Cour d'appel de Reims, Cour de cassation
Chambre commerciale financière et économique, décision 18-15.823 du 23/10/2019,  partie 4


l'utilisateur doit connaître l'identifiant de connexion au site en ligne de la banque, le mot de passe correspondant et se trouver en possession de la carte de clé personnelle contenant 64 codes outre la possession du téléphone portable ou de l'adresse e-mail du titulaire du compte. S'il est exact que ce processus est particulièrement sécurisé, et s'il est exact également que, comme l'établit la banque, les paiements litigieux sont intervenus conformément au processus ainsi sécurisé (pièce numéro 3,14 et 15 produite par la banque), elle n'établit pas qu'un tel processus serait totalement inviolable et qu'il ne serait pas possible à un tiers, par une opération frauduleuse, de récupérer les données personnelles et confidentielles du titulaire du compte, en ce compris les données figurant sur la carte de codes ci-dessus évoquée. Dans ces conditions, il ne saurait être retenu à défaut de tout autre élément que le titulaire du compte aurait manqué à l'obligation de conservation et d'utilisation prudente de l'instrument de paiement qui lui est imposée par l'article L. 133-16 du code monétaire et financier. En l'espèce, il apparaît à la lecture même du rapport établi par le service « fraude et affaires spéciales » du Crédit mutuel produit en pièce numéro trois par la banque que c'est à la suite d'une opération dite de « phishing » résultant elle-même vraisemblablement de la réception par Madame L... d'un SMS frauduleux le 27 octobre 2013 l'invitant à mettre à jour ses coordonnées sur le site de la banque que les données personnelles et confidentielles permettant l'identification des époux L... sur le site de la banque en ligne ont été récupéré par des tiers qui ont à leur procédé au retrait et aux différents paiements frauduleux. Le détail de l'opération est décrit dans le rapport du service fraudé affaire spéciales de la banque. Comme l'indique ce rapport, en transmettant un code de confirmation frauduleux reçue par SMS et en l'utilisant vraisemblablement sur un site se présentant frauduleusement comme celui de la banque, Madame L... a pensé valider ses coordonnées personnelles sur le véritable site de l'organisme bancaire. Il n'est d'ailleurs pas impossible que, comme le suggèrent les époux L..., la réponse aux SMS frauduleux ait été apportée par un tiers ayant eu accès à la carte de code confidentiel, éventuellement parmi leur entourage, dans le cadre d'une opération concertée avec l'expéditeur du SMS. En toute hypothèse, à supposer que la réponse aux SMS l'invitant à modifier ses coordonnées émane de Madame L..., le fait d'avoir était surpris par une telle manoeuvre ne constitue pas à lui seul la négligence grave requise par l'article L. 133-23 du code monétaire et financier. Quant à la carte de code à quatre chiffres qui sécurise plus spécialement suivant la banque les opérations de type Payweb Card et E Retrait, elle peut s'être trouvée en possession d'un tiers, notamment dans l'entourage des époux L..., sans qu'une négligence grave puisse de ce seul fait être mise à leur charge pas plus qu'un manquement à l'obligation de conservation et d'utilisation prudente des instruments de paiement i reposée par l'article L. 133-16 du code monétaire et financier. Dans la lettre de leur conseil en date du 8 décembre 2014, les époux L... Lisaient savoir à la banque que deux adresses IP à l'origine, l'une du prélèvement du 27 octobre, l'autre des débits datés du 27 octobre provenaient d'Angleterre et du Maroc. La banque, dans son courrier en réponse, n'a pas contesté ces éléments. Enfin, la banque, au regard même de l'éventualité d'une opération de phishing dont elle n'a pu avoir connaissance que sur la foi des informations données par les époux L... eux-mêmes, ne saurait utilement soutenir que l'application des dispositions ci-dessus rappelées, qui met à sa charge la preuve d'une négligence grave de son client, serait excessive, la mettrait dans l'impossibilité de s'exonérer de sa responsabilité et serait ainsi contraire aux principes du procès équitable. Compte tenu de l'ensemble de ces éléments, la banque ne rapporte pas la preuve d'agissements frauduleux ou d'une négligence grave imputable aux époux Dintrich.Il serait inéquitable que les époux L... conservent à leur charge le montant des frais irrépétibles engagés pour les besoins de la présente instance. La banque sera condamnée à lui payer la somme de 2.000 € en application de l'article 700 du code de procédure civile »
 
 ET AUX MOTIFS, A LES SUPPOSER ADOPTES, QU' « A titre liminaire, il convient de mettre hors de cause la Fédération du CREDIT MUTUEL NORD EUROPE, le rapport contractuel étant uniquement entre Mr et Mme S... L... et la CAISSE DE CREDIT MUTUEL DE CHALONS EN CHAMPAGNE ayant un établissement à SAINT MEMMIE. Sur les demandes de remboursement des sommes débitées le 23 octobre 2013 et des agios prélevés L'article L. 133-18 du code monétaire et financier dispose : « En cas d'opération de paiement non autorisée signalée par l'utilisateur dans les conditions prévues à l'article L. 133-24, le prestataire de services de paiement du payeur rembourse immédiatement au payeur le montant de l'opération non autorisée et, le cas échéant, rétablit le compte débité dans l'état où il se serait trouvé si l'opération de paiement non autorisée n'avait pas eu lieu ».