Négligence grave du payeur lors d’une fraude au faux conseiller : contrôle concret de la divulgation des identifiants et validation des virements

Au visa des articles L. 133-16 et L. 133-19, IV, du code monétaire et financier, le payeur supporte les pertes résultant d’opérations non autorisées lorsqu’il n’a pas pris les mesures raisonnables nécessaires à la sécurité de ses données personnalisées ou n’a pas utilisé son instrument conformément à ses conditions d’utilisation, intentionnellement ou par négligence grave.

La Cour de cassation censure une motivation excluant par principe toute négligence grave lorsqu’un fraudeur se présente comme un conseiller bancaire et utilise un numéro correspondant à celui du prestataire. La juridiction de renvoi devait rechercher concrètement si la divulgation volontaire de l’identifiant et du code d’accès, ainsi que la validation d’opérations non initiées, caractérisaient une négligence grave. La cassation est partielle, le rejet de la demande pour résistance abusive étant maintenu. Les demandes fondées sur l’article 700 du code de procédure civile sont rejetées.

⬇️Télécharger la décision version officielle

Un client de banque, trompé par un interlocuteur se présentant comme un préposé, a validé un virement de 9 000 euros et communiqué ses identifiants. Des virements et retraits ont ensuite été effectués. Condamné à rembourser 10 200 euros, il obtient la cassation de cette décision, sauf en ce qui concerne le rejet de sa demande pour résistance abusive, puis le renvoi de l’affaire.

Un titulaire de compte et de livret A auprès de la Banque populaire occitane a été contacté par téléphone par une personne se présentant comme un préposé de la banque. Après avoir confirmé certaines informations personnelles, il a reçu un message provenant du numéro enregistré de la banque, annonçant l’opposition de sa carte.

À la demande de son interlocuteur, il a validé un virement de 9 000 euros, réinitialisé ses identifiants et communiqué ceux-ci. Des virements internes, un virement externe vers un tiers et quatre retraits ont ensuite été réalisés. Le titulaire du compte a assigné le prestataire de services de paiement en remboursement. La cour d’appel l’avait condamné à payer 10 200 euros, mais la Cour de cassation casse cette décision, sauf concernant le rejet de la demande pour résistance abusive, et renvoie l’affaire.

• Identifier les obligations de sécurité prévues par l’article L. 133-16
• Vérifier la divulgation volontaire des données de sécurité personnalisées
• Examiner l’utilisation de l’instrument conformément à ses conditions
• Rechercher la validation d’opérations non initiées par le payeur
• Apprécier concrètement les circonstances de l’appel frauduleux
• Éviter toute exclusion de principe de la négligence grave

• Relevé des connexions établissant la validation de quatre opérations
• Appel téléphonique usurpant l’identité d’un conseiller bancaire
• Message provenant du numéro enregistré du prestataire
• Divulgation de l’identifiant et du mot de passe réinitialisé
• Validation d’un virement de 9 000 euros

Le prestataire de services de paiement obtient la remise en cause de sa condamnation, mais la responsabilité du payeur devra être réexaminée concrètement par la juridiction de renvoi. Le payeur reste condamné aux dépens, tandis que les demandes fondées sur l’article 700 sont rejetées.

• Réexaminer la négligence grave au regard de chaque opération
• Exploiter les relevés de connexions et les traces d’authentification
• Qualifier la divulgation volontaire des identifiants
• Vérifier la validation d’opérations non initiées
• Maintenir le rejet de la demande pour résistance abusive

À faire

• Collecter les relevés de connexions et d’authentification
• Identifier les données de sécurité communiquées
• Recenser les opérations validées par le payeur
• Analyser les conditions d’utilisation du service bancaire
• Apprécier concrètement les circonstances de l’appel frauduleux

À éviter

• Exclure automatiquement toute négligence grave en cas d’usurpation
• Négliger la validation volontaire d’une opération
• Omettre la divulgation des identifiants dans l’analyse
• Fonder la décision sur un motif général
• Confondre opération contestée et opération nécessairement non autorisée

La négligence grave du payeur dans les opérations non autorisées

La négligence grave doit être appréciée au regard des obligations prévues par les articles L. 133-16 et L. 133-19, IV, du code monétaire et financier. La juridiction ne peut l’exclure par principe en raison d’un appel usurpant l’identité du prestataire. Elle doit rechercher concrètement si la divulgation volontaire de l’identifiant et du code d’accès, ainsi que la validation d’opérations non initiées, caractérisent un manquement grave.

Les obligations de sécurité des données personnalisées

L’article L. 133-16 impose au payeur de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées et d’utiliser son instrument conformément aux conditions applicables. La communication volontaire de l’identifiant et du mot de passe constitue un élément devant être intégré à l’appréciation concrète de la négligence grave.

Le contrôle de base légale de la décision

La cour d’appel ne pouvait retenir un motif péremptoire déduisant l’absence de négligence grave du seul contexte d’usurpation téléphonique et du message reçu depuis le numéro bancaire. Elle devait examiner les circonstances précises, notamment la validation des opérations et la transmission des identifiants. Cette omission prive la décision de base légale.

Article 1014, alinéa 2, du Code de procédure civile, Article L. 133-16 du Code monétaire et financier, Article L. 133-19, IV, du Code monétaire et financier, Article 700 du Code de procédure civile, Article 450, alinéa 2, du Code de procédure civile