Texte intégral
TRIBUNAL
JUDICIAIRE
DE PARIS [1]
[1]
Copies délivrées le: 15/01/2025
Me HUBERT - K0154 (exécutoire)
Me FOUQUIER - R110 (certifiée conforme)
■
9ème chambre 2ème section
N° RG :
N° RG 24/02649 - N° Portalis 352J-W-B7I-C4FED
N° MINUTE : 15
Assignation du :
21 Février 2024
JUGEMENT
rendu le 15 Janvier 2025
DEMANDEURS
Monsieur [V] [H]
[Adresse 3]
[Localité 6]
Madame [J] [T]
[Adresse 3]
[Localité 6]
représentés par Maître Denis HUBERT de l’AARPI KADRAN AVOCATS, avocats au barreau de PARIS, avocats plaidant, vestiaire #K0154
DÉFENDERESSE
S.A Coopérative BANQUE POPULAIRE RIVES DE [Localité 7], prise en la personne de son représentant légal
[Adresse 4]
[Localité 7]
représentée par Maître Christophe FOUQUIER de l’ASSOCIATION De CHAUVERON VALLERY-RADOT LECOMTE, avocats au barreau de PARIS, avocats plaidant, vestiaire #R110
Décision du 15 Janvier 2025
9ème chambre 2ème section
N° RG 24/02649 - N° Portalis 352J-W-B7I-C4FED
COMPOSITION DU TRIBUNAL
Monsieur Gilles MALFRE, Premier Vice-président adjoint,
Monsieur Augustin BOUJEKA, Vice-Président
Monsieur Alexandre PARASTATIDIS, Juge
assistés de Madame Alice LEFAUCONNIER, Greffière.
DÉBATS
A l’audience du 13 Novembre 2024 tenue en audience publique devant Monsieur PARASTATIDIS, juge rapporteur, qui, sans opposition des avocats, a tenu seul l’audience, et, après avoir entendu les conseils des parties, en a rendu compte au Tribunal, conformément aux dispositions de l’article 805 du Code de Procédure Civile. Avis a été donné aux avocats que la décision serait rendue le 15 janvier 2025.
JUGEMENT
Rendu publiquement par mise à disposition au greffe
Contradictoire
En premier ressort
FAITS ET PROCEDURE
M. [V] [H] et son épouse, Mme [J] [H] née [T] contestent avoir autorisé diverses opérations débitées de leur compte joint n°[XXXXXXXXXX01] ouvert dans les livres de la SA Banque populaire rives de [Localité 7] (ci-après BPRDP) pour un montant total de 25.040,37 euros, à savoir :
- trois virements : un premier de 8.600 euros le 1er avril 2023 au bénéfice d’un dénommé « [U] », un deuxième de 6.000,37 euros le 1er avril 2023 au bénéfice de « [K] » et un troisième le 2 avril 2023 de 6.420 euros au bénéfice de « [W] » ;
- douze règlements par carte bancaire d’un montant de 350 euros chacun, soit une somme totale de 4.200 euros, entre le 1er et le 4 avril 2023.
Ils contestent également avoir autorisé divers mouvements entre leurs autres comptes ouverts dans l’établissement pour approvisionner leur compte joint finalement débité.
Le 2 avril 2023, les époux [H] ont bloqué leurs deux cartes bancaires associées au compte joint et déposé une pré-plainte en ligne suivie d’un dépôt de plainte auprès des services de police le 5 avril 2023 pour escroquerie.
En réponse à leurs diverses réclamations, l’établissement bancaire a opposé aux époux [H] le fait que les opérations litigieuses ont fait l’objet d’une authentification forte depuis l’espace personnel Cyberplus de M. [H] et ne leur a proposé qu’une indemnisation partielle à hauteur de 10.440 euros correspondant aux sommes débitées postérieurement au 2 avril 2023.
