Décision du Tribunal de Commerce de LYON du 19 avril 2023

RG : 2022j00516

La société YEWA

C/

S.A. BNP PARIBAS

RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS

COUR D’APPEL DE LYON

3ème chambre A

ARRET DU 19 Septembre 2024

APPELANTE :

La société YEWA

[Adresse 2]

[Localité 3]

Représentée par Me Cécile LETANG de la SELARL CVS, avocat au barreau de LYON, toque : 215, substituée et plaidant par Me LEPROVOST, avocat au barreau de LYON

INTIMEE :

S.A. BNP PARIBAS au capital de 2.468.663.292,00 €, immatriculée au R.C.S. de PARIS sous le numéro 662 042 449, prise en la personne de son représentant légal en exercice domicilié en cette qualité audit siège

[Adresse 1]

[Localité 4]

Représentée par Me Frédéric ALLEAUME de la SCP AXIOJURIS LEXIENS, avocat au barreau de LYON, toque : 673

Plaidant à l’audience par Me COTTREL de la SCP AXIOJURIS LEXIENS, avocat au barreau de LYON

* * * * * *

Date de clôture de l’instruction : 27 Février 2024

Date des plaidoiries tenues en audience publique : 19 Juin 2024

Date de mise à disposition : 19 Septembre 2024

Audience tenue par Aurore JULLIEN, présidente, et Viviane LE GALL, conseillère, qui ont siégé en rapporteurs sans opposition des avocats dûment avisés et ont rendu compte à la Cour dans leur délibéré,

assistées pendant les débats de Clémence RUILLAT, greffière

A l’audience, un membre de la cour a fait le rapport,

Composition de la Cour lors du délibéré :

– Patricia GONZALEZ, présidente

– Aurore JULLIEN, conseillère

– Viviane LE GALL, conseillère

Arrêt contradictoire rendu publiquement par mise à disposition au greffe de la cour d’appel, les parties en ayant été préalablement avisées dans les conditions prévues à l’article 450 alinéa 2 du code de procédure civile,

Signé par Patricia GONZALEZ, présidente, et par Clémence RUILLAT, greffière, auquel la minute a été remise par le magistrat signataire.

EXPOSÉ DU LITIGE

La société Yewa possède un compte bancaire ouvert auprès de la société BNP Paribas (la banque).

Le 8 juin 2020, le gérant de la société Yewa, M. [N] [G], a reçu sur son téléphone portable un SMS lui communiquant un code à saisir pour valider des achats par carte bancaire ainsi qu’un numéro de téléphone à appeler au cas où il ne serait pas à l’origine de cette transaction. M. [G] a alors appelé au numéro indiqué pour contester l’opération. Son interlocuteur lui a demandé de lui fournir le code indiqué dans le SMS et permettant de valider l’opération, ce qu’a fait M. [G].

Au total, quatre paiements sont intervenus pour des montants respectifs de 888 euros, 950 euros, 1.274 euros et 900 euros, soit la somme totale de 4.012 euros.

M. [G], pour le compte de la société Yewa, a déposé plainte pour escroquerie auprès de la gendarmerie et a contesté les opérations auprès de la banque.

Le 7 avril 2022, la société Yewa a assigné la société BNP Paribas devant le tribunal de commerce de Lyon.

Par jugement contradictoire du 19 avril 2023, le tribunal de commerce de Lyon a :

– débouté la société Yewa de l’intégralité de ses demandes, fins et prétentions,

– condamné la société Yewa à payer à la BNP Paribas une somme de 1.000 euros au titre des frais irrépétibles, ainsi qu’en tous les dépens de l’instance.

La société Yewa a interjeté appel par déclaration du 25 mai 2023.

Par conclusions notifiées par voie dématérialisée le 18 août 2023, la société Yewa demande à la cour, au visa des articles L.133-18 et suivants du code monétaire et financier, de :

– infirmer le jugement dont appel en toutes ses dispositions,

Statuant à nouveau,

– condamner BNP Paribas à lui payer la somme de 4.012 euros en remboursement des transactions frauduleuses intervenues,

– condamner BNP Paribas à lui payer la somme de 3.000 euros en réparation de la résistance abusive opposée par BNP Paribas,

– condamner la société BNP Paribas à payer à la société Yewa la somme de 3.000 euros par application des dispositions de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens de l’instance avec droit de recouvrement.

