Cour d'appel de Riom, Chambre commerciale, 14 février 2024, 23/00682

Mots clés
Droit des affaires • Banque - Effets de commerce • Autres actions en responsabilité exercées contre un établissement de crédit • société • preuve • service • préjudice • prestataire • condamnation • restitution

Synthèse

  • Juridiction : Cour d'appel de Riom
  • Numéro de pourvoi :
    23/00682
  • Dispositif : Confirme la décision déférée dans toutes ses dispositions, à l'égard de toutes les parties au recours
  • Nature : Arrêt
  • Identifiant Judilibre :65cdbfba2425a700082586c2
  • Rapporteur : Madame THEUIL-DIF et Monsieur KHEITMI
Voir plus

Résumé

Vous devez être connecté pour pouvoir générer un résumé. Découvrir gratuitement Pappers Justice +

Suggestions de l'IA

Texte intégral

COUR D'APPEL DE RIOM Troisième chambre civile et commerciale

ARRET

N°85 DU : 14 Février 2024 N° RG 23/00682 - N° Portalis DBVU-V-B7H-F7VJ FK Arrêt rendu le quatorze Février deux mille vingt quatre Sur APPEL d'une décision rendue le 8 mars 2023 par le Tribunal judiciaire du Puy en Velay RG n°11-21-000423 COMPOSITION DE LA COUR lors du délibéré : Mme Annette DUBLED-VACHERON, Présidente de chambre Mme Virginie THEUIL-DIF, Conseiller M. François KHEITMI, Magistrat Honoraire En présence de : Mme Rémédios GLUCK, Greffier, lors de l'appel des causes et Mme Cécile CHEBANCE, Greffier placé, lors du prononcé ENTRE : La CAISSE D'EPARGNE ET DE PREVOYANCE D'AUVERGNE ET DU LIMOUSIN S.A immatriculée au RCS de Clermont-ferrand sous le numéro 32 742 013 [Adresse 4] [Localité 5] Représentant : Me Olivier TOURNAIRE de la SELARL TOURNAIRE - MEUNIER, avocat au barreau de CLERMONT-FERRAND Timbre fiscal acquitté APPELANTE ET : M. [O] [C] [Adresse 2] [Localité 3] Représentant : Me Karine PAYS de la SELARL PARALEX, avocat au barreau de HAUTE-LOIRE Timbre fiscal acquitté S.A. SOCIÉTÉ FRANÇAISE DU RADIOTELEPHONE SFR immatriculée au RCS de Paris sous le numéro 343 059 564 [Adresse 1] [Localité 6] Représentants : Me Isabelle LABARTHE LENHOF de la SELARL ISABELLE LABARTHE-LENHOF AVOCAT, avocat au barreau de HAUTE-LOIRE (avocat postulant)et Me Guillaume METZ de la SCP PIRIOU METZ NICOLAS, avocat au barreau de VERSAILLES (avocat plaidant) Timbre fiscal acquitté INTIMÉS DÉBATS : L'affaire a été débattue à l'audience publique du 20 Décembre 2023, en application des dispositions de l'article 786 du code de procédure civile , les avocats ne s'y étant pas opposés, devant Madame THEUIL-DIF et Monsieur KHEITMI, rapporteurs. ARRET : Prononcé publiquement le 14 Février 2024 par mise à disposition au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du code de procédure civile ; Signé par Mme Annette DUBLED-VACHERON, Présidente de chambre, et par Mme Cécile CHEBANCE, Greffier placé, auquel la minute de la décision a été remise par le magistrat signataire. Faits et procédure - demandes et moyens des parties : M. [C] est titulaire de plusieurs comptes auprès de la société Caisse d'épargne d'Auvergne et de Limousin (la Caisse d'épargne) ; il a par ailleurs souscrit un contrat d'abonnement de téléphonie auprès de la SA Société Française du Radiotéléphone (la société SFR). Le 16 mai 2020, la société SFR a modifié l'adresse mail de M. [C], et a délivré à son nom une carte eSIM ; elle l'a informé de ces faits par l'envoi de SMS. Le 19 mai, M. [C] s'est plaint auprès de la société SFR qu'il n'avait plus accès à sa ligne téléphonique. Le 19 mai 2020, M. [C] a constaté plusieurs prélèvements opérés sur ses comptes ouverts auprès de la Caisse d'épargne, pour un montant total de 16 600 euros. Affirmant qu'il avait été victime d'une usurpation d'identité et qu'il n'était pas à l'origine de ces prélèvements, M. [C] a déposé plainte et a demandé à la Caisse d'épargne le reversement des sommes prélevées. La Caisse d'épargne a obtenu la restitution d'une partie des fonds prélevés, à hauteur de 10 600 euros. Le 30 décembre 2021, M. [C] a fait assigner la Caisse d'épargne devant le tribunal judiciaire du Puy-en-Velay, pour obtenir notamment le remboursement de la somme de 6 000 euros. La Caisse d'épargne a fait elle-même assigner la société SFR, en demandant qu'elle soit