LB/RP

Numéro 26/02888

COUR D’APPEL DE PAU

2ème CH – Section 1

ARRET DU 22 Octobre 2026

Dossier :

N° RG 25/00888

N° Portalis DBVV-V-B7J-JEKL

Nature affaire :

Autres demandes en matière de droit bancaire et d’effets de commerce

Affaire :

S.A. [Adresse 1]

C/

[W] [Q] née [F]

Grosse délivrée le :

à :

RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS

A R R E T

Prononcé publiquement par mise à disposition de l’arrêt au greffe de la Cour le 22 Octobre 2026, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du Code de Procédure Civile.

* * * * *

APRES DÉBATS

à l’audience publique tenue le 12 Mai 2026, devant :

Laurence BAYLAUCQ, magistrat chargé du rapport,

assistée de Madame GABAIX HIALE, Greffier, présente à l’appel des causes,

Laurence BAYLAUCQ, en application des articles 805 et 907 du Code de Procédure Civile et à défaut d’opposition, a tenu l’audience pour entendre les plaidoiries, en présence de Jeanne PELLEFIGUES et en a rendu compte à la Cour composée de :

Madame PELLEFIGUES, Président

Madame BAYLAUCQ, Conseiller

Monsieur DARRACQ, Conseiller

qui en ont délibéré conformément à la loi.

dans l’affaire opposant :

APPELANTE :

S.A. BANQUE POPULAIRE AQUITAINE CENTRE ATLANTIQUE

immatriculée au RCS de [Localité 1] sous le numéro 755 501 590

prise en la personne de son représentant légal domicilié ès-qualités audit siège

[Adresse 2]

[Localité 2]

Représentée par Maître Christophe DUALE de la SELARL DUALE-LIGNEY-

BOURDALLE, avocat au barreau de PAU

Assistée de Maître Philippe OLHAGARAY de la SELARL DUCOS-ADER/

OLHAGARAY, avocat au barreau de BORDEAUX

INTIMEE :

Madame [W] [Q] née [F]

née le [Date naissance 1] 1971 à [Localité 3]

de nationalité Française

[Adresse 3]

[Localité 4]

Représentée par Maître Manuel VELASCO de la SELARL L’HOIRY AVOCATS, avocat au barreau de BAYONNE

sur appel de la décision

en date du 03 MARS 2025

rendue par le TRIBUNAL JUDICIAIRE DE DE BAYONNE

EXPOSE DU LITIGE

Mme [U] [F] épouse [Q] est titulaire d’un livret de développement durable auprès de la société [Adresse 1] (ci-après société BPACA ou la banque) dans son agence située à [Localité 5].

Le 12 janvier 2023, un virement de 10.338 euros a été effectué sur ce livret au profit d’un certain « Mihaly antipov », inconnu de Mme [Q].

Le 13 janvier 2023, Mme [Q] a déposé une plainte en ligne.

Par courrier du 18 janvier 2023, Mme [Q] a réclamé auprès de sa banque le remboursement de ce virement.

Cette dernière l’a refusé aux motifs que cette opération avait été validée au moyen du dispositif d’authentification forte Sécur’Pass, que l’auteur de l’escroquerie n’avait pu effectuer cette transaction sans disposer des données bancaires personnelles et confidentielles indispensables pour autoriser la connexion d’un nouveau terminal. Elle ajoutait que Mme [Q] n’avait pas tenu compte du message qu’elle avait reçu le 9 janvier l’informant que Secur’Pass serait actif dans 72 heures sur son mobile Iphone et n’avait pas contacté son agence. Elle a indiqué que le virement avait été valablement enregistré et comptabilisé et qu’il n’y avait aucune défaillance de la banque dont la responsabilité n’était pas engagée.

Par courrier du 23 février 2023, le conseil de Mme [Q] a réitéré la demande de remboursement auprès de la banque qui l’a, à nouveau, refusé.

Suivant exploit du 7 avril 2023, Mme [Q] a assigné la société BPACA devant le tribunal judiciaire de Bayonne, aux fins de la voir condamner à lui payer la somme de 10.338 euros, les pénalités de l’article L. 133-8 du code monétaire et financier soit l’intérêt au taux légal majoré de quinze points sur la somme de 10.338 euros à compter du 12 janvier 2023, et à défaut à compter de la mise en demeure du 23 février 2023.

