Cour d'appel de Douai
03, Cour de cassation
Chambre commerciale financière et économique, décision 17-25.742 du 17/04/2019,  partie 3


Aux termes de l'article L 133-19 du Code Monétaire et Financier, le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L 133-16 et L 133-17 (prendre toute mesure raisonnable pour préserver la sécurité de des dispositifs personnalisés ; informer de manière immédiate l'établissement bancaire en cas de connaissance de toute utilisation non autorisée des instruments de paiement). En l'espèce, Monsieur N... W... a bien informé la Caisse du Crédit Mutuel Lille Victor Hugo de l'utilisation frauduleuse de ses instruments de paiement dès lors qu'il en a eu connaissance. Il appartient donc à la Caisse du Crédit Mutuel Lille Victor Hugo, pour s'opposer à la demande de restitution des sommes réclamées par Monsieur N... W..., d'apporter la preuve que celui-ci ait commis une négligence grave, à l'origine des paiements frauduleux. Or, si la Caisse du Crédit Mutuel Lille Victor Hugo soutient que, renseignant des éléments qui lui étaient demandés dans le message électronique en cause, Monsieur N... W... se serait rendu coupable d'une telle négligence, il n'en demeure pas moins que, alors que la charge de la preuve pèse sur elle, la banque ne produit au dossier aucun élément objectif pouvant en établir la réalité : elle n'explique pas de quelle façon ces paiements frauduleux avaient été rendus possibles, quelles procédures de sécurité avaient été mises en place pour les prévenir, quelles informations avaient été communiquées à l'établissement afin qu'il accepte de réaliser ces paiements. Dès lors, la Caisse du Crédit Mutuel Lille Victor Hugo n'apporte pas la preuve d'une négligence grave commise par Monsieur N... W..., les demandes de restitution des sommes en cause sont donc bien fondées et il y sera fait droit » ;
 
 1°) ALORS QUE commet une négligence grave l'utilisateur d'un service de paiement qui communique à un tiers les données confidentielles permettant l'utilisation de ce service ; qu'en l'espèce, il résulte des propres constatations de l'arrêt attaqué (p. 4, 8ème §) qu'il résultait « de la page 15 des conditions générales CMNE DIRECT que la carte de clés personnelles peut être commandée sur Internet Via CMNE Direct après saisie des codes d'accès » ; que pour dire que la preuve d'une négligence grave de la part de Monsieur W... n'était pas rapportée, la cour d'appel a relevé que l'e-courriel auquel ce dernier avait répondu « indiqu[ait] comme objet : « Réactiver votre carte de Clés PERSONNELLE », cette pièce ecourriel ne reprenant aucun élément permettant d'alerter M. W... sur le caractère frauduleux du message reçu », et a considéré qu'il n'était pas démontré que Monsieur W... « a[vait] transmis, dans la réponse au courriel litigieux, ses clés confidentielles, ses coordonnées personnelles, son code confidentiel ou ses identifiants » ; qu'en statuant de la sorte, quand il résultait de ses propres constatations que la commande d'une carte de clefs personnelles impliquait la saisie des codes d'accès du client au service cmnedirect, de sorte que Monsieur W..., qui avait admis avait répondu au courriel en cause afin de renouveler sa carte de clefs personnelles, avait a minima communiqué à l'auteur du courriel frauduleux ses codes d'accès au site internet du CREDIT MUTUEL, la cour d'appel a violé les articles L. 133-16 et L. 133-19 du code monétaire et financier ;
 
 2°) ALORS SUBSIDIAIREMENT QUE si la charge de la preuve de la négligence grave imputée à l'utilisateur d'un service de paiement pèse sur le prestataire de ce service, il incombe en revanche à l'utilisateur ayant admis avoir répondu à un courriel de phishing, mais contestant avoir communiqué les données confidentielles attachées à l'instrument de paiement en cause, de rapporter la preuve de la teneur de la réponse qu'il y a apportée ; qu'en l'espèce, pour dire que la preuve d'une négligence grave qu'aurait commise Monsieur W... n'était pas établie, la cour d'appel a retenu que ce dernier faisait valoir dans ses écritures que le courriel censé émaner de CYBERMUT auquel il avait répondu « présentait toutes les caractéristiques de ceux émanant du Crédit Mutuel, ce point n'étant pas contesté par la banque », et a considéré que la banque ne démontrait pas que Monsieur W... avait transmis, dans la réponse à ce courriel, « ses clés confidentielles, ses coordonnées personnelles, son code confidentiel ou ses identifiants » ; qu'en statuant de la sorte, quand il appartenait à Monsieur W... de rapporter la preuve de la teneur de la réponse qu'il avait admis avoir donnée au courriel du 20 octobre 2013, afin de permettre au juge d'apprécier si ce client avait ou non commis une négligence grave, la cour d'appel a violé les articles L. 133-16 et L. 133-19 du code monétaire et financier, ensemble l'article 1315 du code civil (nouvel article 1353 du code civil) ;