tenue de la garantir de toute condamnation qui serait prononcée contre elle. Le tribunal, suivant jugement contradictoire du 8 mars 2023, a fait partiellement droit aux demandes de M. [C], en condamnant la Caisse d'épargne à lui payer la somme de 6 000 euros, en remboursement des opérations non autorisées, effectuées sur ses comptes le 19 mai 2020. Le tribunal a condamné en outre la Caisse d'épargne à payer à M. [C] et à la société SFR une somme de 1 500 euros chacun par application de l'article 700 du code de procédure civile, outre les dépens ; il a rejeté le surplus des demandes. Dans les motifs du jugement, le tribunal a rappelé les dispositions du code monétaire et financier applicables en la matière, en particulier celles de l'article L. 133-23 ; il a énoncé que l'établissement bancaire était tenu de rapporter la preuve de la régularité des paiements, notamment de l'existence d'un ordre de paiement donné par le titulaire des comptes, et que la Caisse d'épargne ne produisait aucun document permettant de constater que les virements litigieux avaient fait l'objet d'une authentification, telle que définie dans les Conditions générales précisées par la Caisse d'épargne. Le tribunal a ajouté que celle-ci ne prouvait pas que M. [C] ait commis une négligence grave dans la conservation de ses données personnelles, et qu'elle était tenue d'indemniser le demandeur du préjudice résultant pour lui des opérations non autorisées. La Caisse d'épargne a interjeté appel de ce jugement, par une déclaration reçue au greffe le 20 avril 2023. Elle demande à la cour de réformer le jugement, et de débouter M. [C] de toutes ses demandes. Elle invoque les articles L. 133-4, -19 et -44 du code monétaire et financier, qui obligent les prestataires de services bancaires à mettre en 'uvre, pour les opérations en ligne, une authentification forte, destinée à réduire le risque de fraude et comportant l'utilisation d'au moins deux éléments d'identification des auteurs d'ordres d'opérations : code ou mot de passe, numéro de téléphone ou donnée biométrique. Elle affirme que dans le cas de M. [C], elle a suivi cette procédure : les opérations litigieuses ont été réalisées au moyen d'un numéro d'identifiant et d'un code confidentiel qui ne sont connus que du client, et au moyen en outre d'une activation « Sécur'Pass », comportant la déclaration par le client d'un « appareil de confiance » (ordinateur ou smartphone), à partir duquel il se propose de réaliser les opérations. La Caisse d'épargne fait valoir que les ordres de prélèvement litigieux n'ont pu être passés qu'à la suite de négligences de M. [C] qui, ayant été informé le 16 mai 2020 par la société SFR de la réception d'une demande de modification de son « adresse mail de secours », puis d'une commande de carte eSIM alors qu'il n'avait émis aucune de ces demandes, s'est abstenu de réagir, et n'a alerté ni la Caisse d'épargne ni la société SFR de l'usurpation d'identité dont aurait été victime. La Caisse d'épargne souligne que les escroqueries alléguées ont été commises au moyen de la communication d'un numéro d'identification et d'un code confidentiel qu'elle a transmis sur les demandes qui lui ont été faites avec la nouvelle carte eSIM ; et que l'escroc prétendu n'a pu passer les ordres de paiement sans avoir suivi la procédure d'activation « Sécur'Pass », qui suppose la communication d'autres données confidentielles, telles que le numéro de carte bancaire, de sorte que M. [C], s'il n'est pas l'auteur de ces opérations, a nécessairement communiqué ces informations à une tierce personne, lui permettant d'opérer les prélèvements litigieux. La Caisse d'épargne fait ensuite valoir que M. [C], qui ne justifie pas d'une plainte contre X ou d'une constitution de partie civile, n'établit pas la réalité de son préjudice. À titre subsidiaire, elle demande la garantie de la société SFR, à qui elle reproche de ne pas justifier qu'elle s'est assurée de l'identité de la personne qui lui a demandé, au nom de M. [C], une nouvelle adresse mail de secours et une nouvelle carte SIM. M. [C] demande à la cour de confirmer le jugement, en ce qu'il a condamné la Caisse d'épargne