Cour d'Appel · 2ème Chambre — 26 mai 2026

2ème Chambre





N° RG 24/00645

N° Portalis DBVL-V-B7I-UPHM



(Réf 1ère instance : 21/01497)





(1)





CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL DU FINI STERE



C/



M. [V] [S]































Copie exécutoire délivrée 



le : 26/05/2026



à : 

- Me VEILLARD

- Me LHERMITTE







RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS



COUR D'APPEL DE RENNES

ARRÊT DU 26 MAI 2026





COMPOSITION DE LA COUR LORS DES DÉBATS ET DU DÉLIBÉRÉ :



Président : Monsieur David JOBARD, Président de Chambre,

Assesseur : Monsieur Jean-François POTHIER, Conseiller,

Assesseur : Madame Valérie PICOT-POSTIC, Conseiller,



GREFFIER :



Mme Ludivine BABIN, lors des débats et lors du prononcé



DÉBATS :



A l'audience publique du 10 Février 2026



ARRÊT : 



Contradictoire, prononcé publiquement le 26 Mai 2026, après prorogations, par mise à disposition au greffe comme indiqué à l'issue des débats





****





APPELANTE :



CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL DU FINISTERE

[Adresse 1]

[Localité 1]



Représentée par Me Alexandra VEILLARD de la SELARL RACINE, Plaidant/Postulant, avocat au barreau de NANTES









INTIMÉ :



Monsieur [V] [S]

né le [Date naissance 1] 1992 à [Localité 2]

[Adresse 2]

[Localité 3]



Représenté par Me Christophe LHERMITTE de la SELEURL GAUVAIN, DEMIDOFF & LHERMITTE, postulant, avocat au barreau de RENNES

Représenté par Me Benoît DE CADENET, plaidant, avocat au barreau de BREST













EXPOSE DU LITIGE :



M. [V] [S] est titulaire d'un compte de dépôt n° [XXXXXXXXXX01] ouvert dans les livres de la société Caisse régionale de crédit agricole mutuel du Finistère (la banque).



Le 15 septembre 2020, il a déposé plainte à la suite du vol de son téléphone portable et de sa carte. Il a sollicité en vain de la banque le remboursement de la somme de 17 639,20 euros débitée de son compte à la suite de paiements et de retraits en espèce.



Suivant acte extrajudiciaire du 3 septembre 2021, M. [V] [S] a assigné la banque devant le tribunal judiciaire de Brest.



Suivant jugement du 23 novembre 2023, le tribunal a :



- Condamné la banque à payer à M. [V] [S] la somme de 17 639,20 euros.

- Condamné la banque à payer à M. [V] [S] la somme de 2 500 euros en application de l'article 700 du code de procédure civile.

- Débouté les parties du surplus de leurs demandes.



Suivant déclaration du 1er février 2024 et déclaration rectificative du 5 février 2024, la banque a interjeté appel. Les procédures ont été jointes.



En ses dernières conclusions du 22 décembre 2025, elle demande à la cour de :



Vu les articles L. 133-6 suivants, L. 133-16, L. 133-17 et L. 133-23 et suivants du code monétaire et financier,

Vu l'article 1231-1 du code civil,



- Infirmer le jugement déféré.



Statuant à nouveau,

- Débouter M. [V] [S] de ses demandes.



En tout état de cause, 

- Le condamner à lui payer la somme de 5 000 euros en application de l'article 700 du code de procédure civile.

- Le condamner aux dépens de première instance et d'appel avec application de l'article 699 du code de procédure civile au profit de Me Alexandra Veillard.



En ses dernières conclusions du 2 janvier 2026, M. [V] [S] demande à la cour de :



Vu les articles L. 133-19 et suivants du code monétaire et financier,

Vu l'article 1231-1 du code civil, 



- Confirmer le jugement déféré.

- Débouter la banque de ses demandes.



Subsidiairement, pour le cas où la banque ne serait pas déboutée de ses demandes,

- La condamner à lui payer 99 % de la somme de 17 639,20 euros à titre de dommages et intérêts en remboursement des opérations bancaires intervenues à la suite du vol de sa carte bancaire et en réparation de son préjudice matériel, soit la somme de 17 462,81 euros, 





En tout état de cause,

- Condamner la banque à lui payer la somme de 6 000 euros en application de l'article 700 du code de procédure civile ainsi qu'aux dépens. 



