Fraude bancaire : la négligence grave dans la protection des données personnelles

38E

N° RG : N° RG 22/09018 – N° Portalis DBX6-W-B7G-XGJ5

Minute n° 2024/00

AFFAIRE :

[O] [J]

C/

S.A. BNP PARIBAS

Grosses délivrées
le

à
Avocats :
la SELARL CHLOE FERNSTRÖM
Me Romain DARRIERE
la SCP KRAMER LEVIN LLP
Me Mathilde MACICIOR

TRIBUNAL JUDICIAIRE
DE BORDEAUX
5EME CHAMBRE CIVILE

JUGEMENT DU 07 MARS 2024

COMPOSITION DU TRIBUNAL :
Lors des débats eu du délibéré

Madame Marie WALAZYC, Vice-Président
Jean-Noël SCHMIDT, Vice-Président
Madame Myriam SAUNIER, Vice-Président

Pascale BUSATO Greffier, lors des débats et Isabelle SANCHEZ Greffier lors du prononcé

DÉBATS :

A l’audience publique du 11 Janvier 2024,
Délibéré au 07 mars 2024
JUGEMENT:

Contradictoire
Premier ressort
Par mise à disposition au greffe, les parties ayant été préalablement avisées dans les conditions prévues à l’article 450 alinéa 2 du Code de procédure civile

DEMANDEUR :

Monsieur [O] [J]
de nationalité Française
23 cours d’Alsace Lorraine
33000 BORDEAUX

représenté par Maître Chloé FERNSTROM de la SELARL CHLOE FERNSTRÖM, avocats au barreau de BORDEAUX, avocats postulant, Me Romain DARRIERE, avocat au barreau de PARIS, avocat plaidant

N° RG : N° RG 22/09018 – N° Portalis DBX6-W-B7G-XGJ5

DEFENDERESSE :

S.A. BNP PARIBAS
16 boulevard des italiens
75009 PARIS

représentée par Maître Dominique PENIN de la SCP KRAMER LEVIN LLP, avocats au barreau de PARIS, avocats plaidant, Me Mathilde MACICIOR, avocat au barreau de BORDEAUX, avocat postulant

EXPOSE DES FAITS ET DE LA PROCEDURE

Monsieur [O] [J] est titulaire d’un compte bancaire auprès de la SA BNP PARIBAS.

Estimant avoir été victime le 29 juin 2022 à 20h30 d’une fraude pour avoir reçu un appel téléphonique d’une personne se présentant de la BNP lui demandant de valider des messages sur l’application mobile de son téléphone afin d’annuler des opérations frauduleuses, il a déposé plainte le 1er juillet 2022 suite à la réalisation:
– d’un virement de 6.000 euros à destination d’un compte tiers,
– d’un paiement par carte bancaire d’un montant de 8.890 euros.

Par courrier du 20 septembre 2022, la SA BNP PARIBAS a refusé de procéder au remboursement de ces sommes au motif que monsieur [J] aurait validé, et donc autorisé, les opérations litigieuses avec sa clé digitale.

Par acte délivré le 17 novembre 2022, monsieur [O] [J] a fait assigner la SA BNP PARIBAS devant le tribunal judiciaire de Bordeaux aux fins de remboursement de la somme de 14.980 euros au titre des opérations effectuées le 29 juin 2022.

La clôture est intervenue le 21 décembre 2023 par ordonnance du juge de la mise en état du même jour.

PRETENTIONS ET MOYENS DES PARTIES

Dans ses dernières conclusions notifiées par voie électronique le 16 mai 2023, monsieur [O] [J] sollicite du tribunal la condamnation de la SA BNP PARIBAS à :
– lui verser la somme de 14.980 euros, avec intérêts au taux légal à compter du 2 juillet 2002, et capitalisation des intérêts
– lui payer la somme de 10.000 euros de dommages et intérêts,
– lui payer la somme de 3.000 euros au titre de l’article 700 du code de procédure civile.