à lui payer la somme principale de 6 000 euros. Il expose qu'il était âgé de 70 ans au moment des faits, et qu'il n'a aucune connaissance en matière d'internet ou de téléphonie mobile, sinon pour des appels téléphoniques et l'envoi de quelques SMS. Il réaffirme que les prélèvements en cause ont été réalisés par un tiers qui a usurpé son identité, sans que son téléphone portable lui ait été volé, ou qu'il ait révélé à quiconque ses identifiants personnels : il a seulement constaté, le dimanche 17 mai 2020, qu'il ne pouvait plus utiliser son téléphone portable, il a dû attendre le lendemain lundi 18 mai pour appeler le service client de la société SFR, qui l'a informé que son compte avait été probablement « piraté » et qu'il devait déposer plainte, ce qu'il a fait le mardi 19 mai 2020, date à laquelle il a en outre informé la Caisse d'épargne. M. [C] confirme d'ailleurs que la société SFR lui avait accusé réception par SMS, le samedi 16 mai 2020 en fin d'après-midi, de demandes de modification de son adresse mail de secours et de son numéro de téléphone, ainsi que d'une demande de carte eSIM, alors qu'il n'avait effectué aucune de ces demandes. M. [C] rappelle à son tour les dispositions applicables, maintient qu'il n'a commis aucune négligence grave, et qu'il a collaboré à la recherche de la vérité, entre autres en alertant son agence de la Caisse d'épargne dès l'ouverture, le mardi 19 mai à 9 heures, ce qui n'a pas suffi à empêcher les virements en cause, dont la Caisse d'épargne l'a informé le même jour 19 mai 2020, en fin de journée : il reproche à la banque de n'avoir rien fait pour empêcher les opérations frauduleuses, alors qu'il l'avait alertée en temps utile. Il relève que la société SFR ne rapporte toujours pas la preuve qu'il ait lui-même demandé la modification de son adresse mail, et la livraison d'une carte eSIM. M. [C] maintient d'ailleurs qu'il subit un préjudice effectif, n'ayant obtenu restitution que d'une partie des sommes détournées. La société SFR conclut elle aussi à la confirmation du jugement dans ses dispositions la concernant, au motif qu'elle n'a commis aucune faute. Elle décrit les faits comme suit : M. [C], titulaire depuis août 2015 d'un contrat d'abonnement de téléphonie mobile, l'a sollicitée à plusieurs reprises pour modifier son offre ou obtenir des remises commerciales, et lui a demandé par téléphone, le 16 mai 2020, la modification de son adresse mail de contact, modification qu'elle a réalisée, après avoir vérifié l'identité de l'interlocuteur ; dans les minutes suivantes, M. [C] s'est connecté sur son espace client, au moyen de son identifiant et de son mot de passe personnel, et a commandé un changement de sa carte eSIM, commande qui fut « finalisée après validation des opérations de sécurisation ». Deux jours plus tard le 18 mai 2020, M. [C] a appelé la société SFR pour se plaindre qu'il n'avait plus accès « aux services sur sa ligne », appel à la suite duquel la nouvelle carte eSIM a été désactivée, « au bénéfice de la précédente ». La société SFR souligne qu'il incombe à la Caisse d'épargne de créer et de mettre en 'uvre des procédures efficaces pour sécuriser les ordres de paiement qu'elle reçoit, que l'utilisation d'une ligne de téléphonie mobile n'est que l'un des moyens qu'elle a choisis pour réaliser cet objectif, sans demander l'autorisation de la société SFR et même sans l'en informer ; que dans le cas particulier, la Caisse d'épargne ne produit pas aux débats de justificatifs détaillés des opérations en cause, et de leur autorisation donnée par le titulaire des comptes M. [C], conformément aux conditions générales qu'elle a fixées. La société SFR précise qu'elle n'avait aucun moyen de détecter l'usurpation dont M. [C] s'est déclaré victime, ayant abouti à la délivrance à son nom d'une nouvelle carte eSIM ; et qu'il n'est pas prouvé que la délivrance de cette carte ait concouru à la réalisation des prélèvements litigieux. L'ordonnance de clôture est intervenue le 20 décembre 2023. Il est renvoyé, pour l'exposé complet des demandes et observations des parties, à leurs dernières conclusions déposées les 4, 15 et 18 décembre 2023.

