D’après les chiffres définitifs du ministère de l’intérieur sur les crimes et délits constatés en France en 2017, les escroqueries et les abus de confiance qui regroupent notamment les utilisations frauduleuses d’instruments de paiement ont connu une augmentation de leur nombre constante jusqu’en 2016.
Cette progression n’a rien d’étonnant : la dématérialisation croissante des opérations bancaires, l’essor du paiement à distance et la circulation des données sensibles sur les réseaux ont multiplié les vecteurs de fraude. Là où, naguère, le détournement supposait la soustraction matérielle d’une carte, il s’opère désormais, le plus souvent, par la captation des seules données qui lui sont liées — numéro de carte, date de validité, cryptogramme visuel, identifiants de connexion. C’est précisément cette mutation des pratiques frauduleuses qui a appelé une intervention répétée du législateur.
En 2001, le législateur avait réagi à ce phénomène au moyen de la loi n° 2001-1062 du 15 novembre 2001 relative à la sécurité quotidienne qui visait à protéger les titulaires de carte bancaires victimes de tels agissements.
En 2009, le gouvernement a cherché à renforcer cette protection, en adoptant l’ordonnance n° 2009-966 du 15 juillet 2009 qui, dans un souci de simplification du droit, a étendu à tous les instruments de paiement le régime de responsabilité et de répartition des pertes qui était antérieurement applicable aux seules cartes de paiement. Cette ordonnance, prise pour la transposition de la première directive sur les services de paiement, a posé les fondations d’un dispositif depuis lors enrichi par l’ordonnance n° 2017-1252 du 9 août 2017, laquelle a notamment abaissé de 150 à 50 euros le plafond de la franchise et consacré l’exigence d’authentification forte.
Il peut, néanmoins, être observé que l’application certaines règles du régime ainsi institué sont inapplicables, en pratique, pour le virement, car non adaptées. Tel est par exemple le cas du régime du vol et de la perte de l’instrument de paiement. Le virement, en effet, ne suppose la remise d’aucun support matériel susceptible d’être égaré ou dérobé : il procède d’un ordre donné par le payeur à partir de ses propres identifiants. Les règles bâties sur l’idée d’une dépossession physique de l’instrument y demeurent dès lors largement théoriques, tandis que celles qui gouvernent l’utilisation détournée des données conservent, à son endroit, toute leur pertinence.
Aussi, convient-il de faire preuve de discernement dans l’application de ces règles qui, pour la plupart, demeurent applicables à l’ensemble des instruments de paiement.
Cette mise en garde commande d’aborder le régime de remboursement en distinguant rigoureusement ses différents temps : d’abord les conditions de recevabilité de la demande — sans lesquelles aucun remboursement ne peut être obtenu, fût-il dû au fond —, ensuite ses fondements, articulés autour du pivot que constitue l’opposition, enfin la pierre angulaire du dispositif qu’est la notion de faute du payeur.
I) §1 : La recevabilité de la demande
En cas de perte, vol ou de détournement d’un instrument de paiement, l’article L. 133-24 du Code monétaire et financier prévoit que la demande de remboursement est soumise à des conditions de recevabilité. Cette exigence procède d’un impératif de sécurité juridique : le prestataire de services de paiement ne saurait demeurer indéfiniment exposé à la contestation d’opérations anciennes, dont la vérification deviendrait, avec le temps, impraticable. Le délai assigné au payeur poursuit ainsi une finalité probatoire autant que de stabilité des écritures comptables.
- Principe
- L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement.
Deux exigences temporelles doivent ici être soigneusement distinguées, car elles ne procèdent pas de la même logique. D’une part, le signalement « sans tarder » traduit un devoir de diligence dont le manquement est susceptible de caractériser une négligence ; il s’apprécie in concreto, au regard notamment des habitudes d’utilisation de l’instrument par son titulaire. D’autre part, le délai de treize mois constitue un délai de forclusion, c’est-à-dire un couperet : son expiration éteint l’action en remboursement, sans qu’il soit besoin de démontrer un quelconque préjudice subi par le prestataire. Le point de départ en est fixé non à la connaissance de la fraude, mais — de manière plus rigoureuse pour le payeur — à la date du débit litigieux.
La réserve finale du texte tempère néanmoins la rigueur de la forclusion : le délai ne court qu’à la condition que le prestataire ait effectivement fourni ou mis à disposition les informations relatives à l’opération. À défaut d’information du payeur, ce dernier ne saurait se voir opposer un délai qu’il n’a pas été mis en mesure de respecter.
- Exception
- Si l’utilisateur du moyen de paiement agit dans le cadre de l’exercice d’une activité professionnel, la convention peut prévoir un autre délai de forclusion de la demande de remboursement
Cette faculté de stipulation conventionnelle traduit la summa divisio qui irrigue l’ensemble du droit des services de paiement : le régime protecteur est impératif à l’égard du consommateur, mais demeure largement supplétif lorsque l’utilisateur agit pour les besoins de son activité professionnelle. Le professionnel, réputé averti, peut ainsi consentir à un aménagement contractuel — généralement un raccourcissement du délai — que le consommateur ne saurait, pour sa part, se voir imposer.
II) §2 : Les fondements de la demande
Aux termes de l’article L. 133-17 du Code monétaire et financier « lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci. »
Dès lors que l’une des situations visées par cette disposition est caractérisée, le payeur a donc l’obligation de faire opposition auprès de sa banque dans les plus brefs délais.
La responsabilité du payeur sera envisagée différemment selon que l’on se situe avant ou après l’opposition. Cette ligne de partage constitue la clef de voûte du dispositif : avant l’opposition, le payeur assume une part résiduelle et plafonnée du risque, parce qu’il était seul en mesure de détecter l’anomalie et d’en aviser son prestataire ; après l’opposition, le risque pèse intégralement sur le prestataire, désormais averti et techniquement à même de bloquer l’instrument. L’opposition transfère ainsi la maîtrise du risque, et avec elle la charge de la perte.
A) Avant l’opposition
Le Code monétaire et financier envisage trois situations auxquelles il apporte des réponses différentes :
- La fraude résulte d’une perte ou d’un vol de l’instrument de paiement
- La fraude résulte d’une utilisation à distance des données de l’instrument de paiement
- La fraude résulte d’une falsification de l’instrument de paiement
Cette tripartition n’est pas arbitraire : elle épouse les modes opératoires concrets de la fraude et commande, pour chacun, un curseur de responsabilité distinct. La perte ou le vol, qui supposent une dépossession matérielle imputable, au moins en partie, à la sphère de maîtrise du payeur, justifient le maintien d’une franchise. L’utilisation à distance des seules données, à laquelle le payeur demeure le plus souvent totalement étranger, appelle au contraire une exonération de principe. La falsification, enfin, emprunte à l’un ou l’autre régime selon que le payeur avait — ou non — conservé la possession de son instrument.
1) Perte ou vol de l’instrument de paiement bancaire
Il convient de distinguer selon que le payeur a agi frauduleusement ou selon qu’il est de bonne foi.
