Cour d'appel de Reims, Cour de cassation
Chambre commerciale financière et économique, décision 18-15.823 du 23/10/2019,  partie 2


qu'en l'espèce, la cour d'appel a constaté que le système de paiement utilisé pour effectuer les opérations litigieuses était « particulièrement sécurisé », mais a néanmoins considéré, pour condamner la banque à rembourser le montant des débits contestés par les époux L..., que cette dernière « n'établi[ssait] pas qu'un tel processus serait totalement inviolable et qu'il ne serait pas possible à un tiers, par une opération frauduleuse, de récupérer les données personnelles et confidentielles du titulaire du compte, en ce compris les données figurant sur la carte de code ci-dessus évoquée », quand il lui appartenait de rechercher, ainsi qu'elle y était invitée, si l'utilisation du service de paiement sécurisé payweb et e-retrait ne permettait pas d'établir, ou à tout le moins de présumer, que les époux L... avaient été gravement négligents dans la conservation de leurs données personnelles, la cour d'appel a violé les articles L. 133-16, L. 133-19 et L. 133-23 du code monétaire et financier ;
 
 4°/ qu'en exigeant de la banque qu'elle démontre que le service de paiement « payweb » utilisé pour réaliser les opérations litigieuses était « totalement inviolable » et « qu'il ne serait pas possible à un tiers, par une opération frauduleuse, de récupérer les données personnelles et confidentielles du titulaire du compte, en ce compris les données figurant sur la carte de code ci-dessus évoquée », la cour d'appel lui a imposé la démonstration d'une preuve impossible, violant ainsi l'article 1315 du code civil, ensemble l'article 9 du code de procédure civile et le principe d'égalité des armes résultant de l'article 6 § 1 de la Convention européenne des droits de l'homme ;
 
 5°/ que la banque faisait valoir que les opérations de paiement litigieuses avaient été effectuées via le système de paiement sécurisé payweb card et e-retrait, lesquels nécessitaient pour fonctionner non seulement que l'utilisateur accède à son espace personnel en renseignant son identifiant et son mot de passe, mais également une clef personnelle figurant sur une carte établie sur support papier et remise par la banque au client, ainsi qu'un code de confirmation adressé sur l'adresse email ou le téléphone portable de ce dernier ; qu'en se bornant à retenir que la carte de code à quatre chiffres payweb avait pu se trouver en possession d'un tiers, sans rechercher, ainsi qu'elle y était invitée, si la circonstance que les opérations de paiement litigieuses avaient été effectuées par le biais d'un instrument de paiement nécessitant de disposer simultanément de plusieurs données confidentielles figurant sur des supports différents, dont le client avait légalement comme contractuellement la charge d'assurer la conservation, ne permettait pas de démontrer ou à tout le moins de présumer la négligence grave commise par ce dernier, la cour d'appel n'a pas donné de base légale à sa décision au regard des articles L. 133-16, L. 133-19 et L. 133-23 du code monétaire et financier ;
 
 Mais attendu, en premier lieu, que si, aux termes des articles L. 133-16 et L. 133-17 du code monétaire et financier, dans leur rédaction issue de l'ordonnance n° 2009-866 du 15 juillet 2009 transposant la directive 2007/64/CE du 13 novembre 2007, il appartient à l'utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d'informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l'instrument de paiement ou des données qui lui sont liées, c'est à ce prestataire qu'il incombe, par application des articles L. 133-19, IV, et L. 133-23 du même code, dans leur rédaction alors applicable, de rapporter la preuve que l'utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n'a pas satisfait intentionnellement ou par négligence grave à ses obligations ; que cette preuve ne peut se déduire du seul fait que l'instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés ; que le moyen qui, en ses deuxième, troisième et cinquième branches, postule le contraire, manque en droit ;
 
 Attendu, en deuxième lieu, qu'il ne résulte d'aucune constatation de l'arrêt que le message d'hameçonnage du 27 octobre 2013, en réponse auquel, à supposer ce fait établi, Mme L... aurait communiqué des données personnelles liées à son instrument de paiement, ait contenu des indices permettant à un utilisateur normalement attentif de douter de sa provenance ;
 
 Et attendu, enfin, que la cour d'appel n'a pas exigé de la banque qu'elle démontre que le système de paiement "Payweb" serait totalement inviolable et qu'il ne serait pas possible à un tiers, par une opération frauduleuse, de récupérer les données personnelles et confidentielles du titulaire du compte mais s'est bornée à retenir qu'en l'absence d'une telle démonstration, il appartenait à la banque d'établir, par d'autres moyens, la négligence grave qu'elle imputait à sa cliente ;
 
 D'où il suit que le moyen n'est pas fondé ;
 
 PAR CES MOTIFS :
 
 REJETTE le pourvoi ;
 
 Condamne la société Caisse de crédit mutuel Châlons-en-Champagne aux dépens ;