décision 16-20.018 du 28/03/2018,  partie 4



 ET AUX MOTIFS, A LES SUPPOSER ADOPTES DES PREMIERS JUGES, QUE « Sur la demande de dommages et intérêts : L'article 1134 du code civil dispose que les conventions légalement formées tiennent lieu de loi à ceux qui les ont faites. En l'espèce, Monsieur Y... a souscrit un contrat EUROCOMPTE CONFORT auprès de la CAISSE DE CREDIT MUTUEL DE BEAUVAIS le 30 novembre 2010 incluant une ouverture de compte courant, la mise à disposition d'une carte bancaire de paiement et l'accès aux services télématiques de la banque. L'article 2.5.2 alinéa 2 des conditions générales de la convention de compte stipule que s'agissant des opérations non autorisées, sauf faute imputable au client, la banque remboursera immédiatement le client, et le cas échéant, rétablira le compte débité dans la situation dans laquelle il se serait trouvé si l'opération de paiement n'avait pas eu lieu. L'article 10.1 des conditions générales du contrat porteur CB stipule que lorsque le titulaire de la carte CB nie avoir donné son consentement pour réaliser une opération de paiement et/ou de retrait, il appartient à l'émetteur d'apporter la preuve que l'opération a été authentifiée, dûment enregistrée et comptabilisée conformément à l'état de l'art et qu'elle n'a pas été affectée par une déficience technique. L'article 4 des conditions générales CMNE DIRECT stipule que le souscripteur est seul responsable de la garde, de la conservation et de la confidentialité des informations/données qui lui seront communiquées pour se connecter au serveur de la banque ; il est seul responsable de la conservation, de l'utilisation et de la sécurité relative auxdits éléments communiqués par la banque, et le cas échéant, des conséquences de leur divulgation ou de leur utilisation par des tiers, Il est constant que des paiements en ligne sont intervenus les 13 et 14 septembre 2012 par utilisation de la carte bancaire de Monsieur Y... pour un montant cumulé de 2.731,98 euros et qu'un virement de 4.500 euros a été effectué depuis son livret bleu via internet le 17 septembre 2012. Dès le 18 septembre 2012, Monsieur Y... a contesté être l'auteur de ces opérations. Il ressort de ses déclarations lors du dépôt de sa plainte le 19 septembre 2012 que le 20 août 2012, il a reçu un mail de "agence@mail-mail,com" pour fournir des codes d'accès qu'il avait reçu par courrier et qu'il a donc inscrit ses codes d'accès à l'endroit demandé. Les paiements effectués par carte bancaire nécessitant l'utilisation du numéro de la carte bancaire, de sa date d'expiration et du cryptogramme visuel figurant au verso, la CAISSE DE CREDIT MUTUEL DE BEAUVAIS ne saurait s'exonérer de l'application des dispositions précitée, des articles 2.5.2 alinéa 2 des conditions générales de la convention de compte et 10.1 des conditions générales du contrat porteur CB sans démontrer que la divulgation de ces données est le fait de Monsieur Y.... En l'absence d'une telle preuve, il convient de la condamner à rembourser à Monsieur Y... la somme de 2.731,98 euros » ;
 
 1°) ALORS QUE l'utilisateur d'un service de paiement qui agit avec une négligence grave est tenu de supporter l'intégralité de la perte subie ; que constitue une négligence grave la fourniture par le client d'un établissement bancaire à un tiers de données confidentielles dont il a contractuellement la charge de la conservation, ayant permis ou facilité l'utilisation d'un service de paiement sécurisé, dès lors qu'aucune défaillance du système de paiement n'est établie ; qu'en l'espèce, il résulte de l'arrêt attaqué (p. 4, 3ème §) que Monsieur Y... « a été victime d'un « phishing »   qui consiste, pour des tiers non identifiés, à adresser au client d'une banque des mails pouvant laisser croire qu'ils émanent de celle-ci, prétextant une nouvelle réglementation, la mise en oeuvre d'un nouveau système de sécurité (etc...), l'invitant pour ce faire à fournir l'ensemble des données personnelles composant le protocole sécurisé de paiement par carte bancaire » et qu'en l'espèce, Monsieur Y... « ayant reçu des mails successifs portant le logo parfaitement imité du Crédit Mutuel accompagnés d'un "certificat de sécurité à remplir attentivement" qu'il a scrupuleusement renseignés, allant même, semble-t-il, jusqu'à solliciter par mail de la banque la communication de sa nouvelle carte de clefs personnelle (élément essentiel du protocole 3-D SECURE) pour pouvoir renseigner complètement le certificat litigieux, ce qui montre sa totale naïveté » ; que pour juger néanmoins que Monsieur Y... n'avait pas commis de négligence grave dans la garde de ses données personnelles, la cour d'appel a considéré que seul « un examen vigilant des adresses internet changeantes du correspondant ou certains indices, comme les fautes d'orthographe du message (!), [étaient] de nature à interpeller le client » ; qu'en statuant de la sorte, quand il résultait de ses propres constatations que Monsieur Y... avait fourni à un tiers l'ensemble des données personnelles permettant l'utilisation du système de paiement 3D SECURE ainsi que d'effectuer des virements sur internet, ce qui caractérisait une négligence grave dans la conservation de ses données personnelles, la cour d'appel a violé les articles L. 133-15, L. 133-16 et L. 133-19 du code monétaire et financier, ensemble l'article 1134 du code civil ;