Motifs de la décision

: Le tribunal, dont la cour adopte la motivation sur ce point, a rappelé les dispositions du code monétaire et financier, notamment l'article L. 133-7, selon lequel le consentement à une opération est donné sous la forme convenue entre le payeur et le prestataire de services de paiement, l'opération étant réputée ne pas avoir été autorisée lorsque le consentement n'est pas donné sous la forme convenue ; et l'article L. 133-23, énonçant que, lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, il incombe au prestataire de services de paiement de prouver que l'opération a été authentifiée, dûment enregistrée et comptabilisée, et qu'elle n'a pas été affectée par une déficience technique ou autre. Il résulte des pièces produites que le samedi 16 mai 2020, le service clients de la société SFR a reçu, selon cette société, un appel téléphonique passé par une personne se présentant comme M. [C], pour demander la modification de l'adresse électronique de contact de celui-ci ; qu'elle a établi cette nouvelle adresse électronique, en a informé aussitôt M. [C], au moyen d'un message SMS, qu'il a reçu le 16 mai 2020, « à 16 h 43 » selon la déposition de M. [C] aux services de police ; et que la société SFR a reçu, le même jour à 16 h 56, une demande sur son site pour obtenir la délivrance d'une carte eSIM, commande passée au nom de M. [C], après que l'utilisateur ait saisi, selon SFR, ses identifiants et mots de passe personnels (pièces n°2 et 15 de cette société) ; qu'elle a délivré cette carte eSIM, et en a informé aussitôt M. [C] par un nouveau message SMS ; que le mardi 19 mai 2020, M. [C] a appelé le service clients de la société SFR pour lui faire connaître qu'il n'avait pas demandé ces opérations, et que ce service lui a suggéré de déposer plainte, ce que M. [C] a fait le jour même. Les cinq ordres de virement litigieux ont été réalisés le 19 mai 2020, pour trois d'entre eux au bénéfice de personnes désignées : M. [T] [Z], Mmes [I] [Y] et [X] [G] (relevés du compte de dépôt de M. [C], produits par la Caisse d'épargne). La Caisse d'épargne a pu obtenir le « retour » d'une partie des sommes ayant l'objet de ces cinq ordres de virement, à hauteur de 10 600 euros sur un total de 16 600 euros, et elle a reversé cette somme de 10 600 euros sur le compte de M. [C]. Ainsi que l'a énoncé le tribunal, il incombe à la Caisse d'épargne, selon l'article L. 133-19 du code monétaire et financier, de rapporter la preuve soit que les virements en cause ont été soit ordonnés ou autorisés par M. [C], ou soit que celui-ci n'a pas satisfait intentionnellement, ou par négligence grave, aux obligations édictées aux articles L. 133-16 et -17 du même code ; à défaut pour elle de rapporter ces preuves, l'autorisation sera réputée ne pas avoir été donnée, par application de l'article L. 133-7. La Caisse d'épargne invoque les dispositions particulières de l'article L. 133-19 V du code monétaire et financier, dont il résulte a contrario que, lorsque l'opération de paiement a été effectuée alors que le prestataire de services de paiement du payeur exigeait du payeur une authentification forte, telle que prévue à l'article L. 133-44 du même code, le payeur supporte les conséquences financières de l'opération non autorisée ; elle expose qu'elle a mis en place cette authentification forte, en imposant, à la personne qui veut opérer un paiement en ligne, de saisir un numéro identifiant et un code confidentiel qu'elle ne communique qu'à ses clients, de sorte que l'auteur des ordres de virement litigieux, s'il n'est pas M. [C] lui-même, a nécessairement été informé par celui-ci de ce numéro identifiant et de ce code confidentiel ; elle précise que pour les virements et d'autres opérations sensibles, elle a ajouté une procédure d'authentification supplémentaire dénommée Sécur'Pass, supposant la déclaration préalable, auprès de ces services, d'un appareil dit de confiance, ordinateur ou smartphone, à utiliser pour effectuer les opérations à distance. Cependant et comme l'a énoncé justement le tribunal, la Caisse d'épargne se limite à des affirmations sur les procédures d'authentification qu'elle fixe, et à produire des pièces d'ordre général sur ces procédures, telles les Conditions générales spécifiques direct Ecureuil, ou des extraits d'informations qu'elle diffuse en ligne, sur le dispositif Sécur'PAss : elle ne produit en revanche aucun document propre aux opérations en litige, établissant qu'elles ont été réalisées effectivement selon les modalités qu'elle indique : elle ne rapporte pas la preuve que ces opérations ont été effectivement soumises à une procédure d'authentification forte, ou qu'elles ont été authentifiées par M. [C] lui-même, comme prévu à l'article L. 133-23 du code monétaire et financier. La Caisse d'épargne fait état subsidiairement de