- a) Le payeur a agi frauduleusement
Lorsqu’il est établi que le payeur a agi frauduleusement ce qui impliquerait qu’il est, soit à l’origine de la fraude, soit a concouru à sa réalisation, il supporte, en tout état de cause, les pertes occasionnées. La fraude du payeur recouvre ici l’hypothèse de la collusion — par exemple, le titulaire qui organise l’utilisation de sa carte par un complice pour en contester ensuite les opérations — comme celle du faux signalement destiné à obtenir un remboursement indu. La solution n’est que l’application de l’adage fraus omnia corrumpit : la fraude fait échec à toutes les règles protectrices.
Il ne disposera d’aucun recours contre le prestataire de paiement qui est totalement exonéré de sa responsabilité.
b) Le payeur n’a pas agi frauduleusement
Dans cette hypothèse, il convient de distinguer selon que le payer a ou non commis une faute.
Reste que le remboursement du payeur sera, en tout état de cause, subordonné à la recevabilité de sa demande.
i) Le payeur n’a commis aucune faute
- Principe
- L’article L. 133-19, I, al. 1er du CMF prévoit que « en cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17, les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 €.»
- Cette disposition institue donc un principe de responsabilité du payeur dans la limite de 50 €.
- Au-delà de ce montant, c’est au prestataire de paiement de prendre en charge les pertes constatées.
- Il lui appartient, dans ces conditions, de procéder au remboursement du client.
La logique de cette franchise mérite d’être explicitée. Le payeur de bonne foi n’est pas exonéré au premier euro : le législateur fait peser sur lui une part minime mais réelle de la perte, afin de l’inciter à la vigilance et à la promptitude de l’opposition. Le plafond de 50 euros — abaissé en 2017 — marque toutefois le caractère résiduel de cette responsabilité, l’essentiel de la perte étant reporté sur le prestataire dès lors que la bonne foi du payeur n’est pas démentie par une faute.
- Exceptions
- L’article L. 133-19, I, al. 2 du CMF énonce plusieurs exceptions qui, si elles sont caractérisées, exonère de toute responsabilité le payeur.
- A cet égard, sa responsabilité ne sera pas engagée en cas :
- D’opération de paiement non autorisée effectuée sans utilisation des données de sécurité personnalisées
- De perte ou de vol de l’instrument de paiement ne pouvant être détecté par le payeur avant le paiement ;
- De perte due à des actes ou à une carence d’un salarié, d’un agent ou d’une succursale d’un prestataire de services de paiement ou d’une entité vers laquelle ses activités ont été externalisées.
Ces trois exceptions partagent une même justification : dans chacune, le payeur s’est trouvé dans l’impossibilité de prévenir la fraude, soit parce que celle-ci a été commise sans recours à ses données de sécurité personnalisées, soit parce qu’elle procède d’une défaillance interne au prestataire. Dans ces hypothèses, la franchise de 50 euros elle-même disparaît, et le remboursement doit être intégral. La première exception, en particulier, revêt une portée considérable en matière de paiement à distance : faute d’utilisation du dispositif de sécurité personnalisé, le payeur est exonéré sans plafond.
ii) Le payeur a commis une faute
- Principe : responsabilité du payeur (art. L. 133-19, IV CMF)
- Dans l’hypothèse où le payeur a commis une faute, il devra supporter l’intégralité des pertes résultant de la fraude.
- Par faute, il faut entendre que l’utilisateur du moyen de paiement n’a pas satisfait intentionnellement ou par négligence grave aux obligations suivantes :
- Ne prend aucune mesure pour préserver la sécurité de ses dispositifs de sécurité personnalisés ( L. 133-16 CMF)
- N’informe pas dans un délai raisonnable sa banque de la perte ou du vol de son instrument de paiement ( L. 133-17 CMF)
Il importe de souligner le seuil de gravité exigé : la faute exclusive de tout remboursement n’est pas la simple imprudence, mais l’intention frauduleuse ou la négligence grave. Cette dernière notion, dont l’appréciation cristallise l’essentiel du contentieux, fera l’objet du développement consacré ci-après à la notion de faute au sens de l’article L. 133-19, IV (v. infra, §3).
- Exceptions : responsabilité du prestataire de paiement (art. L. 133-19, III CMF)
- L’article L. 133-19 du CMF prévoit que, nonobstant la faute du payeur, celui-ci ne supporte aucune conséquence financière, sauf fraude, dans plusieurs cas :
- Si la banque ne fournit pas de moyens appropriés au payeur pour faire opposition dans un délai raisonnable lorsqu’il a connaissance de la perte ou du vol de son instrument de paiement
- Si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44.
- L’article L. 133-19 du CMF prévoit que, nonobstant la faute du payeur, celui-ci ne supporte aucune conséquence financière, sauf fraude, dans plusieurs cas :
La seconde de ces exceptions revêt, depuis l’entrée en vigueur de l’exigence d’authentification forte, une importance pratique majeure. Le prestataire qui a omis d’exiger une telle authentification — laquelle suppose la combinaison d’au moins deux éléments parmi un élément de connaissance (un mot de passe), un élément de possession (un téléphone) et un élément d’inhérence (une empreinte) — ne peut opposer au payeur sa propre négligence : la défaillance technique du prestataire absorbe la faute de l’utilisateur, hors le cas de fraude de ce dernier. La charge du risque se déplace alors vers celui qui était le mieux à même de le prévenir.
2) Utilisation à distance des données de l’instrument de paiement
Cette hypothèse — paiement sur internet, par téléphone ou par correspondance au moyen des seules données de la carte, sans présentation physique de celle-ci — constitue aujourd’hui le terrain d’élection de la fraude. Le payeur conserve, par hypothèse, la possession matérielle de son instrument ; seules ses données ont été captées, à son insu, par captation informatique, écumage (skimming) ou hameçonnage.
a) Le payeur n’a commis aucune faute
La responsabilité de l’utilisateur du moyen de paiement n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées.
Aussi, la banque a-t-elle l’obligation de rétablir le compte débité dans l’état où il se serait trouvé si le payeur n’avait pas été victime d’une fraude. Le principe est ici celui d’une exonération totale, sans franchise : le payeur dont les seules données ont été détournées, alors qu’il avait conservé son instrument, ne saurait se voir imputer la moindre part de la perte, dès lors qu’aucune négligence grave ne lui est reprochée.
Ce dernier sera donc fondé à réclamer le remboursement :
- D’une part, des sommes débitées à son insu
- D’autre part, des frais consécutifs à l’utilisation frauduleuse des données de son instrument de paiement (frais d’opposition et d’émission d’un nouvel instrument de paiement, agios débités en raison du solde débiteur, frais d’incident de paiement etc.).
Le rétablissement n’est donc pas un simple remboursement des sommes détournées : il commande la restitution de l’ensemble des accessoires qui en sont la conséquence directe. Le payeur doit retrouver, au centime près, la situation patrimoniale qui eût été la sienne en l’absence de fraude — c’est l’exigence d’une restitution intégrale.
b) Le payeur a commis une faute
- Principe : responsabilité du payeur (art. L. 133-19, IV CMF)
- Dans l’hypothèse où l’utilisateur du moyen de paiement a commis une faute, il devra supporter l’intégralité des pertes résultant de la fraude.
