Cour d'appel, 2ème chambre, 26 mai 2026 — n° 24/00645

'En conséquence, La République Française, Mande et ordonne, conformément au décret n° 47-1047 du 12 juin 1947 art. 1 modifié, à tous huissiers de justice, sur ce requis, de mettre ladite décision à exécution, aux procureurs généraux et aux procureurs de la République près les tribunaux judiciaires d'y tenir la main, à tous commandants et officiers de la force publique de prêter main-forte lorsqu'ils en seront légalement requis. En foi de quoi, la présente décision a été signée par le président et le greffier.' Pour copie certifiée conforme à l'original, revêtue de la formule exécutoire délivrée par Nous, directeur des services de greffe judiciaires de la cour d'appel de Rennes.

EXPOSE DU LITIGE : M. [V] [S] est titulaire d'un compte de dépôt n° [XXXXXXXXXX01] ouvert dans les livres de la société Caisse régionale de crédit agricole mutuel du Finistère (la banque). Le 15 septembre 2020, il a déposé plainte à la suite du vol de son téléphone portable et de sa carte. Il a sollicité en vain de la banque le remboursement de la somme de 17 639,20 euros débitée de son compte à la suite de paiements et de retraits en espèce. Suivant acte extrajudiciaire du 3 septembre 2021, M. [V] [S] a assigné la banque devant le tribunal judiciaire de Brest. Suivant jugement du 23 novembre 2023, le tribunal a : - Condamné la banque à payer à M. [V] [S] la somme de 17 639,20 euros. - Condamné la banque à payer à M. [V] [S] la somme de 2 500 euros en application de l'article 700 du code de procédure civile. - Débouté les parties du surplus de leurs demandes. Suivant déclaration du 1er février 2024 et déclaration rectificative du 5 février 2024, la banque a interjeté appel. Les procédures ont été jointes. En ses dernières conclusions du 22 décembre 2025, elle demande à la cour de : Vu les articles L. 133-6 suivants, L. 133-16, L. 133-17 et L. 133-23 et suivants du code monétaire et financier, Vu l'article 1231-1 du code civil, - Infirmer le jugement déféré. Statuant à nouveau, - Débouter M. [V] [S] de ses demandes. En tout état de cause, - Le condamner à lui payer la somme de 5 000 euros en application de l'article 700 du code de procédure civile. - Le condamner aux dépens de première instance et d'appel avec application de l'article 699 du code de procédure civile au profit de Me Alexandra Veillard. En ses dernières conclusions du 2 janvier 2026, M. [V] [S] demande à la cour de : Vu les articles L. 133-19 et suivants du code monétaire et financier, Vu l'article 1231-1 du code civil, - Confirmer le jugement déféré. - Débouter la banque de ses demandes. Subsidiairement, pour le cas où la banque ne serait pas déboutée de ses demandes, - La condamner à lui payer 99 % de la somme de 17 639,20 euros à titre de dommages et intérêts en remboursement des opérations bancaires intervenues à la suite du vol de sa carte bancaire et en réparation de son préjudice matériel, soit la somme de 17 462,81 euros, En tout état de cause, - Condamner la banque à lui payer la somme de 6 000 euros en application de l'article 700 du code de procédure civile ainsi qu'aux dépens. Pour un plus ample exposé des faits, de la procédure ainsi que des prétentions et moyens des parties, la cour se réfère aux énonciations de la décision ainsi qu'aux dernières conclusions précitées, l'ordonnance de clôture ayant été rendue le 8 janvier 2026.

