Prise en charge des conséquences financières de l’escroquerie par la Banque en cas de déficience technique du service de paiement : Cass. Com. 12 novembre 2020 n° 19-12.112

1/
Les escroqueries aux moyens de paiement sont désormais monnaie courante et la situation n’a fait que s’aggraver avec la crise sanitaire.

Fort heureusement, le Code monétaire et financier contient un dispositif de protection des utilisateurs de services de paiement faisant peser in fine sur l’établissement bancaire la charge financière de l’escroquerie.

Les Banques peuvent toutefois échapper à cette obligation de prise en charge en démontrant l’existence d’une négligence grave ou d’une fraude de l’utilisateur. Celles-ci font donc tout leur possible pour accabler l’utilisateur.

Or sauf à avoir entendu parler du mode opératoire utilisé par les escrocs, il est bien souvent difficile de déceler l’escroquerie, l’utilisateur étant mis en confiance par l’escroc qui dans certains cas se fait passer pour l’établissement bancaire. 

2/
Les notions de fraude et de négligence grave n’étant pas précisément définies, la jurisprudence joue un rôle primordial en la matière. 

Récemment, la Chambre commerciale de la Cour de cassation, par arrêt en date du 12 novembre 2020, est venue renforcer la protection des utilisateurs de services de paiement.

En l’espèce, l’utilisateur avait, comme bien souvent, répondu à un mail frauduleux, pratique plus communément connue sous le nom de phishing ou hameçonnage. Il avait ainsi en toute bonne foi communiqué ses nom, prénom, numéro de carte bancaire, date d’expiration et cryptogramme, informations ayant permis à l’escroc de réaliser des achats sur internet. 

L’utilisateur prétendait toutefois ne pas avoir validé les achats sur son téléphone mobile avec le code 3D Secure à 6 chiffres reçu à deux reprises. Cette version des faits laissait à penser qu’une déficience technique était survenue, les achats ayant pu être réalisés sans validation sécurisée. 

Or il est prévu à l’article L. 133-23 alinéa 1er du Code monétaire et financier : 

« Lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre ».

Là où bien des juridictions n’auraient pas cru à la version de l’utilisateur, la Chambre commerciale de la Cour de cassation en a décidé autrement et jugé que la Banque ne rapportait pas la preuve d’une absence de déficience technique : 

« 1. Selon le jugement attaqué (tribunal d'instance de Dunkerque, 12 décembre 2018), rendu en dernier ressort, sur renvoi après cassation (Com., 25 octobre 2017 pourvoi n° 16-11.644, Bull. n° 139), après avoir reçu, sur son téléphone mobile, deux messages lui communiquant un code à six chiffres dénommé « 3D Secure », destiné à valider deux paiements par Internet qu'elle n'avait pas réalisés, Mme Y... a, le même jour, fait opposition à sa carte bancaire auprès de la société Caisse de crédit mutuel de Calais, dans les livres de laquelle était ouvert son compte. Elle lui a ensuite demandé, ainsi qu'à la société Caisse fédérale de crédit mutuel Nord Europe, de lui rembourser la somme qui avait été prélevée sur ce compte à ce titre et de réparer son préjudice moral.

2. Soutenant que Mme Y... ne contestait pas avoir, en réponse à un courriel se présentant comme émanant de l'opérateur téléphonique SFR, communiqué à son correspondant des informations relatives à son compte chez cet opérateur, permettant de mettre en place un renvoi téléphonique des messages reçus de la banque, ainsi que ses nom, numéro de carte de paiement, date d'expiration et cryptogramme figurant au verso de la carte, les sociétés Caisse de crédit mutuel de Calais et Caisse fédérale de crédit mutuel Nord Europe se sont opposées à sa demande au motif qu'elle avait ainsi commis une négligence grave dans la conservation des dispositifs de sécurité personnalisés mis à sa disposition.

Examen du moyen

3. Les sociétés Caisse de crédit mutuel de Calais et Caisse fédérale de crédit mutuel Nord Europe font grief au jugement de dire qu'elles ne démontrent pas que l'opération litigieuse n'a pas été affectée par une déficience technique ou autre et de les condamner en conséquence in solidum à payer à Mme Y... la somme de 3 300,28 euros, avec intérêts au taux légal à compter du 7 décembre 2015, alors :
(…)

Réponse de la Cour,
4. En premier lieu, il résulte des articles L. 133-19, IV, et L. 133-23 du code monétaire et financier, dans leur rédaction issue de l'ordonnance n° 2009-866 du 15 juillet 2009, que s'il entend faire supporter à l'utilisateur d'un instrument de paiement doté d'un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L. 133-17 de ce code, le prestataire de services de paiement doit aussi prouver que l'opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre.

5. Le moyen, pris en sa première branche, qui postule le contraire, manque en droit ».

Cette position est parfaitement conforme à la lettre du texte qui fait peser la charge de la preuve sur la Banque et non sur l’utilisateur et doit être saluée en ce qu’elle assure une protection accrue aux utilisateurs de services de paiement.