Cour d'appel de Douai
03, Cour de cassation
Chambre commerciale financière et économique, décision 18-18.576 du 11/12/2019,  partie 3


La cour observe encore que, selon le dossier Phishing, le courrier de Mme F... adressé à la société SFR le 16 mai 2014, et la réponse de cette dernière à Mme F... le 23 mai 2014, un changement de carte SIM a eu lieu auprès de la société SFR après que le fraudeur a également usurpé l'identité de Mme F... auprès de l'opérateur téléphonique. En l'état de l'ensemble de ces constatations, les circonstances entourant la création et l'utilisation des cartes Payweb et du système e-retrait générés à partie de la carte bancaire Gold [...] démontrent suffisamment que les opérations litigieuses, réalisées le 6 mai 2014, entre 17h29 et 31 secondes et 19h21 et 23 secondes, et le 7 mai 2014 à 3h44 et 19 secondes sur le compte bancaire des époux F..., ont nécessairement été effectuées à leur insu, par le biais d'un détournement frauduleux par un tiers de leurs instruments de paiement ou des données qui y sont attachées, de sorte que ces opérations doivent être regardées comme n'ayant pas été autorisées par le payeur au sens des dispositions de l'article L. 113-8 du code monétaire et financier. La Caisse ne peut en conséquence utilement soutenir dans ses écritures que "les époux F... doivent justifier qu'ils n'ont pu autoriser les opérations qu'ils contestent aujourd'hui", qu'il s'agit "de connaître les raisons pour lesquelles ces opérations n'auraient pu être autorisées par Madame F...", ou encore que "les demandeurs doivent donc expliquer à la cour, pour chacune des opérations contestées, les raisons pour lesquelles ils ne peuvent être à l'origine de ces paiements". 1.2. Sur la négligence grave des époux F... En application de l'article L, 133-23 du code monétaire et financier, dans ses dispositions applicables au litige : - lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dament enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre,- l'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations qui lui incombent en la matière. Il s'évince de l'alinéa 2 de l'article L. 133-23 précité que la seule démonstration par le prestataire de services de paiement qu'un tel service, doté d'un dispositif de sécurité, a été utilisé, par l'emploi d'un identifiant internet, d'un mot de passe de connexion, ainsi que des clefs personnelles permettant à l'utilisateur de services de paiement de venir authentifier le paiement au moyen d'une donnée confidentielle ne se trouvant pas sur la carte réelle de paiement, ne permet pas, en soi et en l'absence d'autres éléments fournis par le prestataire de services de paiement, de rapporter la preuve de la fraude, du manquement intentionnel ou par négligence grave de l'utilisateur de services de paiement à ses obligations prévues aux articles L. 133-16 et L. 133-17 du code monétaire et financier, de nature à empêcher le remboursement demandé, et ne saurait suffire à le décharger de toute responsabilité. Il s'ensuit qu'il appartient à la Caisse de fournir des éléments afin de prouver que les époux F... auraient pu avoir conscience que le courriel qu'ils ont reçu était frauduleux et si, en conséquence, le fait d'avoir communiqué leurs données personnelles et confidentielles, permettant à un tiers de prendre connaissance du code payweb card ou du code e-retrait, caractérise un manquement intentionnel ou par négligence grave à leurs obligations mentionnées à l'article L. 133-16 du code monétaire et financier. En conséquence, la Caisse ne peut utilement soutenir, sur le fondement de l'article L. 133-23 du code précité, qu'aucun dispositif légal ne lui impose de démontrer la négligence grave de l'utilisateur et qu'elle n'a uniquement à démontrer que sont respectées les obligations en matière d'authentification, d'enregistrement et de comptabilisation. Sur ce, la cour observe tout d'abord que Mme F... a fait opposition à sa carte bancaire Gold [...] le 7 mai 2014 à 15h46 pour un vol sans code, soit immédiatement après que les opérations frauduleuses ont été réalisées les 6 et 7 mai 2014. Au surplus, Mme F... a effectué une déclaration de main courante au commissariat de E... le 9 mai 2014 à 9h43. En conséquence, Mme F... a réagi rapidement au détournement de ses données, de sorte que la Caisse ne démontre manifestement pas que les époux ont manqué intentionnellement ou par négligence grave à leurs obligations prévues par l'article L. 133-17 du code monétaire et financier. Ensuite, la cour relève, au vu des pièces versées au débat, que les opérations de paiement contestées ont été authentifiées, dûment enregistrées et comptabilisées, et qu'elles n'ont pas été affectées par une défaillance technique ou autre, tel un piratage.