Cour d'appel de Douai
03, Cour de cassation
Chambre commerciale financière et économique, décision 18-18.576 du 11/12/2019,  partie 4


La cour observe aussi que les utilisations successives des données attachées à la carte bancaire de Mme F... ne suffisent pas nécessairement en tant que telles à prouver que les opérations litigieuses qui ont été réalisées le 6 mai 2014, entre 17h29 et 31 secondes et 19h21 et 23 secondes, et le 7 mai 2014, à 3h44 et 19 secondes, ont été autorisées par les époux F... ou qu'ils sont à l'origine desdites opérations litigieuses, ou encore qu'ils n'ont pas satisfait intentionnellement ou par négligence grave aux obligations légales leur incombant en la matière, ainsi qu'à celles contractuellement énoncées dans les conditions générales cmnedirect, les conditions générales de retrait ou les conditions générales payweb card que la Caisse verse au débat. Les époux F... ne contestent pas qu'ils ont répondu à un courriel qui s'est avéré frauduleux, cette circonstance ressortant clairement : - du courrier de Mme F... du mai 2014 adressé à la société SFR, dans lequel elle indique que "suite à un courriel frauduleux reçu au nom du Crédit Mutuel, je me suis rendu sur le site de la banque ne sachant pas qu'il s'agissait d'un phishing. De ce fait les fraudeurs ont eu l'accès à mes identifiants de connexion à mon compte. Ils n'avaient pas en possession ma carte bancaire ainsi que son code mais ont eu toutes les informations me concernant. Nom, prénom, date de naissance, adresse, téléphone portable ainsi que le fournisseur de téléphonie". - du courrier de leur conseil du 4 juillet 2014 adressé à la Caisse, dans lequel il est indiqué que sa "cliente a reçu un courriel avec l'apparence la plus réaliste possible émanant de votre établissement, l'invitant à mettre à jour ses mots de passe et identifiants permettant l'accès à son compte par Internet" et que "cette manipulation frauduleuse plus couramment nommée « fishing », n'était pas détectable par un profane comme Madame F..". Il en résulte que les époux F... admettent que Mme F... a fourni ses identifiants de connexion et son mot de passe permettant l'accès à son compte en ligne après avoir reçu un courrier frauduleux. Si la Caisse allègue dans ses écritures que Mme F... a "sciemment transmis les informations confidentielles" relatives à ses nom, prénom, date de naissance, adresse personnelle, numéro de téléphone mobile, fournisseur, carte SIM et carte de clés personnelles, force est pour autant de constater qu'elle ne fournit au débat aucun élément corroborant cette allégation et démontrant que Mme F... a fourni en pleine connaissance de cause ces éléments ni même qu'elle les ait communiqué, celle-ci n'admettant avoir fourni que son identifiant CME direct et son mot de passe. La Caisse soutient encore que les époux F... n'ont pas vérifié l'origine du courriel et ont transmis l'intégralité de leurs données personnelles en dépit des multiples alertes mises en place et de leurs obligations contractuelles. Cependant, la Caisse ne produit aucun élément objectif de nature à justifier cette allégation et à prouver que les époux F... n'ont pas vérifié l'origine de l'courriel litigieux ou qu'ils aient manqué à leurs obligations contractuelles, voire même légales, en la matière. La cour remarque également que les multiples alertes sur les risques du phishing dont se prévaut la Caisse consistent en : - un courriel du 28 octobre 2014 envoyé à 20h22 à un destinataire dont le nom est effacé, de sorte que, d'une part, il n'est pas permis de savoir si cette alerte était destinée aux époux F..., et que d'autre part, cette alerte est postérieure à la fraude dont ils ont été victimes, - des captures d'écran du site internet du Crédit Mutuel relatifs à la sécurité sur Internet faisant état d'une date au 26 octobre 2013, de sorte que si cette information est antérieure à la fraude dont ont été victimes les époux F..., il n'est pas démontré que ces derniers y avaient accès les 6 et 7 mai 2014, jours des opérations frauduleuses, - une capture d'écran du site internet du Crédit Mutuel comprenant des informations relatives à la sécurité sur Internet ; la lecture de cet élément montre qu'il s'agit d'une "actualité au 7 novembre 2012" accessible au 12 février 2013, de sorte que cette information est encore antérieure à la fraude dont ont été victimes les époux F..., il n'est pas démontré que ces derniers y avaient accès les 6 et 7 mai 2014, jours des opérations frauduleuses. Il en résulte que ces éléments versés par la Caisse sont manifestement insuffisants pour prouver, en premier lieu, que Mme F... aurait pu avoir conscience que le courriel qu'elle avait reçu était frauduleux, et en second lieu, que le fait d'avoir communiqué des données personnelles et confidentielles caractérise un manquement intentionnel ou par une négligence grave à ses obligations mentionnées à l'article L. 133-16 du code monétaire et financier, voire même qu'elle aurait agi frauduleusement.