Ce que soutenait le demandeur
4La banque fait grief à l'arrêt de la condamner à payer à M. [J] la somme de 54 500 euros avec intérêts au taux légal à compter du 10 octobre 2019 ainsi que la somme de 1 500 euros à titre de dommages et intérêts pour préjudice moral avec intérêts au taux légal alors :
« 1°/ que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'une négligence grave de sa part ; que commet une négligence grave, le payeur qui valide à distance et sans la vérifier, une opération dont il n'est pas l'auteur ; qu'en l'espèce, la cour d'appel a relevé que suivant ses déclarations, M. [J] avait été contacté par téléphone par une personne se présentant comme l'assistante de sa conseillère bancaire, qui lui avait expliqué qu'il avait été nécessaire de supprimer des bénéficiaires de virement pour déjouer une attaque informatique et qu'il fallait désormais les réenregistrer, et qu'il était alors resté en ligne avec cette personne et avait reçu sur son téléphone mobile des messages l'invitant à valider des ajouts de bénéficiaires, ce qu'il avait fait en saisissant son code confidentiel ; qu'en retenant que M. [J] n'avait pas été gravement négligent, quand celui-ci avait validé des opérations dont il n'était pas l'auteur sans en vérifier toutes les données, la cour d'appel, qui n'a pas tiré les conséquences légales de ses constatations, a violé l'article L. 133-19 du code monétaire et financier ;
2°/ que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'une négligence grave de sa part ; que commet une négligence grave, le payeur qui, à la demande d'une personne qui l'a contacté par téléphone en se présentant comme son conseiller bancaire, valide à distance et sans la vérifier une opération dont il n'est pas l'auteur en dépit d'indices permettant à un utilisateur normalement attentif de douter de l'identité de son interlocuteur ; qu'en l'espèce, la cour d'appel a relevé que suivant ses déclarations, M. [J] avait été contacté par téléphone par une personne se présentant comme l'assistante de sa conseillère bancaire, qui lui avait expliqué qu'il avait été nécessaire de supprimer des bénéficiaires de virement pour déjouer une attaque informatique et qu'il fallait désormais les réenregistrer, qu'il était alors resté en ligne avec cette personne et avait reçu sur son téléphone mobile des messages l'invitant à valider des ajouts de bénéficiaires, ce qu'il avait fait en saisissant son code confidentiel, et qu'il lui avait enfin été expliqué qu'il n'aurai[t] plus accès à [son] compte et qu['il] allai[t] recevoir par la poste un nouvel identifiant de compte et un nouveau mot de passe " ; qu'en retenant que M. [J] n'avait pas été gravement négligent quand l'identité de son interlocutrice, qui prétendait être non pas sa conseillère bancaire mais l'assistante de celle-ci, l'objet de l'appel, qui tendait à réenregistrer des bénéficiaires de virement, ce qui pouvait pourtant se faire sans intervention d'un employé de la banque et ne présentait au surplus aucune urgence dans la mesure où M. [J] n'aurait plus accès à son compte en ligne pendant plusieurs jours, et les explications qui lui avaient été fournies, suivant lesquelles l'attaque informatique dont il aurait été victime avait pu être déjouée par la suppression des bénéficiaires de virement qu'il lui fallait réenregistrer avant que l'accès en ligne à son compte soit bloqué et qu'un nouvel identifiant et un nouveau mot de passe lui soient adressés par voie postale, constituaient des indices permettant à un utilisateur normalement attentif de suspecter une fraude, la cour d'appel, qui n'a pas tiré les conséquences légales de ses constatations, a violé l'article L. 133-19 du code monétaire et financier ;
3°/ que même de bonne foi, le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'une négligence grave de sa part ; qu'en se fondant, pour écarter toute négligence grave de M. [J], sur la circonstance inopérante que « l'utilisation du "spoofing", soit littéralement une usurpation d'identité, a mis M. [J] en confiance et a diminué sa vigilance », la cour d'appel a privé sa décision de base légale au regard de l'article L. 133-19 du code monétaire et financier.
Réponse de la Cour
5Après avoir exactement énoncé qu'il incombe au prestataire de services de paiement de rapporter la preuve d'une négligence grave de son client, l'arrêt constate que le numéro d'appel apparaissant sur le téléphone portable de M. [J] s'était affiché comme étant celui de Mme [Y], sa conseillère BNP et retient qu'il croyait être en relation avec une salariée de la banque lors du réenregistrement et nouvelle validation qu'elle sollicitait de bénéficiaires de virement sur son compte qu'il connaissait et qu'il a cru valider l'opération litigieuse sur son application dont la banque assurait qu'il s'agissait d'une opération sécurisée. Il ajoute que le mode opératoire par l'utilisation du « spoofing » a mis M. [J] en confiance et a diminué sa vigilance, inférieure, face à un appel téléphonique émanant prétendument de sa banque pour lui faire part du piratage de son compte, à celle d'une personne réceptionnant un courriel, laquelle aurait pu disposer de davantage de temps pour s'apercevoir d'éventuelles anomalies révélatrices de son origine frauduleuse.
6De ces constatations et appréciations, la cour d'appel a pu déduire que la négligence grave de M. [J] n'était pas caractérisée.
7Le moyen n'est donc pas fondé.