Tribunal Judiciaire · 9ème chambre 3ème section — 4 avril 2024

TRIBUNAL
 JUDICIAIRE
 DE PARIS [1]

[1] 
Expéditions 
exécutoires
délivrées le:


■

9ème chambre 3ème section

N° RG : 
N° RG 23/01813 - N° Portalis 352J-W-B7H-CYZVX

N° MINUTE : 3




Assignation du :
03 Février 2023









JUGEMENT 
rendu le 04 Avril 2024 
DEMANDEUR

Monsieur [U] [Y]
[Adresse 4]
[Localité 3]

représenté par Me Amele FAOUSSI, avocat au barreau de PARIS, vestiaire #G0542




DÉFENDERESSE

S.A. SOCIETE GENERALE
[Adresse 1]
[Localité 2]

représentée par Maître Dominique FONTANA de la SELARL DREYFUS-FONTANA, avocats au barreau de PARIS, vestiaire #K0139





Décision du 04 Avril 2024
9ème chambre 3ème section
 N° RG 23/01813 - N° Portalis 352J-W-B7H-CYZVX

COMPOSITION DU TRIBUNAL

Madame Béatrice CHARLIER-BONATTI, Vice-présidente
Monsieur Gilles MALFRE, 1er Vice-président adjoint
Monsieur Hadrien BERTAUX, Juge

assistée de Monsieur Pierre-Louis MICHALAK, Greffier,

DÉBATS

A l’audience du 29 Février 2024 tenue en audience publique devant Madame Béatrice CHARLIER-BONATTI, juge rapporteur, qui, sans opposition des avocats, a tenu seule l’audience, et, après avoir entendu les conseils des parties, en a rendu compte au Tribunal, conformément aux dispositions de l’article 805 du Code de Procédure Civile. Avis a été donné que la décision serait rendue par mise à disposition au greffe le 04 avril 2024.

JUGEMENT

Prononcé en audience publique
Contradictoire
en premier ressort

FAITS ET PROCÉDURE

Monsieur [U] [Y] est titulaire dans les livres de SOCIETE GENERALE d'un compte de particulier individuel, d'un livret A et d'un LDD.

Le 22 mai 2021, il a constaté que sa carte bancaire et son espace sécurisé bancaire ont été détournés et qu'il a été victime d'une escroquerie, par l'ajout de nouveaux bénéficiaires à son insu sur son espace sécurisé sans qu'il n'en ait été averti ainsi que l'exécution de 12 opérations frauduleuses, par carte bancaire et virements pour un montant de 9.698,32€, effectués entre le 20 mai et le 24 mai 2021.

Le 22 mai 2021, Monsieur [U] [Y] a fait opposition sur sa carte bancaire pour perte. 

A la suite de ces mouvements inhabituels, le compte de Monsieur [U] [Y] a été mis en « opposition débit » le 25 mai 2021, de sorte qu'à compter de cette date plus aucune opération de débit sur le compte n'était possible. 

Le 10 juin 2021, la SOCIETE GENERALE a donné mainlevée de l'opposition débit effectuée le 25 mai 2021, ce qui a donné lieu le même jour à la réattribution d'un code secret via SMS. 

Puis des nouveaux virements ont été effectués et Monsieur [U] [Y] a contesté les opérations effectuées entre le 11 et le 22 juin 2021. Il s'agissait de 9 opérations de virements pour un montant total de 32.000 € et 9 opérations par carte bancaire pour un montant total de 522,78 €, soit la somme globale de 32.522,78 €. 

La SOCIETE GENERALE a reçu un dossier dans lequel Monsieur [U] [Y] a contesté 8 transactions pour un total de 488,78 €. 

La SOCIETE GENERALE a refusé de rembourser ces 8 transactions qui étaient validées via son Pass sécurité. 

Par courrier du 14 janvier 2022, le Médiateur auprès de SOCIETE GENERALE a indiqué à Monsieur [U] [Y] que lors d'un hameçonnage il avait communiqué ses identifiants et ainsi engagé sa responsabilité en faisant preuve de négligence grave. 

Par assignation en date du 03 février 2023, Monsieur [U] [Y] a assigné la SOCIETE GENERALE.

Par conclusions en date du 13 novembre 2023, Monsieur [U] [Y] demande au tribunal de:

“A TITRE PRINCIPAL:
CONDAMNER la SOCIETE GENERALE au paiement de 35.221,10 € à M. [Y] correspondant au remboursement des sommes frauduleuses soustraites, résultant de l'absence de négligence grave de la demanderesse et de l'obligation de remboursement des dispositions précités ;

A TITRE SUBSIDIAIRE:
CONDAMNER la SOCIETE GENERALE au paiement de 35.221,10 € à M. [Y] et au titre des dommages et intérêts en réparation du préjudice financier résultant de la perte de chance. 

EN TOUT ETAT DE CAUSE:
CONDAMNER la SOCIETE GENERALE à payer à M. [Y] la somme de 3.000 euros en réparation du préjudice moral subi ;
CONDAMNER la SOCIETE GENERALE à payer à M. [Y] la somme de 5.000 euros en application de l'article 700 du code de procédure civile, ainsi qu'aux entiers dépens.” 

