Demande en réparation des dommages causés par un intermédiaire

TRIBUNAL JUDICIAIRE DE PARIS [1]

[1] Expéditions exécutoires pour : Me Salif OUATTARA #E2353Me Philippe MÉTAIS #R030Me Marie-Laure CARTIER #E1874délivrées le :

+ 1 copie dossier

■

4ème chambre 2ème section

N° RG 24/05486 N° Portalis 352J-W-B7I-C4MBL

N° MINUTE :

Assignations des 19 avril 2024 et 10 janvier 2025

JUGEMENT rendu le 22 septembre 2026 DEMANDERESSE

Madame [Q] [R] veuve [Y] domiciliée chez Monsieur [N] [Y] [Adresse 1] [Localité 3]

représentée par Me Salif OUATTARA, avocat au barreau de PARIS, vestiaire #E2353

DÉFENDERESSES

S.A. BNP PARIBAS [Adresse 2] [Localité 4]

représentée par Me Philippe MÉTAIS de la société BRYAN CAVE LEIGHTON PAISNER LLP, avocat au barreau de PARIS, vestiaire #R030

S.A. ORANGE [Adresse 3] [Localité 5]

représentée par Me Marie-Laure CARTIER, avocate au barreau de PARIS, vestiaire #E1874 Décision du 22 septembre 2026 4ème chambre 2ème section N° RG 24/05486 - N° Portalis 352J-W-B7I-C4MBL

COMPOSITION DU TRIBUNAL

Par application des articles R.212-9 du code de l’organisation judiciaire et 812 du code de procédure civile, l’affaire a été attribuée au Juge unique.

Avis en a été donné aux avocats constitués qui ne s’y sont pas opposés.

Monsieur Fabrice VERT, Premier Vice-Président, statuant à juge unique,

assisté de Madame Marion CHARRIER, Cadre-Greffière, lors des débats et de Madame Salomé BARROIS, Greffière, lors de la mise à disposition

DÉBATS

À l’audience du 30 juin 2026, tenue en audience publique devant Monsieur Fabrice VERT, statuant à juge unique, avis a été donné aux avocats que la décision serait prononcée le 22 septembre 2026.

JUGEMENT

Prononcé par mise à disposition Contradictoire En premier ressort

EXPOSÉ DU LITIGE

Madame [Q] [R] veuve [Y], âgée de 100 ans, est détentrice du compte bancaire n° [XXXXXXXXXX01] dans les livres de BNP Paribas.

Son fils, Monsieur [N] [Y] assure la gestion de son compte bancaire, disposant d'une procuration en date du 24 janvier 2024.

C'est dans ce contexte que le 10 janvier 2024, Monsieur [Y] a reçu un message SMS qui lui a paru provenir de BNP Paribas et que suite à ce message, le compte de sa mère aurait l'objet d'une fraude bancaire hauteur de 38 550 euros.

C'est dans ces conditions que par exploit de commissaire de justice délivré le 19 avril 2024, Madame [Q] [R] veuve [Y] a fait assigner devant la présente juridiction la SA Orange aux fins de voir, notamment : condamner la société Orange au paiement de la somme de 38 550 euros augmentée des intérêts au taux légal majoré à compter de la date de la mise en demeure du 13 mars 2024 ; condamner la société Orange au paiement de la somme de 5 000 euros à titre de dommage et intérêts ; prononcer la capitalisation des intérêts échus annuellement ; prononcer l'exécution provisoire de la décision à intervenir ; condamner la société ORANGE au paiement d'une somme de 3 000 euros au titre des dispositions de l'article 700 du code de procédure civile ainsi qu'aux entiers dépens ;la condamner aux entiers dépens. Madame [Q] [R] veuve [Y] a également fait assigner en intervention forcée la SA BNP Paribas par exploit de commissaire de justice délivré le 10 janvier 2025, instance enrôlée sous le N° RG 25/01727 qui a été jointe à la précédente le 3 juin 2026.

