COUR D'APPEL
DE
VERSAILLES
Code nac : 38E
Chambre commerciale 3-2
ARRET N°
CONTRADICTOIRE
DU 21 MAI 2024
N° RG 23/01126 - N° Portalis DBV3-V-B7H-VWDG
AFFAIRE :
S.A.R.L. LA PHARMACIE DES MARAIS
C/
S.A. LE CREDIT LYONNAIS
Décision déférée à la cour : Jugement rendu le 20 Janvier 2023 par le Tribunal de Commerce de PONTOISE
N° Chambre : 2
N° RG : 2022F00606
Expéditions exécutoires
Expéditions
Copies
délivrées le :
à :
Me Bruno ADANI
Me Margaret BENITAH
RÉPUBLIQUE FRANÇAISE
AU NOM DU PEUPLE FRANÇAIS
LE VINGT ET UN MAI DEUX MILLE VINGT QUATRE,
La cour d'appel de Versailles a rendu l'arrêt suivant dans l'affaire entre :
S.A.R.L. LA PHARMACIE DES MARAIS
N° SIRET : 491 205 308 RCS PONTOISE
Ayant son siège
[Adresse 3]
[Localité 5]
prise en la personne de ses représentants légaux domiciliés en cette qualité audit siège
Représentant : Me Bruno ADANI de la SELARL ADANI, Postulant, avocat au barreau de VAL D'OISE, vestiaire : 183 - N° du dossier 210322
Représentant : Me Thomas PIERSON, Plaidant, avocat au barreau de PARIS, vestiaire : A0968, substitué à l'audience par Maître Alexis COHEN, avocat au barreau de PARIS
APPELANTE
****************
S.A. LE CREDIT LYONNAIS
Ayant son siège
[Adresse 1]
[Localité 4]/FRANCE
et le siège central [Adresse 2]
prise en la personne de ses représentants légaux domiciliés en cette qualité audit siège
Représentant : Me Margaret BENITAH, Postulant, avocat au barreau de VERSAILLES, vestiaire : C.409
Représentant : Me Magali TARDIEU-CONFAVREUX, Plaidant, avocat au barreau de PARIS, vestiaire : R010
INTIMEE
****************
Composition de la cour :
En application des dispositions de l'article 805 du code de procédure civile, l'affaire a été débattue à l'audience publique du 02 Avril 2024 les avocats des parties ne s'y étant pas opposés, devant Madame Véronique MULLER, magistrat honoraire, chargée du rapport.
Ce magistrat a rendu compte des plaidoiries dans le délibéré de la cour, composée de :
Monsieur Ronan GUERLOT, Président,
Madame Marietta CHAUMET, Vice-Présidente placée,
Madame Véronique MULLER, Magistrat honoraire,
Greffier, lors des débats : Madame Jeannette BELROSE,
Le 7 juillet 2006, la SARL Pharmacie des Marais a ouvert un compte bancaire professionnel dans les livres de la banque Le Crédit Lyonnais (la société LCL).
Le 11 novembre 2021, le gérant de la société Pharmacie des marais a constaté que quatre virements avaient été débités de son compte bancaire, avec un libellé « anastasija », ces virements réalisés les 3,4,5 et 8 novembre 2021 portant sur les montants suivants : 15 987, 14 euros, 14 987 euros, 14 998 euros et 15 998 euros.
La société LCL est parvenue à bloquer le dernier virement.
Par courrier recommandé du 9 février 2022, la société Pharmacie des marais a mis en demeure la société LCL de lui rembourser la somme de 45 972,14 euros, considérant qu'elle avait été indûment prélevée.
Par acte du 12 juillet 2022, la société Pharmacie des marais a assigné la société LCL devant le tribunal de commerce de Pontoise, lequel par jugement contradictoire du 20 janvier 2023, a :
- dit la société Pharmacie des marais recevable mais non fondée en ses demandes ;
- débouté la société Pharmacie des marais intégralement, en ce compris la demande au titre de l'article 700 du code de procédure civile ;
- condamné la société Pharmacie des marais à payer à la société LCL la somme de 2 500 euros en application de l'article 700 du code de procédure civile, ainsi qu'aux entiers dépens.
