Cour d'appel, 2 e chambre civile, 21 mai 2026 — n° 23/00679

Par ces motifs, La cour, statuant après débats en audience publique et en avoir délibéré conformément à la loi: Infirme, dans les limites de l'appel, le jugement rendu entre les parties le 7 avril 2023 par le tribunal judiciaire de Chalon-sur-Saône sauf en ce qu'il a débouté Mme [T] [Q] de sa demande indemnitaire ; Statuant sur les chefs infirmés et y ajoutant : Rejette la demande en paiement de la somme de 6 000 euros assortie des intérêts au taux légal majoré de quinze points à compter du 23 février 2021 formée par Mme [T] [Q] à l'encontre de la SA Banque Postale ; Condamne Mme [T] [Q] aux dépens de première instance et d'appel; Et, vu l'article 700 du code de procédure civile, la déboute de ses demandes et la condamne à payer à la SA Banque Postale la somme de 1 000 euros, avec rejet du surplus de la demande. Le greffier, Le président,

PRONONCÉ : publiquement par mise à disposition de l'arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du code de procédure civile, SIGNÉ : par Marie-Pascale BLANCHARD, Présidente de chambre, et par Maud DETANG, greffier auquel la minute de la décision a été remise par le magistrat signataire. Faits, procédure et prétentions des parties Mme [T] [Q], titulaire d'un compte courant et d'un livret A ouvert auprès de la SA La Banque Postale, a été destinataire le 24 septembre 2020 d'un courriel émanant d'un tiers contrefaisant l'identification de sa banque l'invitant à activer un service de renforcement de sécurité "Certicode Plus". Quelques minutes plus tard, elle a été destinataire d'un SMS par lequel sa banque lui demandait de confirmer l'ajout d'une personne présentée comme étant sa fille en qualité de bénéficiaire de virements en renseignant un code de sécurité à usage unique. Les 28 et 29 septembre suivant, deux virements d'un montant total de 6 000 euros ont été effectués à partir de son livret A vers son compte courant puis vers un compte tiers FR76 1679 8000 0100 0027 5560 243 domicilié à la banque Treezor. Après mise en demeure infructeuse adressée à sa banque, Mme [Q] a, par acte d'huissier de justice signifié à personne morale le 2 juillet 2021, assigné celle-ci devant le tribunal judiciaire de Chalon-sur-Saône en sollicitant, au visa des articles L. 133-4, L. 133-15, L. 133-18 et L. 133-23 du code monétaire et financier, sa condamnation à lui rembourser le montant des virements frauduleux, outre la somme de 1 000 euros en indemnisation de son préjudice et les frais et dépens. Le tribunal judiciaire a, par jugement rendu le 7 avril 2023 : - condamné la banque à verser à Mme [Q] la somme de 6 000 euros assortie des intérêts au taux légal majoré de quinze points à compter du 23 février 2021; - débouté Mme [Q] du surplus de ses demandes ; - débouté la banque de l'intégralité de ses demandes ; - condamné cette dernière à payer à Mme [Q] la somme de 1 000 euros au titre de l'article 700 du code de procédure civile outre les dépens. Par déclaration du 2 juin 2023, la société La Banque Postale a interjeté appel de ce jugement en sollicitant son infirmation sauf en ce qu'il a débouté Mme [Q] du surplus de ses demandes. Selon ses dernières conclusions transmises le 19 février 2024, elle conclut au rejet de l'appel incident formé par l'intimée, à l'infirmation des autres chefs et demande à la cour statuant à nouveau : A titre principal, - de débouter Mme [Q] de l'ensemble de ses demandes dirigées à son encontre; A titre Subsidiaire, - de réformer le jugement en ce qu'il a assorti la condamnation au remboursement de la somme de 6 000 euros des intérêts légaux majorés de quinze points à compter du 23 février 2021, en vertu des dispositions de l'article L. 133-18 du code monétaire et financier dans sa version en vigueur au 18 août 2022, non applicable aux faits ; - d'écarter toute application de pénalités de retard ; - de confirmer le jugement en ce qu'il a débouté Mme [Q] de sa demande de dommages et intérêts ; En toute situation et reconventionnellement, - de condamner cette dernière à lui payer la somme de 3 000 euros au titre de l'article 700 du code de procédure civile ; - de la condamner aux dépens de première instance et d'appel. Mme [Q] a interjeté appel incident par conclusions transmises le 26 novembre 2023 en sollicitant la 'réformation' du jugement critiqué et sa confirmation en ce qu'il a condamné la banque à lui verser la somme de 6 000 euros assortie des intérêts au taux légal majoré de quinze points à compter du 23 février 2021, ainsi que la somme de 1 000 euros au titre de l'article 700 du code de procédure civile outre les dépens.

