Cour d'appel de Douai
03, Cour de cassation
Chambre commerciale financière et économique, décision 18-18.640 du 22/01/2020,  partie 6


De son côté, la banque ne rapporte pas la preuve de ce que son système de paiement en ligne est absolument sécurisé et de cc que les données confidentielles de ses clients n'ont pu être rendues accessibles à des personnes mal intentionnées via une faille de sécurité de son système informatique. En outre, les codes transmis par voie postale sont également potentiellement interceptables. Il est démontré au surplus que l'envoi a été fait sur le numéro de portable au nom de la demanderesse mais obtenu à la suite d'une usurpation d'identité. Enfin, la Caisse de CREDIT MUTUEL de [...] se garde bien de justifier du traçage de l'adresse IP de l'ordinateur ou appareil à partir duquel les ordres auraient été passés. La Banque comme tout établissement bancaire a pourtant à sa disposition un service des fraudes et affaires spéciales qui aurait pu rendre un rapport précis. La Banque ne peut donc, sans un renversement de la charge de la preuve, se contenter d'apporter des explications techniques générales, et reprocher à demanderesse de ne pas fournir de justifications sur la fraude dont ils s'affirment victimes. La défenderesse ne peut donc, sans preuve de la mauvaise foi de Madame U..., s'opposer au remboursement des sommes qu'elle a indûment débitées des comptes de celle-ci au titre des opérations de paiement effectuées litigieuses ; Aucune négligence grave de la part de Madame X... U... au regard des dispositions précitées de l'article L. 133-16 du code monétaire et financier n'étant en ces conditions établie, la CAISSE DE CRÉDIT MUTUEL de [...] doit être condamnée à lui rembourser les sommes débitées à tort de son compte bancaire ; En conséquence, il convient de condamner la CAISSE de CREDIT MUTUEL DE [...] à rembourser à Madame X... U... les sommes indûment prélevées sur leur compte bancaire, à savoir la somme de 1913 euros, outre l'intégralité des frais de commission d'intervention » ;
 
 1°) ALORS QUE l'utilisateur d'un service de paiement qui agit avec une négligence grave est tenu de supporter l'intégralité de la perte subie ; que la négligence grave s'entend de la carence de l'utilisateur du service de paiement à prendre toute mesure raisonnable pour assurer la confidentialité de ses données personnelles ; qu'en jugeant que la négligence grave de l'utilisateur de services de paiement « confin[ait] au dol et dénot[ait] l'inaptitude de celui-ci dans l'accomplissement de son obligation de préserver la sécurité de ses dispositifs de sécurité personnalisés, de sorte que cette négligence grave [était] d'une importance telle qu'elle [rendait] impossible le remboursement des sommes débitées à la suite d'opérations de paiement non autorisées par l'utilisateur de services », et en appréciant l'existence d'une négligence grave de la part de Mme U... au regard de cette définition, la cour d'appel a violé les articles L. 133-16, L. 133-19 IV et L. 133-23 du code monétaire et financier ;
 
 2°) ALORS QUE si, selon l'article L.133-23 du code monétaire et financier, l'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière, elle peut suffire à rapporter une telle preuve, en fonction des circonstances particulières du litige qu'il incombe aux juges du fond d'examiner ; que pour condamner la Caisse de Crédit Mutuel de [...] à rembourser à Mme U... le montant d'opérations réalisées au débit de son compte bancaire, la cour d'appel, après avoir constaté que la banque rapportait la preuve que les opérations de paiement contestées avaient « été authentifiées, dûment enregistrées et comptabilisées, et qu'elles n'[avaient] pas été affectées par une défaillance technique ou autre, tel un piratage » (p. 12, 8ème §), a néanmoins considéré que les utilisations successives des données attachées à la carte de Mme U... ne pouvaient suffire à prouver que les opérations litigieuses avaient été autorisées par cette dernière, ou qu'elle n'aurait pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière, et a jugé que la banque, qui se bornait à faire état de l'hypothèse d'un « phishing », était défaillante dans l'administration de la preuve de la négligence grave qu'aurait commise Mme U... ; qu'en statuant de la sorte, quand l'utilisation d'un service de paiement sans défaillance technique est susceptible de démontrer la commission par l'utilisateur de ce service d'une négligence grave dans la conservation de ses données, ce qu'il lui incombait de rechercher au regard des caractéristiques en matière de sécurité des services de paiement employés, la cour d'appel a violé les articles L. 133-16, L. 133-19 IV et L. 133-23 du code monétaire et financier ;