Tribunal judiciaire d'Auxerre, CIVIL (1ère Chambre), 24 août 2026, n° 24/00720

Cour d’appel de Paris 
TRIBUNAL JUDICIAIRE D’AUXERRE
1 Place du Palais de Justice 89000 AUXERRE - tél : 03.86.72.30.00

chambre civile

 JUGEMENT DU 24 Août 2026


N° RG 24/00720 - N° Portalis DB3N-W-B7I-C3VJ


AFFAIRE :

Association CHARLES DE FOUCAULD


C/ 

S.A. SA CAISSE D’EPARGNE ET DE PREVOYANCE DE BOURGOGNE FRANCHE COMTE









COMPOSITION DU TRIBUNAL LORS DES DÉBATS, DU DÉLIBÉRÉ ET DU PRONONCÉ : 

Président : Anne-Laure MENESTRIER, Vice-Présidente

Assesseurs :
Laureen MALNOUE, Vice-présidente 
Clotilde BOUNIN, Juge

Greffier : Abderrazzak MADANI, Cadre-greffier lors des débats, et Bérengère DEVOS, Greffier lors du prononcé du jugement, qui a signé la présente décision

DÉBATS :

Aprés débats à l’audience publique du 18 Mai 2026, le jugement suivant a été mis en délibéré et mis à disposition au greffe le 24 Août 2026, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du Code de Procédure Civile.



JUGEMENT :

En premier ressort, Contradictoire,
Décision mise à disposition conformément à l’article 453 du Code de Procédure Civile en présence de Bérengère DEVOS, Greffier, le 24 Août 2026

* * * * *

DEMANDEURS :

Association CHARLES DE FOUCAULD
N° SIREN 382 703 288, association déclarée, immatriculée au registre national des associations sous le N°W891001376
dont le siège social est sis 24 rue de la Faïencerie - 89000 AUXERRE
représentée par Me Roger DENOULET, avocat au barreau de PARIS


DEFENDEURS : 

S.A. CAISSE D’EPARGNE ET DE PREVOYANCE DE BOURGOGNE FRANCHE COMTE
immatriculée au RCS de DIJON sous le n°D 352 483 341
dont le siège social est sis 18 avenue Françoise Giroud - 21000 DIJON
représentée par Me Alain THUAULT, avocat au barreau D’AUXERRE



EXPOSĖ DU LITIGE

L’association CHARLES DE FOUCAULD est titulaire de plusieurs comptes courants ouverts dans les livres de la CAISSE D’EPARGNE ET DE PREVOYANCE DE BOURGOGNE FRANCHE-COMTE (CAISSE D’EPARGNE).

Entre le 28 février 2023 à 17 h 42 et le 1er mars 2023 à 9 h 26, dix-sept virements, dont 14 virements SEPA, ont été réalisés pour un montant total de 387 986, 14 €.

Le 1er mars 2023, la CAISSE D’EPARGNE, alertée par le logiciel PRISMOP de 4 virements anormaux, a contacté l’association CHARLES DE FOUCAULD.

Le 2 mars 2023, l’association CHARLES DE FOUCAULD a déposé plainte au commissariat de police d’AUXERRE pour escroquerie.

Par courriel en date du 15 mai 2023, la CAISSE D’EPARGNE a informé l’association CHARLES DE FOUCAULD qu’elle n’avait pu récupérer, sur les 14 virements SEPA émis à destination de l’Allemagne, qu’une partie des fonds à hauteur de 198 456, 65 € et qu’elle ne pourrait pas obtenir le retour des autres fonds émis, y compris ceux à destination de la Chine à défaut de réponse de la banque destinataire.

Par acte de commissaire de justice en date du 12 juillet 2024, l’association CHARLES DE FOUCAULD a assigné la CAISSE D’EPARGNE ET DE PREVOYANCE DE BOURGOGNE FRANCHE-COMTE devant le tribunal judiciaire d’AUXERRE.

Aux termes de ses dernières conclusions récapitulatives notifiées par RPVA le 21 octobre 2025, l’association CHARLES DE FOUCAULD demande au tribunal judiciaire d’AUXERRE, au visa des articles L.133-18 et suivants du code monétaire et financier, de :
* Dire l’Association Charles de FOUCAULD recevable et bien fondé en toutes ses demandes, fins et conclusions,
* Condamner la CAISSE D’EPARGNE et de Prévoyance de Bourgogne Franche-Comté à régler à l’Association Charles de FOUCAULD la somme de 189.529,49 €, compte arrêté au 15 mai 2023,
* Dire que les intérêts courront sur cette somme, conformément à l’article L.133-18 du code monétaire et financier, à savoir :
1° Intérêts au taux légal majoré de cinq points à compter du 15 mai 2023 ;
2° Intérêt au taux légal majoré de 10 pointes, à compter du 22 mai 2023 ;
3° Intérêts au taux légal majoré de 15 points, à compter du 14 juin 2023 ;
* Ordonner la capitalisation desdits intérêts dans les termes des articles 1231-6 et 1343-2 du code civil,
* Condamner la CAISSE D’EPARGNE et de Prévoyance de Bourgogne Franche-Comté à régler à l’Association Charles de FOUCAULD la somme de 5.000 € en réparation de leur préjudice,
* Condamner la CAISSE D’EPARGNE et de Prévoyance de Bourgogne Franche-Comté à régler à l’Association Charles de FOUCAULD la somme de 5.000 € au titre de l’article 700 du code de procédure civile,
* Condamner la CAISSE D’EPARGNE et de Prévoyance de Bourgogne Franche-Comté aux entiers dépens conformément aux dispositions de l’article 699 du Code de procédure civile.

