CA Douai, 18 juin 2026, RG 24/02174

République Française

Au nom du Peuple Français

COUR D'APPEL DE DOUAI

CHAMBRE 2 SECTION 1

ARRÊT DU 18/06/2026

****

MINUTE ÉLECTRONIQUE

N° RG 24/02174 - N° Portalis DBVT-V-B7I-VRI7

Jugement (N° 2023004506) rendu le 16 avril 2024 par le tribunal de commerce de Lille Métropole

APPELANTE

SARL PG ERGO D+, agissant en la personne de ses représentants légaux

ayant son siège social [Adresse 1]

[Localité 1]

représentée par Me Benoît de Berny, avocat au barreau de Lille, avocat constitué

INTIMÉES

Société Française de Radiotéléphone SFR, prise en la personne de ses représentants légaux domiciliés en cette qualité au siège

ayant son siège soical [Adresse 2] -

[Localité 2]

représentée par Me Bénédicte Duval, avocat au barreau de Lille, avocat constitué, assistée de Me Ronald Sarah, avocat au barreau de Paris

SA Bnp Paribas

ayant son siège social [Adresse 3]

[Localité 3]

représentée par Me Franck Regnault, avocat au barreau de Lille, avocat constitué, assistée de Me Dominique Penin, avocat au barreau de Paris

DÉBATS à l'audience publique du 11 mars 2026 tenue par Pauline Mimiague magistrat chargé d'instruire le dossier qui, après rapport oral de l'affaire, a entendu seule les plaidoiries, les conseils des parties ne s'y étant pas opposés et qui en a rendu compte à la cour dans son délibéré (article 805 du code de procédure civile).

Les parties ont été avisées à l'issue des débats que l'arrêt serait prononcé par sa mise à disposition au greffe

GREFFIER LORS DES DÉBATS : Marlène Tocco

COMPOSITION DE LA COUR LORS DU DÉLIBÉRÉ

Déborah Bohée, présidente de chambre

Pauline Mimiague, conseiller

Carole Catteau, conseiller

ARRÊT CONTRADICTOIRE prononcé publiquement par mise à disposition au greffe le 18 juin 2026 (date indiquée à l'issue des débats) et signé par Déborah Bohée, présidente et Béatrice Capliez, greffier, auquel la minute a été remise par le magistrat signataire.

ORDONNANCE DE CLÔTURE DU : 22 janvier 2026

****

EXPOSÉ DU LITIGE

La société PG Ergo D+ (ci-après société PED) est titulaire d'un compte bancaire ouvert dans les livres de la société BNP Paribas. Son gérant, M. [S] [X], a souscrit personnellement un abonnement téléphonique auprès de la Société française du radiotéléphone (SFR) pour une ligne de téléphone mobile avec laquelle il accède au service en ligne ouvert par la banque, permettant notamment à la société PED de se connecter à son espace client pour accéder aux informations sur son compte bancaire et faire des opérations telles que des virements bancaires.

Arguant d'une fraude (dite « SIM swapping ») ayant conduit en octobre 2021, d'abord à la substitution de la carte SIM du téléphone de son dirigeant, puis à la réalisation de deux virements depuis l'espace en ligne de la banque dont elle n'était pas à l'origine, la société PED a sollicité le remboursement des virements à la banque qui a refusé.

Par actes des 2 mars et 15 mars 2023 la société PED a saisi le tribunal de commerce de Lille Métropole aux fins de voir condamner in solidum la société BNP Paribas, sur le fondement de l'article L. 133-18 du code monétaire et financier, et la société SFR, sur le fondement des articles 1240 et suivants du code civil, à lui payer la somme de 11 909 euros correspondant aux sommes débitées sur son compte.

Par jugement contradictoire du 16 avril 2024 le tribunal :

- a dit la société PED mal fondée en ses demandes,

en conséquence,

- l'a déboutée de sa demande de condamnation in solidum des sociétés BNP Paribas et SFR à lui verser la somme débitée de son compte,

- l'a condamnée à payer à chacune d'elles la somme de 1 000 euros au titre de l'article 700 du code de procédure civile,

- a rappelé que l'exécution provisoire était de droit,

- a condamné la société PED aux entiers dépens, taxés et liquidés à la somme de 89,66 euros en ce qui concerne les frais de greffe.