Au soutien de sa demande en remboursement de la somme de 14.980 euros, monsieur [J] fait valoir, sur le fondement des articles L. 133-4, et L. 133-15 et suivants du code monétaire et financier, qu’en cas d’opération de paiement non autorisée effectuée en détournant à l’insu du client l’instrument de paiement ou les données qui lui sont liées, la banque est tenue d’une obligation de remboursement à hauteur des sommes détournées, sauf pour celle-ci à rapporter la preuve d’un agissement frauduleux du client, la preuve que le client n’a pas satisfait intentionnellement ou par sa négligence grave à ses obligations. Il expose qu’elle doit également s’assurer que les données de sécurité personnalisées fournies au client à des fins d’authentification ne sont pas accessibles à d’autres personnes. En application de ces textes, il soutient que la BNP est tenue au remboursement des opérations auxquelles il conteste avoir consenti dès lors qu’il a été contacté par un opérateur sur service fraude de la BNP qui lui a communiqué des données personnelles que seuls la BNP et lui connaissaient. Il conteste avoir communiqué ces données à un tiers, soutenant que cette divulgation résulte d’une fuite massive des données au sein de la BNP, qui a déjà connu de graves accidents de sécurité. Il prétend qu’il lui a été demandé par téléphone d’annuler des opérations frauduleuses en entrant à deux reprises sa clé digitale, ce qu’il a fait sans qu’il ne puisse lui être reproché d’avoir manqué de discernement, dès lors qu’il a été victime d’une escroquerie parfaite qui conduirait tout individu placé dans la même situation à valider les opérations en cause, le fraudeur étant connecté sur son compte en ligne et disposant de ses informations sensibles et personnelles. Il conteste toute négligence grave, soutenant que la BNP, sur laquelle repose la charge de la preuve, est défaillante à démontrer qu’il ait été alerté préalablement de ce type de fraude. Il indique que les validations effectuées ont permis de valider l’ajout du bénéficiaire du virement et le paiement par carte bancaire, ce qui constitue un détournement de ses moyens de paiement.

A l’appui de sa prétention indemnitaire, monsieur [J] expose, sur le fondement de l’article 1240 du code civil que le refus de la BNP de procéder au remboursement, alors qu’il n’a pas autorisé les opérations litigieuses et qu’aucune faute ne peut lui être reprochée, constitue une résistance abusive. Il soutient également que la banque l’a accusé abusivement d’être à l’origine de la divulgation de ses informations personnelles. Il prétend que ces fautes lui occasionnent un préjudice moral.

Dans ses conclusions notifiées par voie électronique le 27 septembre 2023, la SA BNP PARIBAS demande au tribunal de débouter monsieur [J] de l’intégralité de ses demandes, de le condamner au paiement des dépens, et à lui payer la somme de 3.500 euros au titre de l’article 700 du code de procédure civile.

La SA BNP PARIBAS fait valoir, sur le fondement de l’article L. 133-19 du code monétaire et financier, l’existence d’une négligence grave commise par monsieur [J] en ce que les allégations de celui-ci sur les informations communiquées par le fraudeur lors de l’appel téléphonique ne sont pas démontrées, qu’il n’y a pas de faille de sécurité de sa part, sa ligne téléphonique n’ayant pas été piratée, et que celui-ci a eu un rôle actif. A ce titre, elle soutient que le le fraudeur avait eu accès, avant d’appeler monsieur [J], à son espace en ligne, ce qui implique, en l’absence de preuve d’une fuite de données, une remise volontaire des informations de connexion à l’espace bancaire. Elle prétend à l’existence d’un aveu judiciaire de sa participation aux opérations qu’il a validées, sans s’assurer au préalable de l’absence de fraude par une prise de contact avec la BNP ou une lecture attentive des informations s’affichant sur son téléphone, le système d’authentification forte utilisé lui permettant d’annuler l’opération. Elle prétend ainsi que monsieur [J] a manqué de discernement en cliquant sur la validation et non l’annulation des deux notifications, rendant ainsi les deux sorties de fond irrévocables, ce qui constitue une négligence grave et exclusive de son préjudice. Elle soutient qu’il n’a pas été méfiant en dépit de l’heure tardive de l’appel, et qu’il n’a pas immédiatement consulté son compte pour vérifier les propos de l’appelant, ni fait opposition à sa carte bancaire, ni contacté le service client. La SA BNP PARIBAS soutient qu’elle informe régulièrement et par divers moyens ses clients des risques de fraude, et qu’il doit être retenu l’existence d’une négligence grave, l’utilisation d’internet impliquant une vigilance accrue, du fait de cette absence de respect des recommandations formulées. Selon elle, la fraude dont il a été victime est récurrente et a fait l’objet d’alerte dans les médias, ce qu’il ne pouvait ignorer.