A l’appui de ses demandes, l’association CHARLES DE FOUCAULD expose :
- que le 28 février 2023 à 17 heures 42 sa responsable financière, Madame [D] [Y], a reçu, sur la ligne fixe de son bureau, un appel masqué d’un homme se présentant comme un technicien informatique de la CAISSE D’EPARGNE l’informant de difficultés affectant des prélèvements d’impôts sur les comptes bancaires de l’association ;
- que Madame [Y] a été mise en confiance par son interlocuteur qui connaissait son nom ainsi que certains virements réalisés par l’association en décembre 2022 ;
- que suivant les instructions de son interlocuteur, Madame [Y] a effectué les encodages demandés à l’aide de son lecteur CAP sans jamais communiquer son code confidentiel à quatre chiffres ni le numéro utilisateur à six chiffres de sa carte à puce ;
- que la manipulation demandée consistait dans l’obtention de 4 codes permettant la validation d’un virement (2 pour validation du RIB, 2 pour validation du virement), opération qui a été réitérée pour une prétendue réinitialisation des paramètres, et ce, durant autant de fois que de virements, sans que le montant des virements n’apparaisse
- que son interlocuteur lui a précisé de ne pas ouvrir son espace bancaire pendant les manipulations ;
- que le même technicien, l’ayant prévenu la veille de son appel, a de nouveau contacté Madame [Y] le lendemain à 8 heures 55 afin de lui faire réaliser sept nouveaux virements ;
- que Madame [Y] a reçu à 9 heures 30 un appel de la conseillère bancaire de l’association sur son portable personnel l’informant de l’existence d’opérations inhabituelles alors qu’elle était en ligne avec le fraudeur
- qu’elle a alors immédiatement interrompu l’échange avec le fraudeur
- que l’appel de la banque a été déclenché à 9 heures 20 par les virements réalisés vers la Chine d’un montant de 44 600 €, 39 900 € et 40 000 €, qui n’ont pu être récupérés ;
- qu’elle a déposé plainte le 2 mars 2023.

Sur le fond, l’association CHARLES DE FOUCAULD fait valoir, sur le fondement de l’article L.133-18 du code monétaire et financier et de la jurisprudence, qu’il pèse sur la banque un devoir général de vigilance et de vérification de déceler les opérations présentant un caractère suspect apparent et qu’à défaut, elle doit rembourser les sommes frauduleusement détournées.
Elle affirme qu’en application de l’article L.133-19 du code monétaire et financier, la responsabilité du client ne peut être engagée lorsque l’opération de paiement non autorisée a été réalisée à son insu en détournant l’instrument de paiement ou ses données.

Elle considère qu’en matière de fraude au virement bancaire, l’obligation de vigilance de la banque porte notamment sur l’identité du bénéficiaire, le montant de l’opération et le fonctionnement habituel du compte. Elle relève à cet égard que la jurisprudence exige de l’établissement bancaire qu’il justifie de l’utilisation du code unique ayant permis de valider l’opération litigieuse, la seule utilisation des identifiants du client ne suffisant pas à l’exonérer de sa responsabilité.
Elle considère que les « escroqueries au président » ont toujours fait l’objet d’un remboursement par la jurisprudence.

Elle estime que la restitution partielle des fonds par la banque constitue la reconnaissance implicite d’un manquement à son devoir de vigilance.

Elle considère que la banque a manqué de vigilance eu égard au montant des virements effectués, de leur nombre (17) dans un laps de temps restreint (moins de 12 h) et des destinataires de ces virements (en Allemagne et en Chine), n’ayant pas l’habitude de réaliser de telles opérations. Elle ajoute que la banque a restitué une partie des sommes escroquées, ce qui constitue une reconnaissance de la défaillance de la banque dans son devoir de vigilance.
Elle considère que la banque, qui a été alertée dès le 28 février 2023 par son logiciel PRISMOP, aurait dû contacter l’association dès le 28 février 2023 et non le 1er mars à 9 h 30.

Elle lui reproche également une défaillance technique de son système de surveillance et de blocage des opérations suspectes dans la mesure où :
- elle ne l’a pas alertée le 28 février 2023 mais le lendemain alors que son logiciel de surveillance avait généré des alertes dès le 28 février ;
- les appareils connectés lors des opérations litigieuses provenaient de terminaux inconnus, via une adresse IP et des fournisseurs d’accès (Inwi Mobile et Maroc Telecom) distincts des deux appareils et adresses IP habituellement utilisés par l’association.
Elle estime que l’authentification forte n’empêche ni n’allège le devoir de vigilance de la banque, justifiant sa condamnation au paiement de la somme de 189 529, 49 euros, correspondant aux fonds qui n’ont pu être récupérés.