Par déclaration reçue au greffe de la cour, le 3 mai 2024 la société PED a relevé appel de l'intégralité de ce jugement sauf en ses dispositions relatives à l'exécution provisoire.

Aux termes de ses dernières conclusions notifiées par voie électronique le 24 janvier 2025, la société appelante demande à la cour de :

- infirmer le jugement dans les termes de sa déclaration d'appel,

- déclarer la société BNP Paribas et la société SFR in solidum ou solidairement responsables des deux débits du compte de la société PED du 28 octobre 2021 sur le fondement du code monétaire et financier à l'égard de l'une et sur le fondement du droit commun de la responsabilité extra contractuelle à l'égard de l'autre,

- les condamner in solidum ou solidairement à l'indemniser à hauteur de 11 909 euros avec les intérêts au taux majoré de quinze points, trente jours après le 28 octobre 2021,

- ordonner la capitalisation des intérêts,

- les condamner in solidum ou solidairement à lui payer 3 000 euros au titre des frais irrépétibles

d'instance et d'appel,

- les condamner in solidum ou solidairement aux dépens d'instance et d'appel.

Aux termes de ses dernières conclusions notifiées par voie électronique le 25 septembre 2024 la société BNP Paribas demande à la cour de :

- confirmer le jugement en toutes ses dispositions,

- subsidiairement, condamner la société SFR à lui verser la somme à laquelle elle pourrait être tenue vis à vis de la société PED,

- débouter la société SFR de toutes ses demandes, fins et conclusions,

- condamner la société PED ou tout succombant à lui verser la somme de 3 500 euros au titre de l'article 700 du code de procédure civile ainsi qu'aux entiers dépens d'appel.

Aux termes de ses dernières conclusions notifiées par voie électronique le 15 novembre 2024 la société SFR demande à la cour de :

- à titre principal, confirmer le jugement déféré en ce qu'il a débouté les sociétés PED et BNP Paribas de toutes demandes dirigées contre elle,

- à titre infiniment subsidiaire, condamner la société BNP Paribas à la relever et garantir contre toute condamnation pouvant être prononcée à son encontre par la décision à intervenir,

- en tout état de cause, condamner la société PED ou tout succombant à lui payer la somme de 3 000 euros en application des dispositions de l'article 700 du code de procédure civile et aux entiers dépens.

En application de l'article 455 du code de procédure civile, il est renvoyé aux écritures précitées des parties pour l'exposé de leurs moyens.

La clôture de l'instruction est intervenue le 22 janvier 2026 et l'affaire a été fixée à l'audience de plaidoiries du 11 mars suivant.

MOTIFS

Il ressort des pièces versées aux débats que deux virements bancaires dont la société PED indique ne pas être à l'origine ont été effectués depuis sont compte le 28 octobre 2021, l'un pour un montant de 4 951 euros et l'autre pour un montant de 6 958 euros. Ils apparaissent sur son relevé de compte avec l'intitulé : « VIR SEPA INST EMIS/MOTIF FACTURE 2311B [2311 pour le second]/BEN [M] [P] [J]/REFDO ».

Le 29 octobre 2021 M. [X] a déposé une plainte au commissariat de [Localité 4] pour dénoncer une fraude. Dans son audition il a expliqué avoir reçu un premier SMS de son opérateur SFR le 23 octobre 2021 l'informant que sa demande de changement d'adresse électronique de secours avait été prise en compte puis deux messages le même jour l'informant que sa nouvelle adresse postale avait été enregistrée et d'une commande de nouvelle carte SIM. Il indiquait ne pas être à l'origine de ces demandes et qu'il n'avait pas donné de suite pensant que c'était des « spams » ou des erreurs. Il indiquait avoir reçu un courriel de sa banque le 27 octobre 2021 l'informant qu'un nouveau bénéficiaire « [M] [P] [J] » avait été créé et enregistré sur son compte professionnel mais qu'il n'était pas à l'origine de cette action, qu'il avait tenté de se connecter sur son espace personnel pour faire annuler l'opération mais que l'accès lui avait été refusé et il s'était rendu dans son agence bancaire le lendemain où il avait pris connaissance des deux virements litigieux. Il peut être relevé que M. [X] a dénoncé des opérations de paiement effectuées au moyen de sa carte bancaire rattachée à son compte personnel, et non des virements ainsi qu'il l'indique dans ses conclusions (voir son signalement en ligne auprès de la gendarmerie), alors même qu'il était en possession de celle-ci, effectués les 27 et 28 octobre, qui ont été remboursés par la banque.

