Cour d'appel de Reims, Cour de cassation
Chambre commerciale financière et économique, décision 18-20.632 du 26/02/2020,  partie 5


que pour condamner la Caisse de Crédit Mutuel de CHARLEVILLE MEZIERES à rembourser à M. W... le montant des opérations litigieuses, la cour d'appel, après avoir pourtant constaté que le processus de paiement mis en place par le Crédit Mutuel était « particulièrement sécurisé » et que les opérations en cause avaient été effectuées conformément à ce protocole sécurisé, a considéré que la banque ne démontrait pas « qu'un tel processus était totalement inviolable et qu'il ne serait pas possible à un tiers, par une opération frauduleuse, de récupérer les données personnelles et confidentielles du titulaire du compte, en ce compris les données figurant sur la carte de codes ci-dessus évoquée ainsi que le code de confirmation envoyé par SMS », ce dont elle a déduit qu'en l'absence d'élément permettant de prouver que M. W... avait répondu à un courriel d'hameçonnage, la banque n'établissait pas la négligence grave qu'aurait commise son client ; qu'en statuant de la sorte, quand l'utilisation d'un service de paiement sans défaillance technique est susceptible de démontrer la commission par l'utilisateur de ce service d'une négligence grave dans la conservation de ses données, ce qu'il lui incombait de rechercher au regard des caractéristiques en matière de sécurité du service de paiement employé, la cour d'appel a violé les articles L. 133-16, L. 133-19 IV et L. 133-23 du code monétaire et financier ;
 
 2°) ALORS QUE le principe de l'égalité des armes implique que chaque partie ait la possibilité de faire valoir ses prétentions et moyens dans des conditions qui ne la placent pas dans une situation de net désavantage par rapport à son contradicteur ; qu'en exigeant de la banque qu'elle démontre que le système de paiement sécurisé qu'elle avait mis en place était « totalement inviolable » et en refusant de considérer que l'utilisation d'un service de paiement, même hautement sécurisé et sans défaillance technique, ne pouvait par principe permettre d'établir ou à tout le moins de présumer la négligence grave du client de la banque, la cour d'appel a méconnu les exigences de l'article 6 § 1er de la Convention Européenne des Droits de l'Homme, ensemble les articles L. 133-15, L. 133-16, L. 133-19 IV et L. 133-23 du code monétaire et financier, ensemble l'article 1315 du code civil (nouvel article 1353 du code civil) ;
 
 3°) ALORS, EN OUTRE, QUE manque, par négligence grave, à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés l'utilisateur d'un service de paiement qui communique les données personnelles de ces dispositifs de sécurité en réponse à un courriel qui contient des indices permettant à un utilisateur normalement attentif de douter de sa provenance ; qu'en affirmant que la banque invoquait le fait que M. W... avait répondu à un courriel de phishing mais que « le fait d'avoir été surpris par une telle manoeuvre frauduleuse ne constitu[ait] pas à lui seul la négligence grave requise par l'article L. 133-23 du code monétaire et financier », la cour d'appel a violé les articles L. 133-19 IV et L. 133-23 du code monétaire et financier.