Cour de cassation, chambre commerciale (Formation de section), 14 janvier 2026, n° 22-14.822

5Aux termes de l'article L. 133-17 du code monétaire et financier, dans sa rédaction issue de l'ordonnance n° 2009-866 du 15 juillet 2009, transposant l'article 56 de la directive 2007/64 CE du 13 novembre 2007 concernant les services de paiement dans le marché intérieur, modifiant les directives 97/7/CE, 2002/65/CE, 2005/60/CE ainsi que 2006/48/CE et abrogeant la directive 97/5/CE, lorsqu'il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l'utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l'instrument, son prestataire ou l'entité désignée par celui-ci.

6Selon l'article L. 133-18 du même code, dans sa rédaction issue de la loi n° 2010-737 du 1er juillet 2010 et transposant l'article 60 de la directive précitée, en cas d'opération de paiement non autorisée signalée par l'utilisateur dans les conditions prévues à l'article L. 133-24, le prestataire de services de paiement du payeur rembourse immédiatement au payeur le montant de l'opération non autorisée et, le cas échéant, rétablit le compte débité dans l'état où il se serait trouvé si l'opération de paiement non autorisée n'avait pas eu lieu. Le payeur et son prestataire de services de paiement peuvent décider contractuellement d'une indemnité complémentaire.

7Selon l'article L.133-19, III et IV, du même code, dans sa rédaction issue de l'ordonnance précitée et transposant l'article 61 de la directive précitée, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l'information aux fins de blocage de l'instrument de paiement prévue à l'article L. 133-17. Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

8Enfin, aux termes de l'article L. 133-24 dudit code dans sa rédaction issue de l'ordonnance précitée et transposant l'article 58 de la directive précitée l'utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n'ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. Sauf dans les cas où l'utilisateur est une personne physique agissant pour des besoins non professionnels, les parties peuvent décider de déroger aux dispositions du présent article.

9Par son arrêt précité du 1er août 2025, la CJUE a dit pour droit :

« 1) L'article 58 de la directive 2007/64/CE du Parlement européen et du Conseil, du 13 novembre 2007, concernant les services de paiement dans le marché intérieur, modifiant les directives 97/7/CE, 2002/65/CE, 2005/60/CE ainsi que 2006/48/CE et abrogeant la directive 97/5/CE, doit être interprété en ce sens que : l'utilisateur de services de paiement est, en principe, privé du droit d'obtenir la correction d'une opération s'il n'a pas signalé sans tarder à son prestataire de services de paiement qu'il a constaté une opération de paiement non autorisée, alors même qu'il la lui a signalée dans les treize mois suivant la date de débit.

2) L'article 58, l'article 60, paragraphe 1, et l'article 61, paragraphe 2, de la directive 2007/64, lus en combinaison avec l'article 56, paragraphe 1, sous b), de celle-ci, doivent être interprétés en ce sens que : lorsqu'est en cause une opération de paiement non autorisée consécutive à l'utilisation d'un instrument de paiement perdu, volé ou détourné ou à toute utilisation non autorisée d'un tel instrument, et que cette opération a été signalée par le payeur à son prestataire de services de paiement dans les treize mois suivant la date de débit, ce payeur n'est, en principe et sauf agissement frauduleux de sa part, privé de son droit d'obtenir la correction effective de ladite opération que s'il a tardé à signaler celle-ci à son prestataire de services de paiement de manière intentionnelle ou à la suite d'une négligence grave consistant en une violation caractérisée d'une obligation de diligence.

10Il en résulte que l'obligation incombant à l'utilisateur de services de paiement de signaler sans tarder à son prestataire de services de paiement une opération non autorisée naît à compter du moment où il en a eu connaissance et que, faute de l'avoir signalée, de manière délibérée ou par négligence grave, il est privé du droit d'obtenir la correction de cette opération, peu important que ce signalement ait été effectué dans les treize mois suivant la date de débit.

11Le moyen, qui postule le contraire, n'est donc pas fondé.

12M. [E] fait le même grief à l'arrêt, alors « que l'utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n'ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III du code monétaire et financier ; qu'en l'espèce, la cour d'appel s'est bornée à considérer que M. [E] ne pouvait invoquer les dispositions de l'article L. 133-18 du code monétaire et financier dans la mesure où l'utilisateur de services de paiement doit signaler ‘‘sans tarder" et ‘‘immédiatement" au prestataire une opération de paiement non autorisée et que M. [E] ne justifiait pas avoir rempli cette obligation puisqu'il avait adressé à la société Veracash un formulaire de contestation le 23 mai 2017 près de deux mois après le premier retrait contesté, voire plus longtemps car il reconnaissait que ‘‘l'arnaque [avait] été mise en place" le 13 mars 2017 et amplifiée le 14 mars 2017 alors qu'il était encore en France et que, partant, il était en mesure de contacter la société Veracash entre le 13 mars et le 15 mars 2017 et, après son retour, entre le 6 avril et le 23 mai 2017, sans rechercher à quelle date M. [E] avait eu connaissance du premier retrait contesté ; qu'en ne procédant pas à cette recherche, la cour d'appel a privé sa décision de base légale au regard de l'article L. 133-24 du code monétaire et financier, pris dans sa rédaction antérieure à l'ordonnance n° 2017-1252 du 9 août 2017. »

Vu les articles L. 133-17, L. 133-19, L. 133-24 du code monétaire et financier dans leur rédaction résultant de l'ordonnance n° 2009-866 du 15 juillet 2009, L. 133-18 du même code dans sa version issue de la loi n° 2010-737 du 1er juillet 2010 :

13Pour rejeter la demande de M. [E], l'arrêt retient que ce dernier ne justifie pas avoir signalé sans tarder et immédiatement les opérations litigieuses pour n'avoir adressé à la société Veracash un formulaire de contestation que le 23 mai 2017, près de deux mois après le premier retrait contesté, voire plus longtemps, reconnaissant lui-même que « l'arnaque a été mise en place » le 13 mars 2017 et amplifiée le 14 mars 2017.

14En se déterminant ainsi, sans rechercher, comme il lui incombait dès lors qu'il était soutenu que le signalement était tardif, la date à laquelle M. [E] avait eu connaissance de la première opération de paiement, la cour d'appel n'a pas donné de base légale à sa décision.

Vu les articles L. 133-16, L. 133-17 et L. 133-19, IV du code monétaire et financier, dans leur rédaction résultant de l'ordonnance n° 2009-866 du 15 juillet 2009 :

16Il résulte de ces textes que l'utilisateur de services de paiement supporte les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés.

17Pour rejeter la demande de M. [E], l'arrêt retient que, contractuellement seul responsable de l'utilisation de sa carte Veracarte, il avait agi par imprudence et négligence en ne veillant ni à empêcher un tiers d'avoir accès à sa boîte aux lettres ni à préserver la confidentialité de son identifiant et de sa clé secrète.

18En se déterminant ainsi, par des motifs insuffisants à caractériser la négligence grave que M. [E] aurait commise, faute notamment de préciser dans quelles conditions le tiers avait eu accès à son identifiant et à sa clé secrète, la cour d'appel n'a pas donné de base légale à sa décision.