En réponse à l’argumentation adverse soutenant que les opérations ont été autorisées par la demanderesse qui a transmis ses codes via le lecteur CAP commettant ainsi une négligence grave, l’association CHARLES DE FOUCAULD rappelle que la jurisprudence considère qu’il ne suffit pas de consentir à l’opération pour l’autoriser mais qu’il faut également consentir à son montant et à son bénéficiaire, la manipulation frauduleuse caractérisant une opération non autorisée.
Elle soutient ne pas avoir autorisé les opérations dès lors que :
- Madame [Y] a été victime d’une manipulation frauduleuse ;
- elle ignorait la nature des opérations réalisées, lesquelles ne s’affichaient pas sur le lecteur CAP ;
- elle n’a pas enregistré ni comptabilisé les opérations.
Elle conclut ainsi que les opérations de virements frauduleux n’ont donc jamais été autorisés au sens de l’article 133-6 I du code monétaire et financier, n’ayant consenti ni à l’ajout des bénéficiaires ni aux opérations frauduleuses.

De même, l’association CHARLES DE FOUCAULD soutient que la banque ne rapporte pas la preuve de sa négligence grave dès lors que Madame [Y] n’a jamais communiqué ni son identifiant ni son numéro utilisateur qui était déjà en possession du fraudeur, ni le code confidentiel du lecteur CAP mais uniquement les codes aléatoires générés par le lecteur CAP qui ne sont pas qualifiés de données confidentielles par la convention EDI, précisant qu’en aucun cas les données relatives au virement ne s’affichent sur le lecteur CAP. Elle considère qu’au regard de la jurisprudence récente, le fait pour Madame [Y], ayant suivi les instructions d’un individu se présentant comme un technicien de la banque qui l’a contactée sur son numéro professionnel et qui connaissait son identité et sa fonction, lui demandant uniquement de communiquer des codes d’authentification sans lui révéler les opérations validées, ne peut caractériser une négligence grave.
Elle considère en outre que la banque ne peut lui reprocher de ne pas s’être connectée à CE NET dès lors que l’escroc était déjà connecté et que plusieurs connexions simultanées à CE NET sont impossibles.

Elle ajoute que, contrairement aux allégations de la défenderesse, les clauses contractuelles de la CAISSE D’EPARGNE ne dérogent pas aux dispositions du code monétaire et financier, invoquant une jurisprudence constante prévoyant l’exclusivité des articles L 133-18 et suivants en cas d’opérations de paiement non autorisées ou mal exécutées (Cass, com 15 janvier 2025).
Elle conclut que la manipulation frauduleuse doit être considérée comme une opération non autorisée.

Enfin, elle sollicite, sur le fondement des articles 1147 ancien du code civil et L. 133-18 du code monétaire et financier, la somme de 5 000 euros à titre de dommages-intérêts, en faisant valoir que l’indisponibilité des fonds détournés a perturbé l’exercice de ses missions et désorganisé une partie de ses services.

Aux termes de ses dernières conclusions récapitulatives notifiées par RPVA le 20 juin 2025, la CAISSE D’EPARGNE ET DE PREVOYANCE DE BOURGOGNE FRANCHE-COMTE demande au tribunal judiciaire d’AUXERRE de débouter l’association Charles de Foucauld de toutes ses demandes.

Au soutien de ses prétentions, la CAISSE D’EPARGNE ET DE PREVOYANCE DE BOURGOGNE FRANCHE-COMTE expose qu'entre les 28 février et 1er mars 2023, dix-sept virements ont été réalisés depuis six comptes ouverts dans ses livres par l’association CHARLES DE FOUCAULD pour un montant total de 387 986, 14 euros dont 198 456, 65 euros ont pu être récupérés grâce à un recall (rappel des fonds) ou ont pu être bloqués par son dispositif d’alerte anti-fraude.

Elle relève :
- que le lecteur CAP est un appareil de lecteur de carte à puce personnel qu’elle fournit à chaque porteur d’une carte Sécur@ccès permettant au client de s’authentifier et signer électroniquement une opération de paiement initiée via l’espace banque à distance CE NET ;
- que le lecteur CAP est un mécanisme d’authentification forte dont l’utilisation nécessite une connexion simultanée à CE NET ;
- que lorsque le client accède à son espace banque à distance CE NET, il doit saisir l’identifiant propre à la société ainsi que son N° Utilisateur, propre à chaque utilisateur ;
- l’accès peut ensuite se faire par mot de passe ou par authentification forte via le lecteur CAP en mettant la carte dans le lecteur, sélectionnant la fonction « CODE », puis en renseignant le code PIN à quatre chiffre de sa carte ;
- le lecteur CAP génère ensuite un code unique à 8 chiffres, qui est saisi par le porteur sur son espace banque à distance.
Elle précise que si l’authentification forte n’est pas nécessaire pour entrer sur l’espace banque à distance qui peut se faire par un simple mot de passe, elle est en revanche nécessaire pour ajouter un nouveau RIB bénéficiaire ou réaliser un virement.
Elle relève que le fraudeur a pu entrer sur l’espace banque à distance de l’association en récupérant l’identifiant et le n° utilisateur, mais qu’il lui manquait le code à 8 chiffes pour ajouter les RIB et valider les flux, code qui lui a été communiqué par Madame [Y] .

