Cour d'appel, troisieme chambre, 9 juillet 2026 — n° 25/03764

EN CONSÉQUENCE LA RÉPUBLIQUE FRANÇAISE mande et ordonne à tous les commissaires de justice, sur ce requis, de mettre ladite décision à exécution, aux procureurs généraux et aux procureurs de la République près les tribunaux judiciaires d'y tenir la main, à tous les commandants et officiers de la [Localité 4] Publique de prêter main-forte lorsqu'ils en seront légalement requis. En foi de quoi, la présente décision a été signée par le Président et le Greffier.

EXPOSE DU LITIGE : 1. Les faits et la procédure antérieure : Mme [P] [H] est titulaire d'un compte bancaire ouvert dans les livres de la société Boursorama exerçant sous l'enseigne Boursorama Banque (la banque). Le 23 janvier 2024, elle a déposé une plainte dans laquelle elle a dénoncé six prélèvements frauduleux sur son compte bancaire à hauteur des sommes de 2 400 euros, deux fois 1 900 euros, 750 euros et deux fois 961 euros le 11 décembre 2024, soit la somme totale de 4 138,20 euros dont elle avait demandé le remboursement à sa banque en vain. Par acte 2 mai 2024, Mme [H] a donc fait assigner la société Boursorama devant le tribunal judiciaire de Valenciennes afin d'obtenir le paiement des sommes litigieuses et la réparation de son préjudice. 2. Le jugement dont appel : Par jugement rendu le 12 juin 2025, le tribunal judiciaire de Valenciennes a débouté les parties de l'ensemble de leurs demandes et a condamné Mme [P] [H] aux dépens de l'instance 3. La déclaration d'appel : Par déclaration du 22 juillet 2025, Mme [H] a formé appel de l'intégralité des chefs du dispositif de ce jugement. 4. Les prétentions et moyens des parties : 4.1 Aux termes de ses dernières conclusions notifiées le 17 septembre 2025, Mme [H], appelante, demande à la cour, au visa des articles L. 133-18 et L. 133-19 du code monétaire et financier, de : - la déclarer recevable et bien fondée en son appel - infirmer le jugement dont appel - condamner la société Boursorama à lui payer la somme de 4 138,20 euros correspondant aux opérations litigieuses - condamner la société Boursorama à lui payer la somme de 1 000 euros à titre de dommages et intérêts en réparation de son préjudice moral - condamner la société Boursorama à lui payer la somme de 500 euros à titre de dommages et intérêts en réparation de son préjudice économique et financier - condamner la société Boursorama à lui payer la somme de 3 000 euros en application de l'article 700 du code de procédure civile au titre de ses frais irrépétibles de première instance et d'appel - condamner la société Boursorama aux dépens de première instance et d'appel conformément à l'article 696 du code de procédure civile. Au soutien de ses prétentions, Mme [H] fait valoir que : - il résulte des articles L. 133-18 et L. 133-19 du code monétaire et financier que tout prestataire de services de paiement et notamment le banquier, qui délivre un instrument de paiement à son client est tenu à une obligation de sécurité de résultat - au regard du déroulement des faits, elle n'a eu aucun comportement frauduleux alors que les fraudeurs ont su déjouer les protections des systèmes informatiques de la banque, s'approprier ses données bancaires et procéder aux paiements litigieux - les fraudeurs sont en effet parvenus à usurper l'identité de Boursorama en utilisant le seul numéro de la banque et ayant accès à ses données de sécurité de sorte que celle-ci a failli à ses obligations de sécurité dès lors que le fraudeur a réussi à utiliser une faille dans les systèmes informatiques ou numériques des données clients - elle a été victime d'une escroquerie par spoofing téléphonique à l'occasion de laquelle un tiers a gagné sa confiance en la trompant sur sa qualité, se présentant comme un conseiller bancaire et invoquant une situation d'urgence l'ayant mise dans un état de stress de sorte que son consentement a été vicié et qu'il ne peut s'agir d'une autorisation de paiement - le prétendu respect du devoir de mise en garde de la banque ne peut résulter des conditions générales du contrat dont les clauses sont inintelligibles pour un profane et lui sont défavorables - elle a été trompée par l'utilisation par l'escroc d'un numéro de téléphone unique de Boursorama - un contre appel aurait été vain compte tenu de l'horaire - dans ces conditions, il ne peut lui être reprochée aucune négligence grave

