Cour d'appel, 3ème chambre a, 23 juillet 2026 — n° 23/01148

* * * * EXPOSÉ DU LITIGE La SAS Katrima exploite un fonds de commerce alimentaire. En 2018, elle a souscrit auprès de la SA La Banque Postale une convention de compte-courant entreprise et un contrat d'adhésion au système de paiement par carte bancaire. Le 9 mars 2019, Mme [H], présidente de la société Katrima, a été contactée par téléphone par une personne prétendant appartenir au service informatique de la SA La Banque Postale et qui, dans le but annoncé de régulariser des opérations ultérieures, lui a demandé de lui communiquer l'identifiant de connexion de son espace personnel de gestion des comptes ainsi que son mot de passe. Elle a également sollicité la transmission de deux codes à usage unique reçus par SMS. Mme [H] a accédé à ces demandes. Entre le 11 et 23 mars 2019, dix-huit virements d'un montant total de 159.595,63 euros ont été effectués depuis le compte de la société Katrima. Mme [H] a informé la société La Banque Postale de ces virements frauduleux, par courriel du 23 mars 2019, et a déposé plainte le 25 mars 2019. Par courrier du 21 septembre 2020, la société Katrima a, par le biais de son conseil, sollicité la société La Banque Postale afin d'obtenir l'indemnisation de son préjudice financier. Par courrier du 26 octobre 2020, la société La Banque Postale a refusé, déclinant toute responsabilité. Par acte introductif d'instance du 2 juillet 2021, la société Katrima a fait assigner la société La Banque Postale devant le tribunal de commerce de Lyon. Par jugement contradictoire du 9 janvier 2023, le tribunal de commerce de Lyon a : débouté la société Katrima de l'ensemble de ses demandes, fins et moyens, dit que l'équité ne commande pas de faire application des dispositions de l'article 700 du code de procédure civile, condamné la société Katrima aux entiers dépens. Par déclaration reçue au greffe le 14 février 2023, la société Katrima a interjeté appel de ce jugement, portant sur l'ensemble des chefs de la décision expressément critiqués. *** Par conclusions notifiées par voie dématérialisée le 12 mai 2023, la société Katrima demande à la cour, au visa des articles 1231 du code civil et L. 133-1 et suivants du code monétaire et financier, de : infirmer le jugement rendu par le tribunal judiciaire de Lyon le 9 janvier 2023 en ce qu'il a débouté la société Katrima de ses demandes, c'est-à-dire en toutes ses dispositions, statuant à nouveau : constater, dire et juger que la société La Banque Postale a commis des manquements contractuels et engagé sa responsabilité en réalisant les virements frauduleux opérés entre le 11 et le 25 mars 2019, constater, dire et juger que la société Katrima n'a pas commis de négligence grave exonératoire de responsabilité pour la société La Banque Postale, en conséquence, condamner la société La Banque Postale au règlement à la société Katrima, de : la somme de 159 595,63 euros correspondant au montant des virements frauduleux, outre intérêts au taux légal majoré de quinze points à compter, au plus tard, du 27 mars 2019 et jusqu'à date de l'arrêt à venir, la somme de 50 000 euros correspondant au préjudice financier supplémentaire subi par la société Katrima, condamner la société La Banque Postale au règlement de la somme de 10 000 euros à titre d'indemnité procédurale au visa des dispositions de l'article 700 du code de procédure civile, outre les entiers frais et dépens de l'instance, dont distraction, pour ceux d'appel, au profit de Me Virgile Favier en application des dispositions de l'article 699 du code de procédure civile. Par conclusions notifiées par voie dématérialisée le 4 février 2026, la société La Banque Postale demande à la cour, au visa des articles L.

