Cour d'appel de Douai
03, Cour de cassation
Chambre commerciale financière et économique, décision 18-17.325 du 14/11/2019,  partie 3


En l'état de ces constatations, les circonstances entourant la création et l'utilisation des cartes Payweb et du système e-retrait générés à partir de la carte de crédit n° [...] démontrent suffisamment que les opérations litigieuses réalisées le 24 mai 2014 ont nécessairement été effectuées à l'insu de M. E... par le biais d'un détournement frauduleux par un tiers de ses instruments de paiement ou des données qui y sont attachées, de sorte que ces opérations doivent être regardées comme n'ayant pas été autorisées par le payeur au sens des dispositions de l'article L. 133-18 du code monétaire et financier. La Caisse ne peut en conséquence utilement soutenir dans ses écritures que "les opérations contestées ont été nécessairement autorisées" ou encore que "M. E... a donné son consentement aux opérations contestées" ou qu'il "ne peut prétendre qu'il y a eu un détournement des instruments de paiement à son insu". Surabondamment, la cour observe que la circonstance alléguée par la Caisse selon laquelle M. E... n'a déposé plainte que le 31 mai 2014, soit 7 jours après les prélèvements litigieux sur son compte bancaire, n'est pas suffisante en soi pour démontrer l'absence de réalité de la fraude ou que les opérations litigieuses réalisées le 24 mai, entre 3h10 et 21 secondes et 4h25 et 57 secondes, n'ont pas été effectuées à son insu. A titre surabondant encore, la cour fait observer que la Caisse ne peut valablement se fonder sur l'article 15 de loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique pour affirmer que "le fournisseur d'accès internet « est responsable de plein droit à l'égard de l'acheteur de la bonne exécution des obligations résultant du contrat, que ces obligations soient à exécuter par elle-même ou par d'autres prestataires de services [...]. [Il] peut s'exonérer de tout ou partie de sa responsabilité en apportant la preuve que l'inexécution ou la mauvaise exécution du contrat est imputable, soit à l'acheteur, soit au fait, imprévisible et insurmontable, d'un tiers étranger à la fourniture des prestations prévues au contrat, soit à un cas de force majeure »" et que "commet une faute l'utilisateur qui met en cause la banque sans rechercher si l'inexécution ou la mauvaise exécution alléguée n'est pas imputable au fournisseur d'accès internet". En effet, l'article 15 de la loi n° 2004-575 énonce : "Toute personne physique ou morale exerçant l'activité définie au premier alinéa de l'article 14 est responsable de plein droit à l'égard de l'acheteur de la bonne exécution des obligations résultant du contrat, que ces obligations soient à exécuter par elle-même ou par d'autres prestataires de services, sans préjudice de son droit de recours contre ceux-ci. Toutefois, elle peut s'exonérer de tout ou partie de sa responsabilité en apportant la preuve que l'inexécution ou la mauvaise exécution du contrat est imputable, soit à l'acheteur, soit au fait, imprévisible et insurmontable, d'un tiers étranger à la fourniture des prestations prévues au contrat, soit à un cas de force majeure". Il s'ensuit que ce texte vise toute personne physique ou morale exerçant l'activité de "commerce électronique", soit "l'activité économique par laquelle une personne propose ou assure à distance et par voie électronique la fourniture de biens ou de services" selon l'article 14 de la loi n° 2004-575. 2.2. Sur la négligence grave de M E... : En application de l'article L. 133-23 du code monétaire et financier dans sa version applicable au litige. - lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre, - l'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Il s'évince de l'alinéa 2 de l'article L. 133-23 précité que la seule démonstration par le prestataire de services de paiement qu'un tel service doté d'un dispositif de sécurité a été utilisé avec usage d'un identifiant internet, d'un mot de passe de connexion ainsi que de clefs personnelles permettant à l'utilisateur de services de paiement de venir authentifier le paiement au moyen d'une donnée confidentielle ne se trouvant pas sur la carte de paiement, ne permet pas en soi, en l'absence d'autres éléments, de rapporter la preuve de la négligence grave de l'utilisateur de services de nature à empêcher le remboursement demandé et ne saurait suffire à décharger le prestataire de services de paiement de toute responsabilité. En conséquence, la Caisse ne peut utilement soutenir, sur le fondement de l'article 133-23 du code précité, qu'aucun dispositif légal ne lui impose de démontrer la négligence de l'utilisateur et qu'elle n'a uniquement à démontrer que sont respectées les obligations en matière d'authentification, d'enregistrement et de comptabilisation. Il lui appartient donc de rapporter la preuve de la négligence grave de M. E....