens M. [D] [E] aux dépens de première instance et d'appel avec pour ces derniers distraction au profit de Maître Bertrand Chambreuil, avocat au barreau de Paris dans les conditions de l'article 699 du code de procédure civile ; Dit n'y avoir lieu à application des dispositions de l'article 700 du code de procédure civile ; Rejette toute demande plus ample ou contraire. La greffière La présidente

FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES M. [D] [E] est titulaire d'un compte bancaire dans les livres de la Caisse d'épargne et de prévoyance d'Île-de-France ci-après Caisse d'épargne, auquel est associée une carte Izicarte Premier débit immédiat. M. [E] a nié être à l'origine d'un paiement par carte bancaire auprès d'un magasin Darty de [Localité 3] intervenu le 23 avril 2022 pour un montant de 5 036 euros. Il a déposé plainte le même jour en expliquant avoir reçu ce jour-là un SMS d'[A] l'informant qu'il devait régler 0,75 centimes pour recevoir sa carte vitale, avoir cliqué sur le lien qu'il contenait et avoir renseigné les informations concernant sa carte bancaire puis avoir validé le paiement. Il précisait également avoir reçu un appel d'une personne se présentant comme un employé du service « Securipass » de la Caisse d'épargne l'informant de ce qu'il avait fait l'objet d'une fraude, lui demandant de se connecter à son compte, ce qu'il avait fait, lui précisant qu'il s'occupait de faire opposition et lui demandant de détruire sa carte. Il précisait aussi avoir reçu un autre appel lui confirmant le renouvellement de sa carte avant de constater une impossibilité de se connecter à son compte. Il a fait opposition le 23 avril 2022 après avoir vérifié auprès du service d'opposition que les appels reçus n'émanaient en réalité pas de ce service puis affirmant que le paiement avait été fait à son insu, a demandé à sa banque le 26 avril suivant de lui rembourser la somme de 5 036 euros, ce que celle-ci a refusé le 5 mai suivant. M. [E] a fait assigner la banque par acte délivré le 7 décembre 2023 devant le juge des contentieux de la protection du tribunal judiciaire de Paris, sur le fondement des articles L. 133-19, L. 133-20, L. 133-23, L. 561-6 du code monétaire et financier aux fins de la voir condamner à lui verser la somme principale de 5 036 euros et celle de 500 euros à titre de dommages et intérêts pour résistance abusive outre 1 500 euros sur le fondement de l'article 700 du code de procédure civile. Suivant jugement contradictoire rendu le 15 avril 2025 auquel il convient de se reporter, le juge a déclaré l'action recevable, condamné la Caisse d'épargne à payer à M. [E] la somme de 5 036 euros majorée des intérêts au taux légal augmentée de quinze points à compter du 8 février 2023 outre celle de 1 000 sur le fondement de l'article 700 du code de procédure civile et au dépens, rejetant le surplus des demandes. Sur la forclusion soulevée par la banque sur le fondement de l'article L. 133-24 du code monétaire et financier, le juge a relevé que M. [E] avait transmis un bordereau de contestation de l'opération litigieuse le 29 avril 2022 de sorte que le délai de 13 mois avait été respecté. Il a relevé que le fichier « smart-autorisations » produit ne permettait pas de caractériser l'existence d'une déficience technique des opérations de contrôle du paiement litigieux, que la banque avait bloqué deux autres paiements de 2 518 euros le même jour au bénéfice de l'enseigne Boulanger et qu'elle échouait à démontrer une négligence grave de M. [E] dans la mesure où elle avait reconnu par ce blocage que son client avait été victime d'une fraude et de tentatives de paiements à son insu. Il a fait droit à la demande de remboursement des sommes détournées mais a considéré que M. [E] échouait à démontrer un préjudice supplémentaire. Par déclaration électronique du 30 avril 2025, la Caisse d'épargne a interjeté appel de cette décision. Aux termes de ses dernières écritures notifiées électroniquement le 16 janvier 2026, elle demande à la cour : - d'infirmer le jugement sauf quant à la recevabilité de l'action, statuant à nouveau, à titre principal, - de dire et juger que l'opération de paiement litigieuse qui a fait l'objet d'une authentification forte constitue une opération de paiement autorisée, - de constater que M. [E] échoue à démontrer l'utilisation frauduleuse de son dispositif de paiement,

MOTIFS DE LA DÉCISION La recevabilité de l'action de M. [E] n'est plus remise en question à hauteur d'appel de sorte que le jugement ayant admis cette recevabilité doit être confirmé sur ce point. Sur la demande en remboursement Il résulte des article L. 133-3, L. 133-6 et L. 133-7 du code monétaire et financier que la détermination du caractère autorisé d'une opération ne dépend pas de l'obligation sous-jacente qui est sans conséquence sur la validité de l'ordre, mais du consentement du payeur lequel est donné « sous la forme convenue entre le payeur et son prestataire ». Une des formes convenues envisagée par la loi est l'usage d'un dispositif de paiement avec données de sécurité personnalisées défini à l'article L. 133-4 du code monétaire et financier qui permettent d'authentifier son auteur. En vertu de l'article L.133-44 du même code, le