La société SFR conteste la réalité même des messages écrits que M. [X] aurait reçus mais il est mentionné dans la plainte que le déclarant montre les SMS évoqués et il est mentionné « VU EXACT » entre parenthèse, venant confirmer l'existence de ces messages même s'ils ne sont pas retranscrits.

Sur l'action contre la banque

Le tribunal, a d'abord retenu une négligence fautive de M. [X] qui resté sans réaction pendant plusieurs jours malgré les opérations potentiellement anormales sur sa ligne téléphonique, puis a écarté la responsabilité de la banque en estimant que, dès lors que la fraude à la carte SIM ne suffisait pas pour activer le service en ligne de la banque, en l'absence des données personnelles et confidentielles s'y rattachant, et qu'il n'était pas démontré une faute de la banque ayant permis la fuite de ces données. Il ne s'est toutefois pas prononcé au regard des textes du code monétaire et financier applicables en cas de virement non autorisé pourtant invoqués par la société PED qui posent un régime de responsabilité exclusif.

Selon l'article L. 133-18 alinéa 1 du code monétaire et financier en cas d'opération de paiement non autorisée signalée par l'utilisateur dans les conditions prévues à l'article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l'opération non autorisée immédiatement après avoir pris connaissance de l'opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s'il a de bonnes raisons de soupçonner une fraude de l'utilisateur du service de paiement et s'il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l'état où il se serait trouvé si l'opération de paiement non autorisée n'avait pas eu lieu.

L'article L. 133-18 pose ainsi le principe du remboursement par la banque des opérations de paiement non autorisées. Par dérogation à ce principe, l'article L. 133-19, IV, du même code, prévoit que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 (prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées et utiliser l'instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation) et L. 133-17 (lorsqu'il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, il en informe sans tarder, aux fins de blocage de l'instrument, son prestataire ou l'entité désignée par celui-ci).

Enfin, l'article L. 133-23 de ce code dispose que lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre. Et son alinéa 2 que l'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière et que le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d'initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur de services de paiement.

Ainsi il résulte des articles L. 133-19, IV, et L. 133-23, que s'il entend faire supporter à l'utilisateur d'un instrument de paiement doté d'un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, le prestataire de services de paiement doit aussi prouver que l'opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre, et pas seulement démontrer que l'utilisateur de paiement n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

Or, en l'espèce, la banque se limite à des affirmations sur les procédures d'authentification qu'elle applique, à produire des pièces d'ordre général sur ces procédures, tels des extraits d'informations sur les fraudes qu'elle diffuse à ses clients, des fiches de présentation sur son système d'authentification ou un guide d'utilisation, mais elle ne produit aucun document spécifique relatif aux opérations litigieuses en vue d'établir qu'elles ont été réalisées effectivement selon les modalités qu'elle indique. Elle ne rapporte ainsi pas la preuve que ces opérations ont été effectivement soumises à une procédure d'authentification forte, dûment enregistrées et comptabilisées, ou qu'elles n'ont pas été affectées par une déficience technique, ou encore qu'elles ont été authentifiées par la société PED elle-même.

Le constat de cette carence probatoire suffit pour mettre à la charge du payeur les conséquences de l'opération de paiement non autorisée, en application des textes précités.

Il peut être relevé à titre surabondant que la banque affirme qu'il y a eu nécessairement divulgation des données de connexion par la société PED et que seule leur communication volontaire peut avoir permis au fraudeur de se connecter (notamment l'identifiant ou la clé digitale nécessaire pour l'installation de l'application sur un nouveau téléphone, qui ne sont pas contenus dans la carte SIM), mais la négligence grave de l'utilisateur ne peut se déduire du seul fait que l'instrument de paiement ou les données personnelles qui lui sont liées ont été utilisées.

Il convient dès lors de faire droit à la demande de condamnation formée contre la banque, le jugement étant infirmé en conséquence. La condamnation sera assortie des intérêts au taux légal, à compter du 28 novembre 2021 conformément à la demande de la société PED, sans la majoration de quinze points sollicitée par l'appelante sans aucun motif, et avec capitalisation des intérêts en application de l'article 1343-2 du code civil.