Monsieur [Y] soutient qu'il n'a pas commis de négligence grave et que la banque est dans l'obligation de lui rembourser les sommes frauduleusement soustraites.

Monsieur [Y] conteste l'utilisation de l'application mobile et indique que les opérations contestées ont été géolocalisées au CAMEROUN alors qu'il se serait trouvé en FRANCE et qu'elles auraient été effectuées depuis un autre terminal que le sien. 
Il conteste toute responsabilité dans la réalisation des opérations effectuées sur son compte.

A titre subsidiaire, il developpe qu' il est manifeste que les opérations litigieuses n'ont pas été validées par une authentification forte permettant à l'établissement bancaire de s'assurer que l'utilisation du dispositif SECUR'PASS et la saisie effective du code personnel ont été faites par le titulaire légitime du compte, que malgré l'avertissement sur ces mouvements significatifs et inhabituels opérés sur le compte de Monsieur [Y] et sur une période de temps extrêmement courte, la banque n'a pas mis en place la procédure de « RECALL ». 

Dans ses conclusions en date du 6 février 2024, la SOCIETE GENERALE demande au tribunal de:

“DECLARER Monsieur [U] [Y] mal fondé en ses demandes ;

En conséquence, 
L'EN DEBOUTER ;
CONDAMNER Monsieur [U] [Y] à payer à la SOCIETE GENERALE la somme de 2.500 € au titre de l'article 700 du code de procédure civile ; 

CONDAMNER Monsieur [U] [Y] aux entiers dépens ;
Subsidiairement, 
ECARTER l'exécution provisoire de la décision à intervenir.” 

La SOCIETE GENERALE expose que lors du premier phishing Monsieur [Y] a communiqué à un tiers des éléments sur son état civil, son numéro de téléphone et les coordonnées de sa carte bancaire, qu'il a communiqué à un tiers les SMS reçus sur son téléphone mobile permettant de valider les opérations de paiement par carte, que pour l'enrôlement du Pass Sécurité, Monsieur [Y] a inévitablement communiqué à un tiers le code d'activation reçu par SMS sur son téléphone mobile, en plus de ses identifiants de connexion; que lors du deuxième plishing, il a nécessairement transmis le nouveau code secret qui lui avait été réattribué le 10 juin 2021, qu'il a ainsi permis la réalisation de nombreux virements et opérations par carte validées au moyen d'une double authentification. 

Conformément à l'article 455 du code de procédure civile, il est renvoyé aux écritures susvisées pour l'exposé complet des prétentions respectives des parties et de leurs moyens.

L'ordonnance de clôture est intervenue le 8 février 2024 avec fixation à l'audience de plaidoirie du 29 février 2024. L'affaire a été mise en délibéré au 4 avril 2024.


SUR CE:

I. Sur les manquements au devoir de vigilance invoqués:

Suivant les dispositions de l'article L.133-6 du code monétaire et financier, une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. 

L'article L.133-7 du code monétaire et financier précise que le consentement est donné sous la forme convenue entre le payeur et son prestataire de service de paiement. 

Aux termes de l'article L133-15 du code monétaire et financier : 
“I. – Le prestataire de services de paiement qui délivre un instrument de paiement doit s'assurer que les données de sécurité personnalisées telles que définies à l'article L. 133-4 ne sont pas accessibles à d'autres personnes que l'utilisateur autorisé à utiliser cet instrument. 
Le prestataire de services de paiement s'abstient d'envoyer tout instrument de paiement non sollicité, sauf dans le cas où un instrument de paiement déjà donné à l'utilisateur de services de paiement doit être remplacé. 
II. – Le prestataire de services de paiement met en place, à titre gratuit, les moyens appropriés permettant à l'utilisateur de procéder à tout moment à l'information prévue à l'article L. 133-17. 
Il fournit sur demande à l'utilisateur les moyens de prouver qu'il a effectué l'information prévue à l'article L. 133-17, dans les conditions fixées par décret. 
III. – Le prestataire de services de paiement empêche toute utilisation de l'instrument de paiement après avoir été informé, conformément aux dispositions de l'article L. 133-17, de sa perte, de son vol, de son détournement ou de toute utilisation non autorisée de l'instrument de 
paiement ou des données qui lui sont liées. 
IV. – Le prestataire de services de paiement supporte le risque lié à l'envoi au payeur d'un instrument de paiement ou de toute donnée de sécurité personnalisée de celui-ci.”

L'article L.133-16 du code monétaire et financier prévoit que dès qu'il reçoit un instrument de paiement, l'utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. 

L'article L.133-17 du code monétaire et financier prévoit que lorsqu'il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l'utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l'instrument, son prestataire ou l'entité désignée par celui-ci. 

En vertu des dispositions de l'article L.133-19 IV du code monétaire et financier, le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.133-16 et L.133-17 du code monétaire et financier. 

En vertu de l'article L.133-23 du code monétaire et financier,la responsabilité du prestataire de services de paiement n'est pas engagée, s'il prouve la négligence grave commise par l'utilisateur de services de paiement.

