Sur le moyen, pris en sa deuxième branche
Ce que soutenait le demandeur
2La banque fait grief au jugement de la condamner à payer à Mme [G] la somme de 1 148,99 euros et une indemnité de 100 euros, alors « que, dans le cas où l'opération de paiement avec emploi d'un dispositif de sécurité personnalisé, n'a pas été autorisée, l'utilisateur du service de paiement, qui est le gardien du dispositif de sécurité personnalisé que le prestataire du service de paiement lui a communiqué, doit prendre toute mesure raisonnable pour préserver la sécurité de ce dispositif de sécurité personnalisé ; qu'en énonçant que "le crédit agricole de [Localité 1] ne rapporte pas la preuve que Mme [G] [aur]ait commis une négligence grave" dans l'emploi de son dispositif de sécurité personnalisé, le tribunal d'instance, qui ne se demande pas si des mesures raisonnables auraient permis à Mme [G] [G], gardienne du dispositif de sécurité personnalité (code sms secure) que lui a communiqué la Crcam de [Localité 1], de déjouer le piège grossier qui lui aurait été tendu par un escroc, et si, dans l'affirmative, Mme [G] [G] a appliqué comme elle le devait ces mesures raisonnables, le tribunal d'instance a violé les articles L. 133-4, a), L. 133-16, alinéa 1er, L. 133-18 et L. 133-19, L. 133-18, alinéa 1er, et L. 133-19, § IV, du code monétaire et financier. »
Réponse de la Cour
Vu les articles L. 133-16, L. 133-17, L. 133-19, IV, et L. 133-23 du code monétaire et financier, dans leur rédaction issue de l'ordonnance n° 2009-866 du 15 juillet 2009 :
3Il résulte de ces textes que si, aux termes des deux premiers, il appartient à l'utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d'informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l'instrument de paiement ou des données qui lui sont liées, c'est à ce prestataire qu'il incombe, par application des deux derniers, de rapporter la preuve que l'utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n'a pas satisfait intentionnellement ou par négligence grave à ses obligations. Cette preuve ne peut se déduire du seul fait que l'instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés.
4Pour condamner la banque à rembourser la somme débitée du compte de sa cliente, le jugement, après avoir relevé qu'il apparaissait que Mme [G] avait été victime d'une opération de hameçonnage sans que sa responsabilité puisse être engagée, se borne à retenir que la banque ne rapporte pas la preuve que sa cliente avait commis une négligence grave.
5En se déterminant, par de tels motifs, sans rechercher si Mme [G], utilisateur de services de paiement, n'avait pas manqué à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés, en communiquant les données personnelles du dispositif de sécurité en cause en réponse à un courriel qui aurait contenu des indices permettant à un utilisateur normalement attentif de douter de sa provenance, le tribunal n'a pas donné de base légale à sa décision.