Motifs de la décision - Sur la demande formée par Mme [Q] tendant au remboursement du montant des virements litigieux, Mme [Q] expose que la banque a commis des fautes, en faisant valoir : - qu'alors qu'il résulte de l'article L. 133-23 du code monétaire et financier qu'il appartient à la banque de prouver l'absence de faille de sécurité dès lors que la cliente nie avoir exécuté l'opération ou affirme qu'elle n'a pas été correctement exécutée, le fichier retraçant les opérations produit par la banque est insuffisant à le démontrer alors ; - qu'au contraire, la banque n'a pu que se faire pirater, en raison d'une faille technique, ses coordonnées de courriel et téléphonique ainsi qu'il résulte de la réception d'un SMS émanant véritablement de celle-ci après avoir cliqué sur l'encart « espace client » d'un mail frauduleux ; - que la banque était tenue de solliciter une authentification forte pour les deux ordres de virement litigieux, ainsi qu'il résulte de la convention de compte stipulant qu'il appartient à la banque d'exiger une authentification forte quand cela lui semble opportun alors même que le service de gestion des fraudes de la banque lui a laissé un message sur son téléphone le 25 septembre 2020 en s'étonnant de l'ajout de bénéficiaire, ce qui justifiait la mise en oeuvre d'une authentification forte pour les deux virements réalisés, indépendamment de la souscription au dispositif Certicode Plus ; - que la banque est tenue, en application de l'article L. 561-1 du code monétaire et financier notamment, à une obligation de prudence et de diligence pour détecter les opérations suspectes et illicites ; - que cette dernière ne rapporte pas la preuve qu'elle a consenti aux virements opérés sur son livret et compte courant, elle n'établit pas qu'elle se serait rendue sur son espace client sécurisé, ni de ce qu'elle aurait saisi son identifiant, ni de ce qu'elle aurait saisi son mot de passe ; - que la banque est consciente de sa défaillance puisque seulement quelques semaines après cette fraude, a été mis en place un système ne permettant aux virements depuis le compte courant en faveur d'un tiers bénéficiaire, d'être effectifs qu'après entrée d'un code de sécurité, ce qui n'était pas le cas auparavant. Mme [Q] affirme n'avoir elle-même commis aucune négligence grave, en l'absence d'indice suffisant dans le courriel d'hameçonnage et dans le SMS pour attirer l'attention d'un client doté d'une attention moyenne. Elle fait enfin valoir l'obligation de la banque de la rembourser suite à la fraude, rappelant: - que l'article L. 133-18 du code monétaire et financier impose ce remboursement en cas d'opération de paiement non autorisée signalée par l'utilisateur ; - la banque a été informée de la fraude sans rembourser les opérations dans les trente jours, de sorte que les intérêts prévus par la loi nouvelle sont applicables, en ce qu'il a été jugé que toute loi nouvelle s'applique immédiatement aux effets des situations juridiques en cours au moment où elle entre en vigueur, même lorsque semblable situation fait l'objet d'une instance en cours. La société Banque Postale, rappelant que les dispositions applicables sont celles en vigueur avant le 18 août 2022, conteste toute commission d'une faute en exposant : - que l'article L. 133-23 du code monétaire et financier se limite à lui imposer, en cas de contestation, de démontrer que les opérations contestées ont été authentifiées, dûment enregistrées et comptabilisées et qu'elles n'ont pas été affectées par une déficience technique; - que les fichiers de consultation des traces d'activité de banque en ligne qu'elle verse aux débats démontrent que les opérations de virement contestées ont bien été authentifiées, dûment enregistrées et comptabilisées et qu'elles n'ont pas été affectées par une déficience technique ; - que Mme [Q] a confirmé lors de son dépôt de plainte avoir reçu ledit SMS et validé la demande d'ajout