Sur le moyen, pris en sa première branche
Ce que soutenait le demandeur
3La banque fait grief au jugement de la condamner à payer à M. [W] la somme de 2 593 euros, assortie des intérêts au taux légal à compter du 8 novembre 2018, date de la mise en demeure, et de rejeter ses demandes, alors « que manque, par négligence grave, à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés l'utilisateur d'un service de paiement qui communique les données personnelles de ce dispositif de sécurité en réponse à un courriel qui contient des indices permettant à un utilisateur normalement averti de douter de sa provenance, peu important qu'il soit, ou non, avisé des risques d'hameçonnage ; qu'en l'espèce, la banque faisait valoir que le courriel du 27 décembre 2017, produit aux débats par M. [W], auquel ce dernier avait admis avoir répondu en communiquant son numéro de carte bancaire, le pictogramme et son numéro de téléphone, comportait des indices qui permettaient à un utilisateur normalement averti de douter de sa provenance, dans la mesure où l'adresse de l'expéditeur de ce courriel était "[Courriel 1] (illisible)[Courriel 1]", que son objet était intitulé "***SPAM*** vous écrit", et que le message de ce courriel, qui indiquait "lors de votre dernier achat, vous été [sic] averti par un message vous informant de l'obligation d'adhérer à la nouvelle réglementation concernant la fiabilité des achats par CB sur internet et la mise en place d'un arrêt pour vos futurs achats. Or, nous n'avons pas à ce jour d'adhésion de votre part et nous sommes au regret de vous informer que vous pouvez plus [sic] utiliser votre carte sur internet", en invitant le destinataire à cliquer sur un lien avec de communiquer ses données personnelles, comportait des fautes de syntaxe et d'orthographe, et ne correspondait pas à la situation de M. [W] qui ne pouvait ignorer que lors de son dernier achat sur internet, il n'avait reçu aucun avertissement quant à un risque de blocage de sa carte pour effectuer des paiements à distance ; que, pour néanmoins faire droit à la demande de M. [W] de remboursement des opérations de paiement réalisées sur son compte le lendemain de sa réponse à ce courriel frauduleux, le tribunal d'instance, après avoir constaté que M. [W] avait admis avoir fourni ses identifiants en réponse à ce courriel, a retenu que la banque "ne rapporte pas la preuve de ce que M. [W] a fourni en pleine connaissance de cause ces éléments et que celui-ci aurait encore failli à son devoir de vigilance, en n'ayant pas vérifié l'origine de l'email litigieux ou qu'il ait manqué à ses obligations contractuelles", que M. [W] avait immédiatement fait opposition dès qu'il avait été informé des débits frauduleux effectués sur son compte, que la banque ne démontrait pas avoir alerté M. [W] sur les risques d'hameçonnage, et enfin, que le client de la banque avait raisonnablement pu s'inquiéter d'un message l'informant que s'il ne procédait pas à cette demande d'adhésion en ligne, rapidement, il perdrait alors l'usage de sa carte bancaire sur internet ; qu'en statuant de la sorte, sans rechercher, ainsi qu'elle y était invitée, si le courriel d'hameçonnage auquel M. [W] avait reconnu avoir répondu en communiquant les données confidentielles de sa carte bancaire ne comportait pas des indices permettant à un utilisateur normalement averti de douter de sa provenance, de sorte qu'en y répondant, M. [W] avait commis une négligence grave exonérant la banque de son obligation de remboursement, le tribunal d'instance a privé sa décision de base légale au regard des articles L. 133-16 et L. 133-19 du code monétaire et financier dans leur version applicable en la cause. »
Réponse de la Cour
Vu les articles L. 133-16 et L. 133-19 du code monétaire et financier dans leur rédaction antérieure à celle issue de l'ordonnance n° 2017-1252 du 9 août 2017 :
4Il résulte du premier de ces textes que l'utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et du second que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.
5Pour condamner la banque à payer à M. [W] la somme de 2 593 euros en remboursement des paiements non autorisés effectués sur son compte, le jugement retient que, s'il est établi que ce dernier a fourni ses identifiants permettant l'accès à son compte en ligne après avoir reçu un courriel frauduleux, la banque ne démontre pas qu'il a fourni ces informations en pleine connaissance de cause et qu'il aurait failli à son devoir de vigilance dès lors qu'il n'avait pas à vérifier l'origine du message et qu'il a pu raisonnablement s'inquiéter à la réception d'un courriel l'informant que, s'il ne procédait pas rapidement à l'adhésion en ligne, il perdrait l'usage de sa carte bancaire sur internet.
6En se déterminant ainsi, sans rechercher, au regard des circonstances de l'espèce, si M. [W] n'aurait pas pu avoir conscience que le courriel qu'il avait reçu le 27 décembre 2017 était frauduleux et si, en conséquence, le fait d'avoir communiqué ses données personnelles ne caractérisait pas un manquement par négligence grave à ses obligations mentionnées à l'article L. 133-16 du code monétaire et financier, le tribunal d'instance n'a pas donné de base légale à sa décision.