Par déclaration du 16 février 2023, la société Pharmacie des marais a interjeté appel de ce jugement.
Par dernières conclusions déposées au greffe et notifiées par RPVA le 21 février 2024, elle demande à la cour de :
- la dire et juger recevable et bien fondée en ses demandes ;
A titre principal,
- réformer le jugement en ce qu'il a qualifié les opérations des 3, 4, 5 et 8 novembre 2021 d'opérations autorisées, et rejeté en conséquence la demande de remboursement,
Statuant de nouveau,
- juger que les virements frauduleux des 3, 4, 5 et 8 novembre 2021 n'ont pas été autorisés ;
- juger que la clause exclusive de responsabilité stipulée au bénéfice de la société LCL engendre un déséquilibre significatif entre les droits et obligations des parties ;
En conséquence,
- ordonner que cette clause soit réputée non-écrite ;
- condamner la société LCL à lui payer la somme de 45 972, 14 euros ;
A titre subsidiaire,
- réformer le jugement en ce qu'il a jugé que la société LCL n'avait pas manqué à son obligation de vigilance et rejeté en conséquence ses demandes de dommages et intérêts sur ce fondement ;
En conséquence,
- condamner la société LCL à lui payer la somme de 45 972, 14 euros ;
En tout état de cause,
- réformer le jugement en ce qu'il l'a condamnée à verser à la société LCL la somme de 2 500 euros au titre de l'article 700 du code de procédure civile ;
- condamner la société LCL à lui régler la somme de 3 000 euros au titre de l'article 700 du code de procédure civile ainsi que les dépens de première instance et d'appel, dont distraction au profit de maître Bruno Adani, avocat, conformément aux dispositions de l'article 699 du code de procédure civile.
Par dernières conclusions déposées au greffe et notifiées par RPVA le 1er mars 2024, la société LCL demande à la cour de :
- confirmer le jugement en toutes ses dispositions ;
- débouter la société Pharmacie des marais de l'intégralité de ses demandes ;
- condamner la société Pharmacie des marais au paiement d'une somme de 8 000 euros au titre de l'article 700 du code de procédure civile, ainsi qu'aux dépens.
La clôture de l'instruction a été prononcée le 21 mars 2024.
Pour un plus ample exposé des moyens des parties, il est renvoyé à leurs dernières écritures conformément aux dispositions de l'article 455 du code de procédure civile.
MOTIFS DE LA DÉCISION
La société Pharmacie des marais recherche la responsabilité de la banque, à titre principal pour avoir procédé à des opérations de virement qu'elle n'avait pas autorisées, et à titre subsidiaire pour manquement à son obligation de vigilance. Il convient de statuer sur ces deux points.
1 - sur la mise en cause de la responsabilité de la banque pour avoir procédé à des virements non autorisés
La Pharmacie des marais critique le jugement en ce qu'il a considéré que les opérations litigieuses pouvaient être qualifiées d'opérations autorisées, écartant ainsi toute responsabilité de la banque. Elle soutient que le relevé télématique produit par la banque atteste que son gérant n'est pas à l'origine de l'ajout du bénéficiaire des virements frauduleux, et que les connexions internet utilisées pour les virements proviennent d'adresses IP différentes qui ne correspondent pas à celle de la pharmacie. Elle ajoute que l'ajout du bénéficiaire des virements a été effectué le 30 octobre à 12 h 59 par un appareil connecté à un réseau inconnu, alors même que son gérant s'est connecté à son espace en ligne depuis la pharmacie à 13 h01. Elle soutient dès lors que l'ajout frauduleux de l'IBAN du bénéficiaire des virements ne peut provenir que d'une faille du système de sécurité de la banque, précisant en outre que cette dernière a désormais mis en place une procédure de notification des virements au moyen d'un SMS.
