Cour d'appel de Douai
03, Cour de cassation
Chambre commerciale financière et économique, décision 18-18.640 du 22/01/2020,  partie 4


Il s'évince de l'alinéa 2 de l'article L. 133-23 précité que la seule démonstration par le prestataire de services de paiement qu'un tel service, doté d'un dispositif de sécurité, a été utilisé, par l'emploi d'un identifiant internet, d'un mot de passe de connexion, ainsi que des clefs personnelles permettant à l'utilisateur de services de paiement de venir authentifier le paiement au moyen d'une donnée confidentielle ne se trouvant pas sur la carte réelle de paiement, ne permet pas, en soi et en l'absence d'autres éléments fournis par le prestataire de services de paiement de rapporter la preuve de la fraude, du manquement intentionnel ou par négligence grave de l'utilisateur de services de paiement à ses obligations prévues aux articles L. 133-16 et L. 133-17 du code monétaire et financier, de nature à empêcher le remboursement demandé, et ne saurait suffire à le décharger de toute responsabilité. En conséquence, et sans que soient méconnues les exigences du droit à un procès équitable et des principes de loyauté dans l'administration de la preuve et d'égalité des armes, il appartient à la Caisse de fournir des éléments afin de prouver l'action frauduleuse de Mme U..., ou qu'elle a manqué intentionnellement ou par négligence grave à ses obligations mentionnées aux articles L. 133-16 et L. 133-17 du code monétaire et financier. Il s'ensuit que la Caisse ne peut utilement soutenir, sur le fondement de l'article L. 133¬23 du code précité, que c'est à Mme U... d'exposer le contexte dans lequel l'opération aurait pu être réalisée par un tiers sans son autorisation, ou que c'est à elle d'établir la réalité factuelle qui entoure la prétendue fraude. De surcroît, la Caisse, tenue de prouver l'implication à un titre ou à un autre de Mme U... dans les opérations litigieuses pour caractériser sa négligence grave ou son manquement intentionnel à ses obligations légales ou contractuelles, voire même son action frauduleuse, ne peut pas non plus se contenter d'exposer que Mme U... ne s'explique nullement sur les circonstances dans lesquelles un tiers aurait été en possession de ses données personnelles ou qu'il lui appartient d'établir les circonstances de fait du détournement dont elle s'estime victime. Sur ce, il est tout d'abord établi à lecture du "Dossier Phishing", fait au nom de Mme U..., que celle-ci a fait opposition à sa carte bancaire n° [...] le 4 janvier 2014 à 9h52 pour un vol sans code, et que le contrat de banque à distance a été bloqué le 4 janvier 2014 à 7h47 et 03 secondes. Il s'ensuit que Mme U... a réagi rapidement au détournement de ses données en faisant opposition à sa carte de crédit dès le lendemain matin des opérations litigieuses, étant rappelé que celles-ci sont datées du 3 janvier 2014. Au surplus, Mme U... s'est présentée le 4 janvier 2014 au commissariat de police de Lille pour déclarer l'utilisation frauduleuse de sa carte de paiement, d'une carte contrefaite ou des données liées à la carte (numéro, date d'expiration) ri° [...], tel que cela résulte de la "notice d'information relative aux usages frauduleux de cartes bancaires et aux dispositions du code monétaire et financier en la matière" qu'elle produit au débat. La cour note encore que suivant le courrier du 6 septembre 2014 de la société SFR, versé tant par la Caisse que par Mme U..., son contrat d'abonnement téléphonique a été suspendu le 4 janvier 2014. En conséquence, Mme U... a réagi rapidement au détournement de ses données de sorte que la Caisse ne démontre manifestement pas qu'elle a manqué intentionnellement ou par négligence grave à ses obligations prévues par l'article L. 133-17 du code monétaire et financier. Ensuite, la cour observe, au vu des pièces versées au débat, que les opérations de paiement contestées ont été authentifiées, dûment enregistrées et comptabilisées, et qu'elles n'ont pas été affectées par une défaillance technique ou autre, tel un piratage. La cour remarque aussi que les utilisations successives des données attachées à la carte bancaire de Mme U... ne suffisent pas nécessairement en tant que telles à prouver que les opérations litigieuses, qui ont été réalisées le 3 janvier 2014 à 14h43 et 10 9 secondes, 14h44 et 54 secondes et 14h46 et 45 secondes, ont été autorisées par Mme U... ou qu'elle est à l'origine desdites opérations litigieuses, ou encore qu'elle n'a pas satisfait intentionnellement ou par négligence grave aux obligations légales lui incombant en la matière, ainsi qu'à celles contractuellement prévues dans les conditions générales cmnedirect, les conditions générales e-retrait ou les conditions générales payweb card que la Caisse verse au débat. Si la Caisse soutient que les données personnelles et confidentielles de Mme U... ont été nécessairement communiquées aux motifs qu'il n'y a pas d'autres explications et que sa sociétaire n'en fournit aucune, force est à l'évidence de constater que la Caisse procède par voie d'affirmation et n'apporte au débat aucun élément objectif de nature à justifier de la réalité de cette communication intentionnelle ou par négligence grave, voire même par fraude, de Mme U.... La Caisse ne verse également au débat aucun élément de nature à démontrer que Mme U... a manqué à ses obligations contractuelles telles qu'elles ressortent des conditions particulières et générales qu'elle verse au débat.