Elle précise que :
- le 28 mars (en réalité le 28 février) à 17 heures 44, un device inhabituel s’est connecté sur CE NET avec validation par lecteur CAP dont le code a été renseigné par le porteur du lecteur CAP;
- le device habituel de Madame [Y] a tenté de se connecter à son tour sur CE NET en vain ;
- à 17 heures 48 le device inhabituel et le device habituel de Madame [Y] s’authentifient et se connectent à CE NET ;
- à 17 heures 49 un autre device inhabituel se connecte et s’identifie via le lecteur CAP ;
- de nouveaux comptes bénéficiaires ont été ajoutés et des virements initiés les 28 février et 1er mars 2023 par le fraudeur, qui ont été validés par Madame [Y] grâce à son lecteur CAP.

Sur le fond, la CAISSE D’EPARGNE soutient en premier lieu que les virements litigieux sont des opérations de paiement régulièrement autorisées au sens des articles L.133-3, L.133-6 et L.133-7 du code monétaire et financier. Elle affirme ainsi que Madame [Y] a consenti à chaque opération en la validant avec son lecteur CAP sans toutefois l’avoir ordonnée en amont sur son espace de banque à distance, ajoutant que l’existence d’une escroquerie est sans incidence sur la validité du virement, dès lors que les opérations ont été validées avec son concours.
Elle reproche à Madame [Y] de ne pas s’être connectée simultanément à CE NET et d’avoir ainsi validé « aveuglément » des opérations sans en connaître la nature ni à fortiori le montant.
Elle considère ainsi que Madame [Y], agissant pour le compte de l’association, a personnellement validé l’ajout des bénéficiaires et les dix-sept virements litigieux au moyen du dispositif d’authentification forte lecteur CAP, ce qui rendait ces opérations irrévocables et imposait leur exécution.
Elle affirme rapporter la preuve exigée par l’article L.133-23 du code monétaire et financier en démontrant, grâce aux journaux informatiques et aux données d’authentification produites, que les opérations ont été authentifiées, dûment enregistrées et comptabilisées, sans qu’aucune déficience technique ne soit constatée.

En second lieu, la CAISSE D’EPARGNE considère que la fraude résulte de la seule négligence grave de la comptable de l’association, laquelle reconnaît avoir répondu à un appel frauduleux, utilisé son Lecteur CAP et communiqué les codes nécessaires à la validation des opérations et conclut que ce comportement constitue un manquement caractérisé aux obligations de sécurité prévues à l’article L.133-16 du code monétaire et financier, imposant à l’utilisateur de préserver la confidentialité de ses données de sécurité personnalisées, la naïveté ou la bonne foi ne permettant pas à la victime de s’exonérer de sa responsabilité puisque la jurisprudence retient de manière constante la négligence grave lorsque le client communique ou utilise ses données de sécurité à la demande d’un tiers.
La CAISSE D’EPARGNE indique que les arrêts invoqués par la demanderesse, notamment celui rendu par la Cour de cassation le 23 octobre 2024, sont inapplicables au cas d’espèce dès lors qu’ils concernaient des situations de « spoofing » dans lesquelles le client croyait légitimement être en relation avec son conseiller bancaire, alors qu’en l’espèce l’appel provenait d’un numéro masqué et que Madame [Y] a exécuté les instructions d’un interlocuteur inconnu sans procéder à la moindre vérification.
Elle considère ainsi que ce comportement consistant à divulguer par téléphone à un interlocuteur inconnu des données permettant de réaliser des opérations sur son compte, constitue une négligence grave.
Par ailleurs, la CAISSE D’EPARGNE se prévaut des conditions générales de la convention CE NET applicable aux professionnels, prévoyant au paragraphe « preuve du consentement du client » que toute opération réalisée au moyen des identifiants, mots de passe et dispositifs d’authentification forte est réputée émanée du client et constitue la preuve de son consentement. Elle invoque à cet égard les dispositions de l’article L 133-2 du code monétaire et financier, qui permet de déroger contractuellement aux dispositions du code monétaire et financier, et soutient que les clauses contractuelles permettent de présumer par le seul enregistrement de l’utilisation de l’instrument de paiement que les virements litigieux ont été autorisés et valablement effectués sous la responsabilité du client dès lors que ce dernier est responsable de la conservation de ses données personnelles.