MOTIFS DE LA DECISION : Dans le cadre de son appel, la banque soutient que les opérations dont M. [V] [S] sollicite le remboursement sont des opérations autorisées. Elle fait observer que les retraits d'espèces et les paiements réalisés chez des commerçants ont été rendus possibles par l'utilisation de la carte bancaire et de son code confidentiel et que les paiements sur des sites marchands ont été rendus possibles par l'utilisation des données confidentielles figurant sur la carte, le numéro de carte, la date de validité, le cryptogramme visuel, et la validation d'un code à usage unique envoyé par SMS sur le téléphone du titulaire du compte. Elle en déduit que l'intimé ne peut demander aucun remboursement conformément à l'article L. 133-23 du code monétaire et financier et que le régime de responsabilité de plein droit de l'article L. 133-18 n'a pas vocation à s'appliquer. À supposer que les opérations soient qualifiées d'opérations non autorisées, elle soutient que M. [V] s'est montré particulièrement négligent, d'une part, parce qu'il n'a pas pris toutes les mesures appropriées pour assurer la sécurité de sa carte bancaire et du code confidentiel, et d'autre part, parce qu'il a fait opposition plus de deux jours après avoir constaté qu'il n'était plus en possession de sa carte. M. [V] [S] soutient que les opérations litigieuses ne peuvent être qualifiées d'opérations autorisées. Il rappelle qu'il a été victime du vol de sa carte bancaire et de son téléphone portable et conteste toute négligence grave. Il prétend qu'il ne s'est aperçu de la disparition de sa carte que le 13 septembre 2020 en fin de journée. Selon l'article L. 133-16 du code monétaire et financier, l'utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés. Selon l'article L. 133-17, il informe sans tarder son prestataire de services de paiement, dès qu'il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement. Selon l'article L. 133-19, en cas d'opération de paiement non autorisée consécutive à la perte ou au vol de l'instrument de paiement, le payeur supporte, avant l'information prévue à l'article L. 133-17 les pertes liées à l'utilisation de cet instrument, dans la limite d'un plafond de 50 euros. Toutefois, la responsabilité du payeur n'est pas engagée en cas d'opération de paiement non autorisée effectuée sans utilisation des données de sécurité personnalisées ; de perte ou de vol d'un instrument de paiement ne pouvant être détecté par le payeur avant le paiement ; de perte due à des actes ou à une carence d'un salarié, d'un agent ou d'une succursale d'un prestataire de services de paiement ou d'une entité vers laquelle ses activités ont été externalisées. II. - La responsabilité du payeur n'est pas engagée si l'opération de paiement non autorisée a été effectuée en détournant, à l'insu du payeur, l'instrument de paiement ou les données qui lui sont liées. Elle n'est pas engagée non plus en cas de contrefaçon de l'instrument de paiement si, au moment de l'opération de paiement non autorisée, le payeur était en possession de son instrument. III. - Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l'information aux fins de blocage de l'instrument de paiement prévue à l'article L. 133-17. IV. - Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. V. - Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l'opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n'exige une authentification forte du payeur prévue à l'article L. 133-44. Il convient de rappeler que la responsabilité de la banque au titre des opérations de paiement non autorisées relève exclusivement du régime spécial institué par les articles L. 133-18 et suivants du code monétaire et financier, à l'exclusion des règles de responsabilité contractuelle de droit commun. Toutefois, lorsqu'est invoquée une faute distincte des opérations de paiement elles-mêmes, telle qu'un manquement autonome de la banque à son obligation de vigilance ou à ses procédures internes de sécurité, la responsabilité contractuelle de droit commun demeure applicable. En l'espèce, aux termes de la plainte déposée le 15 septembre 2020, M. [V] [S] a déclaré qu'il se trouvait à [Localité 4] dans la nuit du 12 au 13 septembre 2020 lorsque, alors qu'il regagnait le domicile d'un ami, il avait été abordé par un individu circulant à bord d'un véhicule, lequel s'était présenté comme chauffeur Uber et lui avait proposé de le raccompagner. M. [V] [S] a indiqué s'être arrêté dans une supérette en compagnie de cet individu afin de lui acheter une bouteille d'alcool en règlement de la course. Il a précisé avoir consommé un verre avec celui-ci puis, à son réveil vers 10 heures du matin, avoir constaté la disparition de sa carte bancaire ainsi que de son téléphone portable. Il apparaît que les opérations litigieuses, non autorisées puisque consécutives à un vol, ont été réalisées au moyen de la carte bancaire de M. [V] [S] ainsi que des dispositifs de sécurité personnalisés qui y étaient associés. Les retraits d'espèces et paiements contestés ont en effet nécessité soit la saisie du code confidentiel attaché à la carte bancaire, soit l'utilisation d'un code de validation adressé par SMS sur le téléphone de l'intéressé. Si la seule utilisation de l'instrument de paiement et des données de sécurité personnalisées ne suffit pas, à elle seule, à établir une négligence grave du titulaire du compte, laquelle doit résulter de circonstances concrètes révélant un comportement gravement imprudent, en revanche, constitue une négligence grave le fait, pour le titulaire de la carte bancaire, de permettre la captation de ses données de sécurité personnalisées par un tiers traduisant un défaut manifeste de vigilance. Contrairement à ce qu'ont retenu les premiers juges, les circonstances de l'espèce caractérisent une négligence grave de M. [V] [S] dans la conservation et l'usage de ses données de sécurité personnalisées. En effet, il ressort des éléments de la procédure que le fraudeur, se présentant comme un chauffeur de taxi, a pu immédiatement utiliser la carte bancaire dérobée pour effectuer plusieurs opérations nécessitant la saisie correcte du code confidentiel. Or, les explications fournies par M. [V] [S] ne permettent pas d'expliquer dans quelles conditions ce code a pu être obtenu sans avoir été communiqué, directement ou indirectement, au fraudeur, ou conservé dans des conditions manifestement contraires aux obligations élémentaires de prudence incombant au titulaire d'un instrument de paiement. Par ailleurs, M. [V] [S] a tardé à faire opposition à son instrument de paiement. Dans la plainte déposée le 15 septembre 2020, il a indiqué avoir constaté le vol le 13 septembre 2020 à 10 heures, alors qu'il n'en a informé sa conseillère bancaire que le 13 septembre 2020 à 21h39 et qu'il n'a fait opposition que le 15 septembre 2020. Or la majorité des détournements, près de 11 000 euros, a été réalisée le 13 septembre après 10 heures. Ce retard dans la déclaration du vol constitue également un manquement aux obligations de diligence pesant sur le titulaire de la carte bancaire. La banque démontre que les opérations de paiement non autorisées n'ont pu être effectuées qu'avec l'utilisation des données de sécurité personnalisées, que M.