prestataire de services de paiement applique l'authentification forte du client définie au f de l'article L. 133-4 lorsque le payeur : 1° accède à son compte de paiement en ligne ; 2° initie une opération de paiement électronique ; 3° exécute une opération par le biais d'un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse. Les articles L. 133-16 et L. 133-17 du même code imposent à la banque qui délivre un instrument de paiement : - de s'assurer que les données de sécurité personnalisées telles que définies à l'article L. 133-4 ne sont pas accessibles à d'autres personnes que l'utilisateur autorisé à utiliser cet instrument, - de mettre en place, à titre gratuit, les moyens appropriés permettant à l'utilisateur de procéder à tout moment à l'information prévue à l'article'L. 133-17, - et d'empêcher toute utilisation de l'instrument de paiement après avoir été informé, conformément aux dispositions de l'article L. 133-17, de sa perte, de son vol, de son détournement ou de toute utilisation non autorisée de l'instrument de paiement ou des données qui lui sont liées. De son côté l'utilisateur doit : - aux termes de l'article L. 133-16 du même code, prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées et utiliser l'instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées, - aux termes de l'article L. 133-17 du même code, dès qu'il en a connaissance prévenir sa banque de toute perte, vol, détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées aux fins de blocage. Il résulte des dispositions l'article L. 133-23 du code monétaire et financier : - que lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre, - que la seule utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière et que le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d'initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur de services de paiement. Il résulte par ailleurs des articles L. 311-18 et L. 311-19 du code monétaire et financier que ce n'est que dans le cas où une opération n'est pas autorisée par le client et qu'il l'a signalée dans les conditions prévues à l'article'L. 133-24 que le prestataire de services de paiement du payeur rembourse au payeur le montant de l'opération non autorisée immédiatement après avoir pris connaissance de l'opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s'il a de bonnes raisons de soupçonner une fraude de l'utilisateur du service de paiement et s'il communique ces raisons par écrit à la Banque de France. Lorsque l'opération de paiement non autorisée est consécutive à la perte ou au vol de l'instrument de paiement, le payeur ne supporte, avant l'information prévue à l'article L. 133-17, que les pertes liées à l'utilisation de cet instrument, dans la limite d'un plafond de 50 euros sauf si l'opération non autorisée a été effectuée sans utilisation des données de sécurité personnalisées ou que la perte ou le vol d'un instrument de paiement ne pouvait être détecté par le payeur avant le paiement, ou que la perte est due à des actes ou à une carence d'un salarié, d'un agent ou d'une succursale d'un prestataire de services de paiement ou d'une entité vers laquelle ses activités ont été externalisées. La responsabilité du payeur n'est pas non plus engagée si l'opération de paiement non autorisée a été effectuée en détournant, à l'insu du payeur, l'instrument de paiement ou les données qui lui sont liées, ni en cas de contrefaçon de l'instrument de paiement si, au moment de l'opération de paiement non autorisée, le payeur était en possession de son instrument. Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l'information aux fins de blocage de l'instrument de paiement prévue à l'article L. 133-17. En revanche, le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. Enfin, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l'opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n'exige une authentification forte du payeur prévue à l'article L. 133-44. Il résulte donc de l'enchevêtrement de ces textes que pour éviter toute fraude, la banque se doit de mettre en 'uvre des procédés techniques de protection des opérations au moyen d'éléments personnels d'identification de l'utilisateur, que plus l'opération nécessite l'utilisation de données d'authentification, plus elle est considérée comme ayant été autorisée par l'utilisateur, lequel peut néanmoins toujours nier l'avoir autorisée, que dans ce cas la banque doit : 1/ prouver que ce sont bien les données d'authentification de l'utilisateur qui ont été utilisées et qu'il n'y a pas eu de défaillance technique, et 2/ même dans le cas où l'authentification est renforcée et où ces données ont été utilisées, fournir des éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur de services de paiement. L'utilisateur qui nie avoir autorisé une opération réalisée avec ses données d'authentification forte se doit de prévenir sa banque dès qu'il en a connaissance. D'autre part l'utilisateur qui se doit de préserver ses données d'authentification forte doit être vigilant à réception de messages ou d'informations lui demandant la communication des données censées protéger les ordres de paiement mais il ne commet pas nécessairement de négligence fautive s'il se les fait dérober.