Cour d'appel de Douai
81, Cour de cassation
Chambre commerciale financière et économique, décision 18-17.326 du 14/11/2019,  partie 3


que Monsieur X..., qui soutient que son téléphone portable faisait, à l'époque des opérations litigieuses, l'objet d'un piratage, justifie, de son côté, par la production de la facture détaillée émanée de son opérateur de téléphonie mobile couvrant la période du 24 mars au 23 avril 2014, que plusieurs messages écrits ont été émis, à partir de sa ligne téléphonique, depuis le Maghreb le 14 avril 2014 à 15 heures 50, 16 heures 12, 18 heures 47 et 19 heures 03, de même que plusieurs appels ont été émis, à partir de cette même ligne téléphonique, depuis le Maghreb toujours le 14 avril 2014 à 15 heures 48, 19 heures 30 et 20 heures 16, ainsi que les 15 avril et 16 avril suivants, soit les jours mêmes où, pour le premier, Monsieur X... indique, sans être contredit, avoir été avisé par un appel téléphonique de la banque à son domicile à Arras de mouvements suspects sur ses comptes et où, pour le second, il s'est présenté à l'agence bancaire du crédit mutuel d'Arras pour procéder à une opposition sur ses deux cartes bancaires et à une déclaration de sinistre ; Qu'alors en outre que chacune des demandes de création de cartes virtuelles a été, précisément, formée depuis le Maroc, pays du Maghreb, les opérations d'achat sur les sites marchands de l'Internet ont toutes été effectuées, dans les quinze minutes au maximum qui ont suivi la création desdites cartes, depuis Nancy, en Meurthe-et-Moselle, tandis que les retraits litigieux l'ont été en un troisième lieu, à Limoges, dans le département de la Haute-Vienne ; qu'il suit de ce qui précède que le détournement, à l'insu de Monsieur X..., de ses données bancaires personnelles et des cartes virtuelles générées à partir de ses cartes de crédit Mastercard, s'il est contesté par la Caisse de crédit mutuel de Beaurains, est suffisamment établi par les circonstances entourant la création et l'utilisation des cartes bancaires virtuelles litigieuses ; Que Monsieur X... est par conséquent bien fondé à demander le bénéfice des dispositions précitées du code monétaire et financier, sauf à se voir opposer la négligence grave dont il se serait rendu coupable en divulguant ses données bancaires personnelles ; qu'à cet égard que si conformément à l'article L. 133-23 précité du code monétaire et financier, la Caisse de crédit mutuel de Beaurains rapporte la preuve que les opérations de paiements et de retraits contestées ont été authentifiées, dûment enregistrées et comptabilisées et qu'elles n'ont pas été affectées par une déficience technique ou autre, il n'en demeure pas moins que les utilisations successives des services de paiement « payweb cards » et de retraits «e-retraits », telles qu'enregistrées par la banque, ne suffisent pas nécessairement en tant que telles à prouver que les opérations ont été autorisées par Monsieur X... ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière ; Qu'il suit que la Caisse de crédit mutuel de Beaurains, prestataire du service de paiement incriminé, ne peut, du seul fait de la création et de l'utilisation par un tiers des cartes de paiement et de retraits virtuelles litigieuses avec tabulation des données bancaires personnelles de Monsieur X..., éléments nécessaires pour créer lesdites cartes puis valider les paiements et retraits, prétendre démontrer une négligence grave de son client au sens de l'article L. 311-19 précité ; Que c'est en conséquence à elle, contrairement à ce qu'elle soutient, de démontrer que Monsieur X... a révélé volontairement à un tiers ses données bancaires et notamment son identifiant CMNE Direct, le mot de passe associé et les codes de validation présents sur sa carte d'authentification renforcée, ou démontrer que par négligence, ce dernier a permis à un tiers d'en prendre aisément connaissance ; Que si la Caisse de crédit mutuel de Beaurains affirme à cet égard que Monsieur X... a pu être victime de faits d'hameçonnage, elle n'en rapporte nullement la preuve, se contentant à cet égard de procéder par simple voie de supputations impropres à caractériser une imprudence de son client à l'origine des paiements et retraits litigieux alors d'une part que l'association française des usagers des banques soupçonne une brèche dans le dispositif de sécurité de la banque, le portail « payweb » et les cartes bancaires sans contact utilisant la technologie NFC (near field communication) étant suspectés d'être facilement mis en échec par les pirates informatiques, que la carte d'authentification renforcée peut être commandée par internet après la simple saisie de l'identifiant et du mot de passe associé et que l'actualité récente fait état de plusieurs cas dans lesquels des malfaiteurs sont parvenus à s'approprier des données bancaires confidentielles d'accès aux services de consultation et de gestion de compte à distance par internet sans pour autant bénéficier de la négligence voire de la complicité du titulaire de ladite carte ;