Par jugement du 3 mars 2025, le tribunal judiciaire de Bayonne a :

condamné la SA [Adresse 1] à payer à Mme [U] [F] épouse [Q] la somme de 10.338 euros, outre les intérêts au taux légal à compter de la mise en demeure du 23 février 2023,

débouté Mme [U] [F] épouse [Q] de sa demande tendant à voir assortir la condamnation prononcée d’un taux d’intérêt légal majoré,

condamné la SA banque populaire Aquitaine Centre Atlantique à payer à Mme [U] [F] épouse [Q] la somme de 2.500 euros au titre de l’article 700 du code de procédure civile,

débouté la SA [Adresse 1] de sa demande au titre de l’article 700 du code de procédure civile,

condamné la SA banque populaire Aquitaine Centre Atlantique aux entiers dépens,

dit n’y avoir lieu à écarter l’exécution provisoire de plein droit dont est assortie la présente décision.

Par déclaration en date du 1er avril 2025, la société BPACA a interjeté appel de ce jugement.

L’ordonnance de clôture a été rendue le 22 avril 2026.

* * *

Vu les conclusions notifiées le 30 juin 2025 par la société BPACA qui demande à la cour de :

déclarer la [Adresse 1] recevable et fondée en son appel,

Y faisant droit,

infirmer le jugement rendu par le tribunal judiciaire de Bayonne en date du 3 mars 2025 (RG n° 23/00694) en ce qu’il a :

– condamné la banque populaire Aquitaine centre Atlantique à payer à Mme [U] [F] épouse [Q] la somme de 10.338 euros, outre les intérêts au taux légal à compter de la mise en demeure du 23 février 2023,

– condamné la [Adresse 1] à payer à Mme [U] [F] épouse [Q] la somme de 2.500 euros au titre de l’article 700 du code de procédure civile,

– débouté la banque populaire Aquitaine centre Atlantique de sa demande au titre de l’article 700 du code de procédure civile,

– condamné la [Adresse 1] aux dépens,

Statuant à nouveau,

débouter Mme [Q] de l’ensemble de ses demandes, fins et prétentions,

condamner Mme [Q] à lui payer la somme de 3.000 € sur le fondement de l’article 700 du code de procédure civile,

condamner Mme [Q] aux entiers dépens de l’instance.

Vu les conclusions notifiées le 25 septembre 2025 par Mme [Q] qui demande à la cour de :

confirmer le jugement rendu le 3 mars 2025 par le tribunal judiciaire de Bayonne

Y ajoutant,

débouter la banque populaire Aquitaine centre Atlantique de l’ensemble de ses demandes, fins et conclusions

condamner la [Adresse 1] à lui payer la somme de 3.000 € sur le fondement de l’article 700 du code de procédure civile et aux entiers dépens.

MOTIFS :

A titre liminaire, il est constaté qu’aucune fin de non-recevoir n’étant soulevée, il n’y a pas lieu de statuer sur la recevabilité de l’appel de la BPACA.

En outre, le chef du jugement déféré ayant débouté Mme [U] [F] épouse [Q] de sa demande tendant à voir assortir la condamnation prononcée d’un taux d’intérêt légal majoré n’est pas discuté en cause d’appel. Par conséquent, il n’y a pas lieu de statuer sur ce chef de jugement qui a acquis force de chose jugée.

Sur la demande de remboursement de l’opération frauduleuse

La société BPACA sollicite l’infirmation du jugement déféré en ce qu’il l’a condamnée à payer à Mme [Q] la somme de 10.338 euros en remboursement du virement frauduleux effectué à partir de son livret de développement durable le 12 janvier 2023.

Au visa des articles L 133-19 et suivants du code monétaire et financier, elle fait valoir que :

elle est fondée à se prévaloir de l’article L 133-19 IV du code monétaire et financier et à soutenir que Mme [Q] doit supporter les pertes occasionnées par les opérations litigieuses dès lors qu’elle n’a pas satisfait, par négligences graves, aux obligations de l’article L 133-16 de ce code, Mme [Q] n’ayant pas prêté attention aux notifications suspectes de mise en place du service Secur’Pass, a validé la mise en place du dispositif Sécur’Pass qu’elle n’avait pourtant pas sollicité, et n’a pas jugé utile de prévenir son établissement bancaire de cette démarche ; une telle information relative à une opération qu’elle ne pouvait manquer d’analyser comme la preuve d’une fraude puisqu’elle n’était pas à l’origine de la demande doit être regardée comme gravement négligent ;

le fait que les SMS aient été envoyés sur le téléphone de M. [Q] ne caractérise pas une négligence grave de la banque puisque Mme [Q] admet avoir eu connaissance des SMS envoyés, mais caractérise au contraire une négligence de Mme [Q] qui n’a pas communiqué son numéro personnel à la banque, mais celui de son époux,