MOTIFS DE LA DÉCISION Sur l'obligation à la charge du prestataire de services de paiement (PSP) de restitution de l'opération de paiement non autorisée Sur le caractère non autorisé de l'opération de paiement Aux termes de l'article L. 133-3, I du code monétaire et financier, une opération de paiement est une action consistant à verser, transférer ou retirer des fonds, indépendamment de toute obligation sous-jacente entre le payeur et le bénéficiaire, initiée par le payeur, ou pour son compte, ou par le bénéficiaire. En application des articles L. 133-6 et L. 133-7 du même code, une telle opération est autorisée si le payeur a donné son consentement à son exécution, sous la forme convenue avec le PSP, ce consentement devant porter à la fois sur l'identité du bénéficiaire, désigné par l'identifiant unique tel que défini par le b) de l'article L. 133-4, et sur le montant de l'opération. Il est admis qu'une opération de paiement est considérée comme non autorisée dès lors que le payeur y a été incité par la méthode connue sous le nom de « spoofing », consistant à usurper l'identité d'un conseiller de l'établissement bancaire dans le cadre d'une mise en scène suffisamment élaborée pour qu'un utilisateur normalement attentif soit convaincu de la nécessité d'y procéder ; bien qu'une telle opération de paiement ait été initiée par le payeur, le cas échéant par l'intermédiaire d'un dispositif à forte authentification, il n'est donc pas considéré que celui-ci y ait valablement consenti au sens des articles L. 133-6 et L. 133-7 du code monétaire et financier. En l'espèce, il est constant que : Mme [H] a été contactée par une personne se faisant passer pour un conseiller bancaire du service fraude de la banque Boursorama ; l'appel de celui-ci s'affichait à l'écran sous l'identifiant visuel de la banque Boursorama attribué au numéro de téléphone [XXXXXXXX01] correspondant à la banque ; le prétendu conseiller lui a indiqué qu'il existait une suspicion de fraude sur son compte résultant d'une transaction d'un montant de 2 400 euros au Portugal ; il lui a indiqué plusieurs opérations à réaliser en urgence par mesure de sécurité aux fins de faire échec aux tentatives de fraude sur son compte bancaire Mme [H] a effectué ces opérations en suivant ses instructions ; elle a découvert le soir même plusieurs débits sur son compte vers 20h05, un prétendu coursier de la banque s'est présenté à son domicile pour prendre possession de sa carte bancaire qu'elle avait préalablement découpée à la demande de son interlocuteur du service des fraudes qui avait sollicité une telle transmission pour analyse de la puce électronique le lendemain, il a signalé à sa banque les prélèvements frauduleux En outre, Mme [H] indique que ce faux conseiller avait gagné sa confiance en lui fournissant plusieurs informations personnelles, notamment ses dernières opérations bancaires ainsi que cela ressort de son dépôt de plainte du 23 janvier 2024 dont les déclarations sont corroborées par sa collègue de travail, Mme [B] [L] selon son attestation du 25 janvier 2024 ainsi que par la réclamation que son assureur protection juridique a adressée à la banque le 28 décembre 2023. Il résulte de ces observations que Mme [H] a été victime d'une fraude par la méthode du « spoofing », par laquelle elle a été incitée à réaliser des opérations dans le cadre d'une mise en scène suffisamment élaborée pour qu'un utilisateur normalement attentif soit convaincu de la nécessité d'y procéder. Enfin, et surtout, Mme [H] conteste avoir elle-même procédé aux paiements litigieux, de sorte qu'il ne saurait être valablement soutenu qu'elle aurait consenti à leur exécution, tant à l'égard de son montant que de l'identité de leur bénéficiaire. En conséquence, cette opération doit être qualifiée de non autorisée, au sens des dispositions de l'article L. 133-6 du code monétaire et financier. Sur l'application de l'obligation de restitution Le régime de responsabilité des PSP prévu à l'article 60 paragraphe 1 de la directive européenne 2007/64/CE ainsi qu'aux articles 58 et 59 de cette directive ayant fait l'objet d'une harmonisation totale, une opération de paiement qualifiée de non autorisée est nécessairement soumise au régime édicté par les articles L. 133-18 et suivants du code monétaire et financier issu de la transposition de ladite directive, à l'exclusion de tout régime alternatif de responsabilité issu du droit national. En matière de paiement par carte, virement ou prélèvement, il incombe à l'utilisateur du service de paiement, en application de l'article L. 133-24 du même code, de signaler sans tarder l'existence d'une opération non autorisée à son PSP et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion. L'article L. 133-18 prescrit alors le remboursement du payeur par le PSP, et ce dans un bref délai ; il rétablira ainsi le compte débité dans l'état où il se serait trouvé si l'opération non autorisée n'avait pas eu lieu. Cet article précise en son troisième alinéa : « En cas de manquement du prestataire de services de paiement aux obligations prévues aux deux premiers alinéas du présent article, les pénalités suivantes s'appliquent : 1° Les sommes dues produisent intérêt au taux légal majoré de cinq points ; 2° Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points ; 3° Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points. » Aux termes de l'article L. 133-19, IV, le payeur supporte en revanche toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17, à savoir celle de préserver la sécurité de ses données de sécurité et celle d'informer sans tarder le PSP de toute perte, vol ou détournement de ses moyens de paiement ou de ses données. Le premier alinéa de l'article L. 133-23 dispose que, lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son PSP de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre ; le deuxième alinéa de cet article précise que l'utilisation de l'instrument de paiement telle qu'enregistrée par le PSP ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Il résulte de ce qui précède que, s'il entend faire supporter à l'utilisateur d'un instrument de paiement doté d'un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17, le PSP doit, au préalable, prouver que l'opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre, étant précisé que la directive (UE) 2015/2366 du 25 novembre 2015 a introduit une exigence d'authentification forte. A cet égard, l'article L. 133-44 du code monétaire et financier dispose : « I. ' Le prestataire de services de paiement applique l'authentification forte du client définie au f de l'article L. 133-4 lorsque le payeur : 1° Accède à son compte de paiement en ligne ; 2° Initie une opération de paiement électronique ;