Cour d'appel de Reims, Cour de cassation
Chambre commerciale financière et économique, décision 18-20.632 du 26/02/2020,  partie 2


Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d'initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur de services de paiement. » Les dispositions de l'alinéa deux de cet article n'instituent aucune présomption ni aucun renversement de la charge de la preuve en faveur du prestataire de services de paiement lorsque l'opération de paiement a été enregistrée comme en l'espèce sans défaillance technique. L'application des dispositions ci-dessus rappelées, qui met à la charge de la banque la preuve d'une négligence grave de son client, ne la mettent pas dans l'impossibilité de s'exonérer de sa responsabilité et ne sont pas contraires aux principes du procès équitable. La banque dans ses conclusions décrit avec précision le processus de création d'une Payweb Card qu'elle qualifie de hautement sécurisé, la création de la carte virtuelle nécessitant en premier lieu l'accès aux services de banque à distance par la saisie d'un identifiant et d'un mot de passe personnels puis l'obtention d'un numéro virtuel obtenu après la saisie d'une clé personnelle se trouvant sur une carte de code remise au client par la banque et dont il est le gardien et doit assurer la confidentialité, le processus se terminant par l'envoi d'un code de confirmation par mail ou par SMS devant être renseigné dans un certain délai. Elle fait valoir à ce titre que pour aboutir à la création de cette carte, l'utilisateur doit connaître l'identifiant de connexion au site en ligne de la banque, le mot de passe correspondant et se trouver en possession de la carte de clé personnelle contenant 64 codes outre la possession du téléphone portable ou de l'adresse e-mail du titulaire du compte. S'il est exact que ce processus est particulièrement sécurisé, et s'il est exact également que, comme l'établit la banque, les paiements litigieux sont intervenus conformément au processus ainsi sécurisé, elle n'établit pas qu'un tel processus serait totalement inviolable et qu'il ne serait pas possible à un tiers, par une opération frauduleuse, de récupérer les données personnelles et confidentielles du titulaire du compte, en ce compris les données figurant sur la carte de codes ci-dessus évoquée ainsi que le code de confirmation envoyé par SMS. La cour constate en outre que, en l'espèce, Monsieur W... a déposé plainte auprès des services de gendarmerie dès qu'il a eu connaissance des opérations qu'il conteste. Il a été entendu par les services de gendarmerie le 5 juin 2014 soit deux jours après la date des opérations litigieuses. Il a expliqué aux gendarmes s'être aperçu la veille de deux virements bancaires opérés pour des somme de 2 000 € et 1 000 qu'il contestait avoir autorisés au profit d'un tiers dont il a donné le nom et qu'il a indiqué ne pas connaître. Il leur a fait part également des opérations effectuées par le biais du système Payweb Card qui sont l'objet de la présente instance. Il a été interrogé à ce titre par les gendarmes quant à la communication possible de ses coordonnées bancaires et a contesté toute communication en expliquant « je suis très vigilant à ce niveau. Je ne fais d'ailleurs aucun achat sur Internet. ». La cour note en premier lieu qu'il n'est donné aucune explication particulière ni par la banque ni d'ailleurs par Monsieur W... quant aux deux virements bancaires dénoncés par lui au cours de son audition, virements qui ont été effectués peu de temps après les paiements litigieux. La cour note en second lieu que la banque ne conteste pas les explications de Monsieur W... quant au fait qu'il n'a jamais effectué d'achats en ligne et que, en toute hypothèse, elle ne produit aucun élément de nature à établir l'existence de telles opérations. Il apparaît en réalité que la banque, pour refuser de procéder au remboursement des opérations litigieuses a opposé le fait que Monsieur W... aurait été victime d'une opération de « phishing » qui n'aurait été rendue possible que par sa propre négligence. Toutefois, d'une part, le fait d'avoir été surpris par une telle manoeuvre frauduleuse ne constitue pas à lui seul la négligence grave requise par l'article L. 133-23 du code monétaire et financier et, d'autre part, en toute hypothèse, la réalité d'une telle opération de phishing n'est pas démontrée en l'espèce. Dans ces conditions, il ne saurait être retenu à défaut de tout autre élément que le titulaire du compte aurait manqué à l'obligation de conservation et d'utilisation prudente de l'instrument de paiement qui lui est imposée par l'article L. 133-16 du code monétaire et financier. Il résulte de l'ensemble de ces observations que c'est à juste titre que le premier juge a estimé que la banque ne rapportait pas la preuve d'une négligence grave commise par Monsieur W... et que sa responsabilité étant de ce fait engagée, les opérations litigieuses devaient être mises à sa charge. Il a en conséquence condamné à juste titre la banque à payer à Monsieur W... la somme de 5 074,09 €.