Cour d'appel de Douai
03, Cour de cassation
Chambre commerciale financière et économique, décision 18-17.325 du 14/11/2019,  partie 4


Sur ce, il ressort du document "Liste des autorisations et événements", versé par M. E... au débat, que celui-ci a formé opposition à sa carte bancaire n° [...] le 24 mai 2014, étant précisé que ce point n'est pas contesté par la Caisse. La cour constate ensuite à la lecture d'un courrier avec recommandé et accusé de réception du conseil de M. E..., en date du 18 décembre 2014 et adressé à la Caisse de Crédit Mutuel Nord Europe, que M. E... a fait une déclaration en Gendarmerie le 26 mai 2014, cette circonstance n'étant pas davantage contestée par la Caisse. La cour observe enfin que M. E... a déposé plainte le 31 mai 2014 pour escroquerie suite au piratage de sa carte SIIVI et au détournement des sommes sur son compte bancaire (PV n° 31125/02061/2014). Ces éléments démontrent que M. E... a réagi rapidement au détournement de ses données personnelles et confidentielles de sorte que la Caisse ne saurait utilement prétendre que M. E... a tardé à réagir, étant rappelé qu'il a fait opposition à sa carte bancaire n° [...] le 24 mai 2014, soit le jour-même où ont été constatées les opérations litigieuses. En second lieu, la cour relève, au vu des pièces versées au débat, que les opérations de paiement contestées ont été authentifiées, dûment enregistrées et comptabilisées, et qu'elles n'ont pas été affectées par une défaillance technique ou autre, tel un piratage. La cour note aussi que les utilisations successives des données attachées à la carte de M. E... ne suffisent pas nécessairement en tant que telles à prouver que les opérations litigieuses, décrites dans l'attestation manuscrite du 27 mai 2014 de M. E..., du document "Liste des autorisations et événements" et du "Tableau du détail des opérations", et qui ont été réalisées le 24 mai 2014, entre 3h10 et 21 secondes et 4h25 et 57 secondes, ont été autorisées par M. E... ou qu'il est à l'origine desdites opérations litigieuses, ou encore qu'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations légales lui incombant en la matière, ainsi qu'à celles contractuellement énoncées dans les conditions générales cmnedirect, les conditions générales e-retrait ou les conditions générales payweb card. Si la Caisse allègue dans ses écritures que M. E... "n'a pas respecté son obligation de garde des instruments de paiement consacrée par le code monétaire et financier et agréée par l'utilisateur dans les conditions générales Caisse de Crédit Mutuel cmne direct" ou que les identifiants et coordonnées personnels "ont obligatoirement été transmis, volontairement ou non par M. E... à un tiers", pour autant, force est à l'évidence de constater que la Caisse ne communique au débat aucune pièce de nature à démontrer que M. E... aurait manqué à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés ou qu'il aurait nécessairement et volontairement ou non communiqué ses informations personnelles et confidentielles à un tiers par négligence grave ou par manquement intentionnel à ses obligations lui incombant en la matière, voire même qu'il aurait agi frauduleusement. Si la Caisse soutient encore, sur la base d'un courrier de son conseil du 18 décembre 2014, que M. E... "a prétendu être victime d'un phishing" et qu'il ne pouvait "en apporter la preuve", la cour constate que le courrier en question ne fait qu'évoquer au conditionnel la thèse du phishing, ce qui s'analyse en «une subtilisation de données, ce dont mon client a dû être victime". Ce point est d'autant plus acquis que, dans un courrier du 17 février 2015 adressé au conseil de M. E..., le cabinet de Berny "en ma qualité de conseil de la Caisse de Crédit mutuel qui m'a fait suivre votre lettre du 12.12.2014 concernant la demande de remboursement effectuée par M. E..." précise : "Vous indiquez que M. E... aurait été victime d'un phishing". En conséquence, en l'absence d'autres pièces versées au débat, il n'est nullement démontré d'une part que M. E... a été victime d'un phishing, et d'autre part, qu'il a transmis par ce moyen à un tiers ses données personnelles et confidentielles. En dernier lieu, la cour rappelle que la Caisse est tenue de prouver l'implication à un titre ou à un autre de M. E... dans les opérations litigieuses pour caractériser sa négligence fautive ou son manquement intentionnel, voire même son action frauduleuse. Or, il n'est nullement établi par la Caisse, en l'absence d'éléments objectifs permettant d'établir la réalité de la négligence grave de M. E..., de son manquement intentionnel aux obligations lui incombant ou de sa fraude, que celui-ci a transmis à un tiers ses identifiants, son code confidentiel personnel, ses clés confidentielles ou ses coordonnées personnelles. Surabondamment, la Caisse ne saurait démontrer la négligence grave ou le manquement intentionnel de M. E... à ses obligations, voire son action frauduleuse, en se bornant à les déduire du piratage de la carte SIM de son téléphone portable. En l'état de l'ensemble de ces énonciations et constatations, la Caisse est défaillante dans l'établissement du manquement intentionnel ou de la négligence grave alléguée à l'encontre de M. E....