TJ 75056, 28 mai 2025, RG 24/04483

TRIBUNAL
JUDICIAIRE
DE PARIS [1]

[1]
Expéditions
délivrées le:

à
Me PIERRE
Me BINET

■

9ème chambre 2ème section
N° RG 24/04483 - N° Portalis 352J-W-B7I-C4PHE
N° MINUTE :

Assignation du :
03 Avril 2024

JUGEMENT
rendu le 28 Mai 2025
DEMANDEUR

Monsieur [J] [X]
[Adresse 2]
[Localité 4]
représenté par Maître Guillaume PIERRE, avocat au barreau de PARIS, vestiaire #A0259

DÉFENDERESSE

CAISSE DE CREDIT MUTUEL DE [Adresse 6] - GARE [5]
[Adresse 6]
[Localité 3]
représentée par Maître Pauline BINET, avocat au barreau de PARIS,vestiaire #G0560

COMPOSITION DU TRIBUNAL

Gilles MALFRE, 1er Vice-Président adjoint
Augustin BOUJEKA, Vice-Président
Alexandre PARASTATIDIS, Juge

assistés de Diane FARIN, Greffière.

DÉBATS

A l’audience du 26 Mars 2025 tenue en audience publique devant, Alexandre PARASTATIDIS, juge rapporteur, qui, sans opposition des avocats, a tenu seul l’audience, et, après avoir entendu les conseils des parties, en a rendu compte au Tribunal, conformément aux dispositions de l’article 805 du Code de Procédure Civile. Avis a été donné aux avocats que la décision serait rendue le 28 mai 2025.

Décision du 28 Mai 2025
9ème chambre 2ème section
N° RG 24/04483 - N° Portalis 352J-W-B7I-C4PHE

JUGEMENT

Rendu publiquement par mise à disposition au greffe
Contradictoire
En premier ressort

FAITS ET PROCEDURE

Le 8 novembre 2023, M. [J] [X] a déposé une plainte contre X pour escroquerie auprès du commissariat de [Localité 4], contestant avoir autorisé les opérations décrites ci-après débitées pour un montant total de 14.389,50 euros de son compte courant n° [XXXXXXXXXX01] ouvert dans les livres de la société Caisse de crédit mutuel de [Adresse 6] (ci-après le Crédit mutuel) :

- Le 6 novembre 2023 : virement SEPA " Koffi Effo " de 4.730 euros ;
- Le 7 novembre 2023 : deux virement SEPA " [F] [C] " de 4.730 et 3.015 euros ;
- Le 9 novembre 2023 : paiement par carte bancaire " AIRMARO " de 1.914,50 euros.

M. [X] a contesté avoir également ordonné deux virements depuis son livret Bleu pour alimenter son compte courant, un premier le 6 novembre 2023, d'un montant de 8.000 euros, et un second le 7 novembre, d'un montant de 3.000 euros.

Il a formé opposition à sa carte bancaire le 7 novembre 2023 à 10h47.

Par lettre du 29 février 2024, soutenant que les opérations avaient été validées avec un système d'authentification forte, le Crédit mutuel a notifié à M. [X] son refus de procéder au remboursement des sommes dont il a réclamé le remboursement par une correspondance du 30 novembre 2023, puis une mise en demeure de son conseil du 16 février 2024.

C'est dans ce contexte que, par exploit de commissaire de justice du 3 avril 2024, M. [X] a fait assigner le Crédit mutuel devant le tribunal judiciaire de Paris aux fins de voir ce dernier condamné à lui rembourser le montant des opérations contestées.

Aux termes de ses dernières conclusions signifiées par voie électronique le 14 octobre 2024, aux visas des articles L.133-18 et suivants du code monétaire et financier, il est demandé au tribunal de :

" RECEVOIR Monsieur [J] [X] en ses demandes et les déclarer bien fondées.

CONSTATER que les opérations litigieuses sont des opérations non autorisées,

CONDAMNER la CAISSE DE CREDIT MUTUEL DE [Adresse 6] au paiement de la somme de 14.389,50 euros avec intérêt au taux légal majoré de quinze points à compter du 8 novembre 2023,

CONDAMNER la CAISSE DE CREDIT MUTUEL DE [Adresse 6] au paiement de la somme de 5.000,00 € sur le fondement des dispositions de l'article 700 du Code de Procédure Civile.

