Cour d'appel de Douai
81, Cour de cassation
Chambre commerciale financière et économique, décision 19-11.493 du 23/09/2020,  partie 2


Qu'en outre, la responsabilité du payeur n'est pas engagée si l'opération de paiement non autorisée a été effectuée en détournant, à son insu, l'instrument de paiement ou les données qui lui sont liées ; Que, cependant, le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'agissements frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 du code monétaire et financier ; Qu'il s'ensuit que, pour échapper au remboursement des opérations contestées, le prestataire de services de paiement doit démontrer, soit que l'ordre émanait bel et bien du client dûment identifié dans son espace personnel, soit que le vol des identifiants de connexion (ou d'autres données) n'est que la conséquence d'une faute grave de sa part ; Attendu, en l'occurrence, qu'il est constant que le compte bancaire Eurocompte de Monsieur U... ouvert dans les livres de la caisse de Crédit Mutuel de Dunkerque Malo a été débité d'une somme totale de 2 323,58 euros au titre de trois des cinq opérations de paiement effectuées le 28 août 2014 au profit de la compagnie Royal Air Maroc et de l'opérateur de téléphonie mobile Free aux heures suivantes : 14 heures 31, 14 heures 33, 14 heures 34, 14 heures 37 et 14 heures 40 ; Que Monsieur U... en a été informé par la réception le 28 août 2014 sur son téléphone mobile de cinq codes de confirmation par SMS émanant de sa banque, ce qui l'a conduit à prendre immédiatement attache avec le Crédit Mutuel et à régulariser le jour-même à 18 heures 49 opposition à sa carte bancaire, ce qui n'empêchera en rien le paiement des opérations litigieuses entre les 29 août et 1er septembre 2014 ; Que s'il est acquis, au vu du tableau établi par le service monétique que le Crédit Mutuel verse aux débats sous sa pièce n°1, que chacune des opérations contestées a bien été authentifiée, enregistrée et comptabilisée, ce qui permet d'écarter toute déficience technique ou autre du système de paiement sécurisé dit « 3D SECURE », cette seule circonstance ne saurait suffire pour écarter toute obligation de remboursement de la banque ; Que Monsieur U... réfute les assertions du Crédit Mutuel selon lesquelles il ne démontre pas qu'il ne serait pas à l'origine des opérations qu'il décrit comme frauduleuses, ce qui s'analyserait assurément en une preuve négative qu'il lui est impossible d'administrer ; Qu'il faut sur cette question relever que les cinq opérations de paiement litigieuses ont été passées au profit de deux bénéficiaires différents et dans un temps particulièrement réduit (moins de dix minutes), ce qui suppose de la part d'un même utilisateur une célérité extrême pour recevoir de la banque le code confidentiel pour chaque opération et renseigner les diverses rubriques qui s'affichent à l'écran, une telle célérité étant manifestement incompatible avec le maniement d'un service d'achat sur internet ; Qu'il doit en cela être retenu, comme l'a fait du reste le premier juge, qu'aucun élément du dossier ne permet d'établir que Monsieur U... aurait lui-même effectué les opérations qu'il conteste ; Qu'il faut ajouter que si Monsieur U... a bien déclaré au cours de son dépôt de plainte le 30 août 2014 à la gendarmerie de [...] qu'il avait reçu un mail de SFR avec pour objet un problème de prélèvement automatique, qu'il avait suivi le lien et renseigné les informations demandées (son numéro de carte bancaire, le cryptogramme, son nom et son prénom), l'examen de l'email produit par la banque sous sa pièce n°2 ne permet aucunement d'en tirer la conclusion que l'utilisateur aurait commis une négligence grave en répondant à un message relevant manifestement de la technique frauduleuse du « hameçonnage » ou « phishing » (encore que le message comporte une adresse mail correcte et qu'il soit libellé sans aucune faute), la pièce en question étant datée du 29 août 2014 à 4 heures 40, soit du lendemain des opérations contestées ; Que si le Crédit Mutuel croit utile de développer en page 11 de ses écritures que Monsieur U... aurait sur ce point agi de mauvaise foi en reconnaissant qu'il avait tenté de tromper la banque, laquelle exige à ce jour la transmission de l'email auquel il a effectivement répondu, cc qui laisserait supposer qu'un autre message frauduleux aurait été adressé à Monsieur U... avant les opérations litigieuses, aucun élément du dossier ne permet de conforter cette thèse, aucun autre email n'ayant été transmis au Crédit Mutuel par son client, ce dernier n'ayant en outre aucunement fait l'aveu d'une quelconque modification de sa version des faits à ce sujet ; Qu'en l'état du dossier, et à l'instar du premier juge, la cour constate que rien n'établit que Monsieur U... aurait agi, en lien avec les opérations querellées, de manière frauduleuse et qu'il aurait omis intentionnellement ou par négligence grave de satisfaire à ses obligations pour préserver la sécurité du dispositif personnalisé, notamment en transmettant ses données bancaires confidentielles les opérations contestées ayant été réalisées à son insu et par détournement des données liées à sa carte bancaire ;