La société LCL rappelle les dispositions légales applicables en matière de responsabilité des prestataires de service de paiement, notamment les articles L.133-1 et suivants du code monétaire et financier, aux termes desquels il convient de distinguer entre les opérations de paiement autorisées et celles non autorisées, ces dernières étant seules susceptibles d'engager la responsabilité de la banque. Elle indique que le caractère autorisé d'un paiement dépend exclusivement de la forme convenue entre la banque et son client, précisant qu'aucun manquement ne peut être retenu à son encontre dès lors que l'opération a été 'autorisée' par une procédure d'authentification forte (impliquant l'utilisation de deux éléments), s'agissant de l'ajout du bénéficiaire. Elle indique que l'ajout du bénéficiaire des virements litigieux a été autorisé par la société Pharmacie des marais au moyen du téléphone mobile de M. [F] [J], gérant de la pharmacie, le 30 octobre 2021 à 12 h59, ce qui correspond à une authentification forte (utilisation d'un identifiant et mot de passe sur l'appareil de confiance 'Iphone de [F]').
Réponse de la cour
Il résulte des articles L. 133-6 et L. 133-7 du code monétaire et financier qu'une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. Le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement. En l'absence d'un tel consentement, l'opération ou la série d'opérations de paiement est réputée non autorisée.
L'article 133-44 du même code dispose que le prestataire de services de paiement applique l'authentification forte du client définie au f de l'article L. 133-4 lorsque le payeur : (...) 2° Initie une opération de paiement électronique.
L'article 13 du règlement européen n°2018/389 du 27 novembre 2017 dispose :
1- les prestataires de services de paiement appliquent l'authentification forte du client lorsqu'un payeur crée ou modifie une liste de bénéficiaires de confiance par l'intermédiaire du prestataire de services de paiement gestionnaire de son compte.
2 - Les prestataires de services de paiement sont autorisés à ne pas appliquer l'authentification forte du client, sous réserve du respect des exigences générales en matière d'authentification, lorsque le payeur initie une opération de paiement et que le bénéficiaire figure dans une liste de bénéficiaires de confiance préalablement créée par le payeur.
Il est constant que la société Pharmacie des marais a reconnu avoir pris connaissance et accepté expressément les conditions générales du service LCL Access, dont l'article 4.2 précise expressément: 'avant tout premier virement au profit d'un bénéficiaire, le client doit enregistrer le compte du bénéficiaire dans la liste des bénéficiaires de confiance. Aux fins de confirmation de cette demande, LCL soumet la validation de l'ajout de ce nouveau compte bénéficiaire (IBAN) à une authentification forte telle que décrite à l'article authentification forte des présentes conditions générales. L'ensemble des bénéficiaires ainsi enregistrés par le client constitue la liste des bénéficiaires de confiance de sorte que chaque ordre de virement fait à leur bénéfice via les services en ligne LCL ne fera pas l'objet d'une demande d'authentification forte supplémentaire. (...)'.
L'article 3.3 des conditions générales, intitulé 'authentification forte' précise : 'les procédés d'authentification forte du client ou de l'utilisateur internet mis en oeuvre dans le cadre du service LCL Access reposent sur l'identifiant et le code personnel d'accès d'une part et la ressaisie d'un code à usage unique reçu par téléphone (SMS) ou l'utilisation d'un appareil de confiance, d'autre part. L'appareil de confiance est défini comme un appareil connecté que le client, ou le cas échéant l'utilisateur internet, via l'application Mes comptes-LCL enregistre comme son appareil de confiance (...). Lorsqu'une authentification forte est requise et que le client a enregistré un appareil de confiance, il devra s'authentifier sur son appareil de confiance via l'application Mes Comptes LCL.'
En application de ces dispositions, le respect de la procédure d'authentification forte convenue entre les parties suffit à qualifier le paiement d'opération autorisée, excluant toute responsabilité du prestataire de service de paiement.
En l'espèce, la société LCL produit le relevé télématique des opérations réalisées sur le compte de la société Pharmacie des marais entre le 30 octobre et le 8 novembre 2011. Ce relevé fait apparaître, le 30 octobre 2021, les trois opérations suivantes :
- 12 h 58 et 44 secondes : accès au service depuis une adresse IP 82.124.5.68
- 12 h 59 et 40 secondes : 'authentification forte sur appareil de confiance Iphone de [F]' pour un ajout IBAN d'un bénéficiaire de virement
- 13h01 et 27 secondes : accès au service depuis une adresse IP 193.253.246.181.
