Tribunal d'instance de Lens, Cour de cassation
Chambre commerciale financière et économique, décision 20-13.767 du 24/11/2021,  partie 4


Le CREDIT MUTUEL de [Localité 4] se prévaut également d'un message d'alerte sur les risques de phishing publié au début de l'année 2015, aux termes duquel la banque aurait rappelé à ses sociétaires qu'ils ne devaient en aucune façon répondre à ce type d'email, soulignant encore que ce message d'alerte apparaitrait à chaque connexion tant que l'utilisateur n'aurait pas cliqué sur l'onglet "j'ai lu". Toutefois, outre le fait que la banque ne produit pas aux débats une copie de ce message d'alerte, il n'est pas non plus justifié que cette alerte a bien été adressée à Monsieur [C] [W] en 2015 et, encore moins que ce dernier y avait encore accès en 2017, alors même que cette information est antérieure à la fraude dont il a été victime. La banque ne démontre pas non plus que Monsieur [W] avait encore accès à ce message d'alerte le 27 décembre 2017, jour des opérations frauduleuses. De même, les procès-verbaux de constat produits aux débats par le CREDIT MUTUEL de [Localité 4], consistant en la capture d'écran de son site, comprenant notamment des informations relatives à la sécurité sur Internet, datent du 8/12/2014 et 10/02/2015, ne sont pas probants en ce qu'ils sont antérieurs à la fraude dont a été victime Monsieur [W] et ne permettent pas d'attester de ce qu'ils étaient toujours d'actualité au mois de décembre 2017. En outre, le fait que Monsieur [W] puisse réaliser de manière habituelle des achats en ligne depuis 2009, n'est pas un élément suffisant pour lui opposer une négligence grave ; étant même remarqué qu'étant coutumier d'achats en ligne, le demandeur a pu raisonnablement s'inquiéter de la réception de ce courriel l'informant que s'il ne procédait pas à cette demande d'adhésion en ligne, rapidement, il perdrait alors l'usage de sa carte bancaire sur internet. Aussi, le CREDIT MUTUEL de [Localité 4] ne rapporte pas la preuve de ce que Monsieur [C] [W] aurait manqué à son obligation de prendre toute mesure raisonnable pote préserver la sécurité de ses dispositifs de sécurité personnalisé, ou encore qu'il aurait nécessairement communiqué ses informations personnelles et confidentielles à un tiers par négligence grave ou par manquement intentionnel aux obligations lui incombant en la matière, voir même qu'il aurait agi frauduleusement. En conséquence, il convient de condamner la CAISSE de CREDIT MUTUEL de [Localité 4] à rembourser à Monsieur [C] [W] les sommes indûment prélevées sur son compte bancaire, à savoir la somme de 2.593 euros, assortie des intérêts au taux légal à compter du 8 novembre 2018, date de la mise en demeure. Sur les demandes accessoires. En vertu de l'article 696 du Code de Procédure Civile, la partie perdante est condamnée aux dépens. La CAISSE DE CREDIT MUTUEL de [Localité 4] sera donc condamnée aux dépens. En application des dispositions de l'article 700 du Code de Procédure Civile, le juge condamne la partie tenue aux dépens ou, à défaut, la partie perdante, à payer à l'autre partie la somme qu'il détermine au titre des frais exposés et non compris dans les dépens. En l'espèce, la CAISSE DE CREDIT MUTUEL de [Localité 4] sera condamnée au paiement de la somme de 500 euros au titre de l'article 700 du Code de procédure civile »
 
 1°) ALORS QUE manque, par négligence grave, à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés l'utilisateur d'un service de paiement qui communique les données personnelles de ce dispositif de sécurité en réponse à un courriel qui contient des indices permettant à un utilisateur normalement averti de douter de sa provenance, peu important qu'il soit, ou non, avisé des risques d'hameçonnage ; qu'en l'espèce, la Caisse de Crédit Mutuel de [Localité 4] faisait valoir (ses conclusions reprises oralement à l'audience, p. 3 à 5) que le courriel du 27 décembre 2017, produit aux débats par Monsieur [W] (sa pièce n°1), auquel ce dernier avait admis avoir répondu en communiquant son numéro de carte bancaire, le pictogramme et son numéro de téléphone, comportait des indices qui permettaient à un utilisateur normalement averti de douter de sa provenance, dans la mesure où l'adresse de l'expéditeur de ce courriel était « [Courriel 1] (illisible)[Courriel 1] », que son objet était intitulé : « ***SPAM***vous écrit », et que le message de ce courriel, qui indiquait « lors de votre dernier achat, vous été [sic] averti par un message vous informant de l'obligation d'adhérer à la nouvelle réglementation concernant la fiabilité des achats par CB sur internet et la mise en place d'un arrêt pour vos futurs achats. Or, nous n'avons pas à ce jour d'adhésion de votre part et nous sommes au regret de vous informer que vous pouvez plus [sic] utiliser votre carte sur internet », en invitant le destinataire à cliquer sur un lien avec de communiquer ses données personnelles, comportait des fautes de syntaxe et d'orthographe, et ne correspondait pas à la situation de Monsieur [W] qui ne pouvait ignorer que lors de son dernier achat sur internet, il n'avait reçu aucun avertissement quant à un risque de blocage de sa carte pour effectuer des paiements à distance ;