Cour d'appel, pôle 5 - chambre 6, 24 juin 2026 — n° 24/08821

* * * * * FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES La société Coserm, dont le dirigeant est Mme [T] [Y], est immatriculée au RCS d'[Localité 3] sous le numéro 413 309 592 et a pour activité le commerce de gros de matériel de bureau. Elle est titulaire d'un compte courant ouvert dans les livres de la société BNP Paribas (ci-après la BNP). Elle soutient avoir été victime d'une escroquerie, le 17 novembre 2020, à la suite d'un appel téléphonique d'un individu se présentant comme un conseiller du service télématique de la BNP, dont elle a accepté de suivre les instructions en manipulant le boîtier mis à sa disposition par la banque, dans le cadre du service "BNP Net Evolution" auquel elle avait souscrit. A cette date, des virements ont été émis depuis ce compte, à savoir : - trois virements d'un montant total de 63 237,31 euros selon la société Coserm, - quatre virements d'un montant total de 82 027,85 euros selon la BNP. Le 18 novembre 2020, la société Coserm a déposé plainte auprès du commissariat de police d'[Localité 4]. Par lettre recommandée avec accusé de réception en date du 12 octobre 2021, la société Coserm a mis en demeure la BNP de lui restituer les sommes débitées, en vain. Par exploit de commissaire de justice signifié le 14 décembre 2021 à personne habilitée, la société Coserm a assigné la BNP devant le tribunal judiciaire d'Evry. Par ordonnance en date du 3 janvier 2023, le juge de la mise en état de ce tribunal a déclaré le tribunal judiciaire incompétent et a renvoyé l'affaire devant le tribunal de commerce de Paris. Par jugement contradictoire en date du 3 avril 2024, le tribunal de commerce de Paris a : - débouté la société Coserm de sa demande de remboursement des opérations litigieuses, - condamné la BNP Paribas à payer à la société Coserm la somme de 41 013,93 euros à titre de dommages et intérêts, - débouté la société Coserm de sa demande en dommages et intérêts, - condamné la société Coserm aux dépens, dont ceux à recouvrer par le greffe, liquidés à la somme de 70,86 euros dont 11,60 euros de TVA, - débouté la société Coserm et la BNP Paribas de leurs demandes respectives au titre de l'article 700 du code de procédure civile, - rappelé que l'exécution provisoire du jugement est de droit. Par déclaration remise au greffe de la cour le 7 mai 2024, la BNP a interjeté appel de cette décision à l'encontre de la société Coserm. Par conclusions notifiées par voie électronique le 4 février 2025, la BNP demande, au visa des articles L. 133-1 et suivants du code monétaire et financier et des articles, 699 et 700 du code de procédure civile, à la cour de : - débouter la société Coserm de l'intégralité de ses demandes, fins et conclusions, - infirmer le jugement entrepris rendu le 3 avril 2024 par le tribunal de commerce de Paris en ce qu'il a condamné BNP Paribas à payer à la société Coserm la somme de 41 013,93 euros à titre de dommages et intérêts, - infirmer le jugement entrepris rendu le 3 avril 2024 par le tribunal de commerce de Paris en ce qu'il a débouté BNP Paribas de ses demandes au titre de l'article 700 du CPC ; Et statuant à nouveau, - débouter la société Coserm de l'intégralité de ses demandes, fins et conclusions, - condamner la société Coserm au paiement d'une somme de 5 000 euros au titre de l'article 700 du code de procédure civile, - condamner la société Coserm à supporter l'intégralité des dépens. Par conclusions notifiées par voie électronique le 8 novembre 2024, la société Coserm demande, au visa des articles L. 133-23, L. 133-23 alinéa 2 et L.