En pratique, l'ajout d'un compte bénéficiaire présuppose la composition d'un code sécurité à usage unique préalablement reçu sur le téléphone du client et génère automatiquement l'envoi d'un SMS sur l'espace en ligne et sur le téléphone de sécurité.

Au cas présent, il apparait que les opérations par carte contestées, l'enregistrement des comptes bénéficiaires et les virements n'ont pu être réalisés sans la communication par Monsieur [Y] de son numéro de carte bancaire effectuée sur le site de phishing, puis la connexion sur son espace sécurisé et la communication de codes de sécurité à usage unique à un tiers, authentifiant les paiements, autorisant les débits et permettant l'enrôlement du Pass Sécurité. 

Au cas présent, Monsieur [Y] a ainsi manqué à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés. 

En conséquence de quoi, Monsieur [Y] sera débouté de ses demandes fondées sur le défaut de vigilance de la banque.

II. Sur la demande principale de remboursement du montant des opérations frauduleuses:

L'article L. 133-4 du code monétaire et financier impose aux prestataires de services de paiement de mettre en place un dispositif de sécurisation des instruments de paiement : 
« a) Les données de sécurité personnalisées s'entendent des données personnalisées fournies à un utilisateur de services de paiement par le prestataire de services de paiement à des fins d'authentification ; […] 
c) Un instrument de paiement s'entend, alternativement ou cumulativement, de tout dispositif personnalisé et de l'ensemble de procédures convenu entre l'utilisateur de services de paiement et le prestataire de services de paiement et « utilisé » pour donner un ordre de paiement ; […] 
e) Une authentification s'entend d'une procédure permettant au prestataire de services de paiement de vérifier l'identité d'un utilisateur de services de paiement ou la validité de l'utilisation d'un instrument de paiement spécifique, y compris l'utilisation des données de sécurité personnalisées de l'utilisateur. 
f) Une authentification forte du client s'entend d'une authentification reposant sur l'utilisation de deux éléments ou plus appartenant aux catégories " connaissance ", " possession " et "inhérence " et indépendants en ce sens que la compromission de l'un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d'authentification ; »

L'article L.133-44 du code monétaire et financier poursuit en disposant: 
« I. – Le prestataire de services de paiement applique l'authentification forte du client définie au f de l'article L. 133-4 lorsque le payeur : 
1° Accède à son compte de paiement en ligne ; 
2° Initie une opération de paiement électronique ;
3° Exécute une opération par le biais d'un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse. 
II. – Pour les opérations de paiement électronique à distance, l'authentification forte du client définie au f de l'article L. 133-4 comporte des éléments qui établissent un lien dynamique entre l'opération, le montant et le bénéficiaire donnés. » 

Le client est invité à vérifier la validité de l'IBAN renseigné et l'identité du bénéficiaire et s'interroger sur sa création , s'il n'est est pas l'auteur et s'il ne l'a pas initié, il ne doit pas la valider. Monsieur [Y] a ainsi entré le code confidentiel de sa Clé Digitale qu'il a lui-même créée et personnalisée lors de l'activation de ladite Clé Digitale ; Monsieur [Y] a ensuite reçu pour la création du bénéficiaire un courriel de la banque confirmant l'ajout d'un nouveau bénéficiaire. 

Ainsi, il apparait que la création d'un nouveau bénéficiaire de virement n'est possible qu'à la suite de différentes étapes, qui requièrent le numéro de client, le code confidentiel et personnel d'accès aux comptes sur internet et enfin la validation par l'usage d'un code adressé sur le téléphone mobile préalablement enregistré par le client lui-même sur son espace sécurisé,téléphone resté en sa possession.

En conséquence, Monsieur [Y] sera débouté de ses demandes à ce titre, les opérations litigieuses ayant été dûment authentifiées.

Par ailleurs, selon le principe de non-ingérence, le banquier n'a pas à s'immiscer dans les affaires de son client, ni à se préoccuper de l'opportunité des opérations sollicitées par le titulaire du compte. 

En effet, la banque est tenue, en sa qualité de banquier du donneur d'ordre, d'exécuter tous les transferts de fonds qui sont sollicités sous peine d'engager sa responsabilité. 

En conséquence, Monsieur [Y] sera débouté de ses demandes principale et subsidiaire.

III. Sur les frais irrépétibles et les dépens:

Succombant à l'instance, Monsieur [Y] sera condamné aux dépens, sur le fondement de l'article 696 du code de procédure civile.

Compte tenu du contexte, il n'apparait cependant pas inéquitable de ne pas faire droit aux demandes au titre de l'article 700 du code de procédure civile.



PAR CES MOTIFS :

Le tribunal, statuant publiquement, par jugement contradictoire, rendu en premier ressort, par mise à disposition au greffe :

DEBOUTE Monsieur [U] [Y] de l'ensemble de ses demandes formées contre la SOCIETE GENERALE ;

REJETTE les demandes au titre de l'article 700 du code de procédure civile ;

CONDAMNE Monsieur [U] [Y] aux dépens.

RAPPELLE que l’exécution provisoire est de droit.


Fait et jugé à Paris le 04 Avril 2024


Le GreffierLa Présidente