Cour d'appel de Douai
03, Cour de cassation
Chambre commerciale financière et économique, décision 18-18.640 du 22/01/2020,  partie 3


Ces éléments sont corroborés par la production par la Caisse d'un "Dossier Phishing" au nom de Mme U..., lequel indique : - qu'une commande de e-retrait d'un montant de 300 euros a été exécutée le 3 janvier 2014 à 14h43 et 10 secondes, l'autorisation ayant été acceptée chez le commerçant "CM TOURS RIVES DU CH2017 AVENUE DE GRAMMO" à 15h04 et 50 secondes pour ce montant, - qu'une commande de payweb card d'un montant de 830 euros a été exécutée le 3 janvier 2014 à 14h44 et 54 secondes, l'autorisation ayant été acceptée chez le commerçant "[...] " à 14h45 et 23 secondes pour la somme de 825 euros, la cour relevant que le paiement a été reçu le 6 janvier 2014 à 8h56 et secondes, - qu'une commande de payweb card d'un montant de 1 000 euros a été exécutée le 3 janvier 2014 à 14h46 et 45 secondes, l'autorisation ayant : en premier lieu été refusée chez le commerçant "[...] " à 15h26 et 27 secondes pour un montant de 898 euros, et en second lieu acceptée auprès du même commerçant à 15h28 et 53 secondes pour un montant de 788 euros. L'analyse de ce "Dossier Phishing" montre aussi que 2 commandes de e-retraits et 3 commandes de payweb card ont été réalisées par le fraudeur, "mais n'ont pas utilisés. Soit pas (sic) abandon soit par refus du site marchand (plafond CB dépassé)" : - une commande de e-retrait d'un montant de 500 euros le 3 janvier 2014 à 14h41 et 30 secondes, - une commande de e-retrait d'un montant de 400 euros le 3 janvier 2014 à 14h42 et 24 secondes, - une commande de payweb card d'un montant de 2 000 euros le 3 janvier 2014 à 14h48 et 00 secondes, - une commande de payweb card d'un montant de 2 000 euros le 3 janvier 2014 à 14h48 et secondes, - une commande de payweb card d'un montant de 2 000 euros le 3 janvier 2014 à 14h49 et 39 secondes, étant précisé que l'autorisation a été refusée chez le commerçant "QUATAR AIR IBE BEL INTERNET 056" à 15h09 et 54 secondes pour un montant de 975,96 euros. Il en résulte que les 3 commandes de e-retrait et les 5 commandes de payweb card ont été réalisées le 3 janvier 2014 entre 14h41 et 30 secondes et 14h49 et 39 secondes, de sorte qu'elles ont manifestement été réalisées avec un laps de temps très court entre elles. La lecture de ce "Dossier Phishing" met encore en évidence la circonstance que Mme U... a fait opposition à sa carte bancaire n° [...] le 4 janvier 2014 à 9h52 pour un vol sans code, et que le contrat de banque à distance a été bloqué le 4 janvier 2014 à 7h47 et 03 secondes. La cour observe encore que Mme U... et la Caisse produisent au débat un courrier de la société SFR du 6 septembre 2014 résumant ce qui s'est passé sur le contrat de Mme U..., soit un changement de carte SIM en date du 3 janvier 2014, une suspension du contrat en date du 4 janvier 2014 et une remise en service de la ligne en date du 15 janvier 2014 après activation de la nouvelle carte SIM. La lecture du document "Historique des cartes SIM d'un contrat" [...] ouvert au nom de Mme U..., que la société SFR verse au débat, confirme le changement de carte SIM le janvier 2014 à 14h14. En l'état de ces constatations, les circonstances entourant la création et l'utilisation des cartes Payweb et du système e-retrait générés à partir de la carte bancaire n° [...] démontrent suffisamment que les trois opérations litigieuses réalisées le 3 janvier 2014 à 14h43 et 10 secondes, 14h44 et 54 secondes et 14h46 et 45 secondes ont nécessairement été effectuées à l'insu de Mme U... par le biais d'un détournement frauduleux par un tiers de ses instruments de paiement ou des données qui y sont attachées, de sorte que ces opérations doivent être regardées comme n'ayant pas été autorisées par le payeur au sens des dispositions de l'article L. 133-18 du code monétaire et financier. La Caisse ne peut en conséquence utilement soutenir que "le consentement a été formalisé" et que "les opérations ont été dûment autorisées". 1.1.2. Sur la divulgation des données personnelles par Mme U... En application de l'article L. 133-23 du code monétaire et financier, dans ses dispositions applicables au litige : - lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre, - l'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière.