Cour d'appel, pôle 5 - chambre 6, 8 juillet 2026 — n° 24/10687

PAR CES MOTIFS , CONFIRME le jugement du tribunal judiciaire de Paris du 23 mai 2024 ; Y ajoutant, DIT n'y avoir lieu à application de l'article 700 du code de procédure civile ; CONDAMNE M. [T] [B] aux entiers dépens d'appel ; REJETTE toute autre demande. * * * * * La greffière La présidente

* * * * * FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES M. [T] [B] est titulaire d'un compte ouvert dans les livres de la société BNP Paribas. Il expose qu'il a été contacté, le 7 avril 2023, par un escroc se faisant passer pour un salarié de la banque, lequel l'a informé qu'il avait prétendument détecté des achats non autorisés, mais qu'il pouvait, avec son concours, les annuler. Il soutient que 11 achats par carte bancaire ont été effectués par l'escroc qui ont été portés au débit de son compte pour un montant total de 22 500 euros. Le 24 avril 2023, M. [B] a déposé plainte auprès de la gendarmerie nationale de [Localité 4]. La société BNP Paribas a remboursé à M. [B] la somme de 3 500 euros correspondant à une opération non authentifiée de manière forte d'un montant de 1 000 euros et à une autre ayant dépassé le plafond de la carte bancaire d'un montant de 2 500 euros. Par exploit de commissaire de justice du 10 août 2023, M. [B] a assigné en remboursement et en indemnisation la société BNP Paribas devant le tribunal judiciaire de Paris. Par jugement contradictoire rendu le 23 mai 2024, le tribunal judiciaire de Paris a : - débouté M. [B] de l'ensemble de ses demandes ; - dit n'y avoir lieu à application des dispositions de l'article 700 du code de procédure civile ; - condamné M. [B] aux entiers dépens. Par déclaration du 10 juin 2024, M. [B] a relevé appel de ce jugement. Par dernières conclusions communiquées par voie électronique le 14 janvier 2025, M. [B] demande, au visa des articles L. 133-6, L. 133-15, L. 133-16, L. 133-17, L. 133-18, L. 133-19 et suivants du code monétaire et financier, 1104, 1231-1 et 1217 et suivants du code civil et 700 et suivants du code de procédure civile, à la cour de : - infirmer dans son intégralité le jugement du tribunal judiciaire en date du 23 mai 2024 n° RG 23/10488 et notamment en ce qu'il a : - débouté M. [B] de l'ensemble de ses demandes ; - dit n'y avoir lieu à application des dispositions de l'article 700 du code de procédure civile ; - condamné M. [B] aux entiers dépens ; Et statuant à nouveau : - débouter l'intimée en toutes ses demandes, fins et conclusions ; - condamner la BNP Paribas à verser à M. [B] la somme de 19 000 euros au titre du remboursement des prélèvements frauduleux ; - condamner la BNP Paribas au versement des intérêts légaux avec les majorations prévues à l'article L. 133-18 du code monétaire et financier, pour la somme de 19 000 euros à compter du 6 avril 2023 ; - condamner la BNP Paribas à payer à M. [B] la somme de 3 500 euros au titre de dommages et intérêts pour préjudice moral en raison de la résistance abusive de la banque et du vol de ses données personnelles avec intérêts au taux légal à compter de la décision à intervenir ; - ordonner la capitalisation des intérêts ; - condamner la BNP Paribas à verser à M. [B] la somme de 5 000 euros sur le fondement de l'article 700 et aux entiers dépens. Par dernières conclusions communiquées par voie électronique le 27 janvier 2025, la société BNP Paribas demande à la cour de : - juger M. [B] mal fondé en son appel, - débouter M. [B] de l'intégralité de ses demandes, - confirmer en toutes ses dispositions le jugement du tribunal judiciaire rendu le 23 mai 2024 ; Y ajoutant, condamner M. [B] à verser à BNP Paribas la somme de 3 500 euros sur le fondement de l'article 700 du code de procédure civile ainsi qu'aux entiers dépens. Pour un plus ample exposé des faits, de la procédure, des moyens et des prétentions des parties, il est expressément renvoyé au jugement déféré et aux dernières conclusions écrites déposées en application de l'article 455 du code de procédure civile. L'ordonnance de clôture a été rendue le 14 avril 2026 et l'affaire a été fixée à l'audience du 26 mai 2026.