il est possible que son époux ait lui-même communiqué des informations aux tiers leur permettant de détourner les fonds,

l’activation du service Sécur’Pass ne peut se faire sans la connaissance de l’identifiant, du mot de passe d’accès à l’espace de la banque en ligne de l’utilisateur, de son numéro de carte bancaire et d’un code unique,

elle démontre que les virements ont été authentifiés, dûment enregistrés et comptabilisés de sorte qu’il existe une présomption de communication par les utilisateurs de leurs données personnelles,

en l’espèce, il est indéniable que l’opération contestée n’a pu se faire sans la participation effective de M. ou Mme [Q] ce qui a permis à l’escroc de procéder à l’opération litigieuse,

le caractère international du virement ou le nom « atypique » ou à connaissance étrangère du bénéficiaire ne constitue pas en soi un motif suffisant pour engager sa responsabilité au titre du défaut de vigilance, le client pouvant choisir librement ses destinataires et la banque étant tenue d’un devoir de non-immixtion dans les affaires de ses clients.

Mme [Q] soutient en réponse que :

la charge de la preuve de la fraude ou de la négligence appartient à la banque,

la banque ne prouve pas qu’elle a divulgué à un tiers des éléments d’identification confidentiels ayant permis les paiements contestés,

elle conteste avoir autorisé une connexion ou avoir communiqué un code unique de sécurité, et n’a jamais reçu de SMS de sécurité pour ces opérations,

la preuve de la négligence ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont effectivement été utilisés,

elle n’a jamais donné son autorisation à l’ajout d’un bénéficiaire,

non seulement la BPACA ne rapporte pas la preuve qui lui incombe de la négligence grave de l’utilisateur, mais encore elle a fait preuve d’un défaut de vigilance à l’égard de ces opérations.

* *

Il résulte des articles L. 133-16 et L. 133-17 I du code monétaire et financier que, dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées. Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci.

L’article L. 133-19 du code monétaire et financier dispose que

’I – En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17, les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 euros.

(…)

II – La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées.

Elle n’est pas engagée non plus en cas de contrefaçon de l’instrument de paiement si, au moment de l’opération de paiement non autorisée, le payeur était en possession de son instrument.

(…)

IV – Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17.

V – Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44.’ (…)

Selon l’article L 133-23 du même code, lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.

Il résulte de ces dispositions que, si aux termes des articles L. 133-16 et L. 133-17 du code monétaire et financier il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées, c’est à ce prestataire qu’il incombe, par application des articles L. 133-19 IV et L. 133-23 du même code, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations.

En l’espèce, dans le courrier qu’elle a adressé à la banque le 18 janvier 2023, Mme [Q] a indiqué « suite à notre entretien téléphonique de ce jour et à votre demande, je vous rappelle de façon chronologique les évènements survenus le 12 janvier dernier concernant l’acte de piratage dont j’ai été victime :

« 1- SMS reçus sur le téléphone mobile de mon mari ([XXXXXXXX01]) de la part de BPACA :

09/01 à 16h04 : Banque Populaire, votre SécurPass sera actif dans 72 h sur votre mobile Iphone. En cas de doute, contactez votre agence.

12/01 à 16h08 : Banque Populaire Bénéficiaire virements vers Allemagne DE **13856900 en cours de création. Si problème contacter la banque.

12/01 à 16h08 : Banque Populaire Bénéficiaire virements vers Hongrie HU ** 00000000 en cours de création. Si problème contacter la banque.

12/01 à 16h08 : Votre virement instantané de 10338.00 Euros réalisé le 12/01/23 à 16h12.02 vers le compte de Mihaly antipov a bien été exécuté.

2- 16h45 : Mon mari est très surprit de découvrir ces messages douteux sur son portable au moment où il quitte son travail. Il tente de m’appeler mais je ne suis pas joignable pendant mes heures de service. De fait, il contacte la Banque Populaire, qui, après vérifications, bloque les comptes en accord avec mon mari.

12/01 à 18h03 : Banque Populaire, votre SécurPass est désormais actif sur votre mobile Iphone. En cas de doute contactez votre agence.

3- Le 13/01 une plainte est déposée sur le site Service-Public.fr sous la référence A-S-GUSDUNSO

Nous n’avons effectué aucun paiement en ligne, ni communiqué nos données bancaires. Nous n’ouvrons jamais de mail frauduleux ou litigieux. Nous n’avons reçu aucun message de la banque pour authentifier les virements avec code de confirmation. »

Il résulte de ces déclarations, ainsi que du « tableau excel- demande d’investigation sur opérations suspectes » produit par la banque (sa pièce numérotée 1) que Mme [Q] a bien reçu sur le portable de son mari le 09/01 un message indiquant «  Banque Populaire, votre SécurPass sera actif dans 72 h sur votre mobile Iphone. En cas de doute, contacter votre agence ».Si ce message aurait dû alerter Mme [Q] comme un indice de fraude car ni elle ni son époux n’ont d’Iphone, cette négligence est insuffisante pour la qualifier de grave en l’espèce.