Le juge de la mise en état a fait notifier aux parties que la fin de non-recevoir soulevée par la société Orange sera examinée par la formation de jugement appelée à statuer au fond, la société Orange étant tenue en application de l'article 789 du code de procédure civile de reprendre la fin de non-recevoir dans ses conclusions adressées à la formation de jugement.

Vu les dernières conclusions de Madame [Q] [R] veuve [Y] notifiées par RPVA le 2 février 2026 tendant à voir :

« Vu les articles 331 et suivants du code de procédure civile, Vu les dispositions de l’article 1343-2 du code civil, Vu la jurisprudence Vu les pièces versées aux débats, [...] JUGER recevable et bienfondé la présente demande en intervention forcée, Y faisant droit, CONDAMNER BNP PARIBAS au paiement de la somme de 38 550 euros augmentée des intérêts au taux légal à compter de la date de la mise en demeure du 13 mars 2024 ; CONDAMNER BNP PARIBAS au paiement de la somme de 5 000 euros à titre de dommage et intérêts ; PRONONCER la capitalisation des intérêts échus annuellement ; PRONONCER l’exécution provisoire de la décision à intervenir ; CONDAMNER BNP PARIBAS au paiement d’une somme de 4 000 euros au titre des dispositions de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens ».

Vu les dernières conclusions de la société Orange notifiées par RPVA le 13 mars 2026 tendant à voir :

« Vu les articles 30, 31, 32 et 122 et suivants du code de procédure civile, Vu l’article 9 du code de procédure civile, Vu les articles 1240 et suivants du code civil, Vu l’article L.44, IV du code des postes et communications électroniques, Vu les articles L. 133-15 et suivants du code monétaire et financier, [...] A TITRE PRINCIPAL, DECLARER irrecevable l’action de Madame [Q] [Y] diligentée à l’encontre de la société ORANGE ; Par conséquent, LA DEBOUTER de toutes ses demandes ; SUBSIDIAIREMENT, DEBOUTER Madame [Q] [Y] de l’ensemble de ses demandes, fins et prétentions à l’encontre de la société ORANGE ; CONDAMNER BNP Paribas à garantir ORANGE contre toutes condamnations prononcées contre elle à la requête de Madame [Y] ;ENFIN, CONDAMNER Madame [Q] [Y] au paiement de la somme de 5.000 euros au titre de l’article 700 du Code de procédure civile ;LA CONDAMNER aux entiers dépens » . Vu les dernières conclusions de la société BNP Paribas notifiées par RPVA le 9 avril 2026 tendant à voir :

« Vu les articles les articles L.133-4, L. 133-16 et suivants, L. 133-44 du Code monétaire et financier ; Vu les Directives (CE) 2007/64/CE du 13 novembre 2007 (« DSP 1 ») et la Directive (UE) 2015/366 du Parlement européen et du Conseil du 25 novembre 2015 (« DSP 2 ») concernant les services de paiement dans le marché intérieur ; Vu les articles 696 et 700 du Code de procédure civile ; [...] Sur la demande formée par Madame [Y] tendant au remboursement des opérations litigieuses Juger que les transactions litigieuses ont été dûment authentifiées et que BNP Paribas a parfaitement respecté ses obligations en matière de sécurisation des instruments de paiement de Madame [Y] ;Juger que Monsieur [Y], disposant d’une procuration sur les comptes de Madame [Y], a commis une négligence grave au sens de l’article L.133-19, IV. du Code monétaire et financier ;Juger que le régime de responsabilité des prestataires de services de paiement tel qu’issu des articles L.133-1 et suivants du Code monétaire et financier fait l’objet d’une application exclusive et autonome ; En conséquence, Débouter Madame [Y] de sa demande de remboursement des opérations litigieuses à hauteur de 38.550,00 euros, outre intérêts au taux légal ;Sur la demande formée par Madame [Y] tendant au paiement de dommages et intérêts Juger que le régime de responsabilité des prestataires de services de paiement tel qu’issu des articles L.133-1 et suivants du Code monétaire et financier fait l’objet d’une application exclusive et autonome ;Juger, en tout état de cause, que BNP Paribas n’a commis aucune inexécution contractuelle ;En conséquence, Débouter Madame [Y] de sa demande de dommages et intérêts à hauteur de 5.000,00 euros ;En tout état de cause Débouter Madame [Y] de l’intégralité de ses demandes, fins et conclusions à l’encontre de BNP Paribas ;Débouter la société Orange de sa demande en garantie formulée à l’encontre de BNP Paribas ;Condamner Madame [Y] à verser à BNP Paribas la somme de 2.500 euros au titre de l’article 700 du Code de procédure civile ainsi qu’aux entiers dépens ;Ecarter l’exécution provisoire de la décision à intervenir ». La clôture de l'instruction a été ordonnée le 5 mai 2026, l'audience de plaidoirie fixée au 30 juin 2026. L'affaire a été mise en délibéré au 22 septembre 2026.