Par conclusions notifiées par voie dématérialisée le 26 octobre 2023, la société BNP Paribas demande à la cour, au visa des articles L.133-1 et suivants du code monétaire et financier et des articles 1103 et 1104 du code civil, de :

à titre principal,

– juger que la société Yewa a autorisé les opérations contestées,

à titre subsidiaire,

– juger que la société Yewa a commis une négligence grave,

en conséquence,

– confirmer en toutes ses dispositions le jugement rendu le 19 avril 2023 par le tribunal de commerce de Lyon,

– condamner la société Yewa à payer à la BNP Paribas une somme de 3.500 euros au titre des frais irrépétibles, ainsi qu’en tous les dépens de l’instance,

à titre infiniment subsidiaire, en cas d’infirmation du jugement attaqué,

– débouter la société Yewa de sa demande d’indemnisation pour résistance abusive et de sa demande au titre des frais irrépétibles et des dépens.

La procédure a été clôturée par ordonnance du 27 février 2024, les débats étant fixés au 19 uin 2024.

Conformément aux dispositions de l’article 455 du code de procédure civile, la cour se réfère, pour un plus ample exposé des moyens et prétentions des parties, à leurs conclusions écrites précitées.

Sur la demande de remboursement des prélèvements frauduleux

La société Yewa fait valoir que :

– l’article L. 133-23 du code monétaire et financier exige la preuve d’une négligence grave pour que soit refusé le remboursement de l’opération ; la charge de la preuve pèse sur la banque ;

– ni l’inattention ni l’activité de conseil en entreprise dans le domaine de l’informatique de la société Yewa, ne saurait caractériser cette prétendue négligence ; un certain manque d’attention ne saurait en aucun cas caractériser une négligence grave ;

– elle a immédiatement contesté la transaction auprès de son établissement bancaire et déposé plainte pour escroquerie ; le processus de sécurité et d’authentification mis en place pour les paiements à distance par la société BNP Paribas s’est révélé parfaitement insuffisant ; la banque, dont l’identité a été usurpée par l’envoi des SMS d’authentification et par l’interlocuteur au téléphone ayant connaissances des informations bancaires de la société Yewa, ne justifie ni de manoeuvres frauduleuses ni de négligences graves de la part de cette dernière ;

– l’activité de la société Yewa et les compétences de M. [G] ne font pas de ce dernier un professionnel averti de la fraude à la carte bancaire ; l’absence de fautes dans le message ou d’incohérence lors des appels ne lui permettait pas de détecter qu’il s’agissait d’une fraude.

La banque réplique que :

– la société Yewa a souscrit au système d’authentification renforcé ‘3D Secure’ ; en fournissant à quatre reprises les codes reçus par SMS à son interlocuteur, la société Yewa a donné son consentement irrévocable aux opérations, de sorte que l’article L. 133-23 du code monétaire et financier est inapplicable ; les ordres de paiement effectués à l’aide des codes reçus sur son téléphone portable sont réputés avoir été autorisés ;

– subsidiairement, s’il est considéré que le client n’a pas donné son consentement aux opérations, la banque n’engage pas sa responsabilité si son client a commis une fraude ou une négligence grave ; en l’espèce, la société Yewa a fait preuve d’une négligence grave au vu de l’incongruité de la demande de son interlocuteur, au vu de l’absence d’usurpation du numéro d’appel de la banque, au vu de l’e-mail de la société Bureau Vallée ayant informé la société Yewa que les données de carte bancaire de ses clients avaient été dérobés, et enfin au vu de la communication régulière des établissements bancaires et des médias sur le sujet ;

– lors de l’attaque, M. [G] n’a pas considéré la situation avec le sérieux d’un homme normalement attentif, dès lors qu’il était en même temps en visioconférence ; s’il avait porté une attention suffisante sur les événements qui se produisaient, il aurait fait preuve de davantage de discernement ; c’est le client seul qui juge de l’opportunité d’autoriser ou non une opération, l’établissement de crédit étant tenu d’un devoir de non immixtion ;

– le seul fait de fournir à son interlocuteur les codes dont elle savait qu’ils servaient à valider des achats par carte bancaire constitue, pour la société Yewa, une négligence grave exclusive de toute obligation de remboursement ;

– la société Yewa, qui a pour activité le conseil en entreprise, avec une expertise ciblée dans le domaine de l’informatique et des nouvelles technologies, est un professionnel averti ; M. [G] possède un DEA en informatique avec une spécialisation en intelligence artificielle.

Sur ce,

L’article L. 133-6 du code monétaire et financier dispose qu’une opération de paiement est autorisée si le payeur a donné son consentement à son exécution.

Il en résulte qu’une opération de paiement initiée par le payeur est réputée autorisée si celui-ci a consenti à son montant et à son bénéficiaire.

Or en l’espèce, bien que M. [G] ait transmis les codes qu’il avait reçus permettant de valider les quatre paiements successifs, il n’a pas consenti à ces opérations dès lors qu’il a contacté le numéro de téléphone qui était mentionné dans le premier message afin, précisément, de s’opposer à ces paiements. Les opérations litigieuses constituent donc bien des opérations de paiement non autorisées.