MOTIFS DE LA DÉCISION Sur la demande en paiement formée à l'encontre de la société La Banque Postale au titre des virements frauduleux La société Katrima fait valoir que : la Banque Postale a manqué à son obligation de sécurité définie aux articles L.511-3 du code monétaire et financier et L.133-1 et suivants du même code, et à l'article 32 du RGPD, en laissant des tiers accéder à des données confidentielles, le tiers qui a appelé Mme [H] avait connaissance de son numéro de téléphone mais aussi des trois dernières opérations réalisées sur le compte bancaire de la société, ce qui ne pouvait que l'induire en erreur et la mettre en difficulté, la banque a également manqué à son devoir de vigilance et d'information en n'informant pas sa cliente de l'existence de virements comportant une anomalie apparente, étant rappelé que les virements frauduleux ont été réalisés à destination de l'étranger et qu'un virement impose une vérification par le banquier de ses données, le fonctionnement habituel du compte de la société ne comporte que peu de mouvements, constitués avant tout par des opérations de crédit en carte bancaire, des autorisations de prélèvement, des commissions bancaires et des paiements par chèques à destination d'Intermarché, elle ne réalise aucune opération en direction de l'étranger de manière habituelle, ce qui n'est pas le cas de tous les virements réalisés, ce qui aurait dû alerter la banque, trois virements ont encore été réalisés après l'alerte donnée par Mme [H] à la banque le 23 mars 2019, le montant ainsi que le caractère répétitif des virements étaient le signe d'une anomalie qui aurait dû alerter la banque, la convention de compte du 12 septembre 2018, dans sa partie concernant les virements, indique qu'en cas de doute, la banque doit procéder à un contre appel avant de réaliser l'opération en question, aucune négligence fautive ne saurait lui être reprochée étant rappelé qu'elle a été victime d'une escroquerie particulièrement aboutie, elle a reçu un appel d'un individu disposant de ses coordonnées et connaissant les dernières opérations réalisées sur son compte, se présentant comme appartenant au service informatique de la banque, ce qui ne permettait pas d'émettre le moindre soupçon, et elle a reçu des codes de la part de la Banque Postale lorsqu'elle a réalisé les opérations demandées par son interlocuteur, elle a alerté la banque dès qu'elle a eu connaissance du préjudice subi, un samedi, en prenant soin d'indiquer le caractère urgent de sa demande, et le choix d'une alerte par ce biais ne saurait lui être reproché, aucune condition de forme n'étant requise par l'article L.133-24 du code monétaire et financier, la banque n'a répondu que trois jours ouvrés plus tard, ce qui établit son manque de diligence et a permis, en outre, la réalisation de trois nouvelles opérations frauduleuses. La société La Banque Postale fait valoir que : l'appelante opère dans ses écritures une confusion entre le régime de responsabilité contractuelle de droit commun en faisant état du devoir de vigilance de la banque et le régime spécifique de responsabilité concernant les opérations de paiement non autorisées relevant des articles L.133-1 et suivants du code monétaire et financier, la société Katrima estimant que les opérations ont été réalisées sans autorisation, il convient de faire application du régime de responsabilité spécifique prévu au code monétaire et financier, la directive relative à l'authentification forte (UE) 2015/2366 du 25 novembre 2016, dite DSP2 ne s'applique pas à l'espèce, étant rappelé qu'elle a été transposée à l'article L.133-4 du code monétaire et financier par ordonnance n°2017-1252 du 9 août 2017 dont les dispositions sont entrées en vigueur le 13 janvier 2018, sauf en ce qui concerne l'authentification forte, dont l'entrée en vigueur date du 15 mai 2021, soit deux ans avant les virements litigieux, l'appelante a commis une négligence grave voire une faute en transmettant à un tiers, non identifié, ses identifiant et code confidentiel permettant d'accéder à son espace bancaire personnel, sur simple sollicitation d'un tiers non nommé et sans que ce dernier n'ait eu recours à une usurpation d'identité