Cour de cassation, comm, 1 juillet 2026 — n° 25-13.134

Faits et procédure 1. Selon l'arrêt attaqué (Paris, 22 janvier 2025), soutenant avoir été victime de trois virements frauduleux exécutés le 23 novembre 2020 sur le compte dont elle est titulaire dans les livres de la société Crédit lyonnais (la banque), la société Lincotek Tarbes a assigné la banque en restitution des fonds.

Réponse de la Cour Vu les articles L. 133-6, L. 133-7 et L. 133-23 du code monétaire et financier : 3. Il résulte des deux premiers de ces textes qu'une opération de paiement est autorisée si le payeur a donné son consentement à son exécution, et qu'en l'absence d'un tel consentement, donné sous la forme convenue entre le payeur et le prestataire de service de paiement, l'opération est réputée non autorisée. 4. Selon le dernier, lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre. L'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur. 5. Pour juger les opérations de paiement autorisées, après avoir retenu que les relevés informatiques produits par la banque établissaient l'utilisation de l'identifiant et du code d'accès à l'espace en ligne et l'utilisation d'un « token » généré par un boîtier, l'arrêt en déduit, d'une part, que l'opération en question avait été authentifiée, dûment enregistrée et comptabilisée, d'autre part qu'elle n'avait pas été affectée par une déficience technique. Il ajoute que le consentement de la société Lincotek est présumé en conséquence avoir été donné conformément à la forme convenue entre les parties. 6. En statuant ainsi, alors que la société Lincotek contestait avoir consenti à ces opérations et soutenait que ses données de sécurité personnalisées avaient été utilisées à son insu, la cour d'appel, en déduisant le consentement des opérations litigieuses du recours à la forme convenue contractuellement, a inversé la charge de la preuve et violé les textes susvisés.

PAR CES MOTIFS, et sans qu'il y ait lieu de statuer sur l'autre grief, la Cour : CASSE ET ANNULE, en toutes ses dispositions, l'arrêt rendu le 22 janvier 2025, entre les parties, par la cour d'appel de Paris ; Remet l'affaire et les parties dans l'état où elles se trouvaient avant cet arrêt et les renvoie devant la cour d'appel de Versailles ; Condamne la société Crédit lyonnais aux dépens ; En application de l'article 700 du code de procédure civile, rejette la demande formée par la société Crédit lyonnais et le condamne à payer à la société Lincotek Tarbes la somme de 3 000 euros ; Dit que sur les diligences du procureur général près la Cour de cassation, le présent arrêt sera transmis pour être transcrit en marge ou à la suite de l'arrêt cassé ; Ainsi fait et jugé par la Cour de cassation, chambre commerciale, financière et économique, et prononcé publiquement le premier juillet deux mille vingt-six par mise à disposition de l'arrêt au greffe de la Cour, les parties ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du code de procédure civile.