ORDONNER la capitalisation des intérêts échus depuis plus d'un an en vertu des dispositions de l'article 1343-2 du Code Civil.

RAPPELER l'exécution provisoire de droit.

CONDAMNER la CAISSE DE CREDIT MUTUEL DE [Adresse 6] aux entiers dépens de l'instance dont distraction est requise au profit de Maître Guillaume PIERRE, avocat au barreau de Paris par application de l'article 699 du code de procédure civile. "

A l'appui de ses prétentions, M. [X] expose avoir été victime d'une fraude et conteste avoir effectué les quatre opérations litigieuses débitées de son compte courant ainsi que les deux mouvements internes entre ses comptes qui les ont précédées.

Il soutient tout d'abord que le Crédit mutuel, qui ne donne pas le détail des opérations contestées, est défaillant dans l'administration de la preuve, qui lui incombe, de ce que ces opérations ont été authentifiées, dûment enregistrées et comptabilisées et qu'elles n'ont pas été affectées par une déficience technique ou autre. Il affirme que la production par l'établissement bancaire d'un tableau dont il résulterait que son téléphone HTC Desire Pro permettait de valider les opérations et que le défendeur lui a adressé des SMS de confirmation des opérations sur cet appareil est non probant. Il estime de plus que le Crédit mutuel ne démontre pas disposer d'un système d'authentification, ce qui résulte des documents produits qui montrent que la connexion a été faite depuis un appareil tiers du type Chrome avec une adresse IP située à [Localité 7] avant la réalisation de la première opération litigieuse. Il conclut en conséquence au caractère non autorisé des opérations.

Il soutient également que l'établissement bancaire ne démontre pas qu'il aurait commis une négligence grave au sens de l'article L.133-23 du code monétaire et financier, la preuve d'un tel manquement ne pouvant être rapportée par de simples hypothèses ou affirmations non étayées, et ce alors qu'il a immédiatement signalé les opérations, fait opposition à sa carte bancaire et déposé une plainte. Il ajoute que les interrogations qu'il a formulées devant les services de police sur le mode opératoire utilisé par l'escroc ne valent nullement reconnaissance d'une quelconque participation de sa part, même inconsciente, à la réalisation de la fraude. Enfin, il indique qu'il ne peut lui être fait grief de ne pas avoir pris connaissance d'un mail adressé par la banque le 6 novembre 2023 à 16h13 l'informant d'une nouvelle connexion à son espace client, le défaut de consultation régulière de sa messagerie ne caractérisant pas une négligence grave, précisant qu'on ne peut écarter la possibilité que le courriel ait été traité comme un spam, et qu'en toute hypothèse, il n'aurait pu empêcher le fraudeur de valider les opérations quelques minutes après.

Il fait valoir enfin que le système de la banque présente de multiples défaillances qui sont avérées en ce qu'un appareil tiers de type Chrome qui n'était pas enregistré dans la liste des appareils autorisés a servi à valider des virements internes puis les opérations débitées de son compte sans qu'il ne soit destinataire d'une alerte ou d'un SMS pour la validation de l'enrôlement de ce nouvel appareil. Il ajoute que le système a été défaillant également en ce que, d'une part, le plafond des paiements depuis son compte était de 3.000 euros et que le fraudeur a manifestement effectué trois virements dépassant ce plafond sans aucun blocage technique et, d'autre part, un paiement a été effectué le 9 novembre 2023 avec sa carte bancaire, et ce malgré l'opposition faite le 7 novembre.

Il affirme que ces éléments démontrent au surplus un manquement au devoir de vigilance de la banque qui n'a pas relevé la connexion anormale d'un utilisateur inconnu depuis une adresse IP à [Localité 7] et les mouvements dépassant les montants habituels sur son compte.