C'est dans ce contexte que par exploit de commissaire de justice du 21 février 2024, les époux [H] ont fait assigner la BPRDP devant le tribunal judiciaire de Paris en recherche de sa responsabilité. Aux termes de leurs dernières conclusions signifiées par voie électronique le 3 septembre 2024, aux visas des articles L.133-16, L.133-17, L.133-19 et L 133-23 du code monétaire et financier, 1240 du code civil, et 514 du code de procédure civile, il est demandé au tribunal de :
« ▪ déclarer Madame [J] [H] et Monsieur [V] [H] recevables et bien fondés en l’ensemble de leurs demandes ;
▪ condamner la société BANQUE POPULAIRE RIVE DE [Localité 7] à restituer à Madame [J] [H] et Monsieur [V] [H] la somme de 25 040,37 euros ;
▪ condamner la société BANQUE POPULAIRE RIVE DE [Localité 7] à verser à Madame [J] [H] et Monsieur [V] [H] la somme de 2 000,00 euros à titre de dommages et intérêts pour résistance abusive ;
▪ condamner la société BANQUE POPULAIRE RIVE DE [Localité 7] aux entiers dépens ainsi qu’à verser à Madame [J] [H] et Monsieur [V] [H] la somme de 3 000,00 euros au titre de l’article 700 du Code de procédure civile ;
▪ rappeler que l’exécution provisoire est de droit. »
A l’appui de leurs prétentions, les demandeurs exposent qu’à réception d’un mail suspect du 1er avril 2023 l’interrogeant sur l’origine d’un virement de 8.600 euros au profit d’un dénommé [U] [I], M. [H] s’est immédiatement rendu dans son agence où il lui a été indiqué qu’il s’agissait d’un « spam » et que cette opération n’était pas en attente de débit. Ils ajoutent que le soir même, M. [H] a reçu un second message concernant cette fois-ci un virement de 6.000,37 euros au bénéfice de « [K] » et qu’en consultant ses comptes le lendemain, il a constaté que les deux virements, ainsi qu’un troisième de 6.420 euros, avaient été débités de leur compte joint qui lui-même avait été approvisionné par des mouvements entre leurs différents comptes ouverts auprès de la BPRDP.
Les époux [H] font valoir qu’ils n’ont jamais validé les opérations litigieuses, y compris l’augmentation du plafond autorisé, ni communiqué les identifiant et mot de passe permettant l’accès à l’espace en ligne de M. [H] et soutiennent que la banque a engagé sa responsabilité en ne les alertant pas alors qu’en l’espace de deux jours, quinze virements, dont trois pour des montants importants, et une augmentation de plafond ont été effectués sur leur compte, précisant que dès le 1er avril 2023, ils ont signalé la réception d’un mail suspect. Ils concluent dès lors, sur le fondement de l’article L.133-18 du code monétaire et financier, précisant ne pas invoquer le régime de responsabilité de droit commun, à l’obligation de remboursement de la banque dont ils soulignent la négligence.
Ils contestent par ailleurs toute négligence de leur part, expliquant que si M. [H] a cliqué sur un lien contenu dans un courriel d’hameçonnage reçu le 29 mars 2023 concernant la mise en service du Pass CyberPlus, il n’a en revanche communiqué aucune donnée de sécurité personnalisée, validé aucune opération ni reçu aucune notification ou message, ce que ne démontre d’ailleurs pas le relevé d’authentification produit par la défenderesse. Ils soulignent au contraire avoir été diligents en se rendant le 1er avril 2023 en agence pour signaler que M. [H] avait cliqué sur le lien frauduleux, passage que la banque ne conteste pas aux termes d’un courrier du 4 août 2023, et avoir ainsi suivi la procédure préconisée par l’établissement bancaire qui n’a pourtant pris aucune mesure pour préserver leurs fonds et bloquer les opérations litigieuses qui ne sont apparues que postérieurement puisque le premier virement n’est intervenu que dans la soirée du 1er avril 2023.