Pour un plus ample exposé des faits de la cause et des prétentions des parties, il est fait expressément référence aux pièces du dossier et aux dernières écritures des parties conformément aux dispositions de l'article 455 du code de procédure civile.

MOTIFS DE LA DECISION

À titre liminaire, il est rappelé qu'en procédure écrite, la juridiction n'est saisie que des seules demandes reprises au dispositif récapitulatif des dernières écritures régulièrement communiquées avant l'ordonnance de clôture et que les demandes de « donner acte », visant à « constater », à « prononcer », « dire et juger » ou à « dire n'y avoir lieu » notamment, ne constituent pas des prétentions saisissant le juge au sens de l'article 4 du code de procédure civile dès lors qu'elles ne confèrent pas de droits spécifiques à la partie qui les requiert. Elles ne donneront donc pas lieu à mention au dispositif du présent jugement.

Il est également rappelé qu'en application de l’article 768 du code de procédure civile, entré en vigueur le 1er janvier 2020 et applicable aux instances en cours à cette date, « Les conclusions comprennent distinctement un exposé des faits et de la procédure, une discussion des prétentions et des moyens ainsi qu'un dispositif récapitulant les prétentions. Les moyens qui n'auraient pas été formulés dans les conclusions précédentes doivent être présentés de manière formellement distincte. Le tribunal ne statue que sur les prétentions énoncées au dispositif et n'examine les moyens au soutien de ces prétentions que s'ils sont invoqués dans la discussion ».

Sur les fins de non-recevoir soulevées par la société Orange et sa demande en garantie formée à l'encontre de la société BNP

Il sera relevé que dans ses dernières conclusions notifiées par RPVA le 2 février 2026, Madame [Q] [R] veuve [Y] ne reprend pas ses précédentes prétentions à l'encontre de la société Orange et ne forme aucune prétention à l'encontre de cette dernière, de sorte qu'en application de l'article 768 du code de procédure civile, elles sont réputées abandonnées.

Il sera donc considéré que Madame [Q] [R] veuve [Y] ne forme plus aucune prétention à l'encontre de la société Orange de sorte que les fins de non-recevoir soulevées par la société orange et sa demande en garantie formée à l'encontre de la société BNP sont devenues sans objet.

Sur la demande formée par Madame [Q] [R] veuve [Y] tendant à voir condamner la société BNP Paribas au paiement de la somme de 38 550 euros augmentée des intérêts au taux légal à compter de la date de la mise en demeure du 13 mars 2024

Aux termes de l'article L. 133-17, I, du code monétaire et financier, dans sa rédaction issue de l'ordonnance du 9 août 2017 : «  I. - Lorsqu'il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l'utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l'instrument, son prestataire ou l'entité désignée par celui-ci. II. - Lorsque le paiement est effectué par une carte de paiement émise par un établissement de crédit, une institution ou un service mentionné à l'article L. 518-1 et permettant à son titulaire de retirer ou de transférer des fonds, il peut être fait opposition au paiement en cas de procédure de redressement ou de liquidation judiciaires du bénéficiaire tant que le compte du prestataire de 9 services de paiement du bénéficiaire n'a pas été crédité du montant de l'opération de paiement ».

Aux termes de l'article L. 133-18 du code monétaire et financier, « en cas d'opération de paiement non autorisée signalée par l'utilisateur dans les conditions prévues à l'article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l'opération non autorisée immédiatement après avoir pris connaissance de l'opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s'il a de bonnes raisons de soupçonner une fraude de l'utilisateur du service de paiement et s'il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l'état où il se serait trouvé si l'opération de paiement non autorisée n'avait pas eu lieu. Lorsque l'opération de paiement non autorisée est initiée par l'intermédiaire d'un prestataire de services de paiement fournissant un service d'initiation de paiement, le prestataire de services de paiement gestionnaire du compte rembourse immédiatement, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, au payeur le montant de l'opération non autorisée et, le cas échéant, rétablit le compte débité dans l'état où il se serait trouvé si l'opération de paiement non autorisée n'avait pas eu lieu. La date de valeur à laquelle le compte de paiement du payeur est crédité n'est pas postérieure à la date à laquelle il avait été débité. En cas de manquement du prestataire de services de paiement aux obligations prévues aux deux premiers alinéas du présent article, les pénalités suivantes s'appliquent : 1° Les sommes dues produisent intérêt au taux légal majoré de cinq points ; 2° Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points ; 3° Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points. Si le prestataire de services de paiement qui a fourni le service d'initiation de paiement est responsable de l'opération de paiement non autorisée, il indemnise immédiatement le prestataire de services de paiement gestionnaire du compte, à sa demande, pour les pertes subies ou les sommes payées en raison du remboursement du payeur, y compris le montant de l'opération de paiement non autorisée. Le payeur et son prestataire de services de paiement peuvent décider contractuellement d'une indemnité complémentaire ».

L'article L. 133-24 du code monétaire et financier dispose que « L'utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n'ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. Sauf dans les cas où l'utilisateur est une personne physique agissant pour des besoins non professionnels, les parties peuvent convenir d'un délai distinct de celui prévu au présent article. Les dispositions du présent article s'appliquent, indifféremment de l'intervention d'un prestataire de services de paiement fournissant un service d'initiation de paiement dans l'opération de paiement ».

L'article L.133-4 du code monétaire et financier impose aux prestataires de services de paiement de mettre en place un dispositif de sécurisation des instruments de paiement : « a) Les données de sécurité personnalisées s'entendent des données personnalisées fournies à un utilisateur de services de paiement par le prestataire de services de paiement à des fins d'authentification ; […] b) Un identifiant unique s'entend d'une combinaison de lettres, de chiffres ou de symboles indiquée à l'utilisateur de services de paiement par le prestataire de services de paiement, que l'utilisateur de services de paiement doit fournir pour permettre alternativement ou cumulativement l'identification certaine de l'autre utilisateur de services de paiement et de son compte de paiement pour l'opération de paiement ; […] e) Une authentification s'entend d'une procédure permettant au prestataire de services de paiement de vérifier l'identité d'un utilisateur de services de paiement ou la validité de l'utilisation d'un instrument de paiement spécifique, y compris l'utilisation des données de sécurité personnalisées de l'utilisateur ; f) Une authentification forte du client s'entend d'une authentification reposant sur l'utilisation de deux éléments ou plus appartenant aux catégories "connaissance" (quelque chose que seul l'utilisateur connaît), "possession" (quelque chose que seul l'utilisateur possède) et "inhérence" (quelque chose que l'utilisateur est) et indépendants en ce sens que la compromission de l'un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d'authentification ; [...] »

Il ressort des pièces versées aux débats : que Madame [Q] [R] veuve [Y] était titulaire d'un compte chèques n°[XXXXXXXXXX02], ouvert dans les livres de BNP Paribas, que Monsieur [N] [Y] dispose d'une procuration sur les comptes bancaires de Madame [Y], sa mère, depuis le 16 juillet 2013, que Madame [Y], en tant que cliente de la banque, disposait d'un espace en ligne BNP Paribas depuis lequel diverses opérations peuvent être effectuées, que l'accès à cet espace virtuel nécessite la connaissance et la saisie de l'identifiant et du mot de passe y étant associé, que ces données d'identification sont personnelles et confidentielles, que la banque met à la disposition de ses clients un dispositif de sécurité mis en place par ses soins, à savoir un système d'authentification forte pour les opérations en ligne dénommé la clé digitale (la « clé digitale »), que le 10 janvier 2024 à 12h12, Monsieur [Y] indique avoir reçu un SMS depuis un numéro de mobile inconnu ([XXXXXXXX01]) l'invitant à « réactiver [sa] Clé Digitale » afin de « continuer à consulter [ses] comptes en ligne » en cliquant sur un lien, que Monsieur [Y] indique avoir cliqué sur ce lien, le redirigeant vers un site internet imitant l'identité visuelle de BNP Paribas et sur lequel il a renseigné l'ensemble de ses données bancaires confidentielles, et notamment les codes d'accès à son espace en ligne BNP Paribas, que le 13 janvier 2024 à 18h33, la clé digitale liée au compte bancaire de madame [Y] a fait l'objet d'un enrôlement sur l'appareil mobile d'un tiers dénommé « iPhone »,

que l'initiation en ligne de la demande d'enrôlement et la communication au fraudeur du contenu de ce SMS reçu par Monsieur [Y] ont permis de transférer la clé digitale sur le mobile du fraudeur, offrant ainsi toute latitude à ce dernier pour valider des opérations en ligne, qu'à l'issue de cette procédure, Monsieur [Y] a reçu un courriel de BNP Paribas l'invitant à prendre attache avec la banque s'il n'en était pas à l'origine ; que du 17 au 22 janvier 2024, le fraudeur - disposant alors de l'accès à l'espace en ligne et de la clé digitale de Madame [Y] - a procédé à une série d'opérations (les « opérations frauduleuses »), chacune d'elles ayant fait l'objet d'une authentification forte, à savoir :le 17 janvier 2024 à 18h22, création d'un bénéficiaire de virement dénommé « Naz Agro Gida San Tic » ; puis, après temporisation de 24h, le 20 janvier 2024 à 00h20, émission d'un premier virement externe de 19.350,00 euros vers ce même bénéficiaire au motif « Achat de meuble » ; le 22 janvier 2024 à 12h55, émission d'un second virement externe de 19.200,00 euros vers ce même bénéficiaire au motif « Achat de meuble cabinet » ;que les 18, 20 et 22 janvier 2024, le fraudeur a procédé à divers virements internes entre les comptes bancaires de Madame [Y], lesquels ne requièrent pas de validation par authentification fort ;que chacune de ces opérations - ajout de bénéficiaire et virements externes - ayant été validée par la clé digitale, par les soins du fraudeur lui-même, elles ont donc été dûment authentifiées ;que le 24 janvier 2024, Monsieur [Y] s'est rapproché de son agence et a contesté les opérations frauduleuses auprès de BNP Paribas, puis en a sollicité le remboursement ;que la banque a refusé de faire droit à cette demande notamment aux motifs que celles-ci « ont également été approuvés entre le 20/01/2024 et le 22/01/2024 par authentification forte en utilisant [ses] données de sécurité personnalisées », à l'issue de l'enrôlement de clé digitale permis par ses soins ;que le 27 janvier 2024, Monsieur [Y] a contesté les termes du courriel de BNP Paribas et a réitéré sa demande ;que la banque a maintenu sa position, précisant que la réalisation des différentes étapes dont découle l'enrôlement de la clé digitale sur l'appareil du fraudeur résulte d'une participation active de [sa] part sans laquelle la réinstallation de la clé digitale sur un autre appareil mobile n'était pas possible ; que le 5 février 2024, Monsieur et Madame [Y] ont, de nouveau, sollicité de la banque qu'elle procède au remboursement des opérations frauduleuses, sans succès et pour les mêmes motifs ; Monsieur [Y] a ainsi donc fait l'objet d'un phishing, en renseignant sur ce site internet frauduleux, alors qu'il pensait se connecter à son espace en ligne, les identifiant et mot de passe à son espace virtuel BNP Paribas.

