Cour d'appel de Douai
81, Cour de cassation
Chambre commerciale financière et économique, décision 15-26.058 du 18/01/2017,  partie 4


Que le code de confirmation à six chiffres, associé à une date de validité et un cryptogramme visuel à trois chiffres, permettant de générer le numéro virtuel attaché à chacune de ces cartes de paiement virtuelles, a été, à chaque reprise, transmis à l&apos;adresse mail skychfal@hotmail.com qui n&apos;est pas l&apos;adresse mail habituellement enregistrée par Monsieur [H] [I] sur le site de la banque ; qu&apos;aucune précision n&apos;est en revanche fournie par la banque relativement aux date et heure auxquelles cette modification, qui, selon les conditions générales versées aux débats, a elle-même nécessité la saisie de l&apos;identifiant, du mot de passe associé et du code renforcé indiqué sur sa carte de clés personnelles, est intervenue ; Que pour réaliser les paiements sur le site marchand ont été successivement saisis le numéro de la carte à seize chiffres, la date de fin de validité et un cryptogramme visuel à trois chiffres ; Attendu que le détournement, à l&apos;insu de Monsieur [H] [I], de ses données bancaires personnelles et des cartes virtuelles générées à partir de ses cartes de crédit MASTERCARD n&apos;est pas contesté par la CAISSE DE CRÉDIT MUTUEL D&apos;HELLEMMES et est au demeurant suffisamment établi par les circonstances entourant la création et l&apos;utilisation des cartes bancaires virtuelles litigieuses ; Qu&apos;il suit que Monsieur [H] [I], dont il apparaît à la lecture de l&apos;historique des autorisations cartes qu&apos;il produit aux débats qu&apos;il se trouvait en Belgique le 25 mai 2013 pour y avoir procédé à divers paiements au moyen de l&apos;une de ses deux cartes de crédit MASTERCARD, est bien fondé à demander le bénéfice des dispositions précitées du code monétaire et financier, sauf à se voir opposer la négligence grave dont il se serait rendu coupable en divulguant ses données bancaires personnelles ; Attendu à cet égard que si conformément à l&apos;article L. 133-23 précité du code monétaire et financier, la CAISSE DE CRÉDIT MUTUEL D&apos;HELLEMMES rapporte la preuve que les opérations de paiements contestées ont été authentifiées, dûment enregistrées et comptabilisées et qu&apos;elles n&apos;ont pas été affectées par une déficience technique ou autre, il n&apos;en demeure pas moins que les utilisations successives du service de paiement PAYWEB CARDS telles qu&apos;enregistrées par la banque ne suffisent pas nécessairement en tant que telles à prouver que les opérations ont été autorisées par Monsieur [H] [I] ou que celui-ci n&apos;a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière ; Qu&apos;il suit que la CAISSE DE CRÉDIT MUTUEL D&apos;HELLEMMES, prestataire du service de paiement incriminé, ne peut, du seul fait de la création et de l&apos;utilisation par un tiers des cartes de paiement virtuelles litigieuses avec tabulation des données bancaires personnelles de Monsieur [H] [I], éléments nécessaires pour créer lesdites cartes puis valider les paiements, prétendre démontrer une négligence grave de son client au sens de l&apos;article L. 311-19 précité ; Que c&apos;est en conséquence à elle de démontrer que Monsieur [H] [I] a révélé volontairement à un tiers ses données bancaires et notamment son identifiant CMNE DIRECT, le mot de passe associé et les codes de validation présents sur sa carte d&apos;authentification renforcée, ou démontrer que par négligence, ce dernier a permis à un tiers d&apos;en prendre aisément connaissance ; Que si la CAISSE DE CRÉDIT MUTUEL D&apos;HELLEMMES affirme à cet égard que Monsieur [H] [I] a vraisemblablement été victime de faits d&apos;hameçonnage, elle n&apos;en rapporte nullement la preuve, se contentant à cet égard de procéder par simple voie de supputations impropres à caractériser une imprudence de son client à l&apos;origine des paiements litigieux alors d&apos;une part que l&apos;association de consommateurs Que Choisir soupçonne une brèche dans le dispositif de sécurité de la banque, le portail PAYWEB étant suspecté d&apos;être facilement mis en échec par les pirates informatiques, que la carte d&apos;authentification renforcée peut être commandée par internet après la simple saisie de l&apos;identifiant et du mot de passe associé et que l&apos;actualité récente fait état de plusieurs cas dans lesquels des malfaiteurs sont parvenus à s&apos;approprier des données bancaires confidentielles d&apos;accès aux services de consultation et de gestion de compte à distance par internet sans pour autant bénéficier de la négligence voire de la complicité du titulaire de ladite carte ; Qu&apos;à défaut de rapporter la preuve que Monsieur [H] [I] aurait, même involontairement, divulgué ses codes personnels et plus généralement ses données personnelles et confidentielles à un tiers, la CAISSE DE CRÉDIT MUTUEL D&apos;HELLEMMES ne saurait prétendre que Monsieur [H] [I] aurait contrevenu aux stipulations destinées à le mettre en garde sur les mesures de sécurité élémentaires qu&apos;il devait prendre concernant ses données bancaires pour en assurer la confidentialité et en prévenir la divulgation telles que rappelées dans les conditions générales du produit CMNE DIRECT, étant au demeurant en tout état de cause observé que la banque ne fournit pas les conditions générales en vigueur au jour de l&apos;adhésion de son client au produit ni ne justifie d&apos;une acceptation expresse de modifications postérieures ; Qu&apos;elle ne peut donc, sans preuve de la mauvaise foi de Monsieur [H] [I], client, s&apos;opposer au remboursement des sommes qu&apos;elle a indûment débitées des comptes de celui-ci au titre des opérations de paiement effectuées à l&apos;aide des cartes PAYWEB litigieuses ; Attendu qu&apos;aucune négligence grave de la part de Monsieur [H] [I] au regard des dispositions précitées de l&apos;