Les demandeurs sollicitent en conséquence la condamnation de la banque à leur rembourser l’intégralité des sommes débitées, précisant qu’ils ont été privés depuis des intérêts que ces sommes, si elles avaient été placées, auraient généré.
Enfin, les époux [H] sollicitent la condamnation de la BPRDP à leur payer la somme de 2.000 euros en réparation du préjudice moral résultant de la résistance abusive dont elle a fait preuve et caractérisée par sa mauvaise foi dans la résolution du litige alors qu’ils sont clients depuis de nombreuses années de cet établissement.
Aux termes de ses dernières conclusions signifiées par voie électronique le 14 octobre 2024, aux visas des articles L.133-16 et suivants du code monétaire et financier, et 514-1 du code de procédure civile, la BPRDP demande au tribunal de :
« -Débouter Monsieur [V] [H] et Madame [J] [T] épouse [H] en l’ensemble de leurs prétentions, fins et demandes pour les motifs exposés dans les présentes conclusions.
- Ecarter en toute hypothèse l’exécution provisoire de la décision à intervenir.
- Condamner solidairement Monsieur [V] [H] et Madame [J] [T] épouse [H] à payer à la BANQUE POPULAIRE RIVES DE [Localité 7] une somme de 2.500,00 € sur le fondement de l’article 700 du CPC et aux entiers dépens de l’instance qui seront recouvrés par Me Christophe FOUQUIER, Avocat au barreau de PARIS, conformément à l’article 699 du CPC. »
A l'appui de ses prétentions, elle expose tout d’abord que dans un courriel du 4 avril 2023, M. [H] reconnaît avoir reçu le 29 mars 2023 un courrier électronique l’invitant à activer le nouveau Pass CyberPlus et avoir cliqué sur un lien contenu dans ce message nécessitant par la suite que l’utilisateur renseigne ses données bancaires. Elle ajoute que les 29 mars et 1er avril 2023, elle a adressé des courriels et SMS à M. [H] l’informant, pour les premiers, de son inscription en cours au système Secur’Pass avec l’appareil IPhone associé au [XXXXXXXX02] et, pour les seconds, de la confirmation de l’activation du service, avec à chaque fois l’invitation à se rapprocher de l’établissement s’il n’était pas à l’origine de l’opération, sans que ce dernier ne se manifeste. Elle précise également que les paiements litigieux ont fait l’objet d’une authentification forte et que la connexion à l’espace CyberPlus par un tiers sur un terminal inhabituel n’est possible qu’après autorisation par la saisie du code Secur’Pass sur l’application mobile ou du code à usage unique adressé par SMS sur le numéro de téléphone sécurisé communiqué par le client. Enfin, elle explique que dans la mesure où les époux [H] reconnaissent avoir reçu un SMS/courriel les informant de la réalisation des virements de 8.600 et 6.000,37 euros, il en a été nécessairement de même pour les autres opérations litigieuses.
La banque soutient dès lors qu’en premier lieu, les époux [H] ne peuvent rechercher sa responsabilité en sa qualité de prestataire de services de paiement en raison d’une opération de paiement non autorisée ou mal exécutée que sur le fondement du régime de responsabilité défini aux articles L.133-18 à L.133-24 du code monétaire et financier, à l’exclusion de tout autre régime de responsabilité de droit commun et notamment d’une obligation de vigilance suite à l’alerte donnée le 1er avril 2023.
En second lieu, la BPRDP fait valoir qu’elle justifie de l’authentification, de l’enregistrement, de la comptabilisation et de l’absence de déficience technique des paiements litigieux par la production d’un tableau provenant de ses services informatiques.
