Cour d'appel, troisieme chambre, 28 mai 2026 — n° 24/05954

EN CONSÉQUENCE LA RÉPUBLIQUE FRANÇAISE mande et ordonne à tous les commissaires de justice, sur ce requis, de mettre ladite décision à exécution, aux procureurs généraux et aux procureurs de la République près les tribunaux judiciaires d'y tenir la main, à tous les commandants et officiers de la [Localité 4] Publique de prêter main-forte lorsqu'ils en seront légalement requis. En foi de quoi, la présente décision a été signée par le Président et le Greffier.

**** EXPOSE DU LITIGE 1. Les faits et la procédure antérieure Mme [Y] [J] épouse [Q] est titulaire d'un compte bancaire ouvert dans les livres de la SA LCL Crédit lyonnais (ci-après le Crédit lyonnais). Le 31 mars 2022, en se connectant sur son espace personnel de banque en ligne, elle a constaté l'existence de trois opérations de virement qu'elle n'avait pas ordonnées, au profit de personnes inconnues': - un virement d'un montant de 6 000 euros au bénéfice d'un dénommé [L] [U] en date du 25 mars 2022, - un virement d'un montant de 5'300 euros au bénéfice d'un dénommé [Z] [W] [M] en date du 28 mars 2022, - un virement d'un montant de 500,14 euros au bénéfice d'un dénommé [T] [R] en date du 28 mars 2022. Ce dernier virement a toutefois fait l'objet d'une contrepassation en date du 29 mars 2022. Mme [Q] en a averti le Crédit lyonnais le jour même et a déposé plainte le lendemain pour accès frauduleux dans un système de traitement automatique de données. Par lettre du 19 avril 2022, le Crédit lyonnais a consenti à prendre en charge, à titre commercial, 50'% du préjudice résultant des deux premiers virements contestés, soit 5'650 euros. Par lettres du 27 avril, 9 mai et 29 septembre 2022, Mme [Q] sollicitait de lui la restitution du restant de leur montant total. Le Crédit lyonnais l'ayant refusée, Mme [Q] l'a fait assigner, par acte du 24 janvier 2024, devant le tribunal judiciaire de Lille aux fins d'obtenir réparation de l'intégralité de son préjudice financier, avec intérêts au taux légal majoré, outre la somme de 1'000 euros de dommages et intérêts pour résistance abusive. 2. Le jugement dont appel Par jugement rendu le 25 novembre 2024, le tribunal judiciaire de Lille a': 1- débouté Mme [Q] de toutes ses demandes'; 2- débouté le Crédit lyonnais de sa demande fondée sur l'article 700 du code de procédure civile'; 3- condamné Mme [Q] aux dépens de l'instance'; 4- débouté les parties de toutes demandes plus amples ou contraires'; 5- rappelé l'exécution provisoire de droit. 3. La déclaration d'appel Par déclaration du 19 décembre 2024, Mme [Q] a formé appel de ce jugement en limitant l'objet de son appel à la mention «'appel total'». Cette déclaration a toutefois été assortie d'une annexe précisant qu'elle entendait relever appel du jugement critiqué en ce qu'il l'avait déboutée de toutes ses demandes et l'avait condamnée aux dépens de l'instance. 4. Les prétentions et moyens des parties 4.1. Aux termes de ses dernières conclusions notifiées le 26 août 2025, Mme [Q] demande à la cour, au visa de l'article L.'133 18 du code monétaire et financier, d'infirmer le jugement en ses dispositions visées par la déclaration d'appel et, statuant de nouveau, de': - condamner le Crédit lyonnais au paiement de la somme principale de 5'650 euros avec intérêts, au taux légal majoré de 5 points, pour la période du 1er au 7 avril 2022, majoré de 10 points du 7 avril au 30 avril 2022, majoré de 15 points à compter du 1er mai 2022'; - condamner le Crédit lyonnais au paiement d'une somme de 1'000 euros à titre de dommages et intérêts pour résistance abusive au paiement sur le fondement des dispositions de l'article 1153 du code civil'; - condamner le Crédit lyonnais au paiement de la somme de 2'000 euros au titre de l'article 700 du code de procédure civile ainsi qu'aux entiers frais et dépens. A l'appui de ses prétentions, Mme [Q] fait valoir que': - le Crédit lyonnais ne peut démontrer la bonne réception des SMS envoyés le 18 mars 2022 dans le cadre de la procédure d'enrôlement d'un nouvel appareil de confiance, alors qu'elle n'a jamais reçu ces messages, son téléphone ayant été piraté'; - elle n'a pas manqué à son obligation de préservation de la sécurité de ses données de sécurité, n'ayant jamais communiqué à quiconque ses identifiants ni un quelconque code secret';