Décision du 22 septembre 2026 4ème chambre 2ème section N° RG 24/05486 - N° Portalis 352J-W-B7I-C4MBL

Sur le bien-fondé de la demande

Dès lors que la responsabilité d'un prestataire de services de paiement est recherchée en raison d'une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 précités, qui transposent les articles 58, 59 et 60, paragraphe 1, de la directive 2007/64/CE, à l'exclusion de tout régime alternatif de responsabilité résultant du droit national. (Com., 27 mars 2024).

La CJUE dans un arrêt précité du 1er août 2025 retient que « 1) L'article 58 de la directive 2007/64/CE du Parlement européen et du Conseil, du 13 novembre 2007, concernant les services de paiement dans le marché intérieur, modifiant les directives 97/7/CE, 2002/65/CE, 2005/60/CE ainsi que 2006/48/CE et abrogeant la directive 97/5/CE, doit être interprété en ce sens que : l'utilisateur de services de paiement est, en principe, privé du droit d'obtenir la correction d'une opération s'il n'a pas signalé sans tarder à son prestataire de services de paiement qu'il a constaté une opération de paiement non autorisée, alors même qu'il la lui a signalée dans les treize mois suivant la date de débit. 2) L'article 58, l'article 60, paragraphe 1, et l'article 61, paragraphe 2, de la directive 2007/64, lus en combinaison avec l'article 56, paragraphe 1, sous b), de celle-ci, doivent être interprétés en ce sens que : lorsqu'est en cause une opération de paiement non autorisée consécutive à l'utilisation d'un instrument de paiement perdu, volé ou détourné ou à toute utilisation non autorisée d'un tel instrument, et que cette opération a été signalée par le payeur à son prestataire de services de paiement dans les treize mois suivant la date de débit, ce payeur n'est, en principe et sauf agissement frauduleux de sa part, privé de son droit d'obtenir la correction effective de ladite opération que s'il a tardé à signaler celle-ci à son prestataire de services de paiement de manière intentionnelle ou à la suite d'une négligence grave consistant en une violation caractérisée d'une obligation de diligence ».

La négligence grave peut être comprise comme un comportement, actif et/ou passif imputable au payeur et qui s'est révélé déterminant dans la réalisation de la fraude dont il est victime.

La négligence grave ne s'apprécie pas en considération de la personne ou des qualités du payeur, mais d'un comportement normalement attentif d'un individu face à des indices qui auraient dû l'alerter.

La ruse n'exclut pas nécessairement la négligence grave, le tribunal devant rechercher si un utilisateur normalement attentif aurait dû soupçonner la fraude

Au cas présent, Madame [R] veuve [Y] soutient que lors des opérations de paiement litigieuses BNP Paribas a manqué à son devoir de vigilance et que M. [Y] n'a commis aucune négligence grave.

La société BNP Paribas soutient qu'elle est parfaitement étrangère à la fraude subie par Madame [Y], et n'est pas tenue d'une quelconque obligation de remboursement à l'égard de cette dernière dès lors qu'elle a satisfait à ses obligations relatives à la sécurisation des instruments de paiement de la demanderesse et que Monsieur [Y], disposant d'une procuration sur les comptes de cette dernière, a commis plusieurs négligences graves ayant permis la réalisation des opérations contestées.