En dernier lieu, la CAISSE D’EPARGNE fait valoir que dès lors que le virement est autorisé au sens de l’article L 133-6 du code monétaire et financier, les vérifications d’anomalies matérielles ou intellectuelles n’ont pas d’objet.
En tout état de cause, elle conteste tout manquement à son devoir de vigilance en invoquant le principe de non-immixtion dans les affaires de son client. Elle fait valoir qu’en présence d’ordres authentifiés et exempts d’anomalies apparentes, elle était tenue de les exécuter sans avoir à s’interroger sur leur opportunité ou leur finalité. Elle souligne que les virements ne présentaient aucune irrégularité manifeste, que la comptable disposait des habilitations nécessaires pour les valider seule, que le caractère inhabituel des montants ou la destination étrangère des fonds ne suffisent pas à caractériser une anomalie apparente, et qu’elle a au contraire fait preuve de vigilance, en alertant sa cliente, et en bloquant quatre virements supplémentaires pour un montant de 74 240 euros grâce à son système de détection interne (au vu du caractère suspect des IBAN destinataires des virements) et en engageant des procédures de récupération des fonds.
Enfin, la CAISSE D’EPARGNE conteste l’argumentation adverse qui allègue que la restitution d’une partie des sommes escroquées constituerait une reconnaissance par la banque de sa défaillance, en rappelant que ces remboursements sont consécutives aux demandes de retour (recall), procédure interbancaire devant être appliquée en cas de fraude subie par ce dernier, mais qui ne garantit pas le remboursement dans la mesure où cette restitution est conditionnée à la disponibilité des fonds sur le compte du destinataire du virement.



Elle conclut ainsi que les opérations litigieuses ont été valablement autorisées, que la fraude trouve sa cause exclusive dans la négligence grave de Madame [Y] et qu’aucune faute ne peut lui être reprochée, excluant ainsi toute obligation de remboursement de sa part.

Pour un exposé exhaustif des prétentions et des moyens des parties, le tribunal se réfère expressément aux termes des conclusions, par application de l’article 455 du Code de procédure civile.

L’ordonnance de clôture est intervenue le 30 janvier 2026. L’affaire a été fixée à l’audience du 18 mai 2026 et mise en délibéré au 24 août 2026.


MOTIFS DE LA DÉCISION

Sur la demande en remboursement de la somme de 189 529, 49 euros

A l’appui de ses demandes, l’association CHARLES DE FOUCAULD se fonde sur les dispositions L.133-18 et suivants du code monétaire et financier tout en alléguant dans le même temps un manquement de la banque à son devoir de vigilance à l’égard d’opérations qu’elle affirme ne pas avoir autorisées.

Aux termes de l’article L. 133-18 du code monétaire et financier, en cas d'opération de paiement non autorisée signalée par l'utilisateur dans les conditions prévues à l'article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l'opération non autorisée immédiatement après avoir pris connaissance de l'opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant.

Aux termes de l’article L. 133-19 du même code, la responsabilité du payeur n'est pas engagée si l'opération de paiement non autorisée a été effectuée en détournant, à l'insu du payeur, l'instrument de paiement ou les données qui lui sont liées. Toutefois, le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17

1) Sur le caractère autorisé ou non autorisé des opérations litigieuses

En vertu de l’article L.133-6 du code monétaire et financier : « I. – Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution.
Aux termes de l’article L.133-23 du même code « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.
L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d'initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur de services de paiement. »

La CAISSE D’EPARGNE fait toutefois valoir que, s’agissant d’une personne morale, les clauses contractuelles peuvent déroger aux dispositions du code monétaire et financier conformément aux dispositions de l’article L 133-2 qui dispose que « sauf dans les cas où l’utilisateur est une personne physique agissant pour des besoins non professionnels, il peut être dérogé par contrat aux dispositions de l’article L 133-1-1, des deux derniers alinéas de l’article L 133-7, des articles L 133-8, L 133-19, L 133-20, L 133-22, L 133-23, L 133-25, L 133-25-1, L 133-25-2 et aux I et III de l’article L 133-26.
Elle soutient que les clauses de la convention CET la liant à l’association dérogent aux dispositions du code monétaire et financier, ce que la défenderesse conteste.

En l’espèce, l’article 11.2 intitulé « Preuve du consentement du client » stipule « De convention expresse, la Caisse d’Epargne et le Client reconnaissent que (…) les ordres sont réputés émaner du Client ou de ses Utilisateurs de banque à distance dès lors qu’ils sont constitués, du numéro du Client, du numéro de l’utilisateur et du code confidentiel, et le cas échéant de l’utilisation d’un Certificat électronique ou d’un moyen d’Authentification forte. Ces éléments constituent une preuve du consentement des opérations sollicitées et/ou réalisées. », 

Or, une telle disposition ne déroge pas aux dispositions du code monétaire et financier mais se borne à édicter une présomption simple du consentement du payeur aux opérations, confirmée par le fait que la convention CE NET permet expressément au payeur de contester les opérations « dans le délai et aux conditions indiquées dans sa convention » (p.38). En outre, il est précisé que « la preuve des opérations effectuées dans CE net pourra être faite par toute forme d’enregistrements résultants des moyens de communication utilisés entre le Client, les Personnes qu’il a habilitées et la Caisse d’Epargne. (...) Ces enregistrements informatiques (…) feront foi entre les parties sauf preuve contraire. » 

Ainsi, dès lors que les stipulations contractuelles autorisent le client à rapporter la preuve contraire, elles ne sauraient être considérées comme dérogeant aux dispositions du code monétaire et financier, qui sont donc applicables. Au demeurant, la CAISSE D’EPARGNE développe bien toute son argumentation sur les dispositions du code monétaire et financier dont elle demande expressément l’application en soutenant d’une part que les opérations litigieuses constitueraient des opérations autorisées et en alléguant d’autre part une négligence grave de Madame [Y].