Enfin, elle soutient que les époux [H] ont fait preuve d’une négligence grave de nature à l’exonérer de toute obligation de remboursement dès lors qu’ils reconnaissent, et ce malgré les alertes données depuis 2021 sur ce type de fraude, avoir cliqué sur le lien contenu dans le courriel frauduleux du 29 mars 2023, permettant ainsi la transmission de leurs données bancaires, et ce alors que celui-ci présentait des anomalies de forme et de fond (logo « Banque populaire » et non « Banque populaire rives de [Localité 7] », des fautes d’orthographe et erreurs de syntaxe, une absence de signature et une adresse URL sans aucune similitude avec celle de son site) qu’un utilisateur normalement attentif auraient dû déceler. Elle ajoute que les demandeurs reconnaissent avoir suspecté le caractère manifestement frauduleux de ce courriel, notamment s’agissant du logo contenu dans ce message, ce qui les aurait d’ailleurs incités à se déplacer, selon eux, dans leur agence bancaire le 1er avril 2023 aux alentours de 15h, soit plusieurs jours après les faits, ce signalement ne pouvant en tout état de cause couvrir leur négligence grave caractérisée par un manquement à leur obligation de préserver leurs données de sécurité personnalisées. Elle conclut en conséquence au rejet de la demande fondée sur les dispositions de l’article L.133-18 du code monétaire et financier.
A titre subsidiaire, la banque conclut au rejet de la demande d’indemnisation sur le fondement d’une résistance abusive de sa part, faisant valoir qu’elle était légitime à discuter la demande d’indemnisation présentée par les époux [H] qui ne rapportent pas la preuve d’un acte de malice ou de mauvaise foi, ou d’une erreur grossière équivalente au dol de sa part, ni celle du préjudice moral qu’ils allèguent.
Conformément aux dispositions de l’article 455 du code de procédure civile, il est renvoyé aux dernières écritures des parties pour l’exposé des moyens et arguments venant au soutien de leurs demandes.
La clôture de l’instruction a été prononcée le 18 octobre 2024. L’affaire a été évoquée à l’audience de plaidoiries tenue en juge rapporteur le 13 novembre 2024 et mise en délibéré au 15 janvier 2025.
MOTIFS DE LA DÉCISION
Une opération de paiement n’est autorisée au sens des articles L.133-3 et L.133-6 du code monétaire et financier que si le payeur l’a initiée et a consenti au montant de l’opération.
Dès lors que la responsabilité d'un prestataire de services de paiement est recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier qui transposent les articles 58, 59 et 60, § 1, de la directive 2007/64/CE, tout autre régime alternatif de responsabilité résultant du droit national devant être écarté.
Ainsi, en cas d'opération de paiement non autorisée signalée par l'utilisateur dans les délais prévus par l'article L.133-24 du même code, le prestataire de services de paiement du payeur rembourse à ce dernier le montant de l'opération non autorisée sauf s'il a de bonnes raisons de soupçonner une fraude de l'utilisateur du service de paiement.
Dans cette hypothèse, il incombe au prestataire de paiement de prouver que l'opération litigieuse a été effectuée après une authentification forte, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre, l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement, à savoir l’utilisation des identifiants du client et l’absence de déficience technique ou autre, notamment par le biais de la production d’un relevé de ses connexions, ne suffisant pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur.
L'article L.133-4 (f) du code précité précise qu’une authentification forte s’entend d’une authentification reposant sur l'utilisation de deux éléments ou plus appartenant aux catégories « connaissance » (quelque chose que seul l'utilisateur connaît telle qu’un mot de passe, un code secret, une question secrète, etc…), « possession » (quelque chose que seul l'utilisateur possède telle qu’un téléphone portable, une montre connectée, une clé USB etc…) et « inhérence » (quelque chose que l'utilisateur est telle que la reconnaissance faciale ou vocale, la reconnaissance par empreinte digitale, etc…) et indépendants en ce sens que la compromission de l'un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d'authentification. L'authentification forte repose donc sur l'utilisation de deux de ces éléments, voire plus.