Il résulte des pièces versées aux débats : qu'un fraudeur s'est connecté à l'espace sécurisé en ligne de Madame [Y] (« mabanque.bnpparibas » ou l'application « MesComptes »), ayant préalablement obtenu les identifiant et mot de passe de connexion à cet espace bancaire virtuel suite au phishing dont a fait l'objet Monsieur [Y], que le fraudeur a initié le parcours d'activation de la clé digitale, en cliquant sur « Profils & Paramètres » puis sur « Clé Digitale » ; que cette manœuvre a automatiquement généré l'envoi d'un SMS d'activation sur le téléphone enregistré sur l'espace en ligne - c'est-à-dire celui de Monsieur [Y] ([XXXXXXXX02]) pour finaliser l'enrôlement de la clé digitale sur l'appareil du fraudeur, qu'à l'issue de cet enrôlement, le client a reçu un courriel l'informant de l'activation de la clé digitale ; que grâce à cette manipulation, le fraudeur a pu transférer la clé digitale de Madame [Y] sur son propre appareil mobile, ce qui lui a permis de valider par authentification forte les opérations sensibles en ligne, telles que celles d'ajout de bénéficiaires ou de virements externes ; que le 17 janvier 2024 à 18h22, après que le fraudeur ait saisi les données du bénéficiaire « Naz Agro Gida San Tic », et notamment son RIB, il a lui-même validé cette opération au moyen de la clé digitale liée au compte bancaire de Madame [Y], alors installée sur son propre appareil mobile ; que les traces informatiques produites par la banque démontrent que cette opération a bien été validée au moyen de la clé digitale de Madame [Y], et ce par le fraudeur lui-même, dès lors que celle-ci est intervenue postérieurement à l'enrôlement de la clé digitale sur son propre téléphone portable ;que le 20 janvier à 00h20 puis le 22 janvier 2024 à 12h55, après que le fraudeur ait saisi les données des virements externes vers de nouveau bénéficiaire, il a de nouveau lui-même validé ces transactions au moyen de la clé digitale, enrôlée sur son appareil mobile ;que les traces informatiques démontrent que les virements ont bien été validés au moyen de la clé digitale de Madame [Y], par le fraudeur lui-même ; que lorsque le fraudeur a initié l'enrôlement de la clé digitale, Monsieur [Y] a été destinataire, sur le numéro de téléphone renseigné sur l'espace en ligne de Madame [Y] ([XXXXXXXX02]), d'un SMS d'activation comportant un lien à usage unique ; que pour que l'enrôlement de clé digitale puisse aboutir, le lien contenu dans le SMS a été utilisé sur un nouvel appareil (à savoir celui sur lequel le fraudeur a enrôlé le dispositif) ; qu'il s'agit d'un processus informatique qui ne peut être finalisé que par l'utilisation du code à usage unique ; que la banque verse les éléments qui justifient de la réception et de l'usage du code informatique unique envoyé à Monsieur [Y], c'est-à-dire à son numéro, renseigné sur l'espace en ligne de sa mère, puisque ledit code a été utilisé et a bien permis l'enrôlement de la clé digitale ; qu'à l'issue de cette procédure, Monsieur [Y] a reçu un courriel de BNP Paribas l'invitant à prendre attache avec la banque s'il n'en était pas à l'origine, qu'aucune modification du numéro de téléphone n'est intervenue sur l'espace en ligne, le fraudeur s'étant contenté de transférer la clé digitale sur un nouvel appareil mobile. Il sera relevé :

En premier lieu, au regard des éléments développés ci-dessus que la société BNP Paribas a procédé à une authentification forte lors des virements litigieux, BNP Paribas ayant rempli ses obligations en matière de sécurisation des instruments de paiement de Madame [Y] ;

