Tribunal d'instance de Dunkerque, Cour de cassation
Chambre commerciale financière et économique, décision 19-12.112 du 12/11/2020,  partie 3


Sur la responsabilité du payeur Dans le cas particulier des instruments de paiement dotés d'un dispositif de sécurité personnalisé, l'article L. 133-19 du code monétaire et financier, dans sa rédaction alors en vigueur, dispose que : " II - La responsabilité du payeur n'est pas engagée si l'opération de paiement non autorisée a été effectuée en détournant, à l'insu du payeur, l'instrument de paiement ou les données qui lui sont liées. IV.  Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non-autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17." Selon l'article L. 133-16 du code monétaire et financier, dans sa rédaction alors en vigueur : "Dès qu'il reçoit un instrument de paiement, l'utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés. Il utilise l'instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation." En cas d'opérations non-autorisées, L. 133-23 du code monétaire et financier, dans sa rédaction alors en vigueur, dispose que : « Lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre. L'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière." Il résulte de l'ensemble de ces textes que, dans le cas d'un paiement non autorisé via des instruments de paiement dotés d'un dispositif de sécurité personnalisé, le prestataire de service de paiement qui demande à ce que le payeur supporte les pertes occasionnées doit démontrer la réalisation de deux conditions cumulatives : - que ces pertes résultent d'un agissement frauduleux de la part du payeur, ou qu'il n'a pas satisfait intentionnellement ou par négligence grave à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés. Il convient alors de préciser que la simple utilisation de l'instrument de paiement ne suffit pas nécessairement en tant que telle à prouver l'autorisation du paiement par le payeur ; - que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre. Sur l'existence d'une négligence grave. En l'espèce, il ne peut être contesté que toute personne raisonnable est informée sur l'existence de risques sur le "hameçonnage" ou "phishing", ne serait-ce que par l'utilisation régulière d'une boîte mail. En tout état de cause, il peut être reproché au payeur de ne pas avoir pris toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés si, avisé ou non des risques d'hameçonnage, il existe des indices dans le courriel frauduleux permettant à un utilisateur normalement attentif de douter de sa provenance. Le courriel frauduleusement originaire de la société SFR, reçu le 14 août 2014 par Madame H... Y... : - ne comportait, contrairement aux courriers légitimes de la société SFR, ni son nom ni son adresse, ni le numéro de sa ligne téléphonique ; - ne précisait pas le montant des sommes dues ; - indiquait un numéro de facture erroné. En outre Madame H... Y... ne conteste pas : - avoir eu un compte créditeur au moment des faits litigieux ; - payer ses factures téléphoniques par le biais de prélèvements et non par carte bancaire. Il ressort de l'ensemble de ces éléments que Madame H... Y... a négligé gravement son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés en transmettant, ce qui n'est pas contesté, ses nom, numéro de carte bancaire, date d'expiration et cryptogramme visuel en réponse à un mail manifestement frauduleux aux yeux de tout utilisateur normalement attentif. Sur l'existence d'une déficience En l'espèce, il résulte des pièces du dossier que l'opération litigieuse a été authentifiée, dûment enregistrée et comptabilisée, ce qui n'est pas contesté. Cependant, Madame H... Y... conteste avoir transmis son code 3D SECURE dans le cadre de la transaction litigieuse et nie en conséquence avoir autorisé l'opération de paiement litigieuse qui a été exécutée. Il revient donc à la banque de rapporter la preuve que l'opération "n'a pas été affectée par une déficience technique ou autre", selon les termes de l'article L. 133-23 du code monétaire et financier, dans sa rédaction alors en vigueur. Or, en l'espèce, la CAISSE DE CRÉDIT MUTUEL DE CALAIS et la CAISSE FÉDÉRALE DE CRÉDIT MUTUEL NORD EUROPE : - fournissent, pour démontrer l'absence de déficience, un simple tableau chronologique, pièce par ailleurs quasiment illisible et sans notice explicative l'accompagnant ; - ne donne aucune explication de nature à démontrer l'absence de déficience.