Par ailleurs, la responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à son insu, l’instrument de paiement ou les données qui lui sont liées. Cependant, il supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’agissements frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.133-16 et L.133-17 du code précité.
Ainsi, pour échapper au remboursement de l’opération contestée, le prestataire de services de paiement doit démontrer, soit que l’ordre émanait bel et bien du client dûment authentifié dans son espace personnel, soit que le vol des identifiants de connexion (ou d’autres données) n’est que la conséquence d’une faute grave de sa part consistant à ne pas avoir satisfait intentionnellement aux obligations lui incombant en la matière ou à les avoir gravement négligées.
En l’espèce, la banque produit un relevé des traces informatiques relatives à la période litigieuse dont il résulte que les opérations contestées, à savoir l’ajout de trois bénéficiaires et la validation des virements et paiements par carte bancaire, ont été réalisées depuis l’espace en ligne de M. [H] et validées via le système Secu’Pass depuis une application IPhone utilisée sur un appareil auquel est associé le n° de téléphone [XXXXXXXX02] dont M. [H] ne discute pas qu’il en est le titulaire, étant relevé que cette même ligne était déjà associée aux opérations antérieures au 29 mars 2023.
Cependant, il n’est pas discuté par les parties, la banque soutenant elle-même la négligence grave de M. [H], que les époux [H] ont fait l’objet d’une escroquerie de type « phishing », M. [H] admettant avoir reçu le 29 mars 2023 un courriel frauduleux l’invitant à activer le nouveau Pass CyberPlus et cliqué en conséquence sur un lien contenu dans ce message dont il a d’ailleurs transmis une copie à la banque par courriel du 4 avril 2023, et que les demandeurs n’ont pas consenti ni dans le principe et dans le quantum aux opérations litigieuses qui n’ont donc pas été autorisées au sens des dispositions du code monétaire et financier.
La responsabilité de la BPRDP ne peut en conséquence être recherchée que sur le fondement du régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier.
Or, le seul fait qu'un tiers utilise les données personnelles du client est insuffisant pour caractériser une négligence grave commise par ce dernier.
Au cas particulier, faute de reconnaissance de sa part sur ce point, il n’est pas rapporté la preuve que M. [H] a exécuté d’autre action que celle de cliquer sur le lien contenu dans le courriel du 29 mars 2023 et/ou communiqué volontairement à cette occasion des informations personnelles voire des données de sécurité personnalisées.
Cependant, comme le relève la banque, les anomalies apparentes contenues dans le courriel du 29 mars 2023, notamment la syntaxe utilisée « Or, nous n’avons pas à ce jour pas reçu (…) », « Nous vous demandons avec bienveillance (…) » et l’adresse URL utilisée sans aucune référence à la BPRDP (https://www.holeofitn.com/...), étaient de nature à faire naître des soupçons sur le caractère frauduleux de cet envoi et donc dissuader son destinataire de cliquer sur le lien qu’il contenait, notamment au regard de son objet sensible. Par ailleurs, la BPRDP démontre avoir adressé un courriel le 29 mars 2023 à 15h03 sur l’adresse électronique de M. [H] (« [Courriel 5] ») l’informant de la prise en compte de sa demande de souscription au Sécur’Pass sur un téléphone IPhone qui manifestement n’était pas le sien puisque le relevé de traces informatiques mentionne l’usage d’un appareil Android pour les opérations antérieures au 29 mars 2023, message qui aurait dû alerter et susciter une réaction immédiate de l’intéressé qui affirme avoir uniquement cliqué sur le lien sans autre précision sur les éléments apparus ou demandés après cette opération.
Or, lorsqu'il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l'utilisateur de services de paiement doit en informer sans tarder, aux fins de blocage de l'instrument, son prestataire ou l'entité désignée par celui-ci conformément aux dispositions de l’article L.133-17 du code monétaire et financier.