Pour un plus ample exposé des faits, de la procédure ainsi que des prétentions et moyens des parties, la cour se réfère aux énonciations de la décision ainsi qu'aux dernières conclusions précitées, l'ordonnance de clôture ayant été rendue le 8 janvier 2026.



MOTIFS DE LA DECISION : 



Dans le cadre de son appel, la banque soutient que les opérations dont M. [V] [S] sollicite le remboursement sont des opérations autorisées. Elle fait observer que les retraits d'espèces et les paiements réalisés chez des commerçants ont été rendus possibles par l'utilisation de la carte bancaire et de son code confidentiel et que les paiements sur des sites marchands ont été rendus possibles par l'utilisation des données confidentielles figurant sur la carte, le numéro de carte, la date de validité, le cryptogramme visuel, et la validation d'un code à usage unique envoyé par SMS sur le téléphone du titulaire du compte. Elle en déduit que l'intimé ne peut demander aucun remboursement conformément à l'article L. 133-23 du code monétaire et financier et que le régime de responsabilité de plein droit de l'article L. 133-18 n'a pas vocation à s'appliquer.



À supposer que les opérations soient qualifiées d'opérations non autorisées, elle soutient que M. [V] s'est montré particulièrement négligent, d'une part, parce qu'il n'a pas pris toutes les mesures appropriées pour assurer la sécurité de sa carte bancaire et du code confidentiel, et d'autre part, parce qu'il a fait opposition plus de deux jours après avoir constaté qu'il n'était plus en possession de sa carte.



M. [V] [S] soutient que les opérations litigieuses ne peuvent être qualifiées d'opérations autorisées. Il rappelle qu'il a été victime du vol de sa carte bancaire et de son téléphone portable et conteste toute négligence grave. Il prétend qu'il ne s'est aperçu de la disparition de sa carte que le 13 septembre 2020 en fin de journée.



Selon l'article L. 133-16 du code monétaire et financier, l'utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés. 



Selon l'article L. 133-17, il informe sans tarder son prestataire de services de paiement, dès qu'il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement.



Selon l'article L. 133-19, en cas d'opération de paiement non autorisée consécutive à la perte ou au vol de l'instrument de paiement, le payeur supporte, avant l'information prévue à l'article L. 133-17 les pertes liées à l'utilisation de cet instrument, dans la limite d'un plafond de 50 euros.



Toutefois, la responsabilité du payeur n'est pas engagée en cas d'opération de paiement non autorisée effectuée sans utilisation des données de sécurité personnalisées ; de perte ou de vol d'un instrument de paiement ne pouvant être détecté par le payeur avant le paiement ; de perte due à des actes ou à une carence d'un salarié, d'un agent ou d'une succursale d'un prestataire de services de paiement ou d'une entité vers laquelle ses activités ont été externalisées.



II. - La responsabilité du payeur n'est pas engagée si l'opération de paiement non autorisée a été effectuée en détournant, à l'insu du payeur, l'instrument de paiement ou les données qui lui sont liées. Elle n'est pas engagée non plus en cas de contrefaçon de l'instrument de paiement si, au moment de l'opération de paiement non autorisée, le payeur était en possession de son instrument.



III. - Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l'information aux fins de blocage de l'instrument de paiement prévue à l'article L. 133-17.



IV. - Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.



V. - Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l'opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n'exige une authentification forte du payeur prévue à l'article L. 133-44.



Il convient de rappeler que la responsabilité de la banque au titre des opérations de paiement non autorisées relève exclusivement du régime spécial institué par les articles L. 133-18 et suivants du code monétaire et financier, à l'exclusion des règles de responsabilité contractuelle de droit commun. Toutefois, lorsqu'est invoquée une faute distincte des opérations de paiement elles-mêmes, telle qu'un manquement autonome de la banque à son obligation de vigilance ou à ses procédures internes de sécurité, la responsabilité contractuelle de droit commun demeure applicable.