- Par faute, il faut entendre que l’utilisateur du moyen de paiement n’a pas satisfait intentionnellement ou par négligence grave aux obligations suivantes :
- Ne prend aucune mesure pour préserver la sécurité de ses dispositifs de sécurité personnalisés ( L. 133-16 CMF)
- N’informe pas dans un délai raisonnable sa banque de la perte ou du vol de son instrument de paiement ( L. 133-17 CMF)
En matière de fraude à distance, la négligence grave la plus fréquemment invoquée par les prestataires est la communication par le payeur lui-même de ses données de sécurité personnalisées, à la suite d’une manœuvre d’hameçonnage. La Cour de cassation a précisé, à cet égard, qu’une telle communication, lorsqu’elle procède d’un courriel ou d’un site frauduleux soigneusement imités, n’est pas, à elle seule, constitutive d’une négligence grave : encore faut-il que les juges du fond caractérisent concrètement les éléments qui auraient dû alerter un utilisateur normalement vigilant.
- Faits
- Le titulaire d’un compte avait communiqué, à la suite d’un hameçonnage, à une personne se présentant frauduleusement comme un agent de sa banque, les données personnelles permettant de réaliser un paiement par internet, ultérieurement contesté comme non autorisé.
- Problème
- La seule communication volontaire, mais provoquée par un hameçonnage, des données de sécurité personnalisées suffit-elle à caractériser la négligence grave excluant tout remboursement, au sens des articles L. 133-16 et L. 133-19 du Code monétaire et financier ?
- Solution
- La Cour de cassation censure la juridiction de proximité qui avait condamné la banque au remboursement sans rechercher concrètement si, eu égard aux circonstances, la communication de ces données ne procédait pas d’un manquement, par négligence grave, à l’obligation de préserver la sécurité des dispositifs de sécurité personnalisés : la décision est privée de base légale.
- Portée
- L’hameçonnage n’emporte ni exonération automatique du payeur, ni reconnaissance automatique de sa négligence grave. Le juge doit procéder à une appréciation in concreto des circonstances ayant entouré la divulgation des données — vraisemblance de la sollicitation, indices de fraude décelables par un utilisateur normalement attentif.
- Exceptions : responsabilité du prestataire de paiement (art. L. 133-19, III CMF)
- L’article L. 133-19 du CMF prévoit que, nonobstant la faute du payeur, celui-ci ne supporte aucune conséquence financière, sauf fraude, dans plusieurs cas :
- Si la banque ne fournit pas de moyens appropriés au payeur pour faire opposition dans un délai raisonnable lorsqu’il a connaissance de la perte ou du vol de son instrument de paiement
- Si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44.
- L’article L. 133-19 du CMF prévoit que, nonobstant la faute du payeur, celui-ci ne supporte aucune conséquence financière, sauf fraude, dans plusieurs cas :
3) La falsification de l’instrument de paiement
La falsification recouvre l’hypothèse de la contrefaçon de l’instrument : un tiers confectionne, à partir des données captées, un instrument matériel apparent — une carte clonée, par exemple — au moyen duquel il opère des retraits ou des paiements. Le régime applicable bifurque alors selon que le payeur avait, ou non, conservé la possession de son instrument authentique au moment des opérations frauduleuses.
a) Le payeur n’a commis aucune faute
- Le porteur était en possession de son instrument de paiement (art. L. 133-19, II, al. 2e CMF)
- Dans cette hypothèse, en cas d’opérations frauduleuses effectuées au moyen d’un instrument de paiement contrefait, la responsabilité du porteur n’est pas engagée.
- Il bénéficie du même régime d’exonération que le porteur dont les données de l’instrument de paiement ont été utilisées à distance
La justification de cette assimilation est limpide : le porteur qui détenait encore son instrument ne pouvait, par hypothèse, ni détecter la contrefaçon ni en prévenir l’usage. Sa situation est, en réalité, identique à celle du titulaire dont les seules données ont été détournées — d’où l’exonération sans franchise.
- Le porteur n’était pas en possession de son instrument de paiement (art. L. 133-19, I CMF)
- Dans cette hypothèse, le régime applicable est celui l’instrument de paiement perdu ou volé.
- Il en résulte que la franchise de 50 euros est susceptible d’être appliquée au payeur, sauf à ce qu’il s’inscrive dans l’une des exceptions énoncées au I de l’article L. 133-19 CMF.
Lorsque, au contraire, le porteur n’avait plus la possession de son instrument — celui-ci ayant été préalablement perdu ou volé avant d’être contrefait —, la dépossession matérielle réintègre l’opération dans la logique du vol : la franchise de 50 euros retrouve son empire, sous la réserve des exceptions du I. La distinction repose ainsi tout entière sur la possession : critère matériel simple, mais déterminant pour l’étendue de la charge supportée par le payeur.
b) Le porteur a commis une faute
- Principe : responsabilité du payeur (art. L. 133-19, IV CMF)
- Dans l’hypothèse où le porteur de l’instrument de paiement a commis une faute, il devra supporter l’intégralité des pertes résultant de la fraude.
- Par faute, il faut entendre que le porteur n’a pas satisfait intentionnellement ou par négligence grave aux obligations suivantes :
- Ne prend aucune mesure pour préserver la sécurité de ses dispositifs de sécurité personnalisés ( L. 133-16 CMF)
- N’informe pas dans un délai raisonnable sa banque de la perte ou du vol de son instrument de paiement ( L. 133-17 CMF)
- Exceptions : responsabilité du prestataire de paiement (art. L. 133-19, III CMF)
- L’article L. 133-19 du CMF prévoit que, nonobstant la faute du payeur, celui-ci ne supporte aucune conséquence financière, sauf fraude, dans plusieurs cas :
- Si la banque ne fournit pas de moyens appropriés au porteur de l’instrument de paiement pour faire opposition dans un délai raisonnable lorsqu’il a connaissance de la perte ou du vol de son instrument de paiement
- Si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44.
- L’article L. 133-19 du CMF prévoit que, nonobstant la faute du payeur, celui-ci ne supporte aucune conséquence financière, sauf fraude, dans plusieurs cas :
B) Après l’opposition (art. L. 133-20 CMF)
Pour rappel, aux termes de l’article L. 133-17 du Code monétaire et financier « lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci. »
Dès lors que l’une des situations visées par cette disposition est caractérisée, le porteur de l’instrument de paiement a donc l’obligation de faire opposition auprès de sa banque dans les plus brefs délais.
- Principe
- Après avoir formé opposition auprès de sa banque, le porteur ne supporte aucune conséquence financière résultant de l’utilisation de cet instrument de paiement ou de l’utilisation détournée des données qui lui sont liées.
La règle se comprend aisément : une fois l’opposition formée, le prestataire est averti et dispose des moyens techniques de neutraliser l’instrument. Le risque, désormais, relève de sa seule sphère de maîtrise. Toute opération frauduleuse postérieure à l’opposition doit donc, par principe, être intégralement remboursée — sans franchise, ni distinction selon le mode opératoire de la fraude. L’opposition opère ainsi un transfert pur et simple de la charge du risque vers le prestataire.