MOTIFS Sur la responsabilité de la banque M. [B] soutient en premier lieu, au visa de l'article L. 133-15 du code monétaire et financier, que la banque a manqué à son obligation de vigilance et de protection de ses données personnelles. Il fait valoir que le fraudeur disposait d'un nombre significatif d'informations, et notamment, du numéro de sa nouvelle carte bleue reçue la veille, de son numéro de téléphone portable, de l'historique de ses échanges avec la banque et qu'il était informé de l'existence d'un service de conciergerie à son bénéfice. Il en déduit que ces informations ne pouvaient que provenir de la société BNP Paribas et que celle-ci ne prouve pas l'absence de fuite de ses données personnelles. Il allègue également, au visa des articles 1104 et 1231-1 du code civil, que la banque a manqué à son obligation de vigilance générale à son égard et qu'elle aurait dû déceler les anomalies apparentes suivantes : le court intervalle de temps entre les virements, le montant inhabituel des opérations et leur nombre (11 opérations). M. [B] expose ensuite, sur le fondement de l'article L. 133-19 du code monétaire et financier, que la banque est responsable de plein droit en cas d'opérations de paiement non autorisées par une authentification forte et qu'elle doit rembourser au payeur, sauf agissement frauduleux de sa part, le montant des sommes détournées lorsque les opérations litigieuses ont été effectuées à son insu en détournant l'instrument de paiement ou les données qui lui sont liées. Il fait valoir que, contrairement à ce qu'a retenu le tribunal, les opérations n'ont pas été autorisées par authentification forte, la détention du téléphone portable et la validation de la clef, via le même téléphone portable, ne pouvant pas être considérés comme deux éléments indépendants de validation. Enfin, il estime qu'il n'a commis aucune négligence grave et rappelle que la preuve de cette négligence incombe au prestataire de services de paiement et qu'elle ne peut être rapportée par la simple utilisation de l'instrument de paiement ou des données personnelles et ce, plus spécifiquement en cas de spoofing, la mise en confiance du payeur par un prétendu préposé de la banque ayant pu diminuer sa vigilance. Il conteste avoir transmis à quiconque les informations de sa nouvelle carte bancaire reçue la veille de la fraude et soutient que l'escroc possédait toutes ses informations personnelles et bancaires. Il prétend que dans les 24 heures précédant les opérations frauduleuses, il n'a fait aucun paiement internet pouvant expliquer un éventuel phishing. Il allègue encore que les appels semblaient émaner d'un numéro de téléphone BNP et que le fraudeur les a transférés vers le service de conciergerie. Il en déduit l'existence d'une défaillance dans le système de sécurité interne de la banque et en veut pour preuve : - la réalisation d'une opération sans validation par sa clé digitale, - la validation d'opérations qui dépassaient son plafond, - la destination des opérations vers des comptes étrangers et des plateformes de crypto-monnaie (Binance en Lituanie et Revolut en Irelande). La société BNP Paribas réplique que M. [B] ne prouve pas qu'il aurait été victime de spoofing et notamment qu'il ne démontre pas ses affirmations selon lesquelles l'escroc disposait d'informations confidentielles et personnelles le concernant, celui-ci aurait été en contact avec le « service de conciergerie » de la banque et enfin aurait fait apparaître sur son écran de téléphone un numéro attribué à la société BNP Paribas. Elle relève que l'escroc est parvenu, en se faisant passer pour un salarié de la banque, à faire valider par M. [B] via l'usage de sa clé digitale, 11 opérations d'achat en prétendant qu'il était en train d'annuler ces mêmes opérations et qu'elle-même est restée étrangère à l'ensemble de ces opérations frauduleuses permises par la négligence répétée de M. [B]. Elle soutient que le spoofing, à le supposer démontré, n'exonère pas M. [B] de toute négligence grave. Elle estime qu'il ne peut être déduit de l'arrêt de la Cour de cassation du 23 octobre 2024, dont se prévaut M. [B], qu'une fraude par spoofing téléphonique obligerait nécessairement un prestataire de services de paiement à rembourser des opérations de paiement contestées au motif qu'il ressort de cette décision que la qualification de négligence grave relève de l'appréciation souveraine des juges du fond et des circonstances de l'espèce. Elle indique qu'elle justifie que, depuis décembre 2022, elle avertit grâce à son site internet, ses clients du risque de spoofing. Elle allègue que le système de clé digitale mis à la disposition de M. [B] est un système d'authentification forte qui permet de sécuriser les paiements en ligne. En effet, par ce système de la clé digitale, le client ne reçoit pas de SMS, mais une notification détaillée de l'opération (en l'occurrence une opération d'achat), qu'il doit alors valider sur son téléphone portable (associé à son espace client) en composant un code secret qu'il a lui même créé et qu'il est le seul à connaître et qui est, par définition, unique. Elle souligne que M. [B] reconnaît avoir obéi aux instructions de l'escroc. Elle soutient que : - deux facteurs d'authentification ont fonctionné, à savoir, la possession par M. [B] de son téléphone et l'utilisation de son code secret pour valider les opérations d'achat, - M. [B] a été gravement négligent autant de fois qu'il a validé les notifications aux fins d'achat, - les opérations d'achat ont été authentifiées, dûment enregistrées et comptabilisées et n'ont pas été affectées par une déficience technique. Elle prétend enfin que le régime de responsabilité du prestataire de services de paiement à l'égard de l'utilisateur de services de paiement en cas d'opération non autorisée, établi par la directive 2007/64/CE, fait l'objet d'une harmonisation totale, de sorte que ce régime est exclusif de tout régime de responsabilité concurrent et que M. [B] ne peut invoquer le manquement au devoir de vigilance de la banque sur le fondement du droit commun. Elle ajoute qu'en tout état de cause, en sa qualité de simple teneur de compte, elle a convenablement exécuté les achats ordonnés par son client et qu'en conséquence, aucun manquement à ce titre ne saurait lui être reproché. M. [B] recherche la responsabilité de la banque en raison d'opérations non autorisées sur le fondement, notamment, des articles L. 133-16, L. 133-17, L. 133-19 et L. 123-23 du code monétaire et financier. L'article L. 133-23 du code monétaire et financier dispose que : 'Lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre. L'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d'initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur de services de paiement.' L'article L. 133-24 de ce code prévoit que :