Cour d'appel de Douai, Cour de cassation
Chambre commerciale financière et économique, décision 18-13.892 du 26/06/2019,  partie 2


qu'en statuant de la sorte, quand l'utilisation d'un service de paiement sans défaillance technique est susceptible de démontrer la commission par l'utilisateur de ce service d'une négligence grave dans la conservation de ses données, ce qu'il lui incombait de rechercher au regard des caractéristiques en matière de sécurité des services de paiement employés, la cour d'appel a violé les articles L. 133-16, L. 133-19, IV, et L. 133-23 du code monétaire et financier ;
 
 3°/ que l'utilisateur d'un service de paiement qui agit avec une négligence grave est tenu de supporter l'intégralité de la perte subie ; que l'existence d'une négligence grave doit être appréciée au regard de l'ensemble des circonstances de la cause, et peut être prouvée par tous moyens, en particulier eu égard aux caractéristiques de l'instrument de paiement en termes de fiabilité et de sécurité ; qu'en s'abstenant de rechercher, comme elle y était invitée, si la circonstance que les opérations de paiement litigieuses avaient été effectuées via le système de paiement sécurisé « 3D Secure », nécessitant, outre la fourniture des informations présentes sur la carte du sociétaire (nom, cryptogramme visuel, numéro et date d'expiration de la carte), un code de confirmation adressé sur le téléphone portable de ce dernier, ne permettait de présumer que Mme N... avait été gravement négligente dans la conservation de ses données personnelles, la cour d'appel a privé sa décision de base légale au regard des articles L. 133-15, L. 133-16, L. 133-19, IV, et L. 133-23 du code monétaire et financier ;
 
 4°/ qu'en retenant que l'envoi par la banque d'un courrier le 4 décembre 2014 faisant état de l'éventuelle « utilisation frauduleuse » de la carte bancaire de Mme N... « n'était pas particulièrement cohérente avec la thèse de la banque sur la circonstance, alléguée mais non démontrée par celle-ci, que Mme N... aurait nécessairement et volontairement communiqué ses informations personnelles et confidentielles à un tiers par négligence grave   », la cour d'appel, qui s'est fondée sur une circonstance impropre à exclure la négligence grave invoquée par la banque, a violé les articles L. 133-16, L. 133-19, IV, et L. 133-23 du code monétaire et financier, ensemble l'article 1134 du code civil, dans sa version applicable en l'espèce ;
 
 5°/ que le principe de l'égalité des armes implique que chaque partie ait la possibilité de faire valoir ses prétentions et moyens dans des conditions qui ne la placent pas dans une situation de net désavantage par rapport à son contradicteur ; qu'en jugeant qu'il incombait à la banque de prouver « l'implication à un titre ou à un autre de Mme N... dans les opérations litigieuses pour caractériser sa négligence fautive ou son manquement intentionnel, voire son action frauduleuse », et qu'elle ne pouvait invoquer l'article 6, § 1, de la Convention européenne des droits de l'homme sur la nécessité d'un procès équitable quand le prestataire de service de paiement ne dispose d'aucun autre moyen de preuve effectif pour démontrer la négligence grave qu'aurait commise son client, la cour d'appel a méconnu les exigences de l'article 6, § 1, de la Convention européenne des droits de l'homme, ensemble les articles L. 133-15, L. 133-16, L. 133-19, IV, et L. 133-23 du code monétaire et financier, ensemble l'article 1315, devenu 1353, du code civil ;
 
 Mais attendu, en premier lieu, que si, aux termes des articles L. 133-16 et L. 133-17 du code monétaire et financier, dans leur rédaction antérieure à celle issue de l'ordonnance n° 2017-1252 du 9 août 2017, il appartient à l'utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d'informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l'instrument de paiement ou des données qui lui sont liées, c'est à ce prestataire qu'il incombe, par application des articles L. 133-19, IV, et L. 133-23 dudit code, dans leur rédaction alors applicable, de rapporter la preuve que l'utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n'a pas satisfait, intentionnellement ou par négligence grave, à ses obligations ; que cette preuve ne peut se déduire du seul fait que l'instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés ; qu'ayant exactement retenu, abstraction faite des motifs, surabondants, critiqués par les première et quatrième branches, que les utilisations successives des données attachées à la carte bancaire de Mme N... ne suffisaient pas, en tant que telles, à prouver que les opérations avaient été autorisées par celle-ci ou qu'elle n'avait pas satisfait intentionnellement ou par négligence grave à ses obligations lui incombant en la matière et que la banque se bornait à évoquer l'hypothèse d'un hameçonnage, sans qu'il soit établi que Mme N... avait transmis à un tiers les données confidentielles attachées à son instrument de paiement, la cour d'appel, qui n'était pas tenue de procéder à la recherche, inopérante, invoquée par la troisième branche, a légalement justifié sa décision ;