A – Les obligations des titulaires de cartes bancaires

L’arrêt du 25 octobre 2017 est rendu au visa notamment de l’article L. 133-16 du Code monétaire et financier. Cet article rappelle les obligations principales des titulaires de cartes bancaires consistant à prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et utiliser l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation.

Si la Cour de cassation a donné raison à l’établissement bancaire dans cette affaire, c’est précisément parce qu’elle considère que le juge de proximité se devait d’observer si le fait pour la demanderesse d’avoir communiqué son nom, son numéro de carte bancaire, la date d’expiration de celle-ci et le cryptogramme figurant au verso de la carte, ainsi que des informations relatives à son compte SFR permettant à un tiers de prendre connaissance du code 3D Secure ne caractérisait pas un manquement par négligence grave au sens de l’article précité.

Par une série d’arrêts rendus le 18 janvier 20174, la Cour de cassation avait déjà mis en lumière les obligations reposant sur les utilisateurs de services de paiement en indiquant qu’ils étaient tenus de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d’informer sans tarder la banque de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées, c’est-à-dire faire opposition comme le prévoit l’article L. 133-17 du Code monétaire et financier.

Il est intéressant d’observer que l’arrêt commenté ne se réfère nullement à cet article L. 133-17 dès lors qu’en l’espèce, la cliente avait fait opposition dès réception des messages « 3D Secure » pour les deux paiements par internet qu’elle n’avait pas réalisés. Il ne pouvait donc pas lui être imputé un quelconque manquement au titre de cet article.

Malgré l’opposition de la cliente, celle-ci s’est vue opposer sa négligence grave pour lui refuser un remboursement des sommes payées.

Ainsi en avait d’ailleurs jugé la Cour de cassation dans un arrêt du 16 octobre 2012 confirmant un arrêt d’appel retenant une imprudence grave d’un client qui avait avoué aux services de police, en déclarant le vol de sa carte, qu’il avait laissé comme d’habitude cette carte dans son véhicule et son code confidentiel dans la boîte à gants dans un lieu sans surveillance5.

Il ne suffit donc pas de faire opposition pour espérer un remboursement, encore faut-il être vigilant !

B – La charge de la preuve de l’autorisation de l’opération par le titulaire de la carte et de la négligence grave

Il est aujourd’hui bien établi que, lorsqu’un titulaire d’un instrument de paiement se prévaut d’un remboursement dans le cadre d’une fraude et que la banque invoque une négligence grave du client, c’est sur l’établissement bancaire que repose la charge de la preuve de cette négligence alléguée.

En cela, l’arrêt commenté s’insère parfaitement dans une jurisprudence constante6 appliquant l’article L. 133-23 du Code monétaire et financier disposant dans son second alinéa qu’il ne suffit pas que le paiement et l’opération contestés aient été enregistrés par le prestataire de services de paiement pour prouver que l’opération a été autorisée par le client ou que celui-ci n’ait pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière.

Vont également dans ce sens les termes de la directive n° 2015/2366 du 25 novembre 2015 concernant les services de paiement dans le marché intérieur7 qui prévoit que, dans le cas de paiements en ligne, il convient que le prestataire de services de paiement soit tenu d’apporter la preuve de la négligence alléguée, le client n’ayant, dans ce cas, que des moyens limités de le faire.

En l’espèce, la preuve avait été facilement rapportée par l’établissement bancaire dès lors que la cliente « ne contestait pas » avoir elle-même répondu au courriel frauduleux et avoir ainsi transmis les informations ayant permis les paiements litigieux.

Tout aveu du client facilite à l’évidence la tâche de l’établissement bancaire, comme le montre également l’arrêt précité du 16 octobre 2012, dans lequel la Cour prenait le soin de noter que, de « son propre aveu », le client avait reconnu avoir commis une imprudence grave en laissant son code personnel à proximité de sa carte de retrait dans un lieu sans surveillance8.

Ainsi, si la charge de la preuve repose sur la banque, le client peut, par son aveu, grandement faciliter l’accomplissement de cette tâche…

A – Un éclairage quant au contenu de la preuve attendue des prestataires bancaires

Si la série d’arrêts rendus le 18 janvier 2017 faisait droit aux demandes de remboursement des clients et ne retenait pas l’existence d’une négligence grave, ces décisions permettaient tout de même a contrario de comprendre quel comportement ne pouvait revêtir une telle qualification9.