En l'espèce, aux termes de la plainte déposée le 15 septembre 2020, M. [V] [S] a déclaré qu'il se trouvait à [Localité 4] dans la nuit du 12 au 13 septembre 2020 lorsque, alors qu'il regagnait le domicile d'un ami, il avait été abordé par un individu circulant à bord d'un véhicule, lequel s'était présenté comme chauffeur Uber et lui avait proposé de le raccompagner. M. [V] [S] a indiqué s'être arrêté dans une supérette en compagnie de cet individu afin de lui acheter une bouteille d'alcool en règlement de la course. Il a précisé avoir consommé un verre avec celui-ci puis, à son réveil vers 10 heures du matin, avoir constaté la disparition de sa carte bancaire ainsi que de son téléphone portable.



Il apparaît que les opérations litigieuses, non autorisées puisque consécutives à un vol, ont été réalisées au moyen de la carte bancaire de M. [V] [S] ainsi que des dispositifs de sécurité personnalisés qui y étaient associés. Les retraits d'espèces et paiements contestés ont en effet nécessité soit la saisie du code confidentiel attaché à la carte bancaire, soit l'utilisation d'un code de validation adressé par SMS sur le téléphone de l'intéressé.



Si la seule utilisation de l'instrument de paiement et des données de sécurité personnalisées ne suffit pas, à elle seule, à établir une négligence grave du titulaire du compte, laquelle doit résulter de circonstances concrètes révélant un comportement gravement imprudent, en revanche, constitue une négligence grave le fait, pour le titulaire de la carte bancaire, de permettre la captation de ses données de sécurité personnalisées par un tiers traduisant un défaut manifeste de vigilance.



Contrairement à ce qu'ont retenu les premiers juges, les circonstances de l'espèce caractérisent une négligence grave de M. [V] [S] dans la conservation et l'usage de ses données de sécurité personnalisées.



En effet, il ressort des éléments de la procédure que le fraudeur, se présentant comme un chauffeur de taxi, a pu immédiatement utiliser la carte bancaire dérobée pour effectuer plusieurs opérations nécessitant la saisie correcte du code confidentiel. Or, les explications fournies par M. [V] [S] ne permettent pas d'expliquer dans quelles conditions ce code a pu être obtenu sans avoir été communiqué, directement ou indirectement, au fraudeur, ou conservé dans des conditions manifestement contraires aux obligations élémentaires de prudence incombant au titulaire d'un instrument de paiement.



Par ailleurs, M. [V] [S] a tardé à faire opposition à son instrument de paiement. Dans la plainte déposée le 15 septembre 2020, il a indiqué avoir constaté le vol le 13 septembre 2020 à 10 heures, alors qu'il n'en a informé sa conseillère bancaire que le 13 septembre 2020 à 21h39 et qu'il n'a fait opposition que le 15 septembre 2020. Or la majorité des détournements, près de 11 000 euros, a été réalisée le 13 septembre après 10 heures. Ce retard dans la déclaration du vol constitue également un manquement aux obligations de diligence pesant sur le titulaire de la carte bancaire.



La banque démontre que les opérations de paiement non autorisées n'ont pu être effectuées qu'avec l'utilisation des données de sécurité personnalisées, que M. [V] [S] aurait pu détecter la perte ou le vol de la carte bancaire avant le paiement, mais qu'il a fait montre de négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. Il s'ensuit que les pertes correspondant aux opérations qui pouvaient être effectuées dans les limites des plafonds initialement attachés à la carte bancaire doivent demeurer à la charge du titulaire du compte.



M. [V] [S] reproche à la banque d'avoir laissé débiter le compte au-delà du découvert autorisé. Le moyen est inopérant puisque le litige porte sur l'utilisation frauduleuse d'un moyen de paiement et non sur le fonctionnement du compte bancaire.



Il reproche également à la banque d'avoir augmenté temporairement les plafonds de paiement sans s'assurer de l'identité de la personne qui a contacté le service SOS cartes. Il rappelle que de manière usuelle le plafond des paiements était limité à 6 000 euros et le plafond des retraits à 1 500 euros sur sept jours glissants.



Il ressort en effet des pièces versées aux débats que les plafonds de retrait et de paiement attachés à la carte bancaire ont été augmentés le 13 septembre 2020, dans la limite de 15 000 euros pour les paiements et 4 500 euros pour les retraits, à la suite d'un contact avec le service dédié de la banque sans que celle-ci ne justifie avoir procédé à des vérifications sérieuses permettant de s'assurer de l'identité réelle de son interlocuteur.



