Cour d'appel de Reims, Cour de cassation
Chambre commerciale financière et économique, décision 18-13.567 du 11/12/2019,  partie 3


qu'en l'espèce, la cour d'appel a constaté (arrêt, p. 4, 3ème à 5ème §) que le service de paiement « payweb » utilisé pour réaliser les opérations litigieuses était « particulièrement sécurisé », la création d'une carte payweb nécessitant l'accès aux services de banque à distance par la saisie d'un identifiant et d'un mot de passe personnels, puis l'obtention d'un numéro virtuel obtenu après la saisie d'une clé personnelle se trouvant sur une carte de code remise au client par la banque, dont il est le gardien et doit assurer la confidentialité, le processus s'achevant par l'envoi d'un code de confirmation par mail ou par SMS devant être renseigné dans un certain délai, afin de pouvoir valider le paiement ; que la cour d'appel a également constaté que les paiements litigieux « [étaient] intervenus conformément au processus ainsi sécurisé » ; qu'en retenant néanmoins, pour condamner la banque à rembourser le montant des débits contestés par Monsieur Q..., que cette dernière « n'établi[ssait] pas qu'un tel processus serait totalement inviolable et qu'il ne serait pas possible à un tiers, par une opération frauduleuse, de récupérer les données personnelles et confidentielles du titulaire du compte, en ce compris les données figurant sur la carte de code ci-dessus évoquée », quand il lui appartenait de rechercher, ainsi qu'elle y était invitée, si l'utilisation du service de paiement sécurisé payweb ne permettait pas d'établir, ou à tout le moins de présumer, que Monsieur Q... avait été gravement négligent dans la conservation de ses données personnelles la cour d'appel a violé les articles L. 133-16, L. 133-19 et L. 133-23 du code monétaire et financier ;
 
 2°) ALORS QUE la preuve de la négligence grave commise par l'utilisateur d'un service de paiement peut être rapportée par tout moyen, au regard de l'ensemble des circonstances de l'espèce et en particulier des caractéristiques de l'instrument de paiement utilisé en matière de sécurité ; qu'en affirmant que la banque ne pouvait rapporter la preuve d'une négligence qu'aurait commise l'utilisateur du service de paiement qu'en démontrant que l'instrument de paiement mis en oeuvre était « totalement inviolable », la cour d'appel a encore violé les articles L. 133-16, L. 133-19 et L. 133-23 du code monétaire et financier ;
 
 3°) ALORS QU' en exigeant de la Caisse de Crédit Mutuel qu'elle démontre que le service de paiement « payweb » utilisé pour réaliser les opérations litigieuses était « totalement inviolable » et « qu'il ne serait pas possible à un tiers, par une opération frauduleuse, de récupérer les données personnelles et confidentielles du titulaire du compte, en ce compris les données figurant sur la carte de code ci-dessus évoquée », la cour d'appel a imposé à l'exposante la démonstration d'une preuve impossible, violant ainsi l'article 1315 du code civil, ensemble l'article 9 du code de procédure civile et le principe d'égalité des armes résultant de l'article 6 § 1 de la Convention européenne des droits de l'Homme ;
 
 4°) ALORS QUE manque, par négligence grave, à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés l'utilisateur d'un service de paiement qui communique les données personnelles de ce dispositif de sécurité en réponse à un courriel qui contient des indices permettant à un utilisateur normalement attentif de douter de sa provenance, peu important qu'il soit, ou non, avisé des risques d'hameçonnage ; qu'en jugeant que le fait de répondre à un courriel de phishing « ne constitu[ait] pas à lui seul la négligence grave requise par l'article L.133-23 du code monétaire et financier », la cour d'appel a violé cette disposition, ensemble les articles L. 133-16 et L. 133-19 du même code ;
 
 5°) ALORS, EN OUTRE, QUE la Caisse de Crédit Mutuel faisait valoir (ses conclusions d'appel, not. p. 3 à 6 ; p. 11)) que les opérations de paiement litigieuses avaient été effectuées via le système de paiement sécurisé payweb card, lequel nécessitait pour fonctionner non seulement que l'utilisateur accède à son espace personnel en renseignant son identifiant et son mot de passe, mais également une clef personnelle figurant sur une carte établie sur support papier et remise par la banque au client, ainsi qu'un code de confirmation adressé sur l'adresse email ou le téléphone portable de ce dernier ; qu'en se bornant à retenir que la carte de code à quatre chiffres payweb avait pu se trouver en possession d'un tiers, sans rechercher, ainsi qu'elle y était invitée, la circonstance que les opérations de paiement litigieuses aient été effectuées par le biais d'un instrument de paiement nécessitant de disposer simultanément de plusieurs données confidentielles figurant sur des supports différents, dont le client avait légalement comme contractuellement la charge d'assurer la conservation, ne permettait pas de démontrer ou à tout le moins de présumer la négligence grave commise par ce dernier, la cour d'appel n'a pas donné de base légale à sa décision au regard des articles L. 133-16, L. 133-19 et L. 133-23 du code monétaire et financier.