Sur la responsabilité de l'opérateur téléphonique

La société PED et la banque invoquent, sur le fondement de la responsabilité délictuelle, un manquement contractuel de la société SFR vis à vis de son abonné, M. [X], considérant que le détournement de la carte de SIM fournie par SFR avait permis la réalisation des virements frauduleux, la société SFR ayant commis selon eux une faute en remettant à un tiers une carte SIM sans vérifier son identité.

La société PED invoque une responsabilité de plein droit du fournisseur d'accès à un service de communications électroniques à l'égard de son client dans l'exécution de ses obligations résultant du contrat mais en l'absence de tout lien contractuel avec la société SFR, il lui appartient pour agir sur le fondement de la responsabilité délictuelle de rapporter la preuve qu'elle a commis une faute à l'origine de son dommage.

Selon les conditions d'abonnement de la société SFR versées aux débats (celles de novembre 2008 communiquées par la société PED et celles valables au 12 octobre 2021communiquées par la banque) il est prévu la remise par la société SFR à l'abonné d'une carte SIM à laquelle est associé le numéro d'appel attribué par SFR et qui permet l'accès aux services SFR.

La commande d'une carte SIM le 23 octobre 2021 est confirmée par les pièces versées aux débats (documents de commande émis par SFR). Selon la retranscription des messages réalisée par la société PED dans son courrier adressé à la banque le 29 octobre pour réclamer le remboursement des virements litigieux :

- le 23 octobre M. [X] reçoit un message : « Info SFR : Nous avons bien enregistré votre demande de modification d'adresse email de secours pour le compte 0688061703 » (numéro de ligne de M. [X]),

- le même jour, il reçoit à trois reprises un message : «Info SFR : conformément à votre demande, votre nouvelle adresse postale a bien été prise en compte » suivi d'une adresse à [Localité 5],

- le 24 octobre il reçoit un message « Service Client SFR : Votre avis en 3 questions. Lors de vos appels d'hier, votre conseiller était-il aimable, compréhensible, professionnel' (Note de 0 à 10)»,

- le 25 octobre deux messages « info SFR » lui confirmant la commande de la carte SIM du 23 octobre 2021 et son expédition sous trois jours ouvrés.

Il est par ailleurs établi que la ligne téléphonique de M. [X] a été utilisée pour la réalisation des virements litigieux.

Toutefois, aucun élément ne permet de déterminer précisément les circonstances dans lesquelles la commande de la carte SIM est intervenue. La société BNP Paribas envisageant d'ailleurs plusieurs hypothèses, dont celle d'une demande via l'espace client sur le site Internet de la société SFR nécessitant des données de connexion (cf la fiche d'informations mise en ligne par celle-ci) dont l'on ignore comment elles auraient pu être obtenues par le fraudeur. La fraude appelée « Sim swap » suppose en effet que le fraudeur dispose au préalable d'informations personnelles de l'abonné. Rien ne permet d'établir que la société SFR pouvait avoir connaissance d'une usurpation d'identité du client ou qu'elle n'a pas respecté les modalités de remises éventuellement prévues au contrat dont les conditions particulières ne sont pas versées aux débats. En outre, la succession des textos envoyés par la société SFR a permis l'information du client sur la demande de carte SIM et de modification de ses données personnelles, qui, l'alertant sur une opération sur sa ligne téléphonique dont il n'était pas à l'origine, auraient dû le conduire à se rapprocher de son opérateur pour l'en informer.

Il en résulte qu'il n'est pas rapporté la preuve d'une faute de la société SFR dans la délivrance de la carte SIM, de sorte que sa responsabilité ne saurait être retenue. Le jugement sera en conséquence confirmé en ce qu'il déboute la société PED de sa demande contre la société SFR et la demande de la banque contre cette dernière doit être rejetée.

Sur les demandes accessoires

Vu les articles 696 et 700 du code de procédure civile, le sens de l'arrêt conduit à mettre les dépens de première instance et d'appel à la charge de la société BNP Paribas, d'allouer à la société PED une indemnité de 3 000 euros à la charge de la banque et de confirmer le jugement sur la condamnation prononcée au profit la société SFR, la société PED étant à l'origine de sa mise en cause. Le jugement sera infirmé en ses autres dispositions et les autres demandes formées devant la cour au titre de l'article 700 du code de procédure civile seront rejetées.

PAR CES MOTIFS