La société Pharmacie des marais admet que la troisième connexion émane bien de son gérant [F] [J] qui s'est connecté depuis un appareil situé dans la pharmacie (adresse IP 193....). Elle soutient que l'adresse IP de la première connexion est inconnue et que, dans ces circonstances, il n'est 'pas crédible' que M. [J] ait autorisé l'ajout d'un bénéficiaire à 12 h 59.
S'il est effectivement surprenant que M. [J] se soit connecté à son espace bancaire en ligne à 3 reprises sur un laps de temps inférieur à moins de 3 minutes, et au moyen de connexions différentes (son téléphone et deux adresses IP distinctes), il n'en reste pas moins que la connexion de 12 h 59 - correspondant à l'ajout du bénéficiaire des virements litigieux - n'a été possible qu'au moyen d'une authentification forte sur l'appareil de confiance de M. [J] (Iphone de [F]), ce point n'étant pas discuté par la société Pharmacie des marais qui n'invoque notamment aucune perte ou vol de l'appareil de confiance, de sorte que cette connexion ne peut être remise en cause.
Au regard de ces éléments, la seule connexion pouvant correspondre à une fraude serait celle survenue à 12 h 58, en provenance d'une adresse IP considérée comme inconnue, étant toutefois observé que la société Pharmacie des marais utilisait elle-même plusieurs adresses IP ainsi que cela ressort du relevé télématitque.
En application des dispositions qui précèdent (article 4.2 précité des conditions générales), et dès lors que le bénéficiaire des virements litigieux a été ajouté dans la liste des bénéficiaires de confiance préalablement créée par la société Pharmacie des marais (via l'authentification forte réalisée sur le téléphone de [F] [J] à 12 h59), la société LCL était autorisée à ne pas appliquer une nouvelle authentification forte lorsque les virements ont été réalisés au profit de ce bénéficiaire, comme cela a été le cas les 3,4,5 et 8 novembre 2021.
Ainsi, et comme le soutient la société LCL, les opérations de virement litigieuses ont été consenties par la société Pharmacie des marais selon la forme convenue entre les parties, de sorte qu'elles doivent être considérées comme autorisées, et donc insusceptibles d'engager la responsabilité de la société LCL. Le jugement est ainsi confirmé en ce qu'il a rejeté l'action en responsabilité de la banque pour avoir procédé aux virements litigieux.
Les opérations litigieuses étant qualifiées d'autorisées, il n'y a pas lieu de statuer sur la demande, nécessairement subsidiaire, tendant à voire déclarer non écrite la clause, exclusive de responsabilité de la banque, lorsque les opérations sont qualifiées de non autorisées.
2 - sur la mise en cause de la responsabilité de la banque pour manquement à son obligation de vigilance
La société Pharmacie des marais soutient que la banque a manqué à son obligation générale de vigilance, en ce qu'elle aurait dû déceler les anomalies apparentes que présentaient les opérations litigieuses. Elle observe ainsi que l'IBAN du bénéficiaire renvoyait à une banque domicilée au Royaume Uni, dénommée Prepaid Financial Services Ltd, qui a fait l'objet d'un blâme par l'autorité de contrôle prudentiel en septembre 2019 pour ne pas avoir vérifié l'identité des porteurs des cartes de paiement qu'elle émettait, et pour ne pas avoir informé l'autorité Tracfin d'opérations qu'elle analysait cependant comme suspectes. Elle ajoute que le nom du titulaire du compte n'a pas été renseigné sur la demande d'ajout de bénéficiaire (il n'existe qu'un numéro IBAN), ce qui constituait une seconde anomalie apparente qui aurait dû attirer l'attention de la banque sachant que tous les autres virements étaient à destination de personnes identifiées. Elle soutient enfin que les virements litigieux constituaient des opérations inhabituelles, la pharmacie ne procédant habituellement qu'à des prélèvements SEPA, les seuls virements étant faits au profit des salariés et ne portant que sur de faibles montants (jusqu'à 5 000 euros). Elle relève encore la fréquence inhabituelle des virements, leur intitulé, ainsi que les abréviations utilisées, invoquant enfin des articles de presse relatant un contexte de fraude généralisée chez les clients LCL. Elle soutient enfin n'avoir commis aucune faute.
