Cour d'appel, troisieme chambre, 9 juillet 2026 — n° 25/03149

EN CONSÉQUENCE LA RÉPUBLIQUE FRANÇAISE mande et ordonne à tous les commissaires de justice, sur ce requis, de mettre ladite décision à exécution, aux procureurs généraux et aux procureurs de la République près les tribunaux judiciaires d'y tenir la main, à tous les commandants et officiers de la [Localité 4] Publique de prêter main-forte lorsqu'ils en seront légalement requis. En foi de quoi, la présente décision a été signée par le Président et le Greffier.

EXPOSE DU LITIGE : 1. Les faits et la procédure antérieure : M. [S] [E] est titulaire de plusieurs comptes à la Banque Populaire du Nord (la banque). Le 30 juin 2022, il a déposé une plainte dans laquelle il a dénoncé trois prélèvements frauduleux sur son compte bancaire à hauteur de la somme de 5'000 euros chacun et un paiement de 699 euros sur le site de la société Boulanger. Par courrier du 11 avril 2023, il a mis en demeure la Banque Populaire du Nord d'avoir à lui rembourser ces sommes débitées frauduleusement sur son compte. Par courrier du 12 mai 2023, la banque lui a opposé un refus au motif qu'il n'avait pas respecté les principes de sécurité. Par acte 26 juillet 2023, M. [E] a donc fait assigner la Banque Populaire du Nord devant le tribunal judiciaire de Lille afin d'obtenir le paiement des sommes litigieuses et la réparation de son préjudice. 2. Le jugement dont appel : Par jugement rendu le 29 avril 2025, le tribunal judiciaire de Lille a : 1. débouté M. [S] [E] de sa demande de remboursement de la somme de 15'699 euros par la Banque Populaire du Nord 2. débouté M. [S] [E] de sa demande de condamnation de la Banque Populaire du Nord pour résistance abusive 3. dit que M. [S] [E] conservera la charge des entiers dépens de l'instance 4. débouté M. [S] [E] de sa demande fondée sur les dispositions de l'article 700 du code de procédure civile 5. débouté la Banque Populaire du Nord de sa demande fondée sur les dispositions de l'article 700 du code de procédure civile. 3. La déclaration d'appel : Par déclaration du 17 juin 2025, M. [E] a formé de l'intégralité des chefs du dispositif de ce jugement, exceptée la disposition numérotée 5 ci-dessus. 4. Les prétentions et moyens des parties : 4.1 Aux termes de dernières conclusions notifiées le 16 janvier 2026, M. [E], appelant, demande à la cour, au visa des articles L. 133-19, IV et L. 133-23 du code monétaire et financier, et 1240 du code civil, de': - infirmer le jugement entrepris en ses dispositions critiquées dans la déclaration d'appel Statuant à nouveau : - le déclarer recevable et bien fondé en ses demandes - dire que le montant du litige porte sur la somme de 15'699 euros en principal - condamner la banque populaire du Nord à lui payer la somme de 15'699 euros correspondant au montant total des prélèvements frauduleux non remboursés, avec intérêts au taux légal capitalisés à compter du 11 avril 2023, date de la mise en demeure - condamner la Banque Populaire du Nord à lui payer la somme de 2'000 euros à titre de dommages et intérêts pour résistance abusive - débouter la Banque Populaire du Nord de l'ensemble de ses demandes - condamner la Banque Populaire du Nord à lui payer la somme de 3'000 euros en application des dispositions de l'article 700 du code de procédure civile - condamner la Banque Populaire du Nord aux entiers dépens de première instance et d'appel. Au soutien de ses prétentions, M. [E] fait valoir que': - en application des articles L. 133-19 IV, L. 13316 et L. 133-17 du code monétaire et financier, il incombe à la banque de rapporter la preuve d'une négligence grave qui ne saurait résulter de la seule utilisation de l'instrument de paiement ou des données personnelles - contrairement aux assertions du premier juge, le montant des prélèvements frauduleux s'élève à 15'000 euros outre une somme de 699 euros correspondant à un paiement frauduleux - la fraude a eu lieu alors qu'il a cliqué sur un lien Internet émanant faussement d'[M] aux fins de mise de mise à jour de ses coordonnées notamment bancaires et qu'il a été contacté par un faux conseiller bancaire (spoofing) - or, la négligence grave n'est pas caractérisée dès lors que la victime croyait légitimement être en ligne avec un conseiller bancaire et ce, même en cas de validation des opérations litigieuses