du nouveau bénéficiaire ; - que les opérations de virement contestées ayant été réalisées depuis son espace client sécurisé, après saisie de son identifiant et de son mot de passe, elles ont bien été autorisées ; - qu'elle a bien mis en place un système d'authentification forte, ainsi qu'il résulte du fait que l'ajout du nouveau bénéficiaire a été effectué via un mot de passe à usage unique envoyé sur son téléphone et du fait que les virements ont été autorisées par sa cliente depuis son espace client sécurisé, après saisie de son identifiant et de son mot de passe, alors même que dès lors que l'ajout du bénéficiaire a fait l'objet d'une authentification renforcée par le dispositif Certicode, les virements vers ce nouveau bénéficiaire ne nécessitaient pas une authentification forte ; - que Mme [Q] n'avait pas activé le service Certicode Plus offert et garantissant l'authentification forte sur une gamme étendue d'opérations ; - que si comme elle le prétend, elle a été contactée dès le 25 septembre par ses services qui lui ont laissé un message téléphonique en son absence, force est de constater qu'elle ne les a rappelés que cinq jours plus tard soit le 29 septembre suivant ; - que l'obligation de vigilance invoquée par Mme [Q] dans ses conclusions d'intimée n'existe qu'en présence d'une anomalie apparente, ce qui n'est pas le cas en l'espèce. Elle expose, au contraire, que sa cliente a commis des négligences graves en ce que : - la jurisprudence considère que manque par négligence grave à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés, l'utilisateur d'un service de paiement qui communique les données personnelles de ce dispositif de sécurité en réponse à un courriel qui contient des indices permettant à un utilisateur normalement attentif de douter de sa provenance, peu importe qu'il soit ou non avisé des risques d'hameçonnage ; - par ailleurs, il est constant que la bonne foi du payeur est indifférente quant à la mise en 'uvre de sa responsabilité pour négligence grave ; - les virements frauduleux ont pu être réalisés à la suite du mail d'hameçonnage auquel Mme [Q] a répondu en totale contravention à l'article L.133-16 du code monétaire et financier et des dispositions contractuelles liant les parties ; - contrairement à ce qu'a estimé le tribunal de première instance, le mail frauduleux reçu par Mme [Q] comporte des indices permettant à un utilisateur normalement attentif de douter de sa provenance, à savoir l'adresse de l'expéditeur, la mention de la 'Banque populaire du Sud' et l'absence des mentions légales de la société Banque Postale; - sa cliente a d'ailleurs indiqué dans sa plainte qu'il « n'était pas formulé comme d'habitude» et encore qu'elle « ne le fait jamais mais cette fois-ci j'en avais marre de ce message, j'ai donc cliqué sur ce lien ['] » ; - Mme [Q] a pourtant répondu en activant le lien contenu dans le mail, et communiqué ses identifiants et son code d'accès confidentiel en dehors de son espace client internet sécurisé ; - de plus, alors qu'elle a indiqué avoir été étonnée par le SMS l'invitant à ajouter sa fille comme bénéficiaire alors qu'elle l'était déjà, Mme [Q] a en toute conscience validé la demande d'ajout d'un nouveau bénéficiaire en se connectant à son espace client sécurisé et en retranscrivant le code à usage unique qu'elle venait de recevoir, sans vérifier s'il s'agissait bien des coordonnées bancaires de sa fille et sans avoir au préalable effectuée aucune demande d'ajout de bénéficiaire sur son espace sécurisé ; - la cour d'appel de Paris, statuant sur des faits identiques, a par arrêt du 8 juin 2023 retenu que : « n'ayant pas pris les mesures raisonnables pour préserver la sécurité de ses données personnelles, de ses identifiants et de ses mots de passe, Mme [C], ou son mandataire, ont commis une négligence grave, leur comportement les ayant conduits à valider les virements litigieux dont Mme [C] se prétend victime.