Cour d'appel de Douai
81, Cour de cassation
Chambre commerciale financière et économique, décision 15-26.058 du 18/01/2017,  partie 7


en jugeant que la banque ne pouvait démontrer la négligence grave de Monsieur [I] du seul fait de la création et de l&apos;utilisation par un tiers des cartes de paiement virtuelles litigieuses avec tabulation des données bancaires personnelles, quand la circonstance que les débits litigieux avaient été effectués par le biais d&apos;un service de paiement sécurisé nécessitant la fourniture de données strictement personnelles à Monsieur [I], et dont ce dernier avait contractuellement la charge d&apos;assurer la conservation et la confidentialité, faisait présumer la négligence grave de l&apos;utilisateur dans la conservation de ses données personnelles, la Cour d&apos;appel a violé les articles L. 133-15, L. 133-16 et L. 133-19 du code monétaire et financier, ensemble l&apos;article 1134 du code civil ;
 
 3°) ALORS QU&apos;il était stipulé dans les conditions particulières du contrat EUROCOMPTE DUO CONFORT n° 00019583208 signé par Monsieur [I] le 25 novembre 2009, régulièrement produit aux débats par la Caisse de Crédit Mutuel de LILLE HELLEMES (pièce n°1 de son bordereau de communication de pièces), que « pour accéder au service choisi, utiliser l&apos;identification suivante : 0271119583208. Le souscripteur reconnait avoir reçu de manière individuelle, sur un document séparé, son mot de passe. Le souscripteur s&apos;engage à se connecter immédiatement au service choisi pour en modifier le mot de passe. Le souscripteur reconnait le caractère confidentiel et personnel de l&apos;identifiant et du mot de passe et s&apos;engage à les mettre en sécurité. Dès sa prochaine connexion à cmnedirect au forfait via internet, puis fréquemment il s&apos;engage également à consulter attentivement les informations de sécurité accessibles depuis la page d&apos;accueil et mises à jour, régulièrement » ; que pour juger que la Caisse de Crédit Mutuel de LILLE HELLEMES ne justifiait pas que Monsieur [I] avait contrevenu aux stipulations destinées à le mettre en garde sur les mesures de sécurité élémentaires qu&apos;il devait prendre concernant ses données bancaires pour en assurer la confidentialité et en prévenir la divulgation, la Cour d&apos;appel a incidemment retenu qu&apos;en tout état de cause, la banque ne fournissait pas « les conditions générales en vigueur au jour de l&apos;adhésion de son client au produit ni ne justifie d&apos;une acceptation expresse de modifications postérieures » ; qu&apos;en statuant de la sorte, sans rechercher, comme elle y était invitée, si l&apos;obligation pour Monsieur [I] d&apos;assurer la sécurité de ses données personnelles ne résultait pas des conditions particulières du contrat, la Cour d&apos;appel a privé sa décision de base légale au regard de l&apos;article 1134 du code civil ;
 
 4°) ALORS, EN OUTRE, QUE le juge ne peut statuer ni par des motifs hypothétiques, ni par des motifs d&apos;ordre général dépourvus d&apos;assise dans les faits de la cause ; qu&apos;en retenant, pour juger qu&apos;il n&apos;était pas démontré que Monsieur [I] avait commis une négligence grave dans la conservation de ses données personnelles, à l&apos;origine des débits litigieux, que l&apos;association de consommateurs Que Choisir « soupçonn[ait] une brèche dans le dispositif de sécurité de la banque, le portail PAYWEB étant suspecté d&apos;être facilement mis en échec par les pirates informatiques », et que la carte d&apos;authentification renforcée pouvait être commandée par internet après la simple saisie de l&apos;identifiant et du mot de passe associé et que l&apos;actualité récente faisait état de plusieurs cas dans lesquels des malfaiteurs sont parvenus à s&apos;approprier des données bancaires confidentielles d&apos;accès aux services de consultation et de gestion de compte à distance par internet sans pour autant bénéficier de la négligence voire de la complicité du titulaire de ladite carte, la Cour d&apos;appel, qui a statué par des motifs hypothétiques et généraux, impropres à justifier sa décision, a violé l&apos;article 455 du code de procédure civile ;
 
 5°) ALORS EN TOUT ETAT DE CAUSE QUE les juges ne peuvent accueillir ou rejeter les demandes dont ils sont saisis sans examiner les éléments de preuve fournis par les parties au soutien de leurs prétentions ; qu&apos;en l&apos;espèce, le tribunal d&apos;instance, pour juger qu&apos;il n&apos;était pas établi que Monsieur [I] avait commis une négligence grave dans la conservation de ses données personnelles, et en particulier écarter l&apos;hypothèse d&apos;un « phishing », a relevé que les opérations litigieuses s&apos;étaient, pour la plupart, succédées à environ une minute d&apos;intervalle, ce qui rendait « peu vraisemblable » l&apos;utilisation par le fraudeur de l&apos;ensemble des codes des systèmes de sécurité de PAYWEB, « puisqu&apos;il aurait fallu, en une minute environ, qu&apos;il saisisse l&apos;ensemble des données de confidentialité avant: d&apos;opérer un autre achat en ligne dans la foulée, ce qui semble matériellement impossible » (jugement du 4 juillet 2014, p. 4, 3ème §) ; que pour contester ce motif, la Caisse de Crédit Mutuel de LILLE HELLEMES versait aux débats un constat d&apos;huissier établi le 8 décembre 2014 attestant du processus hautement sécurisé du système mis en place par le Crédit Mutuel et que la durée de création d&apos;une carte payweb telle que celle utilisée pour effectuer les débits litigieux n&apos;était que de 21 secondes ; qu&apos;en s&apos;abstenant d&apos;examiner, fût-ce de manière sommaire, le constat d&apos;huissier produit par l&apos;exposante qui démontrait le caractère erroné du motif retenu par le tribunal d&apos;instance pour condamner l&apos;exposante, la Cour d&apos;appel a violé l&apos;article 455 du code de procédure civile.