Dès lors, il appartient à l’établissement bancaire, dans la mesure où l’association CHARLES DE FOUCAULT conteste avoir autorisé une opération réalisée au moyen d’un dispositif sécurisé, d’établir que cette opération a été authentifiée, dûment enregistrée et comptabilisée par le payeur, et qu’elle n’a pas été affectée par une déficience technique, l'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement, à savoir l’utilisation d’identifiants, d’une carte sécur@ccès, de codes confidentiels, et d’un lecteur CAP, ne suffisant pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur.

En effet, une opération de paiement ne peut être considérée comme autorisée au sens des dispositions précitées que si le payeur l'a initiée et a consenti au montant de l'opération.

En l’espèce, il ressort des pièces produites aux débats que l’association CHARLES DE FOUCAULD a, par contrat en date du 16 décembre 2016, souscrit au service CE NET permettant notamment de réaliser des opérations de paiement.

Ainsi que l’expose la banque, les opérations de paiement réalisées en ligne nécessitent au préalable que le client se connecte à son espace personnel bancaire à l’aide de son identifiant, de son numéro d’utilisateur et de son lecteur carte à puce (CAP) personnel, lequel lui est fourni. Le lecteur CAP permet de générer un code à huit chiffres lorsque le client, doté d’une carte sécur@ccès, insère celle-ci dans le lecteur CAP, sélectionne la fonction « CODE » et renseigne le code PIN à quatre chiffres de sa carte.
Une fois connecté à son espace personnel, le client peut visualiser ses comptes. Le même processus, consistant à renseigner un code à huit chiffres généré aléatoirement par le lecteur CAP, est nécessaire afin de procéder aux opérations telles que l’ajout de RIB destinataires et afin d’effectuer des virements.
Un tel processus constitue une authentification forte au sens de l’article L.133-4 du code monétaire et financier dès lors qu’il repose sur l’utilisation d’un élément connu du client, à savoir son code PIN, et d’un élément en sa possession, la carte sécur@ccès et le lecteur CAP.

Il résulte de l’examen du fichier EXCEL DIOS produit par la banque que chacune des opérations, à savoir l’ajout de comptes bénéficiaires et les dix-sept virements pour un montant total de 387 986, 14 euros ont été réalisés depuis l’espace personnel banque à distance et le compte de l’association CHARLES DE FOUCAULD conformément au dispositif d’authentification forte mis en place par la banque.
Il ressort également des relevés des comptes de l’association CHARLES DE FOUCAULD, et contrairement à ce que soutient cette dernière, que les opérations ont toutes été enregistrées et comptabilisées et exécutées conformément aux ordres reçus.

Par ailleurs, si l’association CHARLES DE FOUCAULD allègue d’une défaillance du système de sécurité de la banque au motif que les opérations ont été réalisées depuis des appareils et adresses IP inhabituels, cette circonstance ne peut caractériser une déficience technique du système de paiement au sens de l'article L.133-23 du code monétaire et financier. En effet, la déficience technique vise un dysfonctionnement du système de paiement ou du dispositif de sécurité mis en œuvre par le prestataire de services de paiement ayant pour conséquence de permettre l’exécution d’opérations sans respecter les procédures de sécurité requises.
Or, les pièces produites montrent que si des connexions depuis des appareils inhabituels ont eu lieu, elles ont cependant été soumises au processus d’authentification forte et que les opérations n'ont pu être exécutées qu'après saisie des codes générés par le lecteur CAP, lequel est toujours resté en possession de l’association.

Dès lors, la CAISSE D'EPARGNE rapporte la preuve qui lui incombe que les opérations litigieuses ont été authentifiées, dûment enregistrées et comptabilisées et qu'elles n'ont pas été affectées par une déficience technique ou autre.

Toutefois, une telle preuve ne suffit pas, à elle seule, à établir que les opérations ont été autorisées au sens de l’article L 133-6 du code monétaire et financier, qui nécessite en outre que le titulaire du compte ait consenti au montant et à la destination des fonds.

