Cour d'appel de Douai
03, Cour de cassation
Chambre commerciale financière et économique, décision 18-11.293 du 03/04/2019,  partie 3



 Attendu que la banque fait grief à l'arrêt de la condamner à payer à M. et Mme U... la somme de 5 680,30 euros alors, selon le moyen :
 
 1°/ que si, selon l'article L. 33-23 du code monétaire et financier, l'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière, elle peut suffire à rapporter une telle preuve, en fonction des circonstances particulières du litige qu'il incombe aux juges du fond d'examiner ; que pour condamner la banque à rembourser à M. et Mme U... le montant d'opérations réalisées au débit de leur compte bancaire, la cour d'appel, après avoir constaté que la banque rapportait la preuve que les opérations de paiement contestées avaient « été authentifiées, dûment enregistrées et comptabilisées, et qu'elles n'[avaient] pas été affectées par une défaillance technique ou autre, tel un piratage » a néanmoins considéré que « les utilisations successives des données attachées à la carte des époux U... ne suffisent pas en tant que telles à prouver que les opérations litigieuses   ont été autorisées par les époux U... ou qu'ils n'ont pas satisfait intentionnellement ou par négligence grave aux obligations leur incombant en la matière », et a jugé que la banque, qui se bornait à faire état de l'hypothèse d'un « phishing », était défaillante dans l'administration de la preuve de la négligence grave qu'auraient commise M. et Mme U... ; qu'en statuant de la sorte, quand l'utilisation d'un service de paiement sans défaillance technique est susceptible de démontrer la commission par l'utilisateur de ce service d'une négligence grave dans la conservation de ses données, ce qu'il lui incombait de rechercher au regard des caractéristiques en matière de sécurité des services de paiement employés, la cour d'appel a violé les articles L. 133-16, L. 133-19, IV, et L. 133-23 du code monétaire et financier ;
 
 2°/ que l'utilisateur d'un service de paiement qui agit avec une négligence grave est tenu de supporter l'intégralité de la perte subie ; que l'existence d'une négligence grave doit être appréciée au regard de l'ensemble des circonstances de la cause, et peut être prouvée par tous moyens, en particulier eu égard aux caractéristiques de l'instrument de paiement en termes de fiabilité et de sécurité ; qu'en s'abstenant de rechercher, comme elle y était invitée, si la circonstance que les opérations de paiement litigieuses avaient été effectuées via les systèmes de paiement sécurisés « payweb » et « e-retrait », lesquels nécessitaient pour fonctionner non seulement que l'utilisateur accède à son espace personnel sur le site cmne.fr en renseignant son identifiant et son mot de passe, mais également une clef personnelle figurant sur une carte établie sur support papier et remise par la banque au client, ainsi qu'un code de confirmation adressé sur l'adresse email ou le téléphone portable de ce dernier, ne permettait pas de démontrer que M. et Mme U... avaient nécessairement été négligents dans la conservation des données confidentielles permettant l'utilisation de ces systèmes de paiement hautement sécurisés, la cour d'appel a privé sa décision de base légale au regard des articles L. 133-16, L. 133-19, IV, et L. 133-23 du code monétaire et financier ;
 
 3°/ qu'en retenant que l'existence de paiements reçus les 27 et 28 mai 2014, soit postérieurement à l'opposition de M. et Mme U... sur leur carte bancaire « [n'était] pas particulièrement cohérent[e] avec la thèse de la caisse sur la circonstance, alléguée mais non démontrée par celle-ci, que les époux U... auraient nécessairement et volontairement communiqué leurs informations personnelles et confidentielles à un tiers par négligence grave   », la cour d'appel, qui s'est fondée sur une circonstance inopérante dès lors que ces paiements avaient pour origine la création de cartes payweb le 26 mai 2014, avant l'opposition formée par M. et Mme U..., a violé les articles L. 133-16, L. 133-19, IV, et L. 133-23 du code monétaire et financier ;
 
 4°/ que la banque faisait valoir que les services de paiement payweb et e-retrait, utilisés pour effectuer les opérations litigieuses, nécessitaient que soient communiqués, non seulement un code confidentiel à 6 chiffres envoyé au sociétaire, en l'occurrence, sur son téléphone portable, mais préalablement encore l'identifiant et le mot de passe de connexion sur le site cmne.fr, ainsi qu'un code confidentiel contenu sur une carte de clefs personnelles (s'agissant du service payweb) ou un numéro virtuel (s'agissant du service e-retrait) ;