Cour d'appel, 30 novembre 2022. 21/13440

REPUBLIQUE FRANCAISE AU NOM DU PEUPLE FRANCAIS COUR D'APPEL DE PARIS Pôle 5 - Chambre 6 ARRÊT DU 30 NOVEMBRE 2022 (n° , 6 pages) Numéro d'inscription au répertoire général : N° RG 21/13440 - N° Portalis 35L7-V-B7F-CECPE Décision déférée à la Cour : Jugement du 25 Juin 2021 -TJ hors JAF, JEX, JLD, J. EXPRO, JCP de Paris RG n° 21-001490 APPELANT Monsieur [R] [F] né le [Date naissance 1] 1954 à [Localité 6] [Adresse 3] [Localité 5] Représenté par Me Marine DEPOIX de la SELARL AKAOUI DEPOIX PICARD, avocat au barreau de PARIS, toque : C0673 INTIMEE S.A. BNP PARIBAS [Adresse 2] [Localité 4] Représentée par Me Dominique PENIN du LLP KRAMER LEVIN NAFTALIS & FRANKEL LLP, avocat au barreau de PARIS, toque : J008 COMPOSITION DE LA COUR : L'affaire a été débattue le 24 Octobre 2022, en audience publique, devant la Cour composée de : M. Marc BAILLY, Président de chambre M. Vincent BRAUD, Président Madame Pascale SAPPEY-GUESDON, Conseillère qui en ont délibéré, un rapport a été présenté à l'audience par M. Marc BAILLY, Président de chambre, dans les conditions prévues par l'article 804 du code de procédure civile. Greffier, lors des débats : Madame Anaïs DECEBAL ARRET : - CONTRADICTOIRE - par mise à disposition de l'arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du code de procédure civile. - signé par Marc BAILLY, Président de chambre et par Yulia TREFILOVA, Greffier, présente lors de la mise à disposition. * * * Faits et procédure : Monsieur [R] [F] est titulaire d'un compte bancaire dans les libres de la Sa BNP Paribas. Le 26 août 2019, il expose avoir constaté l'existence d'un virement de 2 000 euros de son livret de développement durable vers son compte chèque et d'un virement de 6 000 euros de son compte chèque vers l'entité BLUDOVICO BOSSEBE située en Afrique. Monsieur [F] a pris attache avec la BNP qui expose avoir tenté, en vain, de bloquer le virement litigieux. Monsieur [F] a adressé une lettre de contestation et sollicité le remboursement de la somme de 6 000 euros. Il a également porté plainte pour escroquerie. Le 21 novembre 2019, la BNP a refusé le remboursement sollicité au motif de l'absence d'anomalie de l'ordre de virement. Monsieur [F] a saisi le médiateur de la BNP qui, le 26 août 2020, a proposé que la BNP prenne en charge la moitié du virement réalisé, soit 3 000 euros, au motif que les transactions frauduleuses ayant nécessité l'utilisation de ses codes personnels et outils de sécurisation. Par acte d'huissier du 30 novembre 2020, Monsieur [F] a assigné la BNP en paiement. Par jugement contradictoire en date 25 juin 2021, le tribunal judiciaire de Paris pôle civil de proximité, a ainsi statué : -déboute Monsieur [F] de l'ensemble de ses demandes, -condamne Monsieur [F] aux dépens, -déboute la BNP de sa demande au titre de l'article 700 du code de procédure civile, -rappelle que l'exécution provisoire est de droit. Par déclaration en date 13 juillet 2021, Monsieur [F] a interjeté appel dudit jugement à l'encontre de la BNP. Dans ses conclusions en date du 8 octobre 2021, Monsieur [F] demande à la cour de : « -Déclarer Monsieur [F] recevable et bien fondé en son appel, infirmer le jugement entrepris en ce qu'il l'a débouté de ses demandes, Et statuant à nouveau : -Condamner la Société BNP PARIBAS à verser à Monsieur [F] la somme de 6.000 € en remboursement de la somme frauduleusement débitée sur son compte avec intérêts de droit au taux légal à compter de l'assignation, - Condamner la société BNP PARIBAS à verser à Monsieur [F] la somme de 1.000 € au titre du préjudice moral, - Condamner la Société BNP PARIBAS à verser à Monsieur [F] la somme de 1.000 € à titre de dommages et intérêts pour résistance abusive, -Condamner la Société BNP PARIBAS à verser à Monsieur [F] la somme de 2.000 € au titre des dispositions de l'article 700 du Code de procédure civile, -Condamner la défenderesse aux entiers dépens- de première instance et d'appel ». Au soutien de ses prétentions, il fait valoir que : Il a été victime d'un virement frauduleux qu'il n'a jamais autorisé, étant précisé qu'il n'a jamais donné son accord pour ajouter ledit compte à la liste des bénéficiaires. La BNP certifie que le bénéficiaire a été ajouté le 20 août 2019 alors qu'il n'apparaissait pas sur le compte jusqu'au 26 août 2019 alors même que Monsieur [F] examinait ses comptes quotidiennement. Au surplus, l'ajout du bénéficiaire a été facilité par la mise en place de la clé digitale permettant l'ajout immédiat d'un nouveau bénéficiaire sans validation de la BNP contrairement à d'autres banques qui exigent un délai de 24 heures. En privilégiant, sans la démontrer et alors même que le concluant a toujours contesté avoir communiqué ses codes, l'hypothèse du phishing, le tribunal a inversé la charge de la preuve et