Cour d'appel de Douai
03, Cour de cassation
Chambre commerciale financière et économique, décision 18-11.293 du 03/04/2019,  partie 4


qu'en retenant, pour écarter la négligence grave reprochée à M. et Mme U..., qu'un changement de carte SIM frauduleux avait été effectué le 26 mai 2014 à 17 heures 28, sans rechercher, ainsi qu'elle y était invitée, si cette circonstance n'était pas insuffisante pour écarter la négligence grave reprochée à M. et Mme U... dans la mesure où les services de paiement utilisés (payweb et e-retrait) nécessitaient également que le donneur d'ordre soit également en possession de l'identifiant et du mot de passe du client sur le site cmne.fr, ainsi que de la carte de clefs personnelle ou du numéro virtuel e-retrait, la cour d'appel n'a pas donné de base légale à sa décision au regard des articles L. 133-16, L. 133-19, IV, et L. 133-23 du code monétaire et financier ;
 
 5°/ que le principe de l'égalité des armes implique que chaque partie ait la possibilité de faire valoir ses prétentions et moyens dans des conditions qui ne la placent pas dans une situation de net désavantage par rapport à son contradicteur ; qu'en jugeant que la banque ne pouvait prouver la négligence grave qu'elle imputait aux époux U... par la seule démonstration de ce que les services de paiement utilisés étaient hautement sécurisés et qu'ils avaient été utilisés sans qu'une défaillance technique ou un piratage n'ait été constaté(e), sans que ne soient pour autant méconnues les exigences d'un procès équitable et de la loyauté dans l'administration de la preuve, quand le prestataire de service de paiement ne dispose d'aucun autre moyen de preuve effectif pour démontrer la négligence grave qu'aurait commise son client, la cour d'appel a méconnu les exigences de l'article 6, § 1, de la Convention européenne des droits de l'homme, ensemble les articles 133-16, L. 133-19, IV, et L. 133-23 du code monétaire et financier, ensemble l'article 1315 du code civil, devenu l'article 1353 du même code ;
 
 6°/ que la banque faisait valoir que les opérations de paiement litigieuses avaient été effectuées par le biais des systèmes hautement sécurisés payweb et e-retrait, nécessitant, outre la fourniture des informations présentes sur la carte du sociétaire (nom, cryptogramme visuel, numéro et date d'expiration de la carte), que l'utilisateur accède à son espace personnel sur le site cmne.fr en renseignant son identifiant et son mot de passe, mais également une clef personnelle figurant sur une carte établie sur support papier et remise par la banque au client, ainsi qu'un code de confirmation adressé sur l'adresse email ou le téléphone portable de ce dernier ; qu'en se bornant à affirmer, par motifs supposément adoptés du premier juge, que « les données de carte codée sont en outre transmises par voie postale et donc potentiellement interceptables », sans rechercher si la circonstance que les opérations de paiement litigieuses avaient été effectuées via des systèmes de paiement sécurisés nécessitant, outre le code figurant sur la carte de clefs personnelle, que l'utilisateur accède à son espace personnel sur le site cmne.fr en renseignant son identifiant et son mot de passe, et qu'il fournisse un code confidentiel pour valider l'opération de paiement, ne permettait pas de démontrer que M. et Mme U... avaient nécessairement été négligents dans la conservation des données confidentielles permettant l'utilisation de ces systèmes de paiement hautement sécurisés, la cour d'appel a privé sa décision de base légale au regard des articles L. 133-16, L. 133-19, IV, et L. 133-23 du code monétaire et financier ;
 
 7°/ que la circonstance que les ordres de paiement aient pu être passés à partir d'un ordinateur ou d'un appareil n'appartenant pas à M. et Mme U... n'excluait pas que ces derniers aient communiqué leurs données confidentielles à un tiers ayant effectué les opérations depuis un autre support ; qu'en relevant, par motifs supposément adoptés du premier juge, que « la caisse de Crédit mutuel de Cysoing se gard[ait] de justifier du traçage de l'adresse IP de l'ordinateur ou appareil à partir duquel les ordres auraient été passés », la cour d'appel, qui s'est fondée sur une circonstance inopérante, a violé les articles L. 133- 16, L. 133-19, IV, et L. 133-23 du code monétaire et financier ;
 
 Mais attendu, en premier lieu, que si, aux termes des articles L. 133-16 et L. 133-17 du code monétaire et financier, dans leur rédaction issue de l'ordonnance n° 2009-866 du 15 juillet 2009 transposant la directive 2007/64/CE du 13 novembre 2007, il appartient à l'utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d'informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l'instrument de paiement ou des données qui lui sont liées, c'est à ce prestataire qu'il incombe, par application des articles L. 133-19, IV, et L. 133-23 du même code, dans leur rédaction alors applicable, de rapporter la preuve que l'utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n'a pas satisfait intentionnellement ou par négligence grave à ses obligations ; que cette preuve ne peut se déduire du seul fait que l'instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés ;