Décision contentieux n°2 - audience publique

[…]

JUGEMENT DU 20 MAI 2025

Composition du Tribunal lors des débats :

M. Thierry DEFFRENNES Président de chambre,

Mme Béatrice DUPIRE et M. Bruno DEVIENNE Juges, Mme Elisa PROT Commis Greffier,

Jugement contradictoire rendu par mise à disposition au Greffe le 20 mai 2025 par M. Thierry DEFFRENNES Président de Chambre, qui a signé la minute avec Mme Elisa PROT Commis Greffier

2024012157 – ENTRE – la SARL [O] dont le siège social est [Adresse 1] demanderesse comparant par Maître Amélie MACHEZ Avocat à [Localité 1] * ET -

La BANQUE POSTALE dont le siège social est [Adresse 2] défenderesse représentée par Maître Stéphane BESSONNET Avocat à [Localité 1], substitué à l'audience par Maître Marine RICHET Avocat à [Localité 1].

LES FAITS :

Monsieur [O], gérant de la société AUTO TOP, entrepreneur individuel dans le domaine automobile, disposait d'un compte à la BANQUE POSTALE ouvert en 2016. Ce dernier crée ensuite la SARL [O] en date du 1 er janvier 2023 en apportant son fonds de commerce. Elle vient aux droits de Monsieur [O].

Le 2 décembre 2022, la société AUTO TOP vire la somme de 7 500 € au profit d'un nouveau bénéficiaire à partir de son compte postal. La société AUTO TOP conteste ce virement : elle aurait été victime d'une escroquerie liée à la collecte par ruse des données bancaires.

La BANQUE POSTALE refuse de rembourser à la société [O] le montant du virement contesté.

C'est dans cet état que le litige a été porté devant le tribunal de céans.

LA PROCEDURE

Par acte d'huissier en date du 22 avril 2024, la société [O] assigne la BANQUE POSTALE pour la condamner à payer la somme de 7 500 € en remboursement de sommes débitées de son compte bancaire suite à une opération frauduleuse.

Selon les conclusions n°1, la société [O] demande au Tribunal de :

Vu les dispositions du code monétaire et financier.

Vu la jurisprudence de la Cour de cassation, * CONDAMNER la BANQUE POSTALE à verser à la SARL [O] la somme de 7 500 € outre 2 424.69 € conformément à l'article L133-18, 3° du code monétaire et financier conformément à l'article L133-18, 3° du code monétaire et financier, * CONDAMNER la BANQUE POSTALE à verser à la SARL [O] la somme de 1 200 € au titre de la résistance abusive, * DIRE n'y avoir lieu à écarter l'exécution provisoire de la décision à intervenir, * CONDAMNER la BANQUE POSTALE à verser à la SARL [O] la somme de 2 000 € au titre de l'article 700 du code de procédure civile, * CONDAMNER la BANQUE POSTALE aux entiers dépens.

Selon ses conclusions responsives et récapitulatives, la BANQUE POSTALE demande au Tribunal de :

Vu les articles L.133-16 et suivants du Code monétaire et financier.

Vu les pièces produites aux débats, * Juger que LA BANQUE POSTALE n'a commis aucune faute dans l'opération de virement du 2 décembre 2022, * Juger que Monsieur [O], ès qualité de gérant de la SARL [O], a commis une négligence grave en communiquant ses données personnelles à un tiers, * Débouter la SARL [O] de l'intégralité de ses demandes, fins et conclusions, * Condamner la SARL [O] à payer à la BANQUE POSTALE la somme de 2 000.00 € sur le fondement de l'article 700 du Code de Procédure Civile * Condamner la SARL [O] aux dépens

L'affaire a été enrôlée pour l'audience du 28 mai 2024. A la demande des parties, elle a fait l'objet de 6 remises. Elle a été plaidée à l'audience du 1 er avril 2025 et mise en délibéré au 20 mai 2025 par mise à disposition au greffe.

L'affaire a été enrôlée à l'audience du 28 mai 2024. A la demande des parties, elle a fait l'objet de 6 renvois. Elle a été plaidée le 1 er avril 2025 et mise en délibéré pour le 20 mai 2025, le jugement étant mis à la disposition des parties au Greffe à partir de cette date.

MOYENS DES PARTIES : * Pour la société [O] :

Sur l'absence de preuve de négligence grave de la part de Monsieur [O] et la responsabilité de La BANQUE POSTALE :

Monsieur [O] se connecte au site de la BANQUE POSTALE le 2 décembre 2022 pour consulter ses comptes en rentrant ses identifiants.

Ensuite, une page s'ouvre en indiquant qu'il doit renseigner également le certicode pour assurer une connexion plus sécurisée.

Monsieur [O] après réception du sms avec le certicode de la BANQUE POSTALE le saisit.

Peu de temps après, un sms l'informe qu'un nouveau bénéficiaire est saisi puis qu'un virement instantané de 7 500 € au profit de ce nouveau bénéficiaire a été effectué.

Monsieur [O] n'a pas donné le consentement pour ce virement qui a été accepté par la BANQUE POSTALE.

Il n'a pas commis de négligence grave ayant conduit à la fraude : il n'a ni répondu à des appels téléphoniques ni communiqué ses codes.

Il a alerté la BANQUE POSTALE rapidement et porté plainte le lendemain. Selon les articles du L 133-17 et suivants du code monétaire et financier, la BANQUE POSTALE, responsable de la fraude, doit le rembourser.

Sur l'absence de démonstration par la BANQUE POSTALE d'une identification dite forte :

La BANQUE POSTALE n'est pas en mesure de prouver l'absence de défaillance de son système d'authentification.

Pour la BANQUE POSTALE :

Sur l'absence de faute de la BANQUE POSTALE :

Le compte de Monsieur [O] est débité d'une opération authentifiée et autorisée : les identifiants, mot de passe et certicode + ont été utilisés.

Le téléphone et l'ordinateur utilisés par les époux [O] pour se connecter au site de la BANQUE POSTALE étaient bien enregistrés.

La société [O] a été informée immédiatement des différentes opérations par SMS.

En conséquence, la BANQUE POSTALE a rempli ses obligations et n'a pas commis de faute. Elle ne peut bloquer un virement immédiat.

La BANQUE POSTALE a bien exécuté son obligation d'information et de conseil, la convention de compte est très claire concernant le consentement et révocation du consentement.

Sur le comportement fautif de Monsieur [O] :

Monsieur [O] tente de rejeter la faute sur de prétendus manquements de la BANQUE POSTALE : il apparaît en réalité que Monsieur [O] a donné ses identifiants et le code certicode + au tiers l'ayant appelé le 2 décembre 2022, permettant ainsi d'ajouter un nouveau bénéficiaire et de réaliser la fraude.

Il est le seul responsable de ce virement frauduleux.

MOTIFS DE LA DECISION

Le Tribunal après avoir entendu les plaidoiries et vu les pièces en les dossiers :

Selon l'article L133-23 du Code monétaire et financier : « Lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre. L'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d'initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur de services de paiement. » * Sur la négligence des époux [O] :

La société [O] a été victime d'une fraude pour un virement bancaire de 7.500 € le 2 décembre 2022. Selon le procès-verbal du dépôt de plainte effectué le 3 décembre 2022 (Pièce 3 [O]), Madame [O] déclare : « En effet, mon mari a reçu hier plusieurs textos demandant l'activation du compte de la société de la Banque Postale n°[XXXXXXXXXX01], il a reçu durant ce temps plusieurs appels auxquels il n'a pas répondu de la ligne Orange [XXXXXXXX01], finalement j'ai fini par me connecter sur le site et j'ai rentré le code de sécurité ».

Or, le Tribunal constate que Madame [O] a indiqué lors du dépôt de plainte que son mari n'avait pas répondu aux appels du numéro [XXXXXXXX01]. Dans le questionnaire de la Banque Postale fraude banque en ligne (Pièce 3 BP), monsieur [O] l'indique clairement :

[…]

Il précise même avoir reçu un appel du téléphone portable [XXXXXXXX01] d'un collaborateur de la Banque Postale lui demandant de lui communiquer ses données et code personnel. Le fraudeur s'est fait passer pour un conseiller bancaire de la Banque Postale. Il manquait au faux conseiller le certicode+ pour lui permettre de réaliser un virement : Monsieur [O] va le saisir après réception de ce dernier sur l'application de son téléphone portable. Même si monsieur [O] ne reconnait pas lui avoir communiqué ses identifiants et son code personnel, comme le considère la cour d'appel d'AMIENS « le fait qu'un tiers ait pu procéder à l'ajout d'un bénéficiaire suppose que l'utilisateur ait communiqué ses coordonnées à l'auteur du virement frauduleux et que le système de la banque n'était pas affecté d'une déficience technique » (Cour d'appel d'AMIENS 26 juillet 2022 21/00815)