commis une erreur de droit. Ainsi, la responsabilité de la banque sera engagée et elle sera condamné au paiement de la somme de 6 000 euros. Par ailleurs, les manquements de la BNP sont à l'origine d'un préjudice moral évalué à la somme de 1 000 euros, d'autant que cette somme était destinée à ses soins dentaires urgents. En tout état de cause, compte tenu de sa mauvaise foi et de sa réticence abusive, la BNP sera condamnée au paiement de la somme de 1 000 euros à titre de dommages et intérêts. Enfin, la cour condamnera la BNP au paiement de la somme de 2 000 euros au titre de l'article 700 du code de procédure civile ainsi qu'aux entiers dépens. Dans ses conclusions en date du 11 octobre 2021, la BNP demande à la cour de : «- Confirmer en toutes ses dispositions le jugement du 25 juin 2021 rendu par le Tribunal judiciaire de Paris, -Y ajoutant, condamner Monsieur [F] à verser à BNP Paribas la somme de 1.500 € au titre de l'article 700 du Code procédure civile outre aux entiers dépens de première instance et d'appel ». Au soutien de ses prétentions, elle fait valoir que : Tout d'abord, aucune indication n'étant fournie quant aux suites données à la plainte du 26 août 2019, Monsieur [F] sera invité à fournir toute information utile à ce sujet. Concernant le virement, il n'a été réalisé qu'en raison de la seule et unique négligence de Monsieur [F]. Tout d'abord, alors que Monsieur [F] a indiqué aux forces de police consulter tous les matins ses comptes sur son application BNP, il n'a pas cherché à vérifier la raison pour laquelle un virement de compte à compte de 2 000 euros avait été opéré sans son consentement le 16 août 2019 et figurait dans « opération à venir ». Ensuite, Monsieur [F] a préalablement ajouté le bénéficiaire par authentification via l'envoi d'un code à usage unique le 22 août 2019 au matin. En clair, Monsieur [F] a pu être victime d'un phishing mais la validation du bénéficiaire a nécessité son intervention, un code SMS lui ayant été envoyé sur son portable. Puis, en possession des codes confidentiels de connexion, l'escroc s'est connecté sur l'espace en ligne le 25 août 2019 pour exécuter le virement de 6 000 euros. Ces deux opérations (création du bénéficiaire puis exécution du virement) n'ont pu être réalisées à partir d'une adresse IP qui n'était pas celle de Monsieur [F], sauf à avouer qu'il a laissé l'escroc opérer ces opérations à distance en lui confiant ses codes de connexion. Les opérations ayant nécessité son intervention par l'utilisation d'un code à usage unique adressé par sms, la négligence grave de Monsieur [F], qui en outre n'a pas contacté son conseiller en cas de doute comme le message accompagnant le code par sms l'en informe, est avérée car il est impossible qu'autant d'actions aient pu être réalisées sur l'espace en ligne de Monsieur [F] sans son intervention, ce qui conduira à la confirmation du jugement de première instance. Enfin, la cour condamnera Monsieur [F] au paiement de la somme de 1 500 euros au titre de l'article 700 du code de procédure civile. L'ordonnance de clôture a été prononcée le 14 juin 2022. MOTIFS M. [F] expose qu'il n'est pas à l'origine du virement interne de son compte LDD vers son compte chèque en date du 16 août 2019 non plus que de la création d'un bénéficiaire de virement supplémentaire sur son espace en ligne le 25 août suivant puis du virement externe de la somme de 6 000 euros du 26 août au bénéfice d'un destinataire inconnu de lui puisqu'il a exposé, lors de son dépôt de plainte datant du jour même où il a constaté les faits, le 26 août 2019, 'je suis la seule personne à avoir accès à des comptes bancaires, je ne sais pas comment quelqu'un a pu se connecter et créer un bénéficiaire à ma place'. La banque ne produit pas le contrat liant les parties relatif à l'utilisation de l'espace personnel à distance et elle expose que la méthode d'authentification usitée en l'espèce était non pas l'emploi d'une clé personnelle permettant d'utiliser une combinaison différente pour chaque opération mais la mise à disposition d'un code à usage unique envoyé par sms à M. [F] pour l'ajout d'un bénéficiaire de virement, l'authentification forte des articles L.133-4 et L.133-44 du code monétaire et financier n'ayant pas été appliquée. En tout état de cause, les parties conviennent que la méthode ait été celle de la clé personnelle ou du code par sms à usage unique, qu'elle constitue un dispositif de sécurité personnalisé entraînant l'application des articles L.133-4 et L.133-19 du code monétaire et financier. Les articles L.133-19 et L.133-23 du code monétaire et financier dans leurs versions applicables, compte tenu de la date des faits, disposent, notamment et respectivement, que : 'II. ' La responsabilité du payeur n'est pas engagée si l'opération de paiement non autorisée