TJ 75056, 7 juill. 2026, RG 25/04991

TRIBUNAL
JUDICIAIRE
DE [Localité 1] [1]

[1]
Copies délivrées le 07/07/2026 à :
Me CALAMARI - CE
Me [Localité 2] (J0011) CCC

■

9ème chambre 2ème section

N° RG :
N° RG 25/04991 - N° Portalis 352J-W-B7J-C7NC4

N° MINUTE :

JUGEMENT
rendu le 07 Juillet 2026

DEMANDERESSE

ASSOCIATION [Localité 1] 2018
[Adresse 1]
[Localité 3]

représentée par Maître Vanessa CALAMARI de la SCP IEVA-GUENOUN PAIN CALAMARI, avocat au barreau de MEAUX

DÉFENDERESSE

S.A. BNP PARIBAS
[Adresse 2]
[Localité 4]

représentée par Maître Dominique PENIN du PARTNERSHIPS MORGAN LEWIS & BOCKIUS UK LLP, avocat au barreau de PARIS, vestiaire #J11

Décision du 07 Juillet 2026
9ème chambre 2ème section
N° RG 25/04991 - N° Portalis 352J-W-B7J-C7NC4

COMPOSITION DU TRIBUNAL

Monsieur Gilles MALFRE, Premier vice-président adjoint
Monsieur Augustin BOUJEKA, Vice-Président
Monsieur Alexandre PARASTATIDIS, Juge

assistés de Madame Camille CHAUMONT, Greffière,

DÉBATS

A l’audience du 19 Mai 2026 tenue en audience publique devant Gilles MALFRE, juge rapporteur, qui, sans opposition des avocats, a tenu seul l’audience, et, après avoir entendu les conseils des parties, en a rendu compte au Tribunal, conformément aux dispositions de l’article 805 du Code de Procédure Civile, avis a été donné aux avocats que la décision serait rendue le 7 juillet 2026.

JUGEMENT

Rendu publiquement par mise à disposition au greffe
Contradictoire
En premier ressort

EXPOSÉ DU LITIGE

Par acte du 7 avril 2025, l'association PARIS 2018 (l'association) a fait assigner la BNP PARIBAS devant le tribunal judiciaire de Paris, afin qu'elle soit condamnée à lui payer la somme en principal de 52 408,08 euros, avec intérêts au taux légal majoré de 5 points du 22 au 28 octobre 2024, de 10 points du 29 octobre au 22 novembre 2024 et de 15 points à compter du 23 novembre 2024, ces intérêts étant capitalisés, celle de 5 000 euros en réparation de son préjudice moral, outre la somme de 1 500 euros au titre de l’article 700 du code de procédure civile.

Elle expose que son trésorier, M. [R], hospitalisé du 2 au 12 octobre 2024 et seul détenteur des accès aux comptes, a constaté le 20 octobre 2024 les opérations suivantes :
- le 1er octobre 2024, un virement d'un montant de 44 000 euros effectué du livret A de l’association vers son compte courant ;
- entre les 3 et 5 octobre 2024, trois virements réalisés pour des montants respectifs de 19 106,52 euros (3 octobre 2024 à 9h18), 19 400 euros (4 octobre 2024 à 13h43) et 13 901,56 euros (5 octobre 2024 à 16h34), soit un total de 52 408,08 euros, au bénéfice supposé de Mme [A] puisqu'il semblerait que le RIB utilisé était en réalité celui d'un tiers.

Elle précise que la BNP PARIBAS n’a pas fourni d'éléments permettant d’identifier le bénéficiaire de ces virements.

Décision du 07 Juillet 2026
9ème chambre 2ème section
N° RG 25/04991 - N° Portalis 352J-W-B7J-C7NC4

M. [R] a déposé plainte le 21 octobre 2024.

Par conclusions du 31 mars 2026, la BNP PARIBAS demande au tribunal de débouter l'association de ses demandes, subsidiairement, de dire que les pénalités de retard prévues à l’article L. 133-18 du code monétaire et financier ne s’appliquent qu’à compter du prononcé du jugement et, en tout état de cause, de condamner l'association à lui payer la somme de 3 000 euros au titre de l’article 700 du code de procédure civile et d'écarter l’exécution provisoire.

Par conclusions du 2 avril 2026, la requérante s'oppose aux prétentions de la banque et maintient ses demandes.

La clôture de l’instruction a été prononcée le 7 avril 2026.

SUR CE

Sur le régime de responsabilité applicable :

Le régime de responsabilité des prestataires de services de paiement prévu à l'article 60, paragraphe 1, de la directive 2007/64 ainsi qu'aux articles 58 et 59 de cette directive, en cas d'opération de paiement non autorisée, a fait l'objet d'une harmonisation totale, de sorte que sont incompatibles avec ladite directive tant un régime de responsabilité parallèle au titre d'un même fait générateur qu'un régime de responsabilité concurrent qui permettrait à l'utilisateur de services de paiement d'engager cette responsabilité sur le fondement d'autres faits générateurs.

Du fait du caractère non autorisé des opérations objet du litige, la requérante ne saurait fonder ses demandes sur l'obligation générale de vigilance de sa banque. En effet, seules les règles édictées par les articles L. 133-18 à L. 133-24 du code monétaire et financier s'appliquent de manière exclusive.

L'association ne saurait donc soutenir que sa banque aurait commis une faute en validant les trois virements, alors qu'ils constituaient des opérations inhabituelles, vers un bénéficiaire dont les coordonnées bancaires semblent avoir été modifiées, sans alerter l’association ou bloquer ces transactions suspectes.

Par ailleurs, l'exclusivité de ce régime de responsabilité en présence d'opérations de paiement non autorisées s'oppose à ce que l'association sollicite l'indemnisation de préjudices complémentaires.

Sur la demande de remboursement des opérations de paiement non autorisées :

L'association soutient en premier lieu que la banque ne rapporte pas la preuve que les virements ont fait l'objet d'une authentification renforcée, sans déficience technique, ne justifiant pas des modalités de validation du changement de RIB et d'autorisation de ces opérations.

Elle rappelle qu'antérieurement à cette fraude, elle ne recevait jamais de SMS ou de courriels de validation, alors que tel est le cas depuis la fraude. Elle relève qu'il n'est pas produit aux débats le SMS qui aurait été envoyé et dont elle a réclamé en vain une copie.
Décision du 07 Juillet 2026
9ème chambre 2ème section
N° RG 25/04991 - N° Portalis 352J-W-B7J-C7NC4

Sur cette absence de réception de SMS, la demanderesse note qu'au vu de la pièce adverse n°1, le seul profil rattaché au téléphone de M. [R] correspond à un iPhone 8 (pièce n°10), activé le 4 juin 2020 et révoqué le 21 mai 2022 et qu'à compter du 21 mai 2022, l’activation de la clé digitale apparaît comme étant effectuée depuis un iPhone 10, et ce jusqu’au 10 décembre 2024, alors même qu’un tel modèle de téléphone n’appartient pas à l’association, ce qui explique sans doute le fait que l’association n’a jamais reçu, avant le mois de décembre 2024, de SMS de validation.

Elle ajoute que les traces informatiques produites par la banque démontrent que les adresses IP utilisées confirment que l’ensemble des opérations contestées (déclenchements de la clé digitale, modification et validation du bénéficiaire, exécution des virements) ont été réalisées depuis des adresses IP de type 92.184.xxx.xxx (notamment 92.184.106.80, 92.184.106.152, 92.184.107.124, 92.184.92.218, 92.184.119.189), qui ne correspondent à aucune des adresses IP habituellement utilisées par l'association.

Sur la négligence grave qui lui est opposée, l'association souligne qu'elle ne saurait être déduite du seul fait que ses données confidentielles auraient été utilisées, relevant que la banque ne justifie d'aucun élément extrinsèque à ses propres "logs informatiques" permettant de retenir que l'association aurait activement participé à la fraude.

Elle note que si la banque affirme qu’un SMS d’enrôlement a été envoyé au numéro de M. [R], la capture d’écran de l’application mobile qu'elle produit démontre que la tentative d’authentification du 1er octobre 2024 à 15h05 a été refusée, ce qui soulève des doutes sur la sécurisation des opérations contestées survenues entre le 3 et le 7 octobre 2024.

En réponse, la BNP PARIBAS rappelle que l'authentification forte est effectuée par un système de "clé digitale", dans lequel le client qui possède un smartphone y télécharge l'application bancaire, se connecte à cette application avec ses identifiant et mot de passe, puis active la "clé digitale".

La banque précise que le client est informé de cette activation par un SMS, en cliquant sur le lien contenu dans le corps de ce message, pour les iphones. Elle ajoute qu'une fois cette "clé digitale" enrôlée, le client peut utiliser l’authentification forte.

En l'espèce, elle fait valoir que les traces informatiques mettent en évidence que la "clé digitale" a été enrôlée le 1er octobre 2024 à 15h06 sur un nouveau téléphone portable, un IPhone 10,4. Elle précise que cet enrôlement a généré l’envoi d’un SMS sur le numéro de téléphone de M. [R], ce message contenant un "lien cliquable" composé d’un code nécessaire à la finalisation de l'enrôlement sur le nouveau téléphone.

Elle déduit de ces mêmes traces informatiques que l'enrôlement de la clé digitale sur le téléphone de l’escroc a fonctionné et qu'il a alors été en mesure de substituer ses coordonnées bancaires à celles figurant sur un RIB enregistré sous le nom de Mme [A], opération validée à 16h25 à l’aide de la "clé digitale" et, de même, de virer du livret A vers le compte courant de l'association la somme de 44 000 euros, puis d'exécuter les trois virements litigieux.

Elle indique que ces traces informatiques démontrent également que l’escroc a dans un premier temps échoué à se connecter puisque la notification n’avait pas été validée, mais qu'il a renouvelé sa tentative de connexion, ce qui a déclenché l’envoi d’un code adressé par SMS sur le numéro de M. [R].

La banque estime par conséquent que seule la communication volontaire de ses données confidentielle par l'association a permis la fraude.

Ceci étant exposé.

En cas d'opération de paiement non autorisée signalée par l'utilisateur dans les délais prévus par l'article L. 133-24 du code monétaire et financier, le prestataire de services de paiement du payeur rembourse à ce dernier le montant de l'opération non autorisée sauf s'il a de bonnes raisons de soupçonner une fraude de l'utilisateur du service de paiement.

Dans cette hypothèse, il incombe au prestataire de paiement de prouver que l'opération litigieuse a été effectuée après une authentification forte, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre, l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement, à savoir l’utilisation des identifiants du client et l’absence de déficience technique ou autre, notamment par le biais de la production d’un relevé de ses connexions, ne suffisant pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur.

L'article L. 133-4 (f) du code précité précise qu’une authentification forte s’entend d’une authentification reposant sur l'utilisation de deux éléments ou plus appartenant aux catégories « connaissance » (quelque chose que seul l'utilisateur connaît telle qu’un mot de passe, un code secret, une question secrète, etc…), « possession » (quelque chose que seul l'utilisateur possède telle qu’un téléphone portable, une montre connectée, une clé USB etc…) et « inhérence » (quelque chose que l'utilisateur est telle que la reconnaissance faciale ou vocale, la reconnaissance par empreinte digitale, etc…) et indépendants en ce sens que la compromission de l'un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d'authentification. L'authentification forte repose donc sur l'utilisation de deux de ces éléments, voire plus.

Par ailleurs, la responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à son insu, l’instrument de paiement ou les données qui lui sont liées. Cependant, il supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’agissements frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 du même code.

Ainsi, pour échapper au remboursement de l’opération contestée, le prestataire de services de paiement doit démontrer, soit que l’ordre émanait bel et bien du client dûment authentifié dans son espace personnel, soit que le vol des identifiants de connexion (ou d’autres données) n’est que la conséquence d’une faute grave de sa part consistant à ne pas avoir satisfait intentionnellement aux obligations lui incombant en la matière ou à les avoir gravement négligées.

Il est par ailleurs rappelé que la preuve de la négligence grave ne peut se déduire du seul fait que l'instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés.

En particulier, le fait que les traces informatiques établissent qu'une adresse IP, qui n'est pas l'adresse habituelle, s'est connectée sur l'espace client, et que, par la suite, la clé digitale du client a été enrôlée sur un nouvel appareil par l'intermédiaire de cette même adresse ne permet pas de retenir une négligence grave de ce client, cette négligence étant alors déduite de la seule utilisation des données de sécurité personnalisées (Cass. com., 5 mars 2025, n° 23-22.687).

En l'espèce, sur l'authentification forte des trois virements exécutés entre les 3 et 5 octobre 2024, contrairement à ce que soutient l'association, la BNP PARIBAS démontre, au vu de ses données informatiques qu'elle produit en pièce n° 3, que ces virements ont été ordonnés via l'espace bancaire de la requérante, en utilisant la "clé digitale".

Il importe peu à cet égard que l'association soutienne ne pas être à l'origine de cette utilisation de la "clé digitale", alors qu'il convient uniquement de vérifier que l'authentification forte a bien été mise en oeuvre pour l'exécution des opérations de paiement non autorisées.