Il soutient en conséquence que l'établissement, qui a méconnu son obligation de rembourser les sommes débitées conformément aux dispositions de l'article L.133-18 du code monétaire et financier, doit être condamné à lui payer la somme de 14.389,50 euros avec intérêts au taux légal majoré de quinze points à compter du 30 novembre 2023, et ce jusqu'à complet paiement avec capitalisation des intérêts dus pour une année entière.

Aux termes de dernières conclusions signifiées par voie électronique le 12 février 2025 par le Crédit mutuel, aux visas des articles L.133-16 et suivants du code monétaire et financier et 514 et suivants du code de procédure civile, il est demandé au tribunal de :

" RECEVOIR la CCM [Adresse 6] - GARE [5] en ses demandes et les déclarer recevables et bien fondées,

DEBOUTER Monsieur [J] [X] de l'ensemble de ses demandes formées à l'encontre de la CCM [Adresse 6] - GARE [5],

CONDAMNER Monsieur [J] [X] à payer à la CCM [Adresse 6] - GARE [5] la somme de 2.000 € sur le fondement de l'article 700 du Code de Procédure Civile.

ECARTER l'exécution provisoire de droit de la décision à intervenir en ce qu'elle est incompatible avec la nature de l'affaire,

CONDAMNER Monsieur [J] [X] aux entiers dépens de l'instance et de ses suites. "

A l'appui de ses prétentions, l'établissement bancaire expose que les opérations litigieuses ont fait l'objet d'une authentification forte en ce qu'elles ont nécessité l'utilisation d'informations confidentielles connues du seul titulaire du compte et qui ne doivent en aucun cas être communiquées. Il expose qu'ont été ainsi utilisés, pour le paiement par carte, la saisie des données de cet instrument de paiement, à savoir un numéro à 16 chiffres, la date d'expiration et le cryptogramme, et pour les virements, un code confidentiel à 6 chiffres permettant l'accès à l'espace personnel de l'utilisateur qui a ensuite validé les opérations sur le téléphone mobile " HTC Desire 22 Pro " préalablement enregistré comme outil de validation depuis le 25 janvier 2023, après réception d'une notification précisant la nature des opérations, le montant, la date, ainsi que le nom et le compte du bénéficiaire. Il ajoute que M. [X] ne conteste pas être toujours en possession de ce téléphone et de sa carte bancaire.

L'établissement fait valoir de plus qu'il a adressé sur l'adresse électronique personnelle du demandeur un courriel d'alerte le 6 novembre 2023 à 16h13 l'informant d'une nouvelle connexion à son espace client depuis une adresse IP située à [Localité 7] inconnue de son historique, et lui donnant les instruction à suivre s'il n'en était pas à l'origine, et auquel il n'a pas réagi.

S'agissant de la prétendue défaillance technique de son système, le Crédit mutuel entend préciser que les opérations n'ont pas été validées par l'appareil tiers de type Chrome mais bien depuis le téléphone du demandeur qui ne démontre pas, par ailleurs, l'obligation qui aurait été la sienne de contrôler les opérations passées pour un montant supérieur à 3.000 euros, faute de rapporter la preuve de ce plafond qui, au surplus, peut être modifié par l'utilisateur depuis son espace en ligne.

Le Crédit mutuel fait ensuite valoir la négligence grave de M. [X] qui n'a pas réagi au courriel d'alerte d'une nouvelle connexion, distinct des SMS aux fins de validation adressés sur son téléphone portable, et dont il ne conteste pas la réception. Il soutient ensuite que le demandeur a commis une seconde négligence grave au sens de l'article L.133-19 IV du code monétaire et financier en ne préservant pas la sécurité de ses dispositifs de sécurité personnalisés, et ce en méconnaissance notamment des stipulations des articles 1 et 6 des conditions générales CMUT Direct et de l'article 11 des conditions générales des cartes du Crédit mutuel, dès lors qu'il apparaît que le fraudeur a eu accès à la fois et au même moment aux données figurant sur la carte bancaire du demandeur, au code confidentiel à six chiffres de ce dernier, ainsi qu'à son téléphone portable. Il ajoute que les déclarations de M. [X] devant les services de police laissent penser que ce dernier passe sous silence des éléments sur le contexte de la fraude, celui-ci indiquant ne pas avoir communiqué d'élément par téléphone mais s'être rendu dans plusieurs établissements de santé. Il conclut en conséquence à une exonération de sa responsabilité.