Aux termes des articles L. 133-16 et L. 133-17 du code monétaire et financier, s’il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées, c’est à ce prestataire qu’il incombe, par application des articles L. 133-19, IV, et L. 133-23 du même code, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait, intentionnellement ou par négligence grave, à ses obligations. Cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés.

En l’espèce, M. [G] a reçu un premier SMS qui mentionne comme expéditeur ‘BNPPARIBAS’, et dont le texte est le suivant :

‘Le code à saisir pour votre achat de 900,00 EUR est 12418910. Si vous n’avez pas réalisé cet achat contactez le 0970407703 (appel non surtaxé)’

Aucun élément, dans ce message, n’est de nature à éveiller le doute quant à son authenticité : il ne recèle pas de faute d’orthographe ni d’incohérence ou encore d’anomalie grossière, et provient d’un expéditeur identifié comme la banque de la société Yewa. M. [G] démontre, en outre, qu’il a reçu de véritables informations de la société BNP par le même intitulé de SMS.

M. [G] explique qu’ayant contacté le numéro de téléphone mentionné dans le message, l’interlocuteur lui a demandé de confirmer certains éléments, s’agissant de son identité (nom, prénom et date de naissance) ainsi que le nom et l’adresse de la société titulaire de la carte bancaire en cause, ce qui a permis de mettre M. [G] en confiance.

Si le fait de remettre alors à son interlocuteur les codes qui lui étaient simultanément adressés par de nouveaux SMS constitue une négligence de la part de M. [G], celle-ci ne revêt pas le caractère de gravité exigé, dès lors qu’aucun élément ne lui permettait de se douter qu’il n’était pas en conversation avec une personne de la société BNP Paribas aux fins d’annuler les opérations de paiement.

Le fait que M. [G] ait été en visioconférence au moment où les SMS sont apparus est sans incidence, dans la mesure où le premier de ces messages avait l’apparence de l’authenticité et qu’en conséquence, même une personne normalement attentive pouvait ne pas douter de sa provenance frauduleuse. Une fois en conversation téléphonique avec le prétendu conseiller BNP et au vu de l’urgence générée par les quatre messages suivants mentionnant des achats pour des montants élevés, M. [G] n’était plus en mesure de remarquer que ces quatre nouveaux SMS provenaient d’un autre numéro, peu important qu’il ait eu sa réunion en fond sonore.

De même, le fait qu’un e-mail ait été adressé à la société Yewa quelques jours auparavant par la société Bureau Vallée lui signalant le piratage de son site internet et la récupération possible des données bancaires de ses clients est sans effet, puisque le SMS d’hameçonnage ne permettait pas de douter de son caractère frauduleux.

En conséquence, il n’y a pas lieu de retenir la négligence grave de la société Yewa et la banque doit donc être condamnée à rembourser à celle-ci la somme totale de 4.012 euros. Le jugement sera ainsi infirmé de ce chef.

Sur la demande de dommages-intérêts pour résistance abusive

La société Yewa fait valoir qu’en refusant de procéder au remboursement des sommes malgré de multiples relances en ce sens, la banque oppose une résistance abusive, de sorte qu’elle est bien fondée à réclamer sa condamnation à lui payer la somme de 3.000 euros en réparation.

La banque réplique que son seul refus de faire droit à la demande de remboursement ne caractérise pas un abus.

Sur ce,

Bien que la négligence grave invoquée par la banque ne soit pas retenue, le refus de celle-ci de procéder au remboursement n’est aucunement abusif, de sorte que le jugement sera confirmé en ce qu’il rejette cette demande.

Sur les dépens et l’article 700 du code de procédure civile

La banque succombant à l’instance, elle sera condamnée aux dépens de première instance et d’appel.

En application de l’article 700 du code de procédure civile, elle sera condamnée à payer à la société Yewa la somme de 1.500 euros.

La cour, statuant contradictoirement,

Infirme le jugement déféré, sauf en ce qu’il rejette la demande de dommages-intérêts pour résistance abusive formée par la société Yewa ;

Statuant à nouveau et y ajoutant,

Condamne la société BNP Paribas à payer à la société Yewa la somme de quatre mille douze euros (4.012 euros) en remboursement des opérations de paiement contestées ;

Condamne la société BNP Paribas aux dépens de première instance et d’appel ;

Condamne la société BNP Paribas à payer à la société Yewa la somme de mille-cinq-cents euros (1.500 euros) au titre de l’article 700 du code de procédure civile.

LA GREFFIERE LA PRESIDENTE