En deuxième lieu, que le transfert de la clé digitale sur le téléphone du fraudeur n'a pu se faire que par l'activation sur ce même appareil du lien comprenant en suffixe le code d'activation unique envoyé sur le téléphone portable de M. [Y] , étant observé que l'utilisateur de services de paiement est responsable de l'utilisation, de la conservation et de la confidentialité de ses codes d'activation ou de sa clé digitale ;

En troisième lieu, que Monsieur [Y] a permis au fraudeur un accès à l'espace en ligne du compte ouvert au nom de la demanderesse, en saisissant ses identifiant et mot de passe sur une interface vers laquelle il a été redirigé depuis le lien contenu dans un SMS incontestablement frauduleux, étant observé d'une part que ce SMS provenait d'un numéro ne correspondant pas à celui un mobile d'un conseiller bancaire de la BNP (qui ne correspond pas de cette façon) et d'autre part que la BNP Paribas a adressé à l'ensemble de ses clients - dont Monsieur [Y] - divers courriels portant sur ces risques de fraude, notamment en avril 2020, avril et novembre 2022 ou encore septembre 2023, décrivant précisément les vérifications d'usage devant être effectuées pour déceler le caractère frauduleux des messages émanant d'un tiers, ainsi que les précautions à prendre pour éviter d'être redirigés vers un site frauduleux des courriels ainsi que des courriels portant sur les risques d'appels téléphoniques émanant de faux conseillers bancaires en avril 2020, avril et novembre 2022 ou encore septembre 2023, soit avant la fraude subie par le demandeur ;

En quatrième lieu que Monsieur [Y] a communiqué à un tiers le code contenu des SMS reçu sur son numéro de téléphone ([XXXXXXXX02]), permettant au fraudeur de finaliser l'enrôlement de la clé digitale sur son propre appareil mobile, étant observé d'une part que Monsieur [Y] ne justifie pas d'une dépossession de son appareil mobile ou de sa carte SIM et d'autre part, que lors de la communication d'un SMS reçu de la Banque concernant la clé digitale il était expressément inscrit « NE JAMAIS COMMUNIQUER CE CODE » ;

En cinquième lieu, que M. [Y] n'a formulé aucune observation immédiatement après la réception du mail de la banque consécutivement à l'activation de la clé digitale , mail dont le contenu invitait l'utilisateur à prendre attache avec la banque s'il n'était pas à l'origine de l'activation de la clé digitale ;

Il s'en déduit que le demandeur a nécessairement communiqué d'une manière ou d'une autre le code d'activation à usage unique à un tiers, et au regard des circonstance susvisées, a ainsi commis une négligence grave, au sens de l'article L.133-19 du code monétaire et financier, même si ce tiers a obtenu ces codes par ruse en se prétendant être un conseiller bancaire de BNP Paribas de sorte que Madame [R] veuve [Y] sera déboutée de sa demande de remboursement à hauteur de 38.550 euros, outre intérêts ainsi que de sa demande du chef du préjudice morale, aucune faute de banque n'étant démontrée.

Il n' y a pas lieu d'écarter l'exécution provisoire de plein droit

PAR CES MOTIFS :

Le tribunal statuant conformément à la loi, publiquement, par jugement réputé contradictoire, en premier ressort, mis à disposition au greffe le jour du délibéré :

CONSTATE que les fins de non-recevoir soulevées par la société Orange et sa demande en garantie formée à l'encontre de la société BNP Paribas sont devenues sans objet ;

DÉBOUTE Madame [Q] [R] veuve [Y] de sa demande de remboursement à hauteur de 38.550 euros, outre intérêts ainsi que de sa demande du chef du préjudice morale, aucune faute de banque n'étant démontrée ;

REJETTE les demandes du chef de l'article 700 du code de procédure civile ;

RAPPELLE que l'exécution provisoire est de droit ;

CONDAMNE Madame [Q] [R] veuve [Y] aux dépens.

Fait et jugé à Paris, le 22 septembre 2026. LA GREFFIÈRE Salomé BARROIS

LE PRÉSIDENT Fabrice VERT