Il soutient que la majoration de quinze points du taux d'intérêt légal ne trouve pas à s'appliquer, faisant valoir qu'au cas particulier il avait de bonnes raisons de soupçonner une fraude et donc de ne pas faire droit à la demande de remboursement.

Enfin, en cas de condamnation, il sollicite que le tribunal écarte l'exécution provisoire de droit en raison du risque important de non-restitution des fonds en cas d'infirmation par la cour d'appel.

Conformément aux dispositions de l'article 455 du code de procédure civile, il est renvoyé aux dernières écritures des parties pour l'exposé des moyens et arguments venant au soutien de leurs demandes.

La clôture de l'instruction a été prononcée le 19 février 2025. L'affaire a été évoquée à l'audience de plaidoiries tenue en juge rapporteur le 26 mars 2025 et mise en délibéré au 28 mai 2025.

MOTIFS DE LA DÉCISION

1 - Sur la responsabilité du Crédut mutuel

Une opération de paiement n'est autorisée au sens des articles L.133-3 et L.133-6 du code monétaire et financier que si le payeur l'a initiée et a consenti au montant de l'opération.

En cas d'opération de paiement non autorisée signalée par l'utilisateur dans les délais prévus par l'article L.133-24 du même code, le prestataire de services de paiement du payeur rembourse à ce dernier le montant de l'opération non autorisée sauf s'il a de bonnes raisons de soupçonner une fraude de l'utilisateur du service de paiement.

Dans cette hypothèse, il incombe au prestataire de paiement de prouver que l'opération litigieuse a été effectuée après une authentification forte, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre, l'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement, à savoir l'utilisation des identifiants du client et l'absence de déficience technique ou autre, notamment par le biais de la production d'un relevé de ses connexions, ne suffisant pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur.

L'article L.133-4 (f) du code précité précise qu'une authentification forte s'entend d'une authentification reposant sur l'utilisation de deux éléments ou plus appartenant aux catégories " connaissance " (quelque chose que seul l'utilisateur connaît telle qu'un mot de passe, un code secret, une question secrète, etc…), " possession " (quelque chose que seul l'utilisateur possède telle qu'un téléphone portable, une montre connectée, une clé USB etc…) et " inhérence " (quelque chose que l'utilisateur est telle que la reconnaissance faciale ou vocale, la reconnaissance par empreinte digitale, etc…) et indépendants en ce sens que la compromission de l'un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d'authentification. L'authentification forte repose donc sur l'utilisation de deux de ces éléments, voire plus.

Par ailleurs, la responsabilité du payeur n'est pas engagée si l'opération de paiement non autorisée a été effectuée en détournant, à son insu, l'instrument de paiement ou les données qui lui sont liées. Cependant, il supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'agissements frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.133-16 et L.133-17 du code précité.
Ainsi, pour échapper au remboursement de l'opération contestée, le prestataire de services de paiement doit démontrer, soit que l'ordre émanait bel et bien du client dûment authentifié dans son espace personnel, soit que le vol des identifiants de connexion (ou d'autres données) n'est que la conséquence d'une faute grave de sa part consistant à ne pas avoir satisfait intentionnellement aux obligations lui incombant en la matière ou à les avoir gravement négligées.

En l'espèce, l'établissement bancaire produit en pièce n°6 un historique des canaux de sécurisation du contrat de Banque à distance n°BAD06039900004915, dont il n'est pas contesté qu'il concerne M. [X], et dont il résulte que l'appareil Android désigné sous l'intitulé " HTC DESIRE 22 PRO DE M [X] [J] " a été inscrit comme appareil de validation le 25 janvier 2023 à 17h03 avec une dernière utilisation le 7 novembre 2023 à 15h44, la ligne téléphonique lui étant associée sur ce document correspondant à celle donnée par le demandeur dans son dépôt de plainte.