Par ailleurs, Monsieur et Madame [O] ne pouvaient ignorer que le certicode + n'est demandé que pour des opérations sensibles et non pour une simple consultation de compte. En effet, (Pièce 1 BP), dans le document intitulé : « Votre compte courant postal entreprise

individuelle », datant du 07/04/2016, il est précisé « option Secure, je souscris à l'option Secure (permet l'enregistrement de comptes bénéficiaires en ligne) La Banque Postale a mis en place des mécanismes de sécurité pour effectuer certaines opérations sensibles en ligne. Dans LBP@ccess34 et LBP Entreprise, vous devez confirmer ces opérations avec Certicode (envoi d'un mot de passe à usage unique par sms). »

Que ce soit l'article L133-19 IV du Code monétaire et financier qui dispose que : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L133-16 et L133-17. » ou l'article 6.2 de la convention de compte professionnel de la Banque Postale qui rappelle en page 28 (pièce 12 BP) : « Sous leur responsabilité exclusive, le Mandataire principal et les Mandataires secondaires doivent assurer la garde, la conservation et la confidentialité du mot de passe et s'engager à ne pas le divulguer. En aucun cas, la Banque ne contactera les Mandataires pour leur demander leurs codes personnels, quel que soit le canal. », montrent que Monsieur et Madame [O] ont fait preuve de négligence grave en communiquant leurs identifiants, leur code personnel à un tiers, le faux conseiller bancaire et qu'ils doivent en subir les conséquences.

Le Tribunal jugera que Monsieur [O], ès qualité de gérant de la SARL [O] a commis une négligence grave en communiquant ses données personnelles à un tiers. * Sur la responsabilité de la banque :

Dans le cas de cette fraude, le logiciel de la Banque Postale n'est pas remis en cause.

La Banque Postale a bien appliqué l'authentification forte : Il s'agit d'un dispositif de vérification d'identité destiné à renforcer la sécurité des opérations en ligne. Pour valider une opération et prouver que Monsieur et Madame [O] sont à l'origine de l'opération contestée, il faut au moins 2 éléments, à savoir : un élément de connaissance (que seuls Monsieur ou Madame [O] connaissent) mot de passe, code secret et un élément de possession (que seuls Monsieur et Madame [O] possèdent) leurs téléphones portables ; or, la Banque Postale a bien enregistré : « 2/12/2022 : 13h59 : activation de certicode +, notifié par sms au client, 14h02 ajout bénéficiaire… » (Pièce 9 BP)

Monsieur [O] confirme bien avoir saisi le certicode + reçu sur son portable dûment authentifié, sur le site de la Banque Postale.

Quand Monsieur [O] signale que le virement est frauduleux à la banque, il est trop tard car il s'agit d'un virement instantané. Le plafond de virement journalier de leur compte est de 7.700 € (Pièce 1 BP). Le virement de 7.500 € est passé.

La Banque Postale a conseillé à Monsieur [O] de désactiver le certicode + pour éviter une nouvelle fraude. Cette désactivation a eu lieu à 15h.

Le Tribunal jugera donc que la Banque Postale n'a commis aucune faute dans l'opération de virement du 2 décembre 2022 et déboutera la SARL [O] de l'intégralité de ses demandes, fins et conclusions. * Sur les autres demandes :

La société [O] succombant à la présente instance, le Tribunal la condamnera à payer à la banque Postale la somme arbitrée à 500 € au titre des dispositions de l'article 700 du Code de procédure civile et aux entiers dépens.

PAR CES MOTIFS

Le Tribunal, vidant son délibéré, statuant par mise à disposition au greffe, par jugement contradictoire, en premier ressort,

JUGE que Monsieur [O], ès qualité de gérant de la SARL [O] a commis une négligence grave en communiquant ses données personnelles à un tiers

JUGE que la Banque Postale n'a commis aucune faute dans l'opération de virement du 2 décembre 2022

DEBOUTE la SARL [O] de l'intégralité de ses demandes, fins et conclusions

CONDAMNE la société [O] à payer à la BANQUE POSTALE la somme de 500 € au titre des dispositions de l'article 700 du Code de procédure civile

CONDAMNE la société [O] aux entiers dépens de la présente instance, taxés et liquidés à la somme de 66.13 € (en ce qui concerne les frais de greffe).

Signé électroniquement par M. Thierry DEFFRENNES.