TJ 75056, 24 juin 2026, RG 24/15866

TRIBUNAL
JUDICIAIRE
DE [Localité 1] [1]

[1]
Expéditions
délivrées le:

à
Me VITOUX
Me LALANCE

■

9ème chambre 2ème section
N° RG 24/15866 - N° Portalis 352J-W-B7I-C6NXK
N° MINUTE :

Assignation du :
27 Décembre 2024

JUGEMENT
rendu le 24 Juin 2026
DEMANDERESSE

Madame [Z] [U]
[Adresse 1]
[Localité 2]
représentée par Maître Pascale VITOUX LEPOUTRE de la SCP VITOUX & ASSOCIES, avocats au barreau de PARIS, vestiaire #P0273

DÉFENDERESSE

[Localité 3] (EUROPE)
[Adresse 2]
[Localité 4]
représentée par Maître Frédéric LALANCE du PARTNERSHIPS ORRICK HERRINGTON & SUTCLIFFE (Europe) LLP, avocats au barreau de PARIS, vestiaire #P0134

Décision du 24 Juin 2026
9ème chambre 2ème section
N° RG 24/15866 - N° Portalis 352J-W-B7I-C6NXK

COMPOSITION DU TRIBUNAL

Gilles MALFRE, 1er Vice-Président adjoint
Augustin BOUJEKA, Vice-Président
Alexandre PARASTATIDIS, Juge

assistés de Diane FARIN, Greffière.

DÉBATS

A l’audience du 27 mai 2026 tenue en audience publique devant Alexandre PARASTATIDIS, juge rapporteur, qui, sans opposition des avocats, a tenu seul l’audience, et, après avoir entendu les conseils des parties, en a rendu compte au Tribunal, conformément aux dispositions de l’article 805 du Code de Procédure Civile. Avis a été donné aux avocats que la décision serait rendue le 24 juin 2026.

JUGEMENT

Rendu publiquement par mise à disposition au greffe
Contradictoire
En premier ressort

FAITS ET PROCEDURE

Mme [Z] [U] est titulaire d'un compte individuel ouvert dans les livres de la société [Localité 3] Europe depuis le 15 décembre 2008.

Le 13 septembre 2023, Mme [U] a formé une réclamation auprès du service client en ligne de la société [Localité 3] Europe, contestant être à l'origine des trois achats décrits ci-après effectués auprès de la société [N] France SAS via son compte [Localité 3] pour un montant total de 10.950 euros :
- Un premier achat d'un montant de 3.400 euros, effectué le 23 août 2023 ;
- Un deuxième achat d'un montant de 5.200 euros, effectué le 23 août 2023 ;
- Un troisième achat d'un montant de 2.350 euros, effectué le 24 août 2023.

La société [Localité 3] a refusé de procéder au remboursement des sommes estimant que les transactions avaient été autorisées et a suspendu le compte de Mme [U] à compter du 2 octobre 2023.

Mme [U] a déposé plainte contre X des chefs d'utilisation frauduleuse d'un moyen de paiement contrefait et falsifié et captation de données auprès du commissariat de police du [Localité 5] le 17 décembre 2023.

Les échanges précontentieux qui ont suivi n'ont pas abouti à une résolution amiable du litige.

C'est dans ce contexte que, par exploit de commissaire de justice du 27 décembre 2024, Mme [U] a fait assigner la société [Localité 3] Europe devant le tribunal judiciaire de Paris auquel il est demandé de :

" CONDAMNER la société [Localité 3] Europe S.a r.l. et Cie, S.C.A. à payer à Madame [Z] [U] la somme de 10 950 € en remboursement des sommes prélevées sur son compte le 23 et 24 aout 2023 ;
CONDAMNER la société [Localité 3] europe S.a.r.l et Cie, S.C.A à payer à Madame [Z] [U] la somme de 3 000 € sur le fondement de l'article 700 du Code de Procédure Civile et aux dépens."

Aux termes de ses dernières conclusions signifiées le 21 novembre 2025, elle maintient ces demandes.

Invoquant les dispositions de l'article L.133-18 du code monétaire et financier, Mme [U] soutient le caractère non autorisé des trois achats effectués auprès de l'enseigne [N] au bénéfice des dénommés [F] [C] et [Q] [C] auxquels ont été livrées les marchandises à [Localité 6] (83).

Elle fait valoir qu'elle a eu connaissance pour la première fois des détails des transactions par voie des conclusions écrites de la société [Localité 3] Europe à laquelle elle fait grief d'avoir manqué à son devoir de vigilance notamment en ce que :
- Elle a autorisé des paiements soi-disant authentifiés, s'agissant du premier par un numéro ajouté la veille du premier achat sur son compte puis finalement retiré sans que la défenderesse ne justifie qu'un SMS lui a bien été adressé pour l'informer de ces manipulations et, s'agissant des deux autres, par son propre numéro alors qu'elle conteste avoir été destinataire d'un quelconque SMS en ce sens ;
- Les relevés de compte font apparaitre une adresse email ([Courriel 1]) qui n'est pas la sienne et qu'elle conteste avoir renseignée dans son compte, et plusieurs tentatives de forçage ont été nécessaires pour obtenir les paiements ;
- Elle n'a procédé à aucune vérification alors que le nom des personnes auxquelles les bijoux ont été adressés n'est pas le sien et qu'elle n'est pas en mesure d'indiquer si lors de la remise des bijoux un contrôle de l'identité des destinataires a été fait ;
- Elle n'a pas détecté l'activité suspecte du compte caractérisée par le changement de numéros et des achats conséquents pour plus de 10.000 euros en 24 heures.

Mme [U] conteste par ailleurs l'affirmation de la défenderesse selon laquelle elle aurait modifié à plusieurs reprises son adresse postale en septembre 2022 pour la mettre à [Localité 6].

Soulignant le caractère insultant des accusations de fraude portées contre elle par la société [Localité 3] Europe, elle affirme en outre que le piratage des comptes des usagers de cette société sont réguliers.

Elle sollicite en conséquence la condamnation de la défenderesse à lui rembourser l'intégralité de son préjudice financier.

Par dernières conclusions signifiées le 10 février 2026, aux visas des articles L.133-6 et suivants du code monétaire et financier, la société [Localité 3] Europe demande au tribunal de :

" REJETER la demande de Madame [Z] [U] tendant à la condamnation de [Localité 3] Europe au paiement de la somme de 10.950 euros au titre du remboursement des virements intervenus les 23 et 24 août 2023 ;
REJETER la demande de Madame [Z] [U] tendant à la condamnation de [Localité 3] Europe au versement de la somme de 3.000 euros au titre de l'article 700 du code de procédure civile.

En tout état de cause :
CONDAMNER Madame [Z] [U] au paiement de la somme de 3.000 euros au titre de l'article 700 du Code de procédure civile ainsi qu'aux entiers dépens. "

En réplique, la société [Localité 3] Europe rappelle à titre liminaire le caractère exclusif du régime de responsabilité instauré par le code monétaire et financier en matière d'opérations de paiement non autorisées ou mal exécutées.

Elle expose tout d'abord que les trois opérations ont bien été authentifiées par le recours à un procédé d'authentification forte au sens de la réglementation applicable, au cas particulier, l'envoi d'un code à usage unique par SMS, ce qui, selon elle, démontre que non seulement la personne à l'origine de ces transactions avait accès au compte [Localité 3] de Mme [U], c'est-à-dire à son adresse électronique et son mot de passe, mais également aux téléphones portables enregistrés sur son compte.

Elle ajoute que les relevés de transactions fournis par la demanderesse attestent de ce que les opérations ont bien été enregistrées et comptabilisées, ce qui n'est au demeurant pas contesté. Les transactions ayant été accomplies conformément à leur objet, à savoir les achats sur le site " [N] ", elle estime que dans ces conditions, il ne saurait être utilement prétendu que ces opérations auraient été affectées d'une quelconque déficience technique.

Invoquant les dispositions des articles L.133-18 et suivants du code monétaire et financier, elle soutient qu'en l'espèce, les circonstances entourant les opérations de paiement litigieuses démontrent qu'elles ont été autorisées par la demanderesse, dont les réclamations relèvent d'une tentative de fraude à son détriment en ce que :

