MOTIVATION
Le tribunal rappelle que ne constituent pas des prétentions au sens de l'article 4 du code de procédure civile les demandes des parties tendant à 'dire et juger' ou 'constater', en ce que, hors les cas prévus par la loi, elles ne sont pas susceptibles d'emporter de conséquences juridiques, mais constituent en réalité des moyens ou arguments, de sorte que le tribunal n'y répondra qu'à la condition qu'ils viennent au soutien de la prétention formulée dans le dispositif des conclusions et, en tout état de cause, pas dans son dispositif mais dans ses motifs.
A titre liminaire, le tribunal constate que le Société Générale a déjà effectué un virement à M. [O] [W] du montant exact de la somme détournée le 17 septembre 2025.
Il n'y a donc pas lieu de la condamner à restituer cette somme à M. [O] [W].
Sur la demande de condamnation aux intérêts légaux majorés des pénalités
Il ressort des dispositions de l'article L133-18 du code monétaire et financier, qu'en cas d'opération de paiement non autorisée signalée par l'utilisateur dans les conditions prévues à l'article L133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l'opération non autorisée immédiatement après avoir pris connaissance de l'opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s'il a de bonnes raisons de soupçonner une fraude de l'utilisateur du service de paiement et s'il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l'état où il se serait trouvé si l'opération de paiement non autorisée n'avait pas eu lieu.
L'article L133-19, dispose que la responsabilité du payeur n'est pas engagée si l'opération de paiement non autorisée a été effectuée en détournant, à l'insu du payeur, l'instrument de paiement ou les données qui lui sont liées.
Elle n'est pas engagée non plus en cas de contrefaçon de l'instrument de paiement si, au moment de l'opération de paiement non autorisée, le payeur était en possession de son instrument.
Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.133-16 et L.133-17.
L'article L133-23 ajoute que lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre.
L'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d'initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur de services de paiement.
L'article L133-24 de ce même code fait obligation à l'utilisateur de services de paiement de signaler, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée, et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion.
Il résulte de ces textes que s'il appartient à l'utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d'informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l'instrument de paiement ou des données qui lui sont liées, c'est à ce prestataire qu'il incombe, de rapporter la preuve que l'utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n'a pas satisfait intentionnellement ou par négligence grave à ses obligations.
Cette preuve ne peut se déduire du seul fait que l'instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés.
Par ailleurs, sur le fondement de ces textes, la Cour de Cassation fait obligation au prestataire de service, qui entend faire supporter à l'utilisateur d'un instrument de paiement doté d'un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, de prouver au préalable que l'opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre.
(Com., 20 novembre 2024, n° 23-15.099 ; Com 30 avril 2025, n°24-10149)
Il appartient donc à la banque, qui se prévaut d'une négligence grave de M. [W] pour rejeter sa demande, de rapporter la preuve non seulement de cette négligence grave, mais également de l'utilisation de ses données de sécurité personnelles pour l'authentification des paiements litigieux.
Sur ce point, il n'est pas contesté que les données de sécurité personnelle de M. [W] ont été utilisées pour procéder aux ordres de paiement et virement litigieux ; la banque produit par ailleurs le relevé des opérations réalisées, démontrant que l'ajout de comptes extérieurs, du virement interne, d'augmentation de plafond et le paiement litigieux ont été réalisés par l'intermédiaire d'un système d'authentification forte.
Il n'est pas plus contesté que M. [W] a signalé les faits litigieux à sa banque sans délai, respectant ainsi les conditions posées par l'article L133-24.
Les parties s'opposent donc uniquement sur la notion de négligence grave, et son évaluation au regard des circonstances de l'espèce.
La banque reproche à sa cliente de ne pas avoir respecté les conditions générales du service de banque en ligne et du " sécur'pass " en divulguant des informations confidentielles liées à l'accès à ses services en ligne et à ses instruments de paiement, et ce en dépit des nombreuses campagnes d'information menées sur les risques de fraude, par mail, par sms, et sur la page de connexion aux services en ligne.
Il convient de constater en premier lieu qu'il ne ressort d'aucun élément de la procédure que M. [W] ait communiqué des informations personnelles ou de quelconques codes à l'individu qui l'a contactée par téléphone.
En réalité, les opérations étaient réalisées par son interlocuteur, et il s'est limité à les valider par l'intermédiaire des codes de sécurité générés par le service en ligne de la banque, et qui avaient en conséquence l'apparence classique de messages sms adressés par sa banque.
Par ailleurs, il est constant qu'aucune négligence grave au sens de l'article L133-19 du code monétaire et financier ne peut être imputée au titulaire d'un compte qui, contacté téléphoniquement par une personne se faisant passer pour un préposé de sa banque dont le numéro s'affichait, utilise à sa demande le dispositif de sécurité personnalisé pour supprimer puis réinscrire des bénéficiaires de virements dans le but d'éviter des opérations malveillantes. (Com., 23 octobre 2024, pourvoi n° 23-16.267)
En l'occurrence, M.