décision 16-11.644 du 25/10/2017,  partie 3


Si Caroline Y... a pu communiquer des informations relatives à son compte SFR permettant par la suite à un tiers d'opérer un renvoi téléphonique et de prendre connaissance du code 3D SECURE, cela ne peut être assimilé à une négligence de Caroline Y... quant à la préservation de la sécurité de ses dispositifs de sécurité personnalisés. Compte tenu de ces éléments, la caisse de crédit mutuel de CALAIS sera condamnée à rembourser à Caroline Y... la somme de 3.300,28 € et à payer la somme de 1€ à titre de dommages et intérêts. Succombant à l'instance, la caisse de crédit mutuel de Calais sera condamnée aux dépens. Il n'y a pas lieu à condamnation sur le fondement de l'article 700 du code de procédure civile » ;
 
 1°) ALORS QUE l'utilisateur d'un service de paiement qui agit avec une négligence grave est tenu de supporter l'intégralité de la perte subie ; que constitue une négligence grave la fourniture par le client d'un établissement bancaire à un tiers de données confidentielles permettant ou facilitant l'utilisation d'un service de paiement sécurisé ; qu'en l'espèce, il résulte des énonciations du jugement attaqué que Madame Y... , titulaire d'un compte bancaire auprès de la Caisse de crédit mutuel de Calais, avait, en réponse à un courriel émanant d'une personne se présentant comme la société SFR, communiqué son nom, son numéro de carte bancaire, la date d'expiration de celle-ci et le numéro du cryptogramme figurant au dos de la carte (jugement attaqué, p. 3, 5ème §) ; que pour dire que Madame Y... n'avait pas commis de négligence grave, et condamner la banque à lui rembourser une somme de 3.300,28 € correspondant à une opération réalisée par le biais du système de paiement 3D SECURE, la juridiction de proximité a retenu que « ces éléments bien que communiqués volontairement par Caroline Y... doivent être considérés comme ayant été étant détournés à son insu car ils ont été communiqués à une personne se présentant sous une fausse identité », et qu'en outre, Madame Y... n'avait communiqué ni le code confidentiel de sa carte, ni le code 3D SECURE à 6 chiffres qui lui avait été adressé par sms pour valider le paiement (jugement, p. 3, 7ème et 8ème §M) ; qu'en statuant de la sorte, quand il résultait de ses propres constatations que Madame Y... avait communiqué à un tiers des données confidentielles relatives à sa carte bancaire, sans lesquelles l'opération litigieuse n'aurait pu être exécutée, ce qui caractérisait une méconnaissance de son obligation de préserver la sécurité de ses dispositifs de sécurité personnalisés, le juge de proximité a violé les articles L. 133-15, L. 133-16, L. 133-19 et L. 133-23 du code monétaire et financier, ensemble l'article 1134 du code civil ;
 
 2°) ALORS EN TOUT ETAT DE CAUSE QUE la Caisse de crédit mutuel de Calais faisait valoir dans ses conclusions reprises à l'audience que Madame Y... avait commis une négligence grave en répondant à un « mail de phishing » lui demandant de communiquer certaines données confidentielles relatives à sa carte bancaire, dans la mesure où ce courriel ne comportait aucun nom de destinataire ni d'expéditeur, qu'y figurait un numéro de facture erroné et que la mention d'un rejet ou d'un impayé dans ce courriel était nécessairement inexacte puisque le compte de Madame Y... était créditeur (p. 6) ; qu'elle soulignait également que le Crédit Mutuel communiquait très régulièrement et depuis de nombreuses années sur son site internet afin d'alerter ses clients sur les risques de phishing et la nécessité de ne jamais communiquer ses données confidentielles à quiconque, de même que les pouvoirs publics et la gendarmerie nationale (p. 6) ; qu'en s'abstenant de rechercher, au regard de ces éléments de fait, si Madame Y... n'aurait pas dû avoir conscience que le courriel censé émaner de la société SFR auquel elle avait répondu était nécessairement frauduleux et si en conséquence, le fait d'avoir communiqué à son émetteur son nom, son numéro de carte bancaire, la date d'expiration de celle-ci et le numéro du cryptogramme figurant au dos de la carte (jugement attaqué, p. 3, 5ème §), ne caractérisait pas une négligence grave de sa part, la Cour d'appel a privé sa décision de base légale au regard des articles L. 133-15, L. 133-16, L. 133-19 et L. 133-23 du code monétaire et financier, ensemble l'article 1134 du code civil ;

3°) ALORS ENCORE QUE la circonstance qu'un service de paiement doté d'un dispositif de sécurité ait été utilisé pour des achats sur internet par utilisation, outre des données afférentes à sa carte bancaire, d'un code adressé directement au client sur son téléphone mobile ou fixe, permettant à l'utilisateur de venir authentifier le paiement au moyen d'une donnée confidentielle ne se trouvant pas sur la carte de paiement proprement dite, fait à tout le moins présumer le défaut de garde des données confidentielles d'instrument de paiement et la négligence grave de son utilisateur dans la préservation de la confidentialité de ses données personnelles ; qu'il appartient dans ces circonstances à l'utilisateur du service de paiement de rapporter par tous moyens la preuve qu'il a respecté son obligation de conserver les données confidentielles permettant l'utilisation du service qui lui a été proposé ;