- Les trois paiements litigieux, lesquels relèvent sans doute possible de la même opération, ont été effectués à partir du compte PayPal de Mme [U], ce qui implique une connexion à son compte (et donc une connaissance de son mot de passe), et ont été authentifiés par l'envoi d'un code à usage unique sur son numéro de téléphone personnel pour au moins les deux derniers achats, lequel est enregistré sur son compte depuis plusieurs années et dont elle a confirmé être toujours le sien dans son dépôt de plainte ; elle ajoute que Mme [U] ne peut prétendre que l'adresse électronique "[Courriel 2]" lui est étrangère alors que celle-ci a été enregistrée comme adresse principale sur son compte PayPal en 2009 et qu'elle l'a utilisée pendant près de 15 ans pour réaliser de nombreuses transactions ; enfin, elle explique que si une transaction avec la bijouterie Messika n'a pas abouti le 22 août 2023, ce n'est pas en raison d'un blocage de son compte mais parce que le site marchand ne l'a pas confirmée dans les délais ;

- Les adresses renseignées pour la livraison des bijoux sont toutes situées à quelques centaines de mètres d'une adresse déjà utilisée par la demanderesse sur son compte PayPal près d'un an auparavant, dans la même commune qui n'est pourtant pas celle de son domicile ;

- Le délai de trois semaines entre la réalisation des virements et le signalement fait par Mme [U], qui a été largement suffisant pour permettre la livraison des marchandises, interroge quant au respect de l'obligation de signaler " sans tarder " posée par l'article L.133-24 du code monétaire et financier ; elle ajoute que la demanderesse a déjà procédé à des transactions où elle avait ajouté des noms et adresses différentes des siens dans le cadre de transactions qui n'ont pas fait l'objet de contestation, situation habituelle lorsque les articles sont des cadeaux envoyés à des tiers ; elle expose que le grief portant sur une absence de contrôle de l'identité des personnes ayant réceptionné les colis n'est pas plus pertinent dès lors qu'elle n'est pas un service de livraison de colis et n'a aucune responsabilité dans l'acheminement des livraisons effectuées par un vendeur tiers ; elle relève par ailleurs que la demanderesse a déjà procédé à des transactions adressées à " [X] [C] ", patronyme sous lequel elle se présente sur certaines pages professionnelles.

Elle indique par ailleurs que l'article publié sur le site internet " Les Numériques " évoquant une prétendue fuite de données en 2025 affectant ses services n'étaye pas la thèse d'un piratage, l'auteur reconnaissant explicitement que cette information a été démentie par la société [Localité 3] et le titre indiquant lui-même qu'il pourrait s'agir d'une simple " intox ".

Elle conclut en conséquence à une tentative de fraude de la part de Mme [U], laquelle a bien autorisé les transactions et doit être déboutée de ses prétentions.

Conformément aux dispositions de l'article 455 du code de procédure civile, il est renvoyé aux dernières écritures des parties pour l'exposé des moyens et arguments venant au soutien de leurs prétentions.

La clôture de l'instruction a été prononcée le 1er avril 2026. L'affaire a été évoquée à l'audience de plaidoiries tenue en juge rapporteur du 27 mai 2026 et mise en délibéré au 24 juin 2026.

MOTIFS DE LA DÉCISION

1 - Sur l'obligation de remboursement

Une opération de paiement n'est autorisée au sens des articles L.133-3 et L.133-6 du code monétaire et financier que si le payeur l'a initiée et a consenti au montant de l'opération et au bénéficiaire.

En cas d'opération de paiement non autorisée signalée par l'utilisateur dans les délais prévus par l'article L.133-24 du même code, le prestataire de services de paiement du payeur rembourse à ce dernier le montant de l'opération non autorisée, sauf s'il a de bonnes raisons de soupçonner une fraude de l'utilisateur du service de paiement.

Dans cette hypothèse, il incombe au prestataire de paiement de prouver que l'opération litigieuse a été effectuée après une authentification forte, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre, l'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement, à savoir l'utilisation des identifiants du client et l'absence de déficience technique ou autre, notamment par le biais de la production d'un relevé de ses connexions, ne suffisant pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur.

Par ailleurs, la responsabilité du payeur n'est pas engagée si l'opération de paiement non autorisée a été effectuée en détournant, à son insu, l'instrument de paiement ou les données qui lui sont liées. Cependant, il supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'agissements frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.133-16 et L.133-17 du code précité.

Ainsi, pour échapper au remboursement de l'opération, le prestataire de services de paiement doit démontrer, soit que l'ordre émanait bel et bien du client dûment authentifié dans son espace personnel, soit que le vol des identifiants de connexion (ou d'autres données) n'est que la conséquence d'une faute grave de sa part consistant à ne pas avoir satisfait intentionnellement aux obligations lui incombant en la matière ou à les avoir gravement négligées.