Il résulte par ailleurs de la pièce n°7 produite par le Crédit mutuel qu'ont été adressés sur cet appareil, le 6 novembre 2023 à 16h26 et 18h46 et le 7 novembre 2023 à 8h07 et 8h10, des SMS mentionnant la nature de chaque opération sous l'intitulé " Opération à confirmer ", son montant, sa date, le nom du bénéficiaire outre, pour le paiement par carte bancaire, le numéro de la carte et l'information " VOUS ALLEZ CONFIRMER UN PAIEMENT. IL NE S'AGIT NI D'UN REMBOURSEMENT, NI D'UNE ANNULATION DE PAIEMENT ", et pour les virements, les références du compte du bénéficiaire.

Ces copies d'écran, issues du logiciel de gestion client du Crédit mutuel, doivent être regardées comme un commencement de preuve dès lors que, d'une part, la partie adverse dispose de toute latitude pour en contester les termes et que, d'autre part, il s'agit des seuls documents justificatifs dont peut valablement disposer l'établissement bancaire. Dénier toute valeur probante, même relative, aux pièces fournies par l'établissement bancaire reviendrait, de fait, à priver ce dernier de toute possibilité de prouver l'authentification et l'enregistrement des opérations litigieuses.

Le Crédit mutuel rapporte dès lors la preuve que les opérations litigieuses ont été réalisées en suivant la procédure d'authentification forte, à savoir, pour le paiement par carte bancaire, l'usage des données de la carte et, pour les virements, l'initiation de ces opérations depuis l'espace en ligne du client qui nécessite pour s'y connecter des données personnelles de sécurité confidentielles, l'ensemble des opérations ayant été ensuite validé depuis le smartphone enregistré comme appareil de confiance sur lequel est adressé une demande de validation au moyen du code de sécurité prédéfini par l'utilisateur.

Il s'en déduit que le système de sécurisation de l'espace en ligne n'était pas affecté d'une déficience technique, sauf à ce que le demandeur rapporte la preuve contraire, ce qu'il ne fait pas au particulier.
Cependant, il ne peut se déduire du seul fait que l'instrument de paiement et/ou les données personnelles qui lui sont liées ont été effectivement utilisés qu'en l'espèce, M. [X] a validé lesdites opérations et, a fortiori, consenti à celles-ci dès lors qu'il déclare ne pas être à l'origine des authentifications, que la banque ne conteste pas sa qualité de victime d'une escroquerie et qu'il ressort du courriel adressé par l'établissement au demandeur le 6 novembre 2023 qu'une nouvelle connexion à son espace client depuis une adresse IP inconnue de son historique avait été détectée le jour du premier virement litigieux.
A cet égard, le tribunal relève que la banque ne produit aucun élément sur l'adresse IP utilisée pour initier les virements tant entre les comptes de M. [X] que vers des destinataires tiers et qu'elle ne démontre dès lors pas que le demandeur aurait initié ces opérations.

Il convient dès lors de considérer que les opérations n'ont pas été autorisées par le demandeur et de rechercher s'il peut se voir reprocher une négligence grave au sens des articles L.133-16 et suivants du code monétaire et financier faisant obstacle à son indemnisation, étant rappelé que le régime de responsabilité s'appliquant aux opérations non autorisées énoncé par ces articles est exclusif de tout autre régime de responsabilité, notamment sur le fondement d'un manquement à l'obligation générale de vigilance.
Au cas particulier, l'établissement bancaire, sur lequel pèse la charge de la preuve d'une négligence grave de son client, ne démontre pas que M. [X] aurait communiqué ses données personnalisées de sécurité à un tiers, les déclarations implicites de ce dernier devant les services de police sur les circonstances dans lesquelles il aurait pu se faire dérober des données confidentielles dans des établissements de santé ne valant nullement reconnaissance de sa part d'une négligence et, tout au plus, ne revêtent que le caractère de simples suppositions.

En revanche, M. [X] ne conteste pas la réception du courriel qui lui a été adressé le 6 novembre 2023 à 16h13 l'informant d'une nouvelle connexion à son espace en ligne depuis une adresse IP inconnue localisée à [Localité 7] sans pour autant entraîner de réaction de sa part.