- Exception
- La responsabilité du porteur est rétablie en cas de fraude de celui-ci
L’exception est, ici encore, l’expression de l’adage fraus omnia corrumpit : le porteur qui a lui-même organisé ou favorisé la fraude — par exemple en formant une opposition de pure façade pour couvrir des opérations qu’il a en réalité autorisées — ne saurait se prévaloir de la protection légale. La mauvaise foi ruine le bénéfice du régime, fût-ce après l’opposition.
§3 : Focus sur la notion de faute au sens de l’article L. 133-19, IV du CMF
L’article L. 133-19, IV du CMF dispose que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations suivantes :
- Il ne prend aucune mesure pour préserver la sécurité de ses dispositifs de sécurité personnalisés ( L. 133-16 CMF)
- Il n’informe pas dans un délai raisonnable sa banque de la perte ou du vol de son instrument de paiement ( L. 133-17 CMF)
Dès lors que l’une de ces deux situations est caractérisée, le prestataire de paiement n’engage pas sa responsabilité, de sorte que le payeur ne pourra prétendra à aucun remboursement.
L’enjeu de la qualification est considérable : seule la négligence grave, et non toute imprudence, prive le payeur de son droit au remboursement. La jurisprudence veille, à cet égard, à ce que les juges du fond ne déduisent pas mécaniquement la négligence grave de la seule survenance de la fraude. Tel est le sens d’une jurisprudence constante exigeant une appréciation in concreto du comportement du titulaire au regard de ses habitudes d’utilisation et des circonstances de l’espèce.
- Faits
- Le titulaire d’une carte de retrait avait, selon ses propres déclarations, laissé sa carte dans son véhicule et le code confidentiel correspondant dans la boîte à gants de ce même véhicule, demeuré sans surveillance, lieu où l’ensemble fut soustrait puis utilisé frauduleusement.
- Problème
- Le fait de conserver, dans un même lieu non surveillé, l’instrument de paiement et le code confidentiel qui lui est attaché caractérise-t-il la négligence grave excluant le remboursement du titulaire ?
- Solution
- La cour d’appel, approuvée par la Cour de cassation, déduit de l’aveu même du titulaire qu’en laissant son code personnel à proximité de sa carte dans un lieu sans surveillance, il avait commis une imprudence grave, faisant ainsi ressortir un manquement par négligence grave à ses obligations.
- Portée
- La conservation conjointe de l’instrument et de son code confidentiel — qui ruine l’étanchéité entre l’objet et le secret censé le protéger — constitue l’archétype de la négligence grave. L’arrêt illustre que la négligence grave, si elle ne se présume pas, peut résulter des propres déclarations du titulaire établissant un défaut manifeste de précaution.
Reste qu’il appartient à l’établissement bancaire de prouver que le client n’a pas satisfait à ses obligations, soit intentionnellement, soit par négligence. La charge de cette preuve constitue le second pilier du dispositif, et il convient à présent de s’y arrêter.
Si le manquement à l’obligation d’information de la perte ou du vol de l’instrument de paiement ne soulève aucune difficulté particulière, plus difficile est l’appréhension de l’obligation qui impose au payeur prendre des mesures pour préserver la sécurité de ses dispositifs de sécurité personnalisés.
L’examen de la jurisprudence révèle que le débat se focalise essentiellement sur les circonstances susceptibles de caractériser la négligence grave du payeur quant à la préservation de ses données bancaires.
C) La preuve
1) La preuve de la négligence
Régulièrement, la Cour de cassation affirme que, en cas d’utilisation frauduleuse d’un instrument de paiement, il appartient à l’établissement bancaire de rapporter la preuve de la faute de son titulaire. La règle, conforme à l’adage actori incumbit probatio, opère ici au bénéfice du payeur : ce n’est pas à celui qui conteste l’opération d’établir sa propre diligence, mais au prestataire qui lui oppose une faute d’en rapporter la démonstration.
Récemment, dans un arrêt du 28 mars 2018, la Cour de cassation a affirmé en ce sens que « si, aux termes des articles L. 133-16 et L. 133-17 du code monétaire et financier, il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées, c’est à ce prestataire qu’il incombe, par application des articles L. 133-19, IV, et L. 133-23 du même code, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations »
La Chambre commerciale ajoute que « cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés » (Cass. com. 28 mars 2018, n° 16-20018CassationManque, par négligence grave, à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés l'utilisateur d'un service de paiement qui communique les données personnelles de ce dispositif de sécurité en réponse à un courriel qui contient des indices permettant à un utilisateur normalement attentif de douter de sa provenance, peu important qu'il soit, ou non, avisé des risques d'hameçonnageSommaire d'origine, base Judilibre — texte non retouchéConsulter sur courdecassation.fr ↗).
Cette précision est capitale : elle interdit au prestataire de se contenter d’une preuve par défaut, tirée du seul fonctionnement technique de l’instrument. Le fait que l’opération ait été authentifiée par la saisie du code ou des données de sécurité ne suffit pas à établir la faute du titulaire ; le prestataire doit produire des éléments positifs caractérisant, concrètement, un manquement de l’utilisateur. À défaut, le risque probatoire pèse sur lui, et le remboursement est dû.
Cette position est partagée par la première chambre civile qui avait statué dans le même sens dans un arrêt du 28 mars 2018 en considérant que « en cas de perte ou de vol, le titulaire d’une carte de paiement qui a effectué la mise en opposition dans les meilleurs délais compte tenu de ses habitudes d’utilisation de cette carte, ne supporte intégralement la perte subie que s’il a agi avec négligence constituant une faute lourde ; qu’il appartient à l’émetteur de rapporter cette preuve »
La Cour de cassation avait, à l’instar de la Chambre commerciale précisé que « la circonstance que la carte ait été utilisée par un tiers avec composition du code confidentiel n’est, à elle seule, pas susceptible de constituer la preuve d’une telle faute » (Cass. 1ère civ. 28 mars 2008, n° 16-20018).
La convergence des deux chambres mérite d’être soulignée : qu’il s’agisse de la composition du code confidentiel par le fraudeur (1re chambre civile) ou de l’utilisation effective des données de sécurité (chambre commerciale), la Cour de cassation refuse de voir dans le seul succès technique de l’opération frauduleuse la preuve d’une faute du titulaire. La saisie correcte du code peut, en effet, procéder d’un dispositif d’observation, d’un clonage ou d’une contrainte — autant d’hypothèses où le titulaire demeure étranger à la divulgation. La charge probatoire pesant sur le prestataire en sort renforcée.