négligences graves de M. [C], qui a nécessairement communiqué à un tiers le numéro identifiant et le code confidentiel exigés pour faire des virements à partir de son compte, ainsi que le numéro de sa carte bancaire. Cependant, s'il est possible voire probable que M. [C] ait été victime des man'uvres frauduleuses d'un ou de plusieurs tiers, l'ayant incité à lui communiquer de telles informations confidentielles, il n'en résulte pas que cette captation de données soit résultée de négligences graves de sa part : les circonstances de cette éventuelle transmission ne sont pas connues. Par ailleurs, il n'apparaît pas, dans le déroulement des faits certains, que M. [C] se soit montré gravement négligent : après avoir reçu, le samedi 16 mai 2020 en fin d'après-midi, les messages de SFR l'informant d'abord de l'établissement d'une nouvelle adresse électronique, puis de la délivrance d'une carte eSIM à son nom, alors qu'il n'avait pas formé de demande sur ces deux points, M. [C] a certes tardé jusqu'au lundi 20 mai 2020 au matin pour alerter SFR sur ces anomalies, puisque le service clients téléphonique de cette société fonctionnait, selon les dires de M. [C], du lundi au samedi (inclus) de 8 h jusqu'à 21 h ; mais ce retard à informer l'opérateur de communications de l'anomalie en cause ne peut être qualifié de négligence grave, si l'on considère que M. [C] était peu familier de telles opérations, qu'il n'a pris conscience d'une difficulté que le dimanche 17 mai 2020, lorsqu'il a constaté que son téléphone portable ne fonctionnait plus, et qu'il a pris contact avec la société SFR dès le lundi suivant, 18 mai 2020 au matin. Par la suite de ce contact, le service client de SFR a désactivé la carte eSIM récemment établie, et a recommandé à M. [C] de déposer plainte, ce qu'il a fait le lendemain mardi 19 mai ; M. [C] s'est présenté le même jour à une agence la Caisse d'épargne (fermée le lundi), pour qu'elle bloque l'utilisation de sa carte bancaire. Aucune négligence grave, et à plus forte raison aucune faute intentionnelle ne sont donc établies contre lui, au regard des articles L. 133-16 et -17 du code monétaire et financier, qui obligent l'utilisateur d'une part à prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées, d'autre part à informer sans tarder son prestataire, ou l'entité désignée par celui-ci, aux fins de blocage de l'instrument de paiement. C'est à bon droit que le tribunal a condamné la Caisse d'épargne à verser à M. [C] la somme de 6 000 euros, solde des sommes ayant fait l'objet des virements en cause, et dont elle n'a pas réussi à obtenir le retour ou la restitution : ce préjudice apparaît certain, rien ne permettant de présumer que M. [C] ait pu obtenir réparation de la ou des personnes auteurs des virements litigieux, à la suite de la plainte qu'il a déposée. Le jugement sera encore confirmé, en ce qu'il a rejeté la demande de M. [C] en réparation d'un préjudice moral, dont la preuve n'est pas établie ; M. [C] ne rapporte pas non plus la preuve que les frais et intérêts dont il demande défraiement (décomptés par la Caisse d'épargne à hauteur de 127,80 euros, pour l'année 2020 sans autre précision), se rapportent aux virements en cause, sa demande de ce chef sera elle aussi rejetée. Il convient en revanche de faire droit à la demande de M. [C] de voir appliquer les intérêts sur la condamnation principale à compter du 20 mai 2020 pour compenser la privation de cette somme depuis cette date ; il n'y a pas lieu toutefois de prononcer la majoration de ces intérêts comme le demande M. [C]. Il appartient d'autre part à la Caisse d'épargne, dans le cadre de sa demande subsidiaire de garantie contre la société SFR, de rapporter la preuve, en l'absence de tout lien contractuel entre ces deux sociétés, que la société SFR a commis une faute à l'origine du dommage subi par la Caisse d'épargne : l'obligation de dédommager M. [C]. Ainsi que l'a relevé le tribunal, aucune faute n'apparaît établie contre SFR : rien ne prouve que cette société, lorsqu'elle a délivré une carte eSIM au nom de M. [C] le 16 mai 2020, avait connaissance ou pouvait avoir connaissance de l'usurpation d'identité dont M. [C] se déclare victime ; aucun élément n'établit qu'elle ait commis un manquement à ses obligations : M. [C] lui-même reconnaît qu'il a été averti sans délai, dès la demande de modification de l'adresse de contact puis de la demande de carte eSIM, de ces deux démarches qu'il n'avait pas effectuées, et qui lui ont été dûment signalées par messages SMS. La société Caisse d'épargne d'Auvergne et de Limousin SFR a donc respecté sur ce point les procédures internes dont elle expose le contenu, destinées à assurer la sécurité des échanges entre elle-même et ses abonnés. C'est à bon droit que le tribunal a rejeté la demande de garantie formée par la Caisse d'épargne.