MOTIFS Sur la responsabilité de la banque sur le fondement du code monétaire et financier La société BNP Paribas fait valoir, au visa des articles L. 133-2, L. 133-6, L. 133-7 et L. 133-23 du code monétaire et financier, que les opérations litigieuses étaient autorisées. Elle expose qu'une opération de paiement doit être considérée comme autorisée lorsqu'elle a été ordonnée dans les formes convenues entre le donneur d'ordre et le prestataire de services de paiement. Or, au terme des conditions particulières d'adhésion au service « BNP Net Evolution », le consentement de la société Coserm résulte de l'usage de la carte TS, du lecteur sécurisé et du code [Localité 5] qui y est attaché. Les conditions générales relatives à ce service de paiement, dont les termes sont suffisamment clairs et précis, précisent également que son utilisation suffit à prouver de manière irréfragable que l'utilisateur est l'auteur de l'opération ordonnée par son biais. Or, les relevés d'activité relatifs aux virements réalisés le 17 novembre 2020 depuis le compte de la société Coserm, valant preuve du caractère authentifié, dûment enregistré et comptabilisé des opérations de paiement, indiquent que quatre virements ont été autorisés entre 17h39 et 17h49 au moyen de la carte TS et du boîtier de Mme [Y]. Ils révèlent en effet que celle-ci a renseigné à quatre reprises sur son boîtier les codes « Challenges », puis a communiqué au fraudeur à quatre reprises les codes « Challenge Réponse » générés au moyen du boîtier et de la carte. Mme [Y] reconnaît avoir réalisé des opérations sur les instructions du fraudeur depuis son ordinateur, au moyen du boîtier de validation. S'agissant d'opérations autorisées, la banque était tenue de les exécuter. En outre, la banque fait valoir que la réalisation de la fraude n'avait pas pour origine une défaillance technique de son système informatique. Les relevés télématiques indiquent en effet que l'escroc est parvenu à se connecter à l'espace bancaire de la société Coserm à 17h34 au moyen d'une procédure d'authentification forte, impliquant la communication préalable d'un code généré par le boîtier et la carte TS. Leur réalisation ne peut donc pas engager sa responsabilité. La société Coserm fait valoir, au visa des articles L. 133-2, L. 133-18 et L. 133-23 du code monétaire et financier, que les virements litigieux doivent être qualifiés d'opérations non-autorisées. Elle soutient que lorsque l'utilisateur d'un moyen de paiement nie être à l'origine d'une opération, il appartient au prestataire de services de paiement qui souhaite s'exonérer de son obligation de restitution de démontrer que celle-ci a été dûment authentifiée, enregistrée et comptabilisée et qu'elle est dépourvue de déficience technique. En effet, la seule démonstration de l'utilisation d'un dispositif d'authentification forte ne suffit pas à démontrer l'autorisation du client, de sorte que le seul versement aux débats des relevés télématiques est insuffisant. Or, la banque ne fournit pas d'autre élément. En revanche, la société Coserm ne conteste pas que le moyen de paiement souscrit auprès de la banque correspondait à un système d'authentification forte, mais soutient que celui-ci a échoué. En effet, Mme [Y] a été trompée par un escroc se faisant passer de manière crédible pour un employé de la BNP, grâce à certains éléments qui se trouvaient en sa possession en amont de sa prise de contact avec elle (identité d'un salarié du service technique de la banque, identifiant et mot de passe permettant d'accéder au compte de la société, capture d'écran de son compte), éléments qu'il ne pouvait avoir obtenus qu'en piratant le système informatique de la banque. Elle précise qu'elle n'a reçu aucune demande de confirmation des ordres de paiement piratés, ce qui révèle un nouveau contournement des systèmes de protection de la banque. S'agissant des aménagements contractuels invoqués par la banque, la société Coserm fait valoir que la clause relative à la responsabilité du prestataire est valide, mais ne peut pas avoir pour effet d'exonérer entièrement la banque de sa responsabilité, sa rédaction n'étant pas suffisamment claire et précise, de sorte qu'elle vaut seulement comme rappel des obligations de l'utilisateur. De même, la clause portant aménagement de la preuve du caractère autorisé des opérations ne peut pas avoir pour effet d'organiser un régime exonératoire de responsabilité ou d'obligation de remboursement. Enfin, la société Coserm fait valoir que la banque s'est trouvée incapable d'interrompre les opérations, alors qu'elles lui ont été dénoncées en temps réel. Ainsi, elle doit être condamnée à restituer les sommes correspondant aux virements litigieux, soit 63 237,31 euros. Aux termes de l'article L. 133-6, paragraphe premier, alinéa premier, du code monétaire et financier, une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. L'article L. 133-7, alinéas 1 et 3, du même code dispose : « Le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement. [...] « En l'absence d'un tel consentement, l'opération ou la série d'opérations de paiement est réputée non autorisée. » L'article L. 133-4 f) du même code dispose, dans sa rédaction issue de l'ordonnance n° 2017-1252 du 9 août 2017, que : « Une authentification forte du client s'entend d'une authentification reposant sur l'utilisation de deux éléments ou plus appartenant aux catégories " connaissance " (quelque chose que seul l'utilisateur connaît), " possession " (quelque chose que seul l'utilisateur possède) et " inhérence " (quelque chose que l'utilisateur est) et indépendants en ce sens que la compromission de l'un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d'authentification. » L'article L. 133-44, paragraphe premier, du même code prévoit, dans sa rédaction également issue de l'ordonnance n° 2017-1252 du 9 août 2017, que : « Le prestataire de services de paiement applique l'authentification forte du client définie au f de l'article L. 133-4 lorsque le payeur : « 1° Accède à son compte de paiement en ligne ; « 2° Initie une opération de paiement électronique ; « 3° Exécute une opération par le biais d'un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse. » L'article L. 133-23 du code monétaire et financier dispose : « Lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre. « L'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière.

PAR CES MOTIFS, INFIRME le jugement du tribunal de commerce de Paris du 3 avril 2024 en ce qu'il a condamné la société BNP Paribas au paiement à la société Coserm de la somme de 41 013,93 euros à titre de dommages et intérêts ; Le CONFIRME pour le surplus, Statuant à nouveau du chef de la décision infirmée et y ajoutant, DÉBOUTE la société Coserm de sa demande de dommages et intérêts ; DIT n'y avoir lieu à application de l'article 700 du code de procédure civile ; CONDAMNE la société Coserm aux entiers dépens d'appel ; REJETTE toute autre demande. * * * * * Le greffier Le président