Dans un arrêt du 4 juillet 2018, la Cour de cassation a apporté des précisions sur les éléments de preuve dont était susceptible de se prévaloir l’établissement bancaire pour démontrer la négligence grave de son client (Cass. com. 4 juill. 2018, n° 17-10158CassationVu l'article L. 511-33 du code monétaire et financier, ensemble les articles 6 de la Convention de sauvegarde des droits de l'homme et des libertés fondamentales et 9 du code de procédure civile ; Attendu que, pour écarter des débats les relevés du compte de Mme Y... pour la période du 11 janvier 2012 au 28 novembre 2013 produits par la banque et condamner cette dernière à payer à Mme Y... la somme de 4 442,60 euros au titre du remboursement des retraits effectués avec sa carte de paiement, l'arrêt retient que la banque, en produisant lesdits relevés quand aucun élément ne lui permettait de lever le secret bancaire, a violé celui-ci ; Qu'en se déterminant ainsi, sans rechercher si la product…Sommaire d'origine, base Judilibre — texte non retouchéConsulter sur courdecassation.fr ↗). Cet arrêt déplace utilement le débat du fardeau de la preuve vers les moyens admissibles pour s’en acquitter, en confrontant le droit à la preuve du prestataire au secret bancaire qui protège son client.
- Faits
- Un client titulaire d’un compte dans les livres de la société HSBC France a assigné cette dernière en remboursement de sommes inscrites au débit de ce compte au titre d’opérations réalisées au moyen de sa carte de paiement, qu’elle contestait avoir autorisées
- Procédure
- Dans un arrêt du 22 septembre 2016, la Cour d’appel de Paris a condamné la banque au paiement de la somme de 4 442,60 euros au titre du remboursement des retraits effectués avec sa carte de paiement.
- Pour parvenir à cette solution, les juges du fond ont écarté des débats les relevés du compte du client pour la période litigieuse produits par la banque qui cherchait à démontrer le caractère habituel des opérations contestées ce qui, dès lors, impliquait une autorisation de la part du client.
- Toutefois, pour la Cour d’appel, le secret bancaire, qui ne pouvait pas être levé en l’espèce, faisait obstacle à la production desdits relevés.
- Solution
- Dans son arrêt du 4 juillet 2018, la Cour de cassation casse et annule l’arrêt de la Cour d’appel de Paris.
- Elle lui reproche de n’avoir pas recherché si la production litigieuse n’était pas indispensable à l’exercice par la banque de son droit à la preuve et proportionnée aux intérêts antinomiques en présence.
- Autrement dit, pour la Cour de cassation, dès lors que l’établissement bancaire cherche à défendre ses intérêts dans le cadre de la procédure qui l’oppose à son client, il est légitimement en droit de produire les relevés de comptes de ce dernier sans que le secret bancaire puisse lui être opposé.
La portée de cette solution dépasse le seul contentieux de la fraude. Elle consacre, au profit du prestataire, un véritable droit à la preuve susceptible de faire échec au secret bancaire, à la double condition que la production sollicitée soit indispensable à l’exercice de ce droit et proportionnée aux intérêts en présence. C’est dire qu’aucun des deux impératifs — protection du secret, efficacité de la preuve — ne l’emporte par principe : il revient au juge d’opérer, in concreto, une mise en balance. Le titulaire qui conteste une opération ne saurait ainsi se retrancher derrière le secret bancaire pour priver le prestataire des moyens d’établir le caractère habituel — et donc, le cas échéant, autorisé — des opérations litigieuses.
D) L’appréciation de la faute
Le régime protecteur du payeur n’est pas absolu : il cède dès lors que ce dernier a manqué à ses propres obligations de vigilance. Encore faut-il déterminer ce que recouvre, précisément, la faute susceptible de priver l’utilisateur de son droit au remboursement, et sur qui pèse la charge d’en établir l’existence. Ces deux questions — la teneur de la faute et la preuve de la faute — commandent l’ensemble du contentieux de la fraude aux instruments de paiement.
Il importe, à titre liminaire, de distinguer deux degrés dans le comportement reproché au titulaire de l’instrument de paiement. D’un côté, la fraude du payeur — c’est-à-dire la collusion avec le prétendu fraudeur ou la dénonciation mensongère d’une opération qu’il a en réalité autorisée — emporte exclusion totale et inconditionnelle du remboursement. De l’autre, la négligence grave — qui ne suppose aucune intention frauduleuse mais un défaut de vigilance d’une particulière intensité — produit le même effet sur le terrain de la prise en charge des pertes, sans pour autant exiger la démonstration d’une quelconque mauvaise foi. C’est cette seconde notion qui nourrit l’essentiel du contentieux.
1) La charge de la preuve de la faute
Le point de départ du raisonnement réside dans la répartition du fardeau probatoire. Conformément à l’adage actori incumbit probatio, c’est à celui qui invoque la faute du payeur d’en rapporter la preuve. Or, en matière de fraude aux instruments de paiement, ce n’est jamais l’utilisateur qui se prévaut de sa propre négligence : c’est le prestataire de services de paiement qui l’oppose pour s’exonérer de son obligation de remboursement. Il s’ensuit que la charge de la preuve pèse sur l’établissement bancaire, et non sur son client.
Cette règle emporte une conséquence décisive, qui irrigue l’ensemble de la jurisprudence : avant toute opposition, le porteur est présumé n’avoir commis aucune faute. La présomption joue donc en sa faveur, et il revient à la banque de la renverser par la démonstration positive d’une négligence grave caractérisée — démonstration qui ne saurait se satisfaire du constat, par hypothèse acquis, que l’opération contestée a été techniquement réalisée.
a) L’absence de négligence
La jurisprudence a fermement posé le principe selon lequel l’utilisation effective de l’instrument de paiement, fût-elle accompagnée de la composition du dispositif de sécurité, ne suffit pas, à elle seule, à établir la négligence grave du titulaire.
Dans un arrêt du 2 octobre 2007, la Cour de cassation a considéré que « en cas de perte ou vol d’une carte bancaire, il appartient à l’émetteur de la carte qui se prévaut d’une faute lourde de son titulaire, au sens de l’article L. 132-3 du code monétaire et financier, d’en rapporter la preuve ; que la circonstance que la carte ait été utilisée par un tiers avec composition du code confidentiel est, à elle seule, insusceptible de constituer la preuve d’une telle faute » (Cass. com. 2 oct. 2017, n°05-19899).
La solution se comprend à la lumière de la charge probatoire : admettre que la seule composition du code vaille preuve de la faute reviendrait à dispenser la banque de toute démonstration et à faire peser sur le client une présomption de négligence que les textes ne prévoient nullement. Le raisonnement est, à cet égard, d’une parfaite cohérence avec le principe selon lequel la faute ne se déduit pas de l’usage.
Par arrêt du 18 janvier 2017, la Cour de cassation a jugé, dans le droit fil de cette analyse, que la preuve de la négligence grave ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés, peu important que l’authentification prévue par l’établissement bancaire ait été forte (Cass. com. 18 janv. 2017, 15-18102RejetSi, aux termes des articles L. 133-16 et L. 133-17 du code monétaire et financier, il appartient à l'utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d'informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l'instrument de paiement ou des données qui lui sont liées, c'est à ce prestataire qu'il incombe, par application des articles L. 133-19, IV, et L. 133-23 du même code, de rapporter la preuve que l'utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n'a pas satisfait, intentionnellement ou par négligence grave, à ses obl…Sommaire d'origine, base Judilibre — texte non retouchéConsulter sur courdecassation.fr ↗).