Enfin, dès lors que la responsabilité d'un prestataire de services de paiement est recherchée en raison d'une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L.133-18 à L.133-24 du code monétaire et financier qui transposent les articles 58, 59 et 60, § 1, de la directive 2007/64/CE, tout autre régime alternatif de responsabilité résultant du droit national devant être écarté.

En l'espèce, la société [Localité 3] Europe verse aux débats les traces informatiques des opérations au cours de la période litigieuse.

Ce relevé informatique doit être regardé comme un commencement de preuve par écrit au sens des dispositions de l'article 1361 du code civil (Cass. Com., 30 avril 2025, n°24-13.663), à corroborer par des éléments extérieurs. Un élément extérieur peut tenir, en l'espèce, dans des éléments figurant dans la plainte déposée par le payeur (Cass. Com., 30 avril 2025, n°24-13.663).

Il résulte de ces données que :
- Pour la première transaction d'un montant de 3.400 euros, le 22 août 2023 à 09h07, un SMS contenant un code à usage unique (ci-après "CSUU") a été adressé sur le numéro de téléphone de sécurité alors enregistré et correspondant au XX XX XX 48 07 et que l'authentification a été validée à 09h08 ;
- Pour la deuxième transaction d'un montant de 5.200 euros, le 23 août 2023 à 02h55, un SMS contenant un CSUU a été adressé sur le numéro de téléphone de sécurité alors enregistré correspondant cette fois au XX XX XX 66 98 et que l'authentification a été validée à 02h56 ;

- Pour la troisième transaction d'un montant de 2.350 euros, le 23 août 2023 à 04h03, un SMS contenant un CSUU a été adressé sur le numéro de téléphone de sécurité alors enregistré correspondant au XX XX XX 66 98 et que l'authentification a été validée à 04h04.

Il ressort de la plainte déposée par Mme [U] que cette dernière a déclaré être titulaire de la ligne mobile XX XX XX 66 98 correspondant à celle sur laquelle ont été adressés les SMS contenant les CSUU pour les deux dernières transactions.

Or, comme le relève la défenderesse, tant le site marchand commun aux trois transactions que les destinataires des achats excluent tout doute sur le fait que l'ensemble des opérations contestées s'inscrit dans le même mode opératoire et ont un seul et même donneur d'ordre.

Il résulte de ces éléments que les paiements litigieux ont bien fait l'objet d'une authentification forte par l'envoi de CSUU sur deux appareils de sécurité dont au moins le deuxième est toujours en la possession de Mme [U].

Or, il revient à la banque uniquement de démontrer le respect de la procédure d'authentification pour les seules opérations de paiement ou retrait dont le remboursement est sollicité et non pour les actes préparatoires à ces opérations, tels l'accès à l'espace en ligne de l'utilisateur, l'ajout d'un numéro de téléphone ou la modification des plafonds.

Il convient dès lors de considérer que la preuve est rapportée par la banque que les opérations litigieuses ont été authentifiées, et dûment enregistrées et comptabilisées comme en atteste l'historique produit par Mme [U] en pièce n°1, et qu'elles n'ont pas été affectées par une déficience technique ou autre, la demanderesse ne rapportant pas la preuve contraire ni celle d'un piratage de sa ligne téléphonique.

A cet égard, il est relevé que l'article du site " Les numériques " produit par Mme [U] n'est pas de nature à rapporter la preuve de fuites régulières, ni même d'une fuite ponctuelle, des données de la société [Localité 3] Europe, et donc d'une défaillance de son système dans la présente procédure, dès lors que le rédacteur de l'article prend le soin de préciser que la véracité même de l'affaire qu'il relate est mise en doute.

Le tribunal relève au surplus que ladite fuite serait intervenue en mai 2025 et serait donc sans lien avec les transactions litigieuses effectuées en août 2023.

Cependant, il ne peut se déduire du seul fait que l'instrument de paiement et/ou les données personnelles qui lui sont liées ont été effectivement utilisés qu'en l'espèce, Mme [U] a autorisé les paiements litigieux dès lors que cette dernière le conteste et qu'il n'est pas rapporté la preuve de ce qu'elle a directement donné les ordres de paiement.

En l'espèce, la société [Localité 3] Europe remet en question les déclarations de sa cliente et invoque l'une des causes d'exonération prévues par l'article L.133-19 IV du code monétaire et financier, en l'espèce un agissement frauduleux de l'utilisateur.

