Source : Cass.Com., 15 janvier 2025, n°23-13579 et 23-15437 B
Deux décisions sont rendues le même jour par la Cour de cassation portant sur l’application du droit spécial sur le droit général à propos d’une fraude bancaire.
Dans la première affaire, une société souscrit un contrat lui permettant de passer des virements bancaires sur internet authentifiés par un certificat numérique. Contestant quelques mois après avoir effectué des paiements, elle assigne la banque en remboursement des fonds versés.
En appel, la banque est condamnée à rembourser aux sociétés 50 % des pertes subies au motif que si les sociétés payeuses ont commis une négligence grave, la banque a, quant à elle, commis une faute en ne prenant en compte ni la situation manifestement anormale résultant des alertes diffusées par le centre d’alerte et de réaction aux attaques informatiques ni la centaine de tentatives infructueuses de connexion au système Transbred à partir des ordinateurs des sociétés.
Un pourvoi est alors formé.
Dans la seconde affaire, une femme adresse deux virements à son vendeur de véhicule depuis son compte joint en communiquant l’identifiant unique par voie électronique. Informés par le vendeur de l’absence de réception des fonds, les époux constatent qu’un tiers avait piraté leur messagerie électronique pour substituer l’identifiant unique d’un compte ouvert au profit de ce tiers à l’identifiant unique du vendeur. Ils décident d’assigner la banque en restitution des fonds et en paiement de dommages et intérêts.
La Banque se voit condamné pour son défaut de vigilance.
La encore, un pourvoi est formé.
Les deux arrêts seront censurés par la Cour de cassation au visa des articles 1231-1 du Civil et L133-12 du Code monétaire et financier en adoptant les motivations suivantes :
« 9. En statuant ainsi, alors qu’elle avait écarté la responsabilité de la banque, recherchée du fait de paiements non autorisés sur le fondement de l’article L. 133-18 du code monétaire et financier, en retenant que les sociétés titulaires des comptes avaient commis une négligence grave, de sorte que les sociétés Artemis devaient seules supporter les pertes subies du fait des opérations non autorisées et que la responsabilité de la banque ne pouvait pas être recherchée au titre de ses obligations de vigilance et de surveillance de ses systèmes, la cour d’appel a violé les textes susvisés. »
Et pour le second arrêt :
« 13. En statuant ainsi, alors que l’article L. 133-21 du code monétaire et financier est exclusif de toute application des règles de droit commun, la cour d’appel a violé les textes susvisés, le premier par fausse application, le second par refus d’application. »
Dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier. L’article L. 133-21 de ce code disposant qu’un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique est en conséquence exclusif de toute application des règles de droit commun. Doit être cassé l’arrêt qui retient que cet article ne dispense pas le banquier de son obligation de vigilance en vertu de laquelle il lui appartient de contrôler l’absence d’anomalie apparente affectant l’ordre de paiement.