a été effectuée en détournant, à l'insu du payeur, l'instrument de paiement ou les données qui lui sont liées. Elle n'est pas engagée non plus en cas de contrefaçon de l'instrument de paiement si, au moment de l'opération de paiement non autorisée, le payeur était en possession de son instrument. III. ' Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l'information aux fins de blocage de l'instrument de paiement prévue à l'article L. 133-17. INTERVENTION VOLONTAIRE. ' Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. V. ' Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l'opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n'exige une authentification forte du payeur prévue à l'article L. 133-44. VI. ' Lorsque le bénéficiaire ou son prestataire de services de paiement n'accepte pas une authentification forte du payeur prévue à l'article L. 133-44, il rembourse le préjudice financier causé au prestataire de services de paiement du payeur' et que, 'Lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre. L'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière.' Il résulte de ces textes que c'est au prestataire de services de paiement qu'il incombe derapporter la preuve que l'utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n'a pas satisfait intentionnellement ou par négligence grave à ses obligations. Cette preuve ne peut se déduire du seul fait que l'instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés. Or en l'espèce, outre que la preuve de l'authentification, de l'enregistrement et de la comptabilisation des ordres de virements sans déficience technique n'est pas rapportée par des pièces l'objectivant, il ne peut qu'être constaté que la société BNP PARIBAS ne démontre pas l'intention de M. [F] de ne pas satisfaire à ses obligations ou sa négligence grave. En effet, la simple circonstance qu'il ait été fait usage des codes de connexion de M.[F] et d'un code d'authentification ne suffit pas à le démontrer, étant observé que la banque expose que l'ajout d'un nouveau bénéficiaire a été réalisé, le 22 août 2019, à partir d'une adresse IP distincte de celle de M. [F] et qu'il en a été de même du virement de la somme de 6 000 euros lui-même le 25 août suivant, à partir d'une troisième adresse IP encore différente. Il ne se déduit pas de l'hypothèse retenue par le tribunal, du 'hameçonnage' dont M. [F] aurait été la victime et qui aurait permis à l'auteur d'une infraction pénale d'utiliser ses éléments personnels d'identification - même à la supposer démontrée - que celui-là a été gravement négligent ou n'a pas satisfait intentionnellement à ses obligations, à défaut qu'une simple imprudence de sa part soit établie. M. [F] expose, en revanche, qu'il n'a pas pu prendre connaissance du virement, interne à ses comptes, de la somme de 2 000 euros du 16 août 2019, lequel n'est apparu sur son espace en ligne que le 26 août suivant et il n'est pas utilement contredit par la société BNP PARIBAS qui produit une capture d'écran du site, bien postérieure, du 26 août laquelle mentionne le virement du 16 août précédant mais sans établir que ladite opération était visible antérieurement. En conséquence, dès lors qu'il n'est pas contesté que M. [F] a signalé l'opération non autorisée par lui conformément à l'article L.133-24 du code monétaire et financier dès le 26 août 2019, il y a lieu de réformer le jugement et, en application des textes ci-dessus rapportés et de l'article L.133-18 du code monétaire et financier, de condamner la société BNP PARIBAS à payer à M. [F] la somme de 6 000 euros avec intérêts au taux légal à compter du 28 août 2019. Si la société BNP PARIBAS est condamnée à restitution en vertu du code monétaie et financier, M. [F] n'objective pas qu'il est résulté de l'abstention de la banque un dommage distinct de celui réparé par les intérêts au taux légal ni que la banque ait abusé de son droit de se défendre en justice, de sorte qu'il doit être débouté de ses demandes de dommages-intérêts. Il y a lieu de condamner la société BNP PARIBAS aux entiers dépens ainsi qu'à payer à M. [R] [F] la somme de 2 000 euros en application de l'article 700 du code de procédure civile. PAR CES MOTIFS La Cour, Statuant publiquement et contradictoirement, INFIRME le jugement entrepris en toutes ses dispositions ; CONDAMNE la société BNP PARIBAS à payer à M. [R] [F] la somme de 6 000 euros avec intérêts au taux légal à compter du 28 août 2019 ; DÉBOUTE M. [R] [F] de ses demandes de dommages-intérêts ; CONDAMNE la société BNP PARIBAS à payer à M. [R] [F] la somme de 2 000 euros en application de l'article 700 du code de procédure civile ; DIT n'y avoir lieu au prononcé d'une condamnation au titre de l'article 700 du code de procédure civile ; CONDAMNE la société BNP PARIBAS aux entiers dépens. Le greffier Le Président