En réponse à la demande indemnitaire formée par monsieur [J], la SA BNP PARIBAS fait valoir que le préjudice, tant en son principe qu’en son montant, n’est ni explicité, ni démontré.

Sur la demande en remboursement de la somme de 14.980 euros

En vertu de l’article L. 133-18 du code monétaire et financier, en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.
Lorsque l’opération de paiement non autorisée est initiée par l’intermédiaire d’un prestataire de services de paiement fournissant un service d’initiation de paiement, le prestataire de services de paiement gestionnaire du compte rembourse immédiatement, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, au payeur le montant de l’opération non autorisée et, le cas échéant, rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. La date de valeur à laquelle le compte de paiement du payeur est crédité n’est pas postérieure à la date à laquelle il avait été débité.

Selon le IV de l’article L. 133-19 de ce code, le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.
L’article L. 133-16 du même code prévoit que dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées.Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées.
En application de l’article L.133-17 du code monétaire et financier lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci. Lorsque le paiement est effectué par une carte de paiement émise par un établissement de crédit, une institution ou un service mentionné à l’article L. 518-1 de ce code et permettant à son titulaire de retirer ou de transférer des fonds, il peut être fait opposition au paiement en cas de procédure de redressement ou de liquidation judiciaires du bénéficiaire tant que le compte du prestataire de services de paiement du bénéficiaire n’a pas été crédité du montant de l’opération de paiement.
L’établissement bancaire qui refuse de procéder au rembourser supporte la charge de la preuve de la négligence grave imputée à son client.

En l’espèce, il n’est pas contesté par la SA BNP PARIBAS que monsieur [O] [J] a été victime d’une infraction.

Il résulte du relevé informatique produit par la BNP que le fraudeur s’est connecté le 29 juin 2022 à l’espace client en y accédant avec le mot de passe et le code secret de monsieur [J]. Il ressort des explications de monsieur [J] que cette personne lui aurait, lors de son appel téléphonique du 29 juin 2022 à 20h30, communiqué des informations confidentielles et personnelles de nature à le mettre en confiance. Or, la SA BNP PARIBAS ne démontre pas par les pièces du dossier que monsieur [J] aurait communiqué les informations personnelles ayant permis au fraudeur de se connecter à son espace bancaire en ligne, étant relevé que les éléments sur une défaillance de sécurité de la banque portant sur ses données sont sans intérêt pour la solution du litige dès lors que c’est cette dernière qui supporte la charge de la preuve de la négligence de son client. Par ailleurs, monsieur [J] a rapidement réagi dès lors qu’il a formé opposition deux heures après l’opération litigieuse, et, après s’être vainement rendu auprès de sa conseillère bancaire, a déposé plainte le surlendemain.