PAR CES MOTIFS

, et par ceux non contraires des premiers juges : La cour, après en avoir délibéré, statuant publiquement, par arrêt contradictoire et en dernier ressort, mis à la disposition des parties au greffe de la juridiction; Confirme le jugement dans toutes ses dispositions ; Y ajoutant, Dit que la somme de 6 000 euros, faisant l'objet de la condamnation principale, produira intérêts au taux légal à compter du 20 mai 2020 jusqu'au paiement complet du capital ; Condamne la société Caisse d'épargne d'Auvergne et de Limousin à payer à M. [C] et à la société SFR une somme de 1 500 euros chacun en application de l'article 700 du code de procédure civile, ainsi qu'aux dépens d'appel ; Rejette le surplus des demandes. Le Greffier La Présidente
Note...

Décisions d'espèce similaires

Cour d'appel de Riom, Chambre commerciale, 14 septembre 2022, 21/00236
Confirme la décision déférée dans toutes ses dispositions, à l'égard de toutes les parties au recours
Cour d'appel de Paris, Chambre 5-6, 20 mars 2024, 22/17661
Infirme la décision déférée dans toutes ses dispositions, à l'égard de toutes les parties au recours
Cour d'appel d'Amiens, 30 juin 2022, 20/06070
Infirme partiellement, réforme ou modifie certaines dispositions de la décision déférée
Cour d'appel de Besançon, Chambre 1, 14 mars 2023, 22/00749
Infirme partiellement, réforme ou modifie certaines dispositions de la décision déférée
Cour d'appel de Lyon, Chambre 6, 20 octobre 2022, 20/04943
Confirme la décision déférée dans toutes ses dispositions, à l'égard de toutes les parties au recours