MOTIFS DE LA DECISION Sur l'obligation à la charge du prestataire de services de paiement (PSP) de restitution du montant de l'opération de paiement non autorisée. Sur le caractère non autorisé de l'opération de paiement Aux termes de l'article L.'133 3, I du code monétaire et financier, une opération de paiement est une action consistant à verser, transférer ou retirer des fonds, indépendamment de toute obligation sous-jacente entre le payeur et le bénéficiaire, initiée par le payeur, ou pour son compte, ou par le bénéficiaire. En application des articles L.'133 6 et L.'133 7 du même code, une telle opération est autorisée si le payeur a donné son consentement à son exécution, sous la forme convenue avec le PSP, ce consentement devant porter à la fois sur l'identité du bénéficiaire, désigné par l'identifiant unique tel que défini par le b) de l'article L.'133 4, et sur le montant de l'opération. La charge de la preuve dudit consentement repose sur le PSP. En l'espèce, Mme [Q] indique dans le procès-verbal dressé à l'occasion de son dépôt de plainte avoir constaté le 31 mars 2022 des virements réalisés les 25 et 28 mars 2022 au bénéfice d'inconnus qu'elle soutient n'avoir ni ordonnés ni acceptés (pièce 1 de Mme [Q]). Ces propos sont corroborés par le relevé des connexions à son service de banque en ligne qui fait apparaître des accès à partir de nouvelles adresses IP, depuis une application mobile, par lesquels ont été ordonnées toutes les opérations contestées, alors que tous les accès antérieurs étaient réalisés par ordinateur, ainsi que l'indique la mention «'internet'» dans la colonne intitulée «'canal'» (pièce 6 du Crédit lyonnais). Si les versions des parties divergent quant à la manière dont les paiements litigieux ont été rendus possibles, Mme [Q] invoquant un «'piratage'» alors que le Crédit lyonnais se prévaut d'un problème de préservation par sa cliente de la sécurité'de ses données de sécurité, il est néanmoins constant que lesdites opérations ont été initiées à partir d'un appareil n'appartenant pas à Mme [Q]. S'agissant de l'enrôlement de ce smartphone, de type «'iphone'» ainsi qu'il ressort du SMS envoyé par le système de banque à distance (pièce 7 du Crédit lyonnais), comme appareil de confiance, le Crédit lyonnais admet que Mme [Q] n'est pas à l'origine de l'opération, ses écritures indiquant que «'ce sont les agissements de Mme [Q] qui ont permis d'enrôler un appareil de confiance en omettant d'informer la banque sans tarder, aux fins de blocage de son espace en ligne, de l'utilisation non autorisée de ses données de sécurité personnalisées'». Alors qu'il est constant que les virements litigieux qui ont suivi ont tous été ordonnés à partir de cet appareil, il s'ensuit qu'il n'est pas contesté que les paiements en cause n'ont pas été sollicités par Mme [Q]. Or il est admis que le consentement à une opération de paiement au sens de l'article L.'133 6 du code monétaire et financier suppose nécessairement que ladite opération émane du payeur, de sorte qu'elle doit être qualifiée de non autorisée. Sur l'application de l'obligation de restitution Le régime de responsabilité des PSP prévu à l'article 60 paragraphe 1 de la directive européenne 2007/64/CE ainsi qu'aux articles 58 et 59 de cette directive ayant fait l'objet d'une harmonisation totale, une opération de paiement qualifiée de non autorisée est nécessairement soumise au régime édicté par les articles L.'133 18 et suivants du code monétaire et financier issu de la transposition de ladite directive, à l'exclusion de tout régime alternatif de responsabilité résultant du droit national. L'article L.'133 18 susvisé régit ainsi les opérations de paiement non autorisées, quand bien même celles-ci auraient été réalisées au moyen d'instruments de paiement dotés de données de sécurité personnalisées. En matière de paiement par carte, virement ou prélèvement, il incombe à l'utilisateur du service de paiement, en application de l'article L.'133 24 du même code, de signaler sans tarder l'existence d'une opération non autorisée à son PSP et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion. L'article L.'133 18 prescrit alors le remboursement du payeur par le PSP, et ce dans un bref délai'; il rétablira ainsi le compte débité dans l'état où il se serait trouvé si l'opération non autorisée n'avait pas eu lieu. Aux termes de l'article L.'133 19, IV, le payeur supporte en revanche toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.'133 16 et L.'133 17, à savoir celle de préserver la sécurité de ses données de sécurité et celle d'informer sans tarder le PSP de toute perte, vol ou détournement de ses moyens de paiement ou de ses données. Le premier alinéa de l'article L.'133 23 dispose que, lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, il incombe à son PSP de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre'; le deuxième alinéa de cet article précise que l'utilisation de l'instrument de paiement telle qu'enregistrée par le PSP ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Il résulte de ce qui précède que, s'il entend faire supporter à l'utilisateur d'un instrument de paiement doté d'un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L.'133 16 et L.'133 17, le PSP doit, au préalable, prouver que l'opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre, étant précisé que la directive (UE)'2015/2366 du 25 novembre 2015 a introduit une exigence d'authentification forte. En l'espèce, le moyen de droit tiré de l'inapplicabilité de l'article L.'133 18 du code monétaire et financier doit être écarté comme infondé, dès lors qu'a été retenu le caractère non autorisé des opérations litigieuses, lesquelles remplissent les conditions d'application de cette disposition, nonobstant toute considération inopérante relative à l'utilisation d'instruments de paiement dotés de données de sécurité personnalisées. L'ensemble des autres moyens soulevés par le Crédit lyonnais pour conclure à l'absence d'obligation de restitution à sa charge au titre de l'article L.'133 18 du code monétaire et financier reposent sur un élément de fait essentiel résidant dans la réception par Mme [Q] de deux SMS envoyés le 18 mars 2022 à 17h45 et 17h46 sur le téléphone qu'elle a déclaré à l'établissement bancaire comme le sien, dans le cadre de la procédure d'enrôlement d'un nouvel appareil de confiance pour accéder au service de banque en ligne. C'est en effet à partir de cet appareil qu'ont pu être ordonnées toutes les opérations ayant abouti à l'exécution des paiements litigieux, notamment la modification du plafond de montant et des pays destinataires autorisés pour les virements, l'enrôlement dudit appareil permettant l'accomplissement d'une condition de possession et donc la mise en 'uvre de toutes les opérations impliquant une authentification forte au moyen du seul facteur de connaissance, à savoir le code personnel de Mme [Q].