Or, les éléments versés au débat démontrent que les virements litigieux s'inscrivent à l’évidence dans un contexte de fraude, lequel n’est au demeurant pas contesté par la banque.
En effet, il ressort de la plainte déposée le 2 mars 2023 par l’association CHARLES DE FOUCAULD que Madame [Y] a été contactée à deux reprises par un individu se présentant comme un technicien informatique de la CAISSE D'EPARGNE prétendant intervenir pour un incident affectant des prélèvements fiscaux. Il est constant que cet interlocuteur lui a demandé de générer à plusieurs reprises des codes au moyen de son lecteur CAP et de les lui communiquer.
Ces faits sont par ailleurs corroborés par les pièces produites par la banque retraçant l’historique des opérations, lesquelles révèlent qu'au moment de l’appel reçu et durant lequel les opérations litigieuses ont eu lieu, que des connexions ont été réalisées depuis deux appareils inhabituels avec des adresses IP étrangères, en sus de l’un des deux appareils habituellement utilisés par l'association pour accéder au service bancaire à distance, et que ces appareils étrangers ont initié les opérations.

De même, il n'est pas contesté que l’association CHARLES DE FOUCAULD ignorait l'identité des bénéficiaires ajoutés, les montants des virements réalisés ainsi que leur destination, n’ayant jamais pu visualiser les opérations effectivement exécutées sur son lecteur CAP ni sur son espace bancaire, ayant suivi les instructions de son interlocuteur de ne pas s’y connecter durant les opérations.

Ainsi, si l’association CHARLES DE FOUCAULD, par l’intermédiaire de Madame [Y], a effectivement généré les codes d'authentification ayant permis la réalisation des opérations, il n'est pas établi qu'elle y ait consenti, sa participation s’étant inscrite dans le cadre d'une manœuvre frauduleuse mise en œuvre par un tiers qui a lui-même initié les virements et déterminé leurs bénéficiaires ainsi que leurs montants, à l’insu de Madame [Y].

Dès lors, les opérations litigieuses et notamment les dix-sept virements réalisés entre le 28 février et le 1er mars 2023 doivent être qualifiées, contrairement à ce que soutient la défenderesse, d'opérations de paiement non autorisées au sens des articles L.133-6 et L.133-7 du code monétaire et financier.

2) Sur la négligence grave

En présence d’opérations non autorisées au sens des articles L.133-3 et L.133-6 du code monétaire et financier, il convient de rechercher si le demandeur peut se voir reprocher une négligence grave au sens des articles L.133-16 et suivants du code monétaire et financier faisant obstacle à son indemnisation, étant rappelé que la responsabilité d’un prestataire de services de paiement recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, le régime de responsabilité défini aux articles L.133-18 à L.133-24 du code monétaire et financier qui transposent les articles 58, 59 et 60, § 1, de la directive 2007/64/CE, est seul applicable, comme l’indique au demeurant la demanderesse dans ses conclusions (Cass, com 15 janvier 2025), tout autre régime alternatif de responsabilité résultant du droit national devant alors être écarté.

Ainsi, dès lors que l’association CHARLES DE FOUCAULT soutient que les opérations litigieuses n’étaient pas autorisées, elle ne peut dans le même temps prétendre engager la responsabilité de la banque pour manquement à son devoir de vigilance, relevant du droit commun, de sorte que les développements sur ce point sont inopérants.

Aux termes des articles L.133-19 et L.133-23 du code monétaire et financier, il appartient au prestataire de services de paiement qui entend s'exonérer de son obligation de remboursement d'établir que le payeur a agi frauduleusement ou qu'il a manqué intentionnellement ou par négligence grave aux obligations lui incombant en matière de préservation de ses dispositifs de sécurité personnalisés.

La négligence grave ne saurait résulter de la seule circonstance que l'utilisateur a été victime d'une manœuvre frauduleuse. Elle doit s'apprécier concrètement au regard de l'ensemble des circonstances de l'espèce et du comportement attendu d'un utilisateur normalement attentif placé dans la même situation.

En l’espèce, il est constant que les 28 février et 1er mars 2023, Madame [Y], responsable financière de l'association CHARLES DE FOUCAULD chargée de la gestion courante des comptes bancaires, a reçu deux appels téléphoniques successifs d'un individu appelant depuis un numéro masqué, se présentant comme un technicien informatique de la CAISSE D'EPARGNE chargé de résoudre une prétendue difficulté affectant des prélèvements fiscaux de l'association. Suivant ses instructions, elle a généré et communiqué à cet interlocuteur les codes d'authentification issus de son lecteur CAP sans consulter l’espace bancaire CE NET de l'association CHARLES DE FOUCAULD et sans procéder à la moindre vérification auprès de l’agence bancaire de l’association.

Si l'association CHARLES DE FOUCAULD soutient que Madame [Y] n'aurait communiqué au fraudeur aucune donnée personnelle mais uniquement les codes générés par le lecteur CAP, lesquels ne constitueraient pas des données de sécurité personnalisées, il ressort cependant des stipulations contractuelles régissant le service CE NET que les données de sécurité personnalisées sont définies comme les données confidentielles fournies par la banque à son client pour l’utilisation d’un instrument de paiement visant à l’authentifier et à sécuriser ses opérations. Or, le lecteur CAP, fourni par la banque, constitue un élément essentiel du dispositif d'authentification forte mis en place par la banque et les codes à usage unique qu'il génère de manière aléatoire permettent précisément d’authentifier et de sécuriser les opérations sensibles réalisées par le client sur son espace bancaire. Leur communication à un tiers participe ainsi de la divulgation des données de sécurité personnalisées dont le client est tenu d’en assurer la confidentialité.