Ainsi, il apparaissait que pouvait constituer une telle faute le fait de divulguer à un tiers, de manière intentionnelle, par imprudence ou par négligence grave, des éléments d’identification strictement confidentiels ayant permis les paiements contestés.

Ces arrêts ajoutaient qu’il était insuffisant de se prévaloir d’une hypothèse de « hameçonnage » que la Caisse se bornait à évoquer sans élément de certitude10 ou en ne procédant que par voie de suppositions11 ou supputations12.

L’arrêt du 25 octobre 2017 est intéressant à ce titre car, contrairement aux décisions de janvier 2017, il montre que la Cour a fait droit aux demandes de la banque et reconnu la possibilité de l’existence d’une négligence grave.

Si la Cour de cassation a cassé la décision rendue par le juge de proximité, c’est parce qu’elle a pu considérer qu’il s’était abstenu de caractériser l’existence ou non d’une négligence grave au vu des circonstances et du comportement de la cliente.

Ainsi, pour la Cour, le fait d’avoir communiqué l’ensemble de ces données en réponse à un courriel dont la cliente aurait dû connaître le caractère frauduleux au regard des circonstances de l’espèce pouvait caractériser la négligence grave. Il ne suffisait donc pas, comme l’avait jugé le juge de proximité, de se contenter d’observer que les données communiquées par la cliente avaient été détournées à son insu, car communiquées à une personne se présentant sous une fausse identité, et remarquer que la cliente n’avait communiqué ni son code confidentiel, ni le code 3D Secure.

Si la tendance de la jurisprudence est plutôt protectrice des utilisateurs des services bancaire, la solution donnée par la Cour dans l’arrêt du 25 octobre 2017 apparaît ainsi innovante et pleine d’espoir pour les banques. Une solution proche avait déjà été donnée par l’arrêt du 16 octobre 2012. La Cour de cassation avait pu, de la même façon, considérer que laisser son code personnel à proximité de sa carte de retrait dans un lieu sans surveillance constituait une imprudence grave justifiant que la banque refuse de recréditer le compte du client.

Cependant, si la décision du 25 octobre 2017 privilégie la position de la banque, elle rappelle en même temps l’objet de la preuve attendue de la part de celle-ci et la précision et la certitude des éléments de preuve permettant de caractériser la négligence grave.

Que ce soit dans l’arrêt du 25 octobre 2017 ou dans celui du 16 octobre 2012, la tâche de la banque avait été simplifiée par les aveux des clients de leur comportement négligent. À défaut d’un tel aveu, la mission de la banque s’avérera bien plus compliquée et dépendra à n’en pas douter de la bonne foi des clients.

B – Un éclairage quant au rôle du juge dans la recherche de la négligence grave

L’arrêt commenté apporte également un éclairage intéressant quant au rôle du juge dans l’appréciation de la négligence grave.

En effet, l’arrêt précise qu’il est attendu du juge qu’il apprécie le comportement du client « au regard des circonstances » afin de détecter s’il a manqué aux obligations qui lui incombaient par application de l’article L. 133-16 du Code monétaire et financier.

C’est donc une appréciation subjective in concreto qui est attendue du juge, qui ne pourra donc pas statuer de façon équivalente selon le degré de « conscience » de la victime de la fraude.

Il n’est d’ailleurs pas anodin de constater que l’article L. 133-2 du Code monétaire et financier13 permet aux parties de déroger aux dispositions de l’article L. 133-19 du même code, selon lequel le titulaire de l’instrument de paiement supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17, sauf dans les cas où l’utilisateur est une personne physique agissant pour des besoins non professionnels.

Ainsi, tant l’arrêt du 25 octobre 2017 que les dispositions du Code monétaire et financier révèlent en filigrane une volonté de protéger les clients fragiles et les consommateurs et justifie une appréciation plus souple pour les clients professionnels.

Ainsi, les professionnels et les clients à même d’« être conscients » d’une fraude devront se montrer vigilants d’autant que le second alinéa de l’article L. 133-16 du Code monétaire et financier tend à faire apprécier le comportement du client au vu des conditions régissant la délivrance et l’utilisation de l’instrument de paiement. Les établissements bancaires pourraient ainsi être tentés de renforcer les critères permettant d’apprécier l’obligation de vigilance reposant sur leurs clients dans leurs conditions générales.

Si cette décision justifie la résistance des banques face à la négligence de leur client sollicitant le remboursement de sommes payées dans des situations de fraude, rappelons qu’en toute hypothèse, comme le soulignait à bon escient Démosthène14, « la vigilance nous met au-dessus de tous les périls »…