Cour d'appel de Reims, Cour de cassation
Chambre commerciale financière et économique, décision 18-15.823 du 23/10/2019,  partie 6



 1°) ALORS QUE manque, par négligence grave, à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés l'utilisateur d'un service de paiement qui communique les données personnelles de ce dispositif de sécurité en réponse à un courriel qui contient des indices permettant à un utilisateur normalement attentif de douter de sa provenance, peu important qu'il soit, ou non, avisé des risques d'hameçonnage ; qu'en jugeant, après avoir pourtant retenu qu'il résultait du rapport établi par le service fraudes et affaires spéciales du CREDIT MUTUEL « que c'est à la suite d'une opération dite de « phishing » résultant elle-même vraisemblablement de la réception par Madame L... d'un SMS frauduleux le 27 octobre 2013 l'invitant à mettre à jour ses coordonnées sur le site de la banque que les données personnelles et confidentielles permettant l'identification des époux L... sur le site de la banque en ligne ont été récupérées par des tiers qui ont à leur [tour] procédé au retrait et aux différents paiements frauduleux » que le fait d'avoir été surpris par une telle manoeuvre ne constituait pas une négligence grave, la cour d'appel a méconnu les articles L. 133-16, L. 133-19 et L. 133-23 du code monétaire et financier ;
 
 2°) ALORS ENCORE QUE la preuve de la négligence grave commise par l'utilisateur d'un service de paiement peut être rapportée par tout moyen, au regard de l'ensemble des circonstances de l'espèce et en particulier des caractéristiques de l'instrument de paiement utilisé en matière de sécurité ; qu'en affirmant que la banque ne pouvait rapporter la preuve d'une négligence qu'aurait commise l'utilisateur du service de paiement qu'en démontrant que l'instrument de paiement mis en oeuvre était « totalement inviolable », la cour d'appel a encore violé les articles L. 133-16, L. 133-19 et L. 133-23 du code monétaire et financier ;
 
 3°) ALORS QUE si, selon l'article L. 133-23 du code monétaire et financier, l'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière, elle peut suffire à rapporter une telle preuve, en fonction des circonstances particulières du litige qu'il incombe aux juges du fond d'examiner ; qu'en l'espèce, la cour d'appel a constaté (arrêt, p. 4, 2ème §) que le système de paiement utilisé pour effectuer les opérations litigieuses était « particulièrement sécurisé », mais a néanmoins considéré, pour condamner la banque à rembourser le montant des débits contestés par les époux L..., que cette dernière « n'établi[ssait] pas qu'un tel processus serait totalement inviolable et qu'il ne serait pas possible à un tiers, par une opération frauduleuse, de récupérer les données personnelles et confidentielles du titulaire du compte, en ce compris les données figurant sur la carte de code ci-dessus évoquée », quand il lui appartenait de rechercher, ainsi qu'elle y était invitée, si l'utilisation du service de paiement sécurisé payweb et e-retrait ne permettait pas d'établir, ou à tout le moins de présumer, que les époux L... avaient été gravement négligents dans la conservation de leurs données personnelles, la cour d'appel a violé les articles L. 133-16, L. 133-19 et L. 133-23 du code monétaire et financier ;
 
 4°) ALORS QU' en exigeant de la Caisse de Crédit Mutuel qu'elle démontre que le service de paiement « payweb » utilisé pour réaliser les opérations litigieuses était « totalement inviolable » et « qu'il ne serait pas possible à un tiers, par une opération frauduleuse, de récupérer les données personnelles et confidentielles du titulaire du compte, en ce compris les données figurant sur la carte de code ci-dessus évoquée », la cour d'appel a imposé à l'exposante la démonstration d'une preuve impossible, violant ainsi l'article 1315 du code civil, ensemble l'article 9 du code de procédure civile et le principe d'égalité des armes résultant de l'article 6 § 1 de la Convention européenne des droits de l'Homme ;
 
 5°) ALORS, EN OUTRE, QUE la Caisse de Crédit Mutuel faisait valoir (ses conclusions d'appel, not. p. 3 à 6 ; p. 11 à 14) que les opérations de paiement litigieuses avaient été effectuées via le système de paiement sécurisé payweb card et e-retrait, lesquels nécessitaient pour fonctionner non seulement que l'utilisateur accède à son espace personnel en renseignant son identifiant et son mot de passe, mais également une clef personnelle figurant sur une carte établie sur support papier et remise par la banque au client, ainsi qu'un code de confirmation adressé sur l'adresse email ou le téléphone portable de ce dernier ;