Il s’agissait, en l’espèce, du système payweb qui impliquait nécessairement qu’un tiers se soit trouvé en possession des données personnelles du payeur dont ce dernier devait assurer la conservation.
Aussi, était-il nécessaire que soient renseignés un certain nombre de points dont les identifiants, mots de passe et codes de clefs pour permettre la réalisation des opérations à distance.
La présence d’une authentification forte n’a, toutefois, pas suffi à convaincre la Cour de cassation de la négligence grave du payeur, celle-ci considérant que la preuve ne pouvait pas se déduire de cette seule circonstance. L’enseignement est important : la robustesse technique du procédé d’authentification — fût-il à double facteur — ne déplace pas la charge de la preuve et ne dispense pas la banque d’établir, par des éléments extrinsèques, le comportement gravement négligent qu’elle impute à son client.
Récemment, la Cour de cassation a statué dans le même sens dans un arrêt du 21 novembre 2018.
- Faits
- Le titulaire d’un compte de dépôt ouvert dans les livres de la société Caisse de crédit mutuel de Chauny a contesté avoir réalisé les opérations de paiement et de retrait de numéraire prélevées sur ce compte, entre le 21 et le 22 novembre 2013, pour une somme de 2 979,61 euros, et en a demandé le remboursement à la banque qui s’y est opposée.
- Procédure
- Par un jugement du 6 mars 2017, le Tribunal de proximité de Laon a débouté le client de sa demande de remboursement.
- Au soutien de leur décision, les juges du fond ont relevé que :
- Les opérations avaient été effectuées à partir du site « banque à distance » de l’établissement de crédit
- Les coordonnées personnelles du client figurant sur ce site (numéro de téléphone et adresse électronique) avaient été modifiées, permettant ainsi de recevoir sur un autre numéro ou adresse électronique les codes de confirmation nécessaires à la validation desdites opérations,
- Les opérations litigieuses n’avaient pu être réalisées qu’en ayant connaissance d’éléments d’identification confidentiels (identifiant et mot de passe de connexion sur le site « banque à distance », numéro de la carte bancaire avec cryptogramme et date de validité pour les opérations 3D Sécure et code de la carte de clés personnelles et code de confirmation adressé par SMS pour les opérations effectuées par le système payweb et e-retrait)
- Pour la juridiction de proximité, le fait que le téléphone portable du client ait pu être piraté ne peut suffire à expliquer que le « fraudeur » se soit retrouvé en possession des identifiants personnels du client et que ce dernier n’explique pas comment le « fraudeur » a pu avoir accès à sa carte de clés personnelles figurant sur un support papier qui lui a été remis par la banque et indispensable à la réalisation des opérations e-retrait et payweb,
- Le jugement en déduit que le client a nécessairement communiqué à un tiers ses données personnelles, en conséquence de quoi il était de sa responsabilité, conformément aux dispositions de l’article 4 des conditions générales de sa convention de compte, de veiller à ce qu’elles demeurent secrètes et ne soient divulguées à quiconque, et a ainsi commis une négligence grave de nature à exclure le remboursement des sommes payées
- Solution
- Dans son arrêt du 21 novembre 2018, la Cour de cassation casse et annule la décision rendue par la juridiction de proximité de Laon au visa des articles L. 133-16, L. 133-17, L. 133-19, IV, et L. 133-23 du code monétaire et financier, dans leur rédaction antérieure à celle issue de l’ordonnance du 9 août 2017.
- La chambre commerciale considère que « si, aux termes des deux premiers de ces textes, il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées, c’est à ce prestataire qu’il incombe, par application des deux autres textes, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait, intentionnellement ou par négligence grave, à ses obligations ; que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés ».
- Aussi, reproche-t-elle aux juges du fond de n’avoir déduit l’existence d’une négligence grave du client « que de l’utilisation effective de l’instrument de paiement ou des données personnelles qui lui sont liées» ( com. 21 nov. 2018, n°17-18888CassationVu les articles L. 133-16, L. 133-17, L. 133-19, IV, et L. 133-23 du code monétaire et financier, dans leur rédaction antérieure à celle issue de l'ordonnance du 9 août 2017 ; Attendu que, si, aux termes des deux premiers de ces textes, il appartient à l'utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d'informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l'instrument de paiement ou des données qui lui sont liées, c'est à ce prestataire qu'il incombe, par application des deux autres textes, de rapporter la preuve que l'utilisateur, qui nie avoir autorisé u…Sommaire d'origine, base Judilibre — texte non retouchéConsulter sur courdecassation.fr ↗).
La portée de cette ligne jurisprudentielle est considérable. Elle interdit aux juges du fond de raisonner à rebours, c’est-à-dire de déduire la divulgation des données — et, partant, la négligence — de la seule réalisation technique de l’opération frauduleuse. Le caractère secret des données et la complexité du procédé de fraude ne constituent pas, en eux-mêmes, la preuve que le client les a livrées par imprudence. La banque doit établir, par des circonstances concrètes et vérifiables, en quoi le comportement du payeur a été gravement négligent.
b) L’admission de la négligence
Si l’usage de l’instrument ne prouve pas la faute, la négligence grave peut néanmoins être caractérisée dès lors que la banque établit, par des éléments extrinsèques, un défaut manifeste de vigilance du payeur. La jurisprudence en a dégagé plusieurs hypothèses typiques, qu’il convient de présenter de manière ordonnée, de la conservation matérielle de l’instrument jusqu’au comportement du titulaire confronté à une tentative d’hameçonnage.
- Composition du code confidentiel
- S’il est de jurisprudence constante que le seul fait que la carte ait été utilisée par un tiers avec composition du code confidentiel n’est, à lui seul, pas susceptible de constituer la preuve d’une négligence grave, dans un arrêt du 31 mai 2016 la Cour de cassation a considéré que le payeur avait commis une négligence grave dès lors qu’il est établi que « les opérations litigieuses ont toutes été effectuées, sur une brève période de quinze jours et à de multiples reprises, au moyen de la carte, que le code confidentiel a été composé à chaque fois et qu’à la suite du dépôt de plainte, aucune infraction pénale n’a été mise en évidence» ( com. 31 mai 2016, n°14-29.906RejetMais attendu que, par motifs propres et adoptés, l'arrêt retient que les opérations litigieuses ont toutes été effectuées, sur une brève période de quinze jours et à de multiples reprises, au moyen de la carte, que le code confidentiel a été composé à chaque fois et qu'à la suite du dépôt de plainte, aucune infraction pénale n'a été mise en évidence, Mme E... ne précisant d'ailleurs pas, à propos des opérations de retrait d'espèces à des distributeurs automatiques de billets équipés de caméras de surveillance, si une exploitation des données filmées avait eu lieu ; qu'il ajoute qu'aucune « anomalie du fonctionnement bancaire » n'a été établie ; qu'en déduisant de ces constatations et appréci…Sommaire d'origine, base Judilibre — texte non retouchéConsulter sur courdecassation.fr ↗).