En revanche, sur la négligence grave, comme le relève justement l'association, la banque ne verse pas aux débats une copie du SMS contenant un lien sur lequel le destinataire devait cliquer, et qui aurait été envoyé sur le téléphone portable de l'association, l'utilisation de ce lien ayant permis de procéder au désenrôlement de ce portable et à l'enrôlement du portable du fraudeur.

Il n'est donc pas établi que l'association aurait été destinataire de ce message et, qu'en suivant les consignes reprises dans ce SMS, elle ait permis au final au fraudeur d'exécuter les trois virements litigieux.

En outre, alors que la charge de la preuve de la négligence grave lui incombe, la banque se contente d'opposer ses données informatiques sur les différentes opérations effectuées, sans que cela ne puisse attester que l'association ait communiqué des données bancaires confidentielles, sur instructions du fraudeur.

Il convient par conséquent de condamner la banque à payer la somme de 52 408,08 euros.

Sur les intérêts majorés de l’article L.133-18 du code monétaire et financier :

Pour s'opposer à l'application de ce taux d'intérêt majoré, la BNP PARIBAS rappelle n'être tenue d’aucune obligation de remboursement tant qu'une juridiction n'a pas statué en sa défaveur.

Ceci étant exposé.

L’article L.133-18 du code monétaire et financier dispose que :
"En cas d'opération de paiement non autorisée signalée par l'utilisateur dans les conditions prévues à l'article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l'opération non autorisée immédiatement après avoir pris connaissance de l'opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s'il a de bonnes raisons de soupçonner une fraude de l'utilisateur du service de paiement et s'il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l'état où il se serait trouvé si l'opération de paiement non autorisée n'avait pas eu lieu.
Lorsque l'opération de paiement non autorisée est initiée par l'intermédiaire d'un prestataire de services de paiement fournissant un service d'initiation de paiement, le prestataire de services de paiement gestionnaire du compte rembourse immédiatement, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, au payeur le montant de l'opération non autorisée et, le cas échéant, rétablit le compte débité dans l'état où il se serait trouvé si l'opération de paiement non autorisée n'avait pas eu lieu.
La date de valeur à laquelle le compte de paiement du payeur est crédité n'est pas postérieure à la date à laquelle il avait été débité.
En cas de manquement du prestataire de services de paiement aux obligations prévues aux deux premiers alinéas du présent article, les pénalités suivantes s'appliquent :
1° Les sommes dues produisent intérêt au taux légal majoré de cinq points ;
2° Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points ;
3° Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points.
Si le prestataire de services de paiement qui a fourni le service d'initiation de paiement est responsable de l'opération de paiement non autorisée, il indemnise immédiatement le prestataire de services de paiement gestionnaire du compte, à sa demande, pour les pertes subies ou les sommes payées en raison du remboursement du payeur, y compris le montant de l'opération de paiement non autorisée.

Le payeur et son prestataire de services de paiement peuvent décider contractuellement d'une indemnité complémentaire."

Par ailleurs, l'article L. 133-19 IV du même code précise que :
"Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17."

L'objectif poursuivi par la première de ces dispositions, en particulier les pénalités prévues au troisième alinéa de cet article, est de s'assurer que la banque rembourse sans tarder les opérations de paiement non autorisées et signalées par le client.

Les banques ne sont pas tenues à une telle obligation, en particulier en cas de négligence grave du client.

Contrairement à ce que soutient la BNP PARIBAS et sauf à priver de toute portée ces dispositions du troisième alinéa de l’article L. 133-18, ces intérêts majorés proportionnellement ne sauraient être dus qu'à compter du jugement ne retenant pas, au final, la négligence grave opposée par la banque.

En effet, c'est sous sa seule responsabilité que la banque décide de refuser de rembourser des opérations de paiement non autorisées, en opposant la négligence grave du client, prenant alors le risque que le tribunal ne retienne pas cette négligence grave.

Il convient par conséquent de faire droit à cette demande.

En revanche, l'application de cette disposition particulière en matière de taux d'intérêt s'oppose à ce qu'elle se cumule avec la capitalisation annuelle des intérêts de droit commun.

Sur les autres demandes :

Au titre des frais exposés et non compris dans les dépens, la banque sera condamnée à payer la somme de 1 500 euros.

Il n'y a pas lieu d'inclure dans les dépens à la charge de la banque les frais de signification du jugement à intervenir, s'agissant de frais non encore exposés.

Aucune considération ne justifie d'écarter l'exécution provisoire de droit.

PAR CES MOTIFS