Dès lors, la circonstance selon laquelle Madame [Y] n'a pas communiqué les identifiants ou le code PIN de l’association importe peu dans la mesure où les codes générés par le lecteur CAP et dont la demanderesse admet qu’ils ont été transmis au fraudeur ont permis l'ajout de bénéficiaires puis la validation des virements litigieux.

En outre, force est de constater que Madame [Y] a communiqué à de multiples reprises, les codes générés par le lecteur CAP à un individu dont elle n'a, à aucun moment vérifié l'identité, et qui l'appelait depuis un numéro masqué, manquant ainsi directement et de manière répétée à l'obligation de préserver la confidentialité des données de sécurité personnalisées de l’association.

Le caractère réitéré des demandes formulées par le fraudeur, sur deux journées consécutives, aurait dû éveiller la vigilance de Madame [Y] qui aurait dû s’interroger sur leur finalité et prendre attache avec la banque afin de s'assurer de la réalité des difficultés techniques alléguées.
Par ailleurs, en sa qualité de comptable habilitée à utiliser régulièrement les moyens de paiement de l’association, Madame [Y] ne pouvait ignorer que la communication à un tiers des codes de validations générés par le lecteur CAP avait pour effet d’autoriser des opérations sensibles susceptibles d’engager les fonds de l’association.
Il ressort en outre des propres écritures de la demanderesse que Madame [Y] a suivi les instructions de son interlocuteur lui demandant de ne pas consulter l’espace bancaire CE NET durant les opérations et qu’elle a ainsi authentifié et validé les opérations litigieuses sans en vérifier ni la nature, ni les bénéficiaires, ni les montants.

L’ensemble de ces circonstances caractérise une négligence grave de l’association CHARLES DE FOUCAULD, imputable aux agissements de sa préposée habilitée à gérer les opérations bancaires de l’association. Les manœuvres frauduleuses dont elle a été victime ne sont pas de nature à atténuer cette négligence grave caractérisée.

Par conséquent, la CAISSE D’EPARGNE, rapportant la preuve de la négligence grave de l’association CHARLES DE FOUCAULD, était fondée à refuser la demande de remboursement de la somme de 189 529, 49 euros.

Les demandes de l’association CHARLES DE FOUCAULD tendant au remboursement de la somme de 189 529, 49 euros ainsi qu’à des dommages et intérêts à hauteur de 5 000 euros seront en conséquence rejetées.

Sur les dépens et frais irrépétibles

En application de l’article 696 du code de procédure civile, la partie perdante est condamnée aux dépens, à moins que le juge, par décision, n’en mette la totalité ou une fraction à la charge d’une autre partie.

L’association CHARLES DE FOUCAULD, qui succombe à l’instance, sera condamnée aux entiers dépens de l’instance.

Aux termes de l’article 700 du code de procédure civile, le juge condamne la partie tenue aux dépens ou qui perd son procès à payer à l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens. Dans tous les cas, le juge tient compte de l’équité ou de la situation économique de la partie condamnée. Il peut, même d’office, pour des raisons tirées des mêmes considérations, dire qu’il n’y a pas lieu à ces condamnations.

En l’espèce, l’association CHARLES DE FOUCAULD, tenue aux dépens, sera déboutée de sa demande sur le fondement de l’article 700 du code de procédure civile.

Sur l’exécution provisoire

Aux termes de l’article 514 du code de procédure civile, applicable aux instances introduites à compter du 1er janvier 2020, “les décisions de première instance sont de droit exécutoire à titre provisoire à moins que la loi ou la décision rendue n’en dispose autrement”.

En l’espèce, aucun élément ne justifie qu’il soit dérogé au principe de l’exécution provisoire de droit.

* * * *
PAR CES MOTIFS

Le tribunal, statuant publiquement, par jugement contradictoire, mis à disposition au greffe, et en premier ressort,

DEBOUTE l’association CHARLES DE FOUCAULD de l’ensemble de ses demandes ;
CONDAMNE l’association CHARLES DE FOUCAULD aux entiers dépens ;
RAPPELLE que le présent jugement est exécutoire de plein droit à titre provisoire ;

Ainsi, jugé et prononcé par mise à disposition les jour, mois et an susdits par le Juge et le Greffier susnommés,

Le Greffier, Le Président,










En conséquence, la République française mande et ordonne à tous commissaires de justice, sur ce requis, de mettre ladite ordonnance à exécution, aux procureurs généraux et aux procureurs de la République près les tribunaux judiciaires d’y tenir la main, à tous commandants et officiers de la force publique de prêter main-forte lorsqu’ils en seront légalement requis.
En foi de quoi, la présente décision a été signée par le greffier.