- L’enseignement de cet arrêt mérite d’être souligné : ce n’est pas la composition du code, prise isolément, qui emporte la qualification de négligence grave, mais le faisceau d’indices qui l’entoure — la répétition des opérations, leur concentration dans le temps, la possession physique conservée de la carte et l’absence de toute infraction caractérisée. La preuve de la faute se construit ainsi par accumulation de circonstances convergentes, et non par la seule constatation de l’usage du dispositif de sécurité.
- Préservation du code confidentiel
- Dans un arrêt du 16 octobre 2012, la Cour de cassation a jugé que le fait de laisser la carte bancaire dans un véhicule et le code confidentiel dans la boîte à gants peut être qualifié d’imprudence constituant une faute lourde ( com. 16 oct. 2012, n° 11-19.981RejetAprès avoir relevé que le titulaire d'une carte de retrait avait indiqué qu'il avait laissé comme d'habitude celle-ci dans son véhicule et le code confidentiel dans la boîte à gants, une cour d'appel retient qu'il résulte de son propre aveu qu'en laissant son code personnel à proximité de sa carte de retrait dans un lieu sans surveillance, il avait commis une imprudence grave, faisant ainsi ressortir qu'il avait agi avec une imprudence constituant une faute lourde au sens de l'article L. 132-3 ancien du code monétaire et financierSommaire d'origine, base Judilibre — texte non retouchéConsulter sur courdecassation.fr ↗).
- La solution illustre l’obligation, pour l’utilisateur, de prendre toute mesure raisonnable pour préserver la sécurité de son dispositif personnalisé : conserver, dans un même lieu non surveillé, l’instrument et le code destiné à le déverrouiller revient à anéantir la fonction même du secret. La proximité matérielle de la carte et de son code, dans un espace soustrait à toute surveillance, constitue le défaut de vigilance caractérisé que sanctionne la qualification de faute lourde.
- Faits
- Une cliente, destinataire d’un courriel frauduleux se présentant comme émanant de son opérateur, communique son nom, son numéro de carte bancaire, la date d’expiration et le cryptogramme de celle-ci, ainsi que des informations relatives à son compte permettant à un tiers de prendre connaissance du code 3D Secure. Des opérations non autorisées sont ensuite réalisées et elle en réclame le remboursement à sa banque.
- Problème
- La victime d’un hameçonnage est-elle, par cela seul qu’elle a été trompée, à l’abri de tout reproche de négligence grave, de sorte que la responsabilité de la banque serait nécessairement engagée ?
- Solution
- La Cour de cassation, au visa des articles L. 133-16 et L. 133-19 du code monétaire et financier, censure la juridiction qui avait condamné la banque sans rechercher si la cliente n’aurait pas pu avoir conscience du caractère frauduleux du courriel reçu et si, en communiquant ses données, elle n’avait pas manqué par négligence grave à ses obligations de sécurité.
- Portée
- Le phishing n’exonère pas, par principe, le payeur de toute faute. La communication des données de sécurité en réponse à une sollicitation frauduleuse est susceptible de constituer une négligence grave, dont l’existence doit être appréciée au regard des circonstances de l’espèce.
- Déclaration de la perte ou du vol de l’instrument de paiement
- Dans un arrêt du 3 septembre 2013, la Cour d’appel de Dijon a estimé que le fait d’avoir attendu plus de trois mois après avoir pris conscience de la perte de sa carte est constitutif, de la part du titulaire, d’une négligence grave, constitutive d’une faute lourde, au sens de l’article L. 133-19 du Code monétaire et financier (CA Dijon, 3 sept. 2013).
- Cette hypothèse procède d’une obligation distincte de la précédente : au-delà de la conservation matérielle de l’instrument, l’utilisateur est tenu d’informer sans tarder son prestataire de toute perte, vol, détournement ou utilisation non autorisée. Le retard à former opposition prive en effet la banque de la possibilité de bloquer l’instrument et concourt directement à la réalisation du dommage ; sa gravité, lorsqu’elle atteint plusieurs mois, justifie qu’il soit assimilé à une négligence grave excluant le remboursement.
- Phishing
- Première étape
- Dans un arrêt du 25 octobre 2017, la Cour de cassation a reproché à une Cour d’appel de n’avoir pas recherché si, au regard des circonstances de l’espèce, la cliente « n’aurait pas pu avoir conscience que le courriel qu’elle avait reçu était frauduleux et si, en conséquence, le fait d’avoir communiqué son nom, son numéro de carte bancaire, la date d’expiration de celle-ci et le cryptogramme figurant au verso de la carte, ainsi que des informations relatives à son compte SFR permettant à un tiers de prendre connaissance du code 3D Secure ne caractérisait pas un manquement, par négligence grave, à ses obligations mentionnées à l’article L. 133-16 du code monétaire et financier, la juridiction de proximité a privé sa décision de base légale» ( com. 25 oct. 2017, n°16-11.644CassationPrive sa décision de base légale, au regard des articles L. 133-16 et L. 133-19 du code monétaire et financier, la juridiction de proximité qui, pour condamner une banque à rembourser une somme prélevée sur le compte de son client au titre d'un paiement effectué par internet sans son autorisation, retient que ce dernier a communiqué, certes volontairement mais à la suite d'un hameçonnage, à une personne se présentant sous une fausse identité, les informations relatives à sa carte de paiement, qui ont ainsi été détournées à son insu, sans toutefois divulguer le code confidentiel de la carte, ni le code 3D Sécure, de sorte qu'il ne peut lui être reproché de ne pas avoir respecté les dispositio…Sommaire d'origine, base Judilibre — texte non retouchéConsulter sur courdecassation.fr ↗)
- Par cet arrêt, la Cour de cassation réfute la thèse qui tendrait à dire que, en cas de phishing, le payeur ne pourrait se voir reprocher aucune faute et que, par voie de conséquence, la responsabilité de la banque serait nécessairement engagée. Autrement dit, la qualité de victime d’une escroquerie ne constitue pas, en soi, un fait justificatif susceptible d’écarter toute appréciation du comportement du titulaire.
- Deuxième étape
- Dans un arrêt du 28 mars 2018, la Cour de cassation a précisé sa position en jugeant que « manque, par négligence grave, à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés l’utilisateur d’un service de paiement qui communique les données personnelles de ce dispositif de sécurité en réponse à un courriel qui contient des indices permettant à un utilisateur normalement attentif de douter de sa provenance, peu important qu’il soit, ou non, avisé des risques d’hameçonnage» ( com. 28 mars 2018, n°16-20018CassationManque, par négligence grave, à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés l'utilisateur d'un service de paiement qui communique les données personnelles de ce dispositif de sécurité en réponse à un courriel qui contient des indices permettant à un utilisateur normalement attentif de douter de sa provenance, peu important qu'il soit, ou non, avisé des risques d'hameçonnageSommaire d'origine, base Judilibre — texte non retouchéConsulter sur courdecassation.fr ↗).
- Par cet arrêt, la Cour de cassation affirme que la faute du client devait être appréciée in abstracto, soit au regard de l’utilisateur normalement attentif.