La société LCLsoutient qu'en présence d'un paiement autorisé, au sens du code monétaire et financier, le devoir de vigilance de la banque ne porte que sur l'authenticité de l'ordre émis par le client et non sur son objet. Elle fait valoir que le titulaire du compte ne peut donc se prévaloir, à raison de l'authenticité de l'ordre émis, d'un manquement de celle-ci à son devoir de vigilance. Elle ajoute qu'il n'existait aucune anomalie apparente sur les virements litigieux, invoquant les très nombreuses opérations mensuelles sur le compte, indiquant que le principe de non-discrimination bancaire lui interdisait de refuser l'exécution d'un virement, la banque anglaise étant située dans l'espace SEPA et agréée au Royaume Uni. Elle invoque enfin les négligences graves de la société Pharmacie des marais, justifiant un rejet de la demande de prise en charge des pertes, conformément à l'article L. 133-19 du code monétaire et financier.
Réponse de la cour
Le prestataire de services de paiement, tenu d'un devoir de non-immixtion dans les affaires de son client, n'a pas, en principe, à s'ingérer ni à effectuer des recherches ou à réclamer des justifications des demandes de paiement régulièrement faites aux fins de s'assurer que les opérations sollicitées ne sont pas périlleuses pour le client ou des tiers. S'il est exact que ce devoir de non-ingérence trouve une limite dans l'obligation de vigilance de l'établissement de crédit prestataire de services de paiement, c'est à la condition que l'opération recèle une anomalie apparente, matérielle ou intellectuelle, soit des documents qui lui sont fournis, soit de la nature elle-même de l'opération ou encore du fonctionnement du compte.
S'agissant de la banque Prepaid Financial Services, il n'est pas contesté qu'elle était agréée au Royaume Uni, de sorte que le virement émis au profit d'un client de cette banque ne révélait pas d'anomalie apparente. La Pharmacie des marais ne peut en outre soutenir que le virement était destiné à une personne non identifiée, alors même que la liste des bénéficiaires mentionnait, outre un numéro IBAN, un libellé 'anastasija' qui pouvait notamment correspondre au nom d'une société. Contrairement à ce que soutient enfin la Pharmacie des marais, ses relevés bancaires portent mention, chaque mois, de très nombreuses opérations dont certaines pour des montants conséquents y compris par virement (notamment virement [Y] le 30 novembre 2021 pour 9 848,25 euros, et synthèse des virements en pièce 17 de la Pharmacie des marais), de sorte que les virements litigieux ne constituaient pas une anomalie apparente, qui aurait imposé à la banque un devoir particulier de vigilance.
Il n'est donc pas établi que la banque ait manqué à son devoir de vigilance, de sorte que la demande indemnitaire formée à ce titre doit être rejetée. Le jugement est confirmé de ce chef.
PAR CES MOTIFS
La cour, statuant par arrêt contradictoire,
Confirme le jugement du tribunal de commerce de Pontoise du 20 janvier 2023 en toutes ses dispositions,
Y ajoutant,
Condamne la société Pharmacie des marais à payer au Crédit Lyonnais la somme de 2 000 euros sur le fondement de l'article 700 du code de procédure civile,
Condamne la société Pharmacie des marais aux dépens de la procédure d'appel.
Prononcé publiquement par mise à disposition de l'arrêt au greffe de la cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du code de procédure civile.
Signé par Monsieur Ronan GUERLOT, Président, et par Madame Françoise DUCAMIN, Greffier, auquel la minute de la décision a été remise par le magistrat signataire.
LE GREFFIER, LE PRÉSIDENT,