Cependant, il ressort du procès-verbal de dépôt de plainte du 1er juillet 2022 que monsieur [J] a reçu un appel téléphonique de la part d’une personne qui lui a indiqué être un conseiller bancaire de la BNP. Or, cet appel provenait d’un numéro marqué “inconnu”, ce qui ne constitue pas une manoeuvre visant à utiliser le numéro de téléphone de la banque elle-même de nature à tromper la vigilance de la victime. Il n’a donc pas pu légitimement croire du fait de cet appel “inconnu” à un appel provenant d’une source fiable et autorisée. Par ailleurs, face à cet appel, monsieur [J] n’a pas cherché à vérifier les informations communiquées par ce tiers en tentant de contacter le service fraude de sa banque avant de réaliser les opérations demandées. Le fait que ce tiers se présente comme un employé, qu’il n’identifiait pas, de la BNP ne saurait suffir à caractériser la fiabilité et l’authenticité de son auteur.
Par ailleurs, et en tout état de cause, monsieur [J] a, dans le cadre du processus d’authentification forte mis en oeuvre par la banque imposant la validation des opérations uniquement par clé digitale sur l’application mobile (à laquelle le fraudeur ne pouvait pas se connecter), validé deux opérations: un ajout d’un RIB dans ses bénéficiaires de virement ajout ayant ensuite permis au tiers de réaliser un virement lequel ne nécessite pour sa part pas d’authentification forte, et un paiement par carte bancaire. Ces deux validations ont rendu les opérations réalisées irrévocables. Or, monsieur [J] a reçu sur son téléphone portable deux notifications qui indiquaient, ce qu’il ne conteste pas, la nature de l’opération envisagée, ces notifications lui laissant la possibilité de les valider ou de les annuler. Il a volontairement fait le choix de valider ces deux opérations. Il convient donc de constater qu’il ne peut être que retenu que monsieur [J] n’a pas lu les informations figurant sur ces notifications. S’il expose qu’il se trouvait alors en pleine exécution de son travail, il doit être constaté que d’une part, il n’en rapporte pas la preuve, et que d’autre part, cette situation nécessitait une vigilance accrue de sa part dès lors qu’il n’était pas pleinement disponible pour réaliser ces opérations.

Dans ces conditions, il doit être retenu qu’il a commis une négligence grave dès lors qu’il a reçu un appel tardif, d’un numéro de téléphone inconnu, et non d’un numéro de téléphone se faisant passer pour la banque, sans prendre le temps ni de vérifier les informations communiquées par oral, ni de lire les informations s’affichant sur son téléphone.

Enfin, il importe peu qu’il soit ou non démontré que monsieur [J] ait été avisé de l’existence de ce type de fraude, sa négligence grave, caractérisée en l’espèce, étant seule de nature à laisser à sa charge les opérations qu’il conteste.

Par conséquent, il convient de débouter monsieur [O] [J] de sa demande en remboursement des opérations réalisées sur son compte bancaire le 29 juin 2022.

Sur la demande indemnitaire

En vertu de l’article 1231-1 du code civil, qui a vocation à s’appliquer en l’espèce en lieu et place de l’article 1240 du code civil invoqué par le demandeur, compte tenu de la nature des relations contractuelles unissant les parties, le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts, soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure.

En l’absence de manquement de la banque, qui était fondée à opposer à son client la négligence grave, la demande de dommages et intérêts formée par monsieur [J] doit également être rejetée.

Sur les frais du procès

– Dépens

En vertu de l’article 696 du code de procédure civile, la partie perdante est condamnée aux dépens, à moins que le juge, par décision motivée, n’en mette la totalité ou une fraction à la charge d’une autre partie.

En l’espèce, monsieur [O] [J] perdant la présente instance, il convient de le condamner au paiement des dépens.

– Frais irrépétibles

En application de l’article 700 du code de procédure civile, le juge condamne la partie tenue aux dépens ou qui perd son procès à payer à l’autre partie la somme qu’il détermine au titre des frais exposés et non compris dans les dépens.[…]. Dans tous les cas, le juge tient compte de l’équité ou de la situation économique de la partie condamnée. Il peut même d’office, pour des raisons tirées des mêmes considérations dire qu’il n’y a pas lieu à ces condamnations. Les parties peuvent produire les justificatifs des sommes qu’elles demandent.

En l’espèce, des considérations d’équité, tenant notamment au déséquilibre économique existant entre les parties, conduisent à débouter la SA BNP PARIBAS de sa demande au titre des frais irrépétibles. Monsieur [J], qui perd la présente instance, est également débouté de sa demande.

Le tribunal,

Rejette la demande de remboursement de la somme de 14.980 euros formée par monsieur [O] [J];

Rejette la demande indemnitaire formée par monsieur [O] [J];

Condamne monsieur [O] [J] au paiement des dépens de l’instance;

Rejette la demande formée par la SA BNP PARIBAS au titre de l’article 700 du code de procédure civile;

Rejette la demande formée par monsieur [O] [J] au titre de l’article 700 du code de procédure civile;

Le présent jugement a été signé par Madame Marie WALAZYC, Vice-Présidente et par Isabelle SANCHEZ, Greffier.

LE GREFFIER LA PRESIDENTE