- Deux précisions méritent d’être relevées. D’une part, le standard de référence est objectif : il ne s’agit pas de mesurer la vigilance dont le titulaire concret était personnellement capable, mais celle qu’aurait déployée un utilisateur normalement attentif placé dans la même situation. D’autre part, la circonstance que le client ait été, ou non, averti des risques d’hameçonnage est indifférente : la vigilance attendue ne dépend pas d’une information préalable de la banque, mais de la présence, dans le message frauduleux, d’indices que toute personne raisonnablement diligente eût remarqués.
- Ainsi, la négligence grave du payeur est susceptible d’être caractérisée dès lors qu’il est établi que des indices auraient dû l’alerter sur l’existence d’un hameçonnage.
- Troisième étape
- Dans un arrêt du 6 juin 2018, la Cour de cassation réaffirme que « manque, par négligence grave, à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés l’utilisateur d’un service de paiement qui communique les données personnelles de ces dispositifs de sécurité en réponse à un courriel qui contient des indices permettant à un utilisateur normalement attentif de douter de sa provenance»
- Il ressort de cette décision que, si la faute du payeur ne résulte pas de l’utilisation de son instrument de paiement, elle peut être déduite de son comportement lorsqu’il est confronté à une tentative d’hameçonnage.
- La chambre commerciale reproche, en l’espèce, aux juges du fond de n’avoir pas tiré les conséquences de leurs constatations après avoir relevé que le client « réglait ses factures de téléphone par prélèvements et non par carte bancaires et qu’un examen attentif du courriel de rappel de paiement révélait de sérieuses irrégularités, de nature à faire douter de sa provenance, telles que l’inexactitude de l’adresse de l’expéditeur et du numéro du contrat mentionné ainsi que la discordance entre les montants réclamés»
- Dans un arrêt du 3 octobre 2018, la Cour de cassation reproche aux juges du fond qui avaient constaté que le payeur avait répondu à un courriel d’hameçonnage, de n’avoir pas recherché s’il ne résultait pas, de cette circonstance, un manquement de celui-ci, par négligence grave, à ses obligations ( com. 3 oct. 2018, n° 17-21395CassationVu les articles L. 133-16 et L. 133-19 du code monétaire et financier ; Attendu que pour condamner in solidum les sociétés Caisse de crédit mutuel de Pernes-en-Artois et Caisse fédérale du crédit mutuel Nord Europe à rembourser à M. X... le montant des opérations de paiement contestées, le jugement écarte toute négligence grave de M. X... ; Qu'en se déterminant ainsi, sans rechercher, au regard des circonstances de l'espèce, si le fait, qu'elle avait constaté, que M. X... ait répondu à un courriel d'hameçonnage ne résultait pas d'un manquement de celui-ci, par négligence grave, à ses obligations mentionnées au premier des textes susvisés, la juridiction de proximité a privé sa décision de ba…Sommaire d'origine, base Judilibre — texte non retouchéConsulter sur courdecassation.fr ↗).
- Première étape
De cette succession d’arrêts se dégage une méthode d’appréciation désormais stabilisée. La caractérisation de la négligence grave en matière d’hameçonnage repose sur un examen concret des indices contenus dans le message frauduleux — adresse de l’expéditeur erronée, incohérences dans les références contractuelles, discordances de montants, sollicitation inhabituelle de données sensibles — confronté au standard objectif de l’utilisateur normalement attentif. Plus ces indices sont grossiers et aisément décelables, plus la communication des données de sécurité par le titulaire trahit un défaut de vigilance que la qualification de négligence grave vient sanctionner.
2) Les conséquences financières attachées à la faute
L’enjeu de la qualification de la faute apparaît pleinement lorsque l’on en mesure les conséquences sur la répartition des pertes. Le régime de responsabilité du payeur diffère, en effet, selon que les opérations frauduleuses sont intervenues avant ou après l’opposition, et selon que le titulaire a, ou non, commis une faute.
Tant qu’aucune faute n’est établie à sa charge, le payeur bénéficie d’une protection graduée. Avant l’opposition, lorsque l’instrument a été utilisé au moyen du dispositif de sécurité personnalisé, le titulaire ne supporte qu’une franchise plafonnée — l’établissement prenant en charge l’intégralité des sommes excédant ce plafond ; lorsque l’opération non autorisée n’a pas requis l’usage de ce dispositif, aucune perte ne pèse sur le payeur, quel qu’en soit le montant. Après l’opposition, le titulaire est intégralement déchargé : il ne supporte aucune conséquence financière de l’utilisation ultérieure de son instrument ou des données qui lui sont liées.
À l’inverse, la démonstration d’une fraude ou d’une négligence grave bouleverse cet équilibre. Le payeur supporte alors l’intégralité des pertes résultant des opérations non autorisées : la faute fait tomber le plafonnement de la franchise comme la décharge attachée à l’opposition. Plus encore, lorsque la faute du titulaire procède d’une fraude, sa responsabilité est rétablie y compris pour les opérations postérieures à l’opposition — l’effet protecteur de celle-ci ne saurait, en effet, bénéficier à celui qui a participé à la manœuvre frauduleuse.
Décisions citées 8
Chaque décision de la Cour de cassation mentionnée dans cette fiche, avec son lien officiel.
- RejetCass. chambre commerciale, 16 octobre 2012, n° 11-19.981consulter ↗
- RejetCass. chambre commerciale, 31 mai 2016, n° 14-29.906consulter ↗
- CassationCass. chambre commerciale, 25 octobre 2017, n° 16-11.644consulter ↗
- RejetCass. chambre commerciale, 18 janvier 2017, n° 15-18.102consulter ↗
- CassationCass. chambre commerciale, 28 mars 2018, n° 16-20.018consulter ↗
- CassationCass. chambre commerciale, 4 juillet 2018, n° 17-10.158consulter ↗
- CassationCass. chambre commerciale, 21 novembre 2018, n° 17-18.888consulter ↗
- CassationCass. chambre commerciale, 3 octobre 2018, n° 17-21.395consulter ↗
Une réponse
Bonjour je suis madame Jocelyne Carrier je suis en contacté depuis un mois avec un certain Laurent Veronneau nous avons soit disant des sentiments l’un pour l’autre je me fait beaucoup de souci étant seule un matin il m’a demandé de lui prêter de l’argent sa soeur étant dans le coma pour une opération au Maroc que je n’ai pas donne étant soit disant de mère thaïlandaise et de père français lui vivant à Lyon qui est partie en Afrique pour récupérer un soit disant héritage de 150 398€. Et n’avait pas prévu assez d’argent pour payer des taxes, il a réussi à m’endormir et m’a fait envoyer sous forme de « Western Union » la somme de 3 590€, mais grâce a l’agent de la police sur le net en Afrique Mr Aurelien Pernaut, cet escroc a été arrêté puis j’ai récupéré tout mon argent, vous pouvez faire de même si vous avez été arnaqué de cette manière, veuillez contacter l’adresse mail suivant ils pourront vous aidez : (lieutenant.a.pernaut4@gmail.com)
Emails : lieutenant.a.pernaut4@gmail.com
Cordialement à vous Mme Jocelyne Carrier