MOTIFS DE LA DÉCISION Sur demande de remboursement L'article L. 133-19 IV du code monétaire et financier dispose que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.'133-16 et L. 133-17 du même code. L'article L. 133-16 du même code dispose que dès qu'il reçoit un moyen de paiement, l'utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. Il utilise l'instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées. L'article L. 133-17 du même code prévoit que lorsqu'il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l'utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l'instrument, son prestataire ou l'entité désignée par celui-ci. En application de l'article 133-18 du même code, en cas d'opération de paiement non autorisée, réalisée au moyen d'un instrument de paiement doté de données de sécurité personnalisées, et signalée par l'utilisateur dans les conditions prévues à l'article L. 133-24 du code monétaire et financier, le prestataire de services de paiement du payeur rembourse au payeur le montant de l'opération non autorisée, sauf si la responsabilité du payeur est engagée en application de l'article L. 133-19 du même code. L'article L. 133-19 dudit code énonce que II. la responsabilité du payeur (le titulaire du compte ou de la carte bancaire) n'est pas engagée si l'opération de paiement non autorisée a été effectuée en détournant, à son insu, l'instrument de paiement ou les données qui lui sont liées (...) IV. Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 [obligation de prendre toute mesure raisonnable pour préserver la sécurité du dispositif de sécurité personnalisé] et L. 133-17. » Aux termes de l'article'L. 133-23, alinéa 2 dudit code,'l'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Il résulte de ces textes qu'il incombe au prestataire de services de paiement de rapporter la preuve que l'utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n'a pas satisfait intentionnellement ou par négligence grave à son obligation de prendre toute mesure raisonnable pour préserver la sécurité des données de sécurité personnalisées, que cette preuve de la négligence grave ne peut se déduire du seul fait que l'instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés. (Cour de cassation, Chambre commerciale financière et économique, 5 Mars 2025 ' n° 23-22.687). Sur ce, La banque'ne conteste pas que M. [E] n'a pas donné son consentement aux opérations litigieuses qui constituent des opérations non autorisées au sens des dispositions des articles L. 133-3 et L. 133-6 du code monétaire et financier. Il est établi que celui-ci a reçu le 15 juin 2022 à 23h52 un SMS rédigé en ces termes': «'[M]': info mercredi': Veuillez suivre la procédure de renouvellement de votre carte vitale via le lien suivant': https://nouvelle-carte.fr .'» M. [E] admet qu'il a cliqué sur ce lien et a été redirigé vers une page comportant un formulaire qu'il a renseigné en communiquant son identité, des date et lieu de naissance ainsi que ses coordonnées bancaires. Il indique que le 29 juin 2022, soit deux semaines plus tard, il a été contacté à partir d'un numéro de téléphone portable ([XXXXXXXX01]) par une personne se présentant comme un préposé du service des fraudes de la Banque populaire qui l'alertait des mouvements suspects sur son compte bancaire et lui proposait de le guider dans le processus d'annulation des opérations frauduleuses. Dans sa plainte du 30 juin 2022, M. [E] explique que son interlocuteur lui a fait redémarrer son application et changer ses codes de sécurité, puis il lui a fait valider les opérations litigieuses par un code reçu par SMS, en croyant les annuler. Si l'article L. 133-18, alinéa 1, du code monétaire et financier pose le principe du remboursement par la'banque'des opérations non autorisées, le prestataire de services de paiement peut échapper à son obligation de remboursement s'il démontre non seulement que les données d'authentification de l'utilisateur ont été utilisées et qu'il n'y a pas eu de défaillance technique de son système, mais aussi la négligence grave de son client. Sur les données d'authentification utilisées et l'absence de défaillance technique La banque produit le relevé des connexions de M. [E] au système d'identification au mois de juin 2022, faisant apparaitre l'ajout de deux comptes tiers ainsi qu'un paiement de 699 euros au bénéfice de Boulanger SA et deux virements de 5'000 euros chacun, ces opérations ayant bien été effectués via le système d'authentification forte Securipass. Il est ainsi établi que les opérations de paiement et de virement ont été effectuées à l'aide de la saisie d'un code reçu par SMS puis la saisie du code secret de connexion banque en ligne pour leur validation de sorte que le système a bien fonctionné. La banque'a en effet mis en oeuvre dans leurs relations contractuelles un dispositif de sécurisation des instruments de paiement dit «'d'authentification forte'» tel que défini à l'article L 133-4 f du code monétaire et financier et permettant à celle-ci grâce à des données personnalisées, de vérifier l'identité de son client, utilisateur du service de paiement particulièrement pour les opérations en ligne, ce dispositif intitulé «'clé digitale'» consistant en l'usage associé d'un code personnel et d'une application installée sur le téléphone portable du client. L'absence de défaillance technique est établie par la production par la banque des traces informatiques des opérations conformes au déroulé des événements tel qu'expliqué par M. [E] et prouvant les opérations techniques qui ont conduit à l'émission de Sms, au transfert de la clé digitale et à la validation du paiement et des virements. Sur la négligence grave Il est de jurisprudence constante que le défaut de vigilance du payeur qui communique ses données permettant à un tiers l'utilisation, y compris avec son aide, de son espace bancaire personnel en contournement du système d'authentification forte, dans des circonstances qui devaient l'alerter sur la commission à son préjudice d'agissements frauduleux, caractérise la négligence grave opposable par la banque (Cour de cassation, chambre commerciale, 2018-03-28, n° 16-20.018 ; Cour de cassation, chambre commerciale, 2019-04-17, n° 17-25.742). Néanmoins, il a été jugé qu'aucune négligence grave ne peut être imputée au titulaire d'un compte qui, contacté téléphoniquement par une personne se faisant passer pour un préposé de sa banque dont le numéro s'affichait, utilise à sa demande le dispositif de sécurité personnalisé pour supprimer puis réinscrire des bénéficiaires de virements dans le but d'éviter des opérations malveillantes (Cour de cassation, chambre commerciale, 23 octobre 2024, n° 23-16.267 ; dans le même sens : Cour de cassation, chambre commerciale, 12 juin 2025, n° 24-13.777). Il est établi que': - M.