La banque soutient avoir procédé à diverses vérifications en posant des questions à son interlocuteur portant sur le département du Crédit Agricole auquel le client était rattaché, le numéro de compte, le nom de famille épelé du client, son prénom, sa date de naissance, les deux derniers numéros de la carte bancaire, le lieu de situation de l'agence bancaire, le nom du conseiller, le lieu de naissance du client et son adresse électronique. Elle soutient en toute hypothèse que M. [V] [S] ne justifie d'aucun préjudice indemnisable directement en lien avec la faute qui lui serait imputable.



Les informations sollicitées, aisément accessibles à l'auteur du vol en possession de la carte bancaire et du téléphone portable de M. [V] [S], ne permettaient pas de garantir de manière fiable l'identité du demandeur. Aucun dispositif d'authentification pertinent ni aucune mesure de contrôle complémentaire n'ont été mis en 'uvre avant de procéder à une modification substantielle des paramètres de sécurité du compte.



Or, si le principe gouvernant les relations entre la banque et son client demeure celui de non-immixtion dans les affaires de ce dernier, il appartient néanmoins à l'établissement bancaire de faire preuve d'une vigilance particulière lorsqu'il est sollicité pour procéder à des opérations inhabituelles ou présentant un risque manifeste de fraude. La banque engage sa responsabilité lorsqu'elle exécute une opération dans des conditions révélant une anomalie apparente ou lorsqu'elle omet de mettre en 'uvre les procédures de sécurité adaptées à la nature de l'opération sollicitée.



En procédant à une augmentation immédiate et substantielle des plafonds de retrait et de paiement sans vérification effective de l'identité du demandeur, alors même qu'une telle opération augmentait significativement le risque de détournement frauduleux des fonds, la banque a commis une faute distincte des opérations de paiement elles-mêmes, engageant sa responsabilité contractuelle sur le fondement de l'article 1231-1 du code civil.



Cette faute a directement permis la réalisation d'opérations excédant les plafonds initialement autorisés. Il convient dès lors de condamner la banque à payer à M. [V] [S] la somme de 10 139,20 euros à titre de dommages et intérêts, somme équivalente à la fraction des retraits et paiements rendue possible par l'augmentation irrégulière des plafonds, à l'exclusion des opérations qui pouvaient être exécutées dans les limites des plafonds contractuellement applicables avant leur modification.



Le jugement déféré sera infirmé en ce sens.



Il n'est pas inéquitable de condamner la banque à payer à M. [V] [S] la somme de 2 000 euros en application de l'article 700 du code de procédure civile au titre des frais d'appel.



La banque, qui succombe à titre principal, sera condamnée aux dépens de première instance et d'appel. Il sera fait application de l'article 699 du code de procédure civile au profit de Me Alexandra Veillard.



PAR CES MOTIFS :



La cour,



Infirme le jugement rendu le 23 novembre 2023 par le tribunal judiciaire de Brest en ce qu'il a condamné la société Caisse régionale de crédit agricole mutuel du Finistère à payer à M. [V] [S] la somme de 17 639,20 euros.



Statuant à nouveau,



Condamne la société Caisse régionale de crédit agricole mutuel du Finistère à payer à M. [V] [S] la somme de 10 139,20 euros à titre de dommages et intérêts.



Confirme le jugement déféré en ses autres dispositions.



Y ajoutant,



Condamne la société Caisse régionale de crédit agricole mutuel du Finistère à payer à M. [V] [S] la somme de 2 000 euros en application de l'article 700 du code de procédure civile au titre des frais d'appel.



Condamne la société Caisse régionale de crédit agricole mutuel du Finistère aux dépens de première instance et d'appel avec application de l'article 699 du code de procédure civile au profit de Me Alexandra Veillard.



Rejette les autres demandes.





LE GREFFIER LE PRESIDENT















































'En conséquence,

La République Française,

Mande et ordonne, conformément au décret n° 47-1047 du 12 juin 1947 art. 1 modifié, à tous huissiers de justice, sur ce requis, de mettre ladite décision à exécution, aux procureurs généraux et aux procureurs de la République près les tribunaux judiciaires d'y tenir la main, à tous commandants et officiers de la force publique de prêter main-forte lorsqu'ils en seront légalement requis.

En foi de quoi, la présente décision a été signée par le président et le greffier.'



Pour copie certifiée conforme à l'original, revêtue de la formule exécutoire délivrée par Nous, directeur des services de greffe judiciaires de la cour d'appel de Rennes.