Ainsi, en présence d'opérations non autorisées au sens des articles L.133-3 et L.133-6 du code monétaire et financier, il convient de rechercher si la demanderesse peut se voir reprocher un tel agissement faisant obstacle à son droit à indemnisation, étant rappelé que le régime de responsabilité s'appliquant aux opérations non autorisées énoncé par ces articles est exclusif de tout autre régime de responsabilité, notamment sur le fondement d'un manquement à l'obligation générale de vigilance.

Au cas particulier, comme développé ci-avant, la société [Localité 3] Europe rapporte la preuve que les trois transactions litigieuses ont fait l'objet d'une authentification forte par l'envoi d'un CSUU, lequel pour les deux derniers paiements a été adressé sur le téléphone portable de Mme [U] qui ne soutient pas qu'il lui aurait été dérobé ou que sa ligne aurait été détournée.

Par ailleurs, la défenderesse démontre également par la production d'un relevé d'activité pour l'année 2009 (pièce n°9) que Mme [U] avait enregistré à cette date sur son compte l'adresse électronique "[Courriel 2]", laquelle a été utilisée à l'occasion des transactions litigieuses. Mme [U] ne saurait dès lors soutenir utilement que cette adresse lui est étrangère.

La société [Localité 3] Europe produit ensuite en pièce n°10 un relevé d'activité du compte dont il ressort que les 14 et 17 septembre 2022, Mme [U] a enregistré une adresse à [Localité 6] (83) (" [Adresse 3] "), action qui suscite nécessairement des interrogations au regard, d'une part, de la localisation dans la même commune des adresses de livraison utilisées dans le cadre des transactions litigieuses et, d'autre part, de ses dénégations sur son absence de lien avec ladite commune.

Il résulte également du relevé d'une transaction en date du 4 août 2023 (pièce n°11) et d'une capture d'écran du site Malt.fr en date du 5 février 2025 (pièce n°8), que Mme [U] utilise le patronyme " [C] ", lequel correspond à celui des destinataires des biens achetés auprès du site " [N] ".

Enfin, si le délai de trois semaines mis par Mme [U] à signaler les opérations litigieuses s'inscrit certes dans les prescriptions de l'article L.133-24 du code monétaire et financier, il constitue néanmoins un délai important qui a permis à la fraude d'aboutir par la livraison des marchandises et peut être regardé comme un élément ayant participé à la consommation de l'escroquerie.

Il résulte de ces éléments un faisceau d'indices convergeant vers une participation au moins indirecte de Mme [U] aux achats litigieux, laquelle doit être assimilée à un agissement frauduleux au sens de l'article L.133-19 précité qui prive la demanderesse de son droit à remboursement.

De plus, l'obligation incombant à l'utilisateur de services de paiement de signaler sans tarder à son prestataire de services de paiement une opération non autorisée naît à compter du moment où il en a eu connaissance et, faute de l'avoir signalée, de manière délibérée ou par négligence grave, il est privé du droit d'obtenir la correction de cette opération, peu important que ce signalement ait été effectué dans les treize mois suivant la date de débit.

Or, en l'espèce, la banque rapporte la preuve que Mme [U] a été destinataire sur son téléphone portable des CSUU pour les deux dernières opérations et qu'elle a donc eu connaissance d'une activité douteuse sur son compte Paypal dès le 23 août 2023.

Elle n'a cependant signalé les opérations litigieuses que le 13 septembre 2023, soit trois semaines après qu'elle en ait eu connaissance.

Un tel délai ne répond pas à l'obligation de signaler " sans tarder " au prestataire de services de paiements une opération litigieuse et fait également obstacle au droit à remboursement de la demanderesse.

Pour l'ensemble de ces raisons, Mme [U] est déboutée de sa demande de remboursement.

2 - Sur les autres demandes

2.1 - Sur les frais du procès

La demanderesse qui succombe est condamnée aux dépens ainsi qu'à payer à la défenderesse la somme de 2.000 euros sur le fondement de l'article 700 du code de procédure civile.

2.2 - Sur l'exécution provisoire

La présente décision est revêtue de droit de l'exécution provisoire conformément aux dispositions de l'article 514 du code de procédure civile dans sa version applicable en l'espèce, l'instance ayant été introduite postérieurement au 31 décembre 2019.

PAR CES MOTIFS