De plus, le tribunal relève que si M. [X] critique la valeur probante du tableau produit par la banque en pièce n°7 concernant les SMS de validation adressés sur son téléphone, dont il n'allègue pas la perte ou le vol antérieurement aux opérations litigieuses, il ne conteste pas de manière explicite et claire la réception de ces messages.

Or, en application de l'article L.133-17 du code monétaire et financier, l'utilisateur d'un service de paiement qui a connaissance du détournement de son instrument de paiement ou des données qui lui sont liées doit en informer sans tarder son prestataire afin que ce dernier prévienne ou interrompe sans délai les éventuelles fraudes. Ainsi l'absence de diligence du demandeur auprès de la banque aux fins de blocage de l'opération peut contribuer à la réalisation de la fraude.

Au cas particulier, l'établissement démontre avoir adressé à M. [X] un courriel du 6 novembre 2023 à 16h13 l'informant d'une nouvelle connexion, qui a précédé la première opération contestée qui est intervenue à 16h26. Cependant, il convient de considérer que les dix minutes qui séparent ce courriel de la première opération ne laissaient pas à M. [X] un temps suffisant de réaction pour s'opposer à ce virement. En revanche, dès lors que plus de deux heures se sont écoulées avant que le fraudeur n'exécute une deuxième opération, il convient de retenir que l'absence de réaction de M. [X] qui, bien qu'informé d'une connexion par un tiers à son espace en ligne par courriel et du premier virement par un SMS envoyé à 16h26, n'a pas pris attache avec sa banque, a contribué à la réalisation des trois autres opérations qui auraient pu être évitées et caractérise une négligence grave de la part du demandeur.

Dès lors, il doit être considéré que M. [X] n'a pas satisfait aux obligations mises à sa charge par les articles L.133-16 et L.133-17 du code monétaire et financier du fait d'une négligence grave qui lui est imputable au sens de l'article L.133-19 du même code et qui le prive de la possibilité de faire supporter par la banque les pertes occasionnées par les opérations de paiement non autorisées suivantes :

- Le 7 novembre 2023 : deux virement SEPA " [F] [C] " de 4.730 et 3.015 euros ;
- Le 9 novembre 2023 : paiement par carte bancaire " AIRMARO " de 1.914,50 euros (opération du 6 novembre 2023 à 18h46).

Enfin, si M. [X] affirme que le plafond des virements émis depuis son compte était fixé à la somme de 3.000 euros, et que par conséquent, l'établissement bancaire a été défaillant en ne bloquant pas les opérations litigieuses dont le montant était supérieur à cette somme, il n'en rapporte pas la preuve par la production d'un document contractuel en ce sens.

En conséquence, le Crédit mutuel est condamné à rembourser M. [X] de la somme de 4.730 euros, correspondant à la première opération, avec intérêt au taux légal majoré de quinze points à compter du 30 décembre 2023, soit à l'expiration du délai de 30 jours suivant sa réclamation du 30 novembre 2023, conformément aux dispositions de l'article L.133-18 du code monétaire et financier.

2 - Sur la demande de dommages-intérêts pour résistance abusive

Le régime de responsabilité prévu aux articles L.133-18 et suivants du code monétaire et financier, issu du droit de l'Union européenne et applicable aux paiements non autorisés au sens de ces textes, est exclusif de l'application de tout autre régime de responsabilité prévu en droit national.

Par suite, le grief dont se prévaut M. [X] pour soutenir sa demande de réparation pour résistance abusive, inopérant, est rejeté.

3 - Sur les demandes accessoires

3.1 - Sur les frais du procès

Le Crédit mutuel qui succombe supportera les dépens.

Il est également condamné au paiement à M. [X] d'une somme de 2.000 euros sur le fondement de l'article 700 du code de procédure civile.

3.2 - Sur l'exécution provisoire

La présente décision est revêtue de droit de l'exécution provisoire conformément aux dispositions de l'article 514 du code de procédure civile dans sa version applicable en l'espèce, l'instance ayant été introduite postérieurement au 31 décembre 2019.

Par ailleurs, il n'apparaît pas opportun d'écarter l'exécution provisoire, ainsi que le demande le Crédit mutuel.

PAR CES MOTIFS