L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière.

La banque ne démontre pas ses allégations selon lesquelles Mme [Q] ou son époux aurait validé par un acte positif la mise en place du dispositif Secur’Pass sur un Iphone ou les autres opérations litigieuses (création de bénéficiaires, virement) en autorisant la connexion à son espace de banque en ligne par un autre utilisateur et/ou en validant les opérations par authentification forte/mot de passe.

Sur le tableau excel qu’elle produit, plusieurs connexions figurent le 9 janvier 2023 avec une adresse IP différente de celles utilisées précédemment correspondant à un Iphone avec la mention « IDENTIFICATION», « AUTHENT FORTE » « CONNEXION ». De même les ajouts de compte tiers au nom de Mihaly puis de Komolov, puis le virement de 10.338 euros à « Mihaly antipov Allemagne » ont donné lieu à une authentification forte et à l’activation de Secur’Pass avec une autre adresse IP correspondant à un Iphone, toujours différentes de celles utilisées habituellement par Mme [Q].

Au regard de ces éléments, il n’est pas démontré que Mme [Q] (ou son époux) a transmis des informations confidentielles liées à son moyen de paiement ou à ses données bancaires à un tiers permettant à ce dernier d’opérer le virement litigieux, ou a validé les opérations litigieuses personnellement, lesquelles l’ont été à partir d’adresses IP correspondant à des Iphones différentes de celles qu’ils utilisaient habituellement pour réaliser leurs opérations bancaires.

Et l’absence de prise en compte du message envoyé le 9 janvier 2023 sur le téléphone de M. [Q] fourni à la banque par Mme [Q] l’avertissant de l’activation de Secur’Pass sur un Iphone et l’invitant à la contacter si elle n’était pas à l’origine de cette opération, de même que le fait d’avoir enregistré le numéro de téléphone de son époux dans son profil utilisateur, alors qu’elle vit avec lui et qu’il lui a transmis l’information relative au virement frauduleux et a rapidement contacté la banque, sont insuffisants pour qualifier de grave la négligence de Mme [Q].

Mme [Q] indique que son époux a contacté la banque dès le 12 janvier 2023 en fin d’après midi pour qu’elle bloque les comptes. Elle a porté plainte en ligne le lendemain.

Au regard de ces éléments, la banque, sur qui repose la charge de la preuve, échoue à démontrer que Mme [Q] (ou son époux) a autorisé l’opération ou qu’elle n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant.

Il convient, par conséquent, de confirmer le jugement déféré en ce qu’il a condamné la société BPACA à payer à Mme [U] [F] épouse [Q] la somme de 10.338 euros outre les intérêts au taux légal à compter du 23 février 2023 et de débouter la banque de l’ensemble de ses demandes.

Sur les dépens et les frais irrépétibles

Eu égard à la solution du litige, il convient de confirmer le jugement déféré en ce qu’il a condamné la BPACA aux dépens de première instance et au paiement de la somme de 2500 euros sur le fondement de l’article 700 du code de procédure civile.

La BPACA, partie perdante, sera condamnée également aux dépens d’appel, sur le fondement de l’article 696 du code de procédure civile.

Il convient de condamner la BPACA à payer à Mme [Q] la somme de 2.500 euros sur le fondement de l’article 700 du code de procédure civile au titre des frais irrépétibles exposés en cause d’appel.

PAR CES MOTIFS

La cour,

Statuant publiquement dans les limites de sa saisine par mise à disposition au greffe, par arrêt contradictoire et en dernier ressort,

Confirme le jugement déféré en toutes ses dispositions déférées à la cour,

Y ajoutant,

Déboute la société [Adresse 1] de ses demandes ;

Condamne la société banque populaire Aquitaine centre Atlantique aux dépens d’appel ;

Condamne la société [Adresse 1] à payer à Mme [U] [F] épouse [Q] la somme de 2500 euros au titre des dispositions de l’article 700 du code de procédure civile.

Le présent arrêt a été signé par Madame PELLEFIGUES, Président, et par Madame GABAIX-HIALE, Greffier, suivant les dispositions de l’article 456 du Code de Procédure Civile.

Le Greffier, Le Président,