ou de numéro de téléphone de la banque, la société Katrima ne démontre pas avoir été placée dans une situation d'urgence et aucun élément de la procédure ne démontre que sa vigilance a été amoindrie, il appartenait à l'appelante de vérifier l'identité de son interlocuteur qui se présentait comme appartenant aux effectifs de sa banque, la représentante légale de la société Katrima, qui est une professionnelle et dirige plusieurs sociétés, est expérimentée et a connaissance de ce que les données confidentielles concernant les modalités d'accès aux comptes bancaires ne doivent jamais être transmises à des tiers, la connaissance par l'interlocuteur de Mme [H] de trois opérations réalisées sur le compte est indifférente, et ce d'autant plus que celles-ci portaient sur des remises bancaires par des clients en supermarché, ce qui laisse envisager une fraude interne à l'appelante, seule la communication des informations relatives à l'accès à l'espace professionnel et le code de validation ont permis la réalisation des virements, sachant que les tiers ont créé de nouveaux comptes bénéficiaires de virements qui ont nécessité une validation par le biais d'un code reçu sur le téléphone portable de Mme [H], code qu'elle a communiqué à son interlocuteur sans difficulté, l'appelante a également manqué de vigilance en ne contactant pas sa banque alors que l'appel présentait un caractère suspect et sachant qu'aucune banque ne sollicite la communication d'informations confidentielles par téléphone, ne contacte ses clients par le biais d'un service informatique, et que les services support de la Banque Postale ne travaillent pas le samedi, l'absence d'information immédiate l'a empêchée de prendre les mesures nécessaires pour mettre fin à la situation, alors que l'appelante prétend que les mouvements étaient anormaux mais ne s'est pas inquiétée avant 15 jours de la situation, l'appelante a également fait preuve de légèreté dans le signalement à la banque de la situation, se contentant d'adresser un courriel le 23 mars 2019, sachant son agence fermée ce jour-là, ce qui impliquait une connaissance de la situation uniquement à compter du 25 mars 2019, et ne démontre pas une réaction à la hauteur de l'urgence qu'elle disait connaître, à la réception du courriel, elle a réagi immédiatement en demandant à l'appelante les informations concernant les virements litigieux, par l'envoi d'un courriel à 8h23 le 25 mars 2019, qui n'a reçu une réponse le même jour qu'à 16h53, la société Katrima ne peut prétendre avoir été victime d'hameçonnage alors que son interlocuteur s'est présenté comme appartenant au service informatique, qu'il aurait fait état de difficultés concernant l'enregistrement des paiements cartes bancaires des clients, sollicitant les codes confidentiels afin d'éviter tout blocage à l'avenir, ce qui constitue une fraude facilement détectable pour un professionnel d'expérience comme la dirigeante de l'appelante, elle fait preuve de mauvaise foi en prétendant ne pas vérifier régulièrement ses comptes, ce qui questionne quant à sa gestion, mais surtout omet d'indiquer qu'elle n'a pas fait opposition lors de sa prise de connaissance des virements, elle fait également preuve de mauvaise foi en reprochant à la banque son délai de réponse au prétexte que trois jours ouvrés se sont écoulés, alors qu'elle a signalé les faits un samedi et qu'une réponse lui a été adressée dès le lundi, en qualité de banquier, elle n'a pas manqué à son obligation de vigilance, sachant qu'une obligation générale de non immixtion est mise à sa charge et lui interdit de prendre position sur des opérations réalisées par son client, qui vient contrebalancer son obligation de surveillance des comptes, le banquier a l'obligation d…

PAR CES MOTIFS La Cour, statuant publiquement, par arrêt contradictoire, dans les limites de l'appel, Confirme en toutes ses dispositions la décision déférée, Y ajoutant, Condamne la SAS Katrima à supporter les entiers dépens de la procédure d'appel, Condamne la SAS Katrima à verser à la SA La Banque Postale la somme de 2.500 euros à titre d'indemnisation sur le fondement de l'article 700 du code de procédure civile. La greffière La présidente