Au cas particulier, les époux [H] indiquent avoir informé la banque seulement le 1er avril 2023 en se déplaçant à l’agence de [Localité 6] aux alentours de 15 heures, soit postérieurement aux deux premiers virements de 6.000,37 et 8.600 euros qui ont été validés le même jour par authentification forte (Secur’Pass) à 14h23 et 14h30.
Il résulte de ces éléments que les époux [H] n’ont pas satisfait aux obligations mises à leur charge par l’article L.133-17 du code monétaire et financier et peuvent donc se voir reprocher une négligence grave au sens de l’article L.133-19 du même code qui les prive de la possibilité de faire supporter par la banque les pertes occasionnées par les opérations de paiement non autorisées effectuées le 1er avril 2023.
S’agissant des autres opérations, les époux [H] ne peuvent fonder leurs demandes sur l'obligation générale de vigilance incombant à leur banque.
En revanche, il ressort des dispositions de l’article L.133-17 précité que l’information de la banque d’une utilisation non autorisée d’un instrument de paiement ou de données qui lui sont liées doit conduire celle-ci à bloquer les opérations, obligation spéciale qui se distingue de son devoir général de vigilance.
En l’espèce, il résulte de sa lettre en date du 4 août 2023 que la BPRDP ne conteste pas que les époux [H] se sont déplacés en agence le 1er avril 2023 dès lors qu’elle leur a proposé de les rembourser à hauteur de 10.440 euros « correspondant aux opérations litigieuses postérieures à votre passage à l’agence le 1er avril ».
Or, la banque ne démontre pas, alors qu’elle était informée d’un potentiel détournement des données et instruments de paiement des demandeurs, avoir pris sans délai des mesures pour bloquer ou, à tout le moins, surveiller le compte de ses clients aux fins de vérifier avec eux l’authenticité des opérations postérieures au signalement, mesure qui aurait permis d’éviter le préjudice lié au troisième virement et aux paiements par carte bancaire effectués le 2 avril 2023.
En conséquence, la BPRDP est condamnée à rembourser aux époux [H] la somme de 10.440 euros.
2 - Sur les demandes de dommages et intérêts pour résistance abusive et préjudice moral
Il est de principe que le régime de responsabilité inhérente à l’utilisation des services de paiement prévu aux articles L.133-1 et suivants du code monétaire et financier issus de règles du droit de l’Union européenne, est exclusive de tout autre régime de responsabilité prévu en droit national.
Par suite, la demande des époux [H] fondée sur la résistance abusive de la BPRDP ne peut prospérer, étant relevé au surplus que le préjudice moral allégué n’est étayé par aucun élément.
3 - Sur les demandes accessoires
3.1 - Sur les frais du procès
La BPRDP qui succombe supportera les dépens.
Elle est également condamnée au paiement aux époux [H] d’une somme de 2.000 euros sur le fondement de l'article 700 du code de procédure civile.
3.2 - Sur l’exécution provisoire
La présente décision est revêtue de droit de l'exécution provisoire conformément aux dispositions de l'article 514 du code de procédure civile dans sa version applicable en l’espèce, l’instance ayant été introduite postérieurement au 31 décembre 2019.
PAR CES MOTIFS
Le tribunal statuant publiquement par jugement contradictoire, en premier ressort et par mise à disposition au greffe :
CONDAMNE la SA Banque populaire rives de [Localité 7] à payer à M. [V] [H] et Mme [J] [T] épouse [H] la somme de 10.440 euros ;
DEBOUTE les parties de toute demande plus ample ou contraire ;
CONDAMNE la SA Banque populaire rives de [Localité 7] aux dépens;
CONDAMNE la SA Banque populaire rives de [Localité 7] à payer à M. [V] [H] et Mme [J] [T] épouse [H] la somme de 2.000 euros sur le fondement de l'article 700 du code de procédure civile.
Fait et jugé à Paris le 15 Janvier 2025
La Greffière Le Président
