LA COUR DE CASSATION, CHAMBRE COMMERCIALE, a rendu l'arrêt suivant :
COMM.
JB
COUR DE CASSATION
______________________
Arrêt du 9 septembre 2026
Cassation partielle
M. VIGNEAU, président
Arrêt n° 429 F-D
Pourvoi n° N 25-15.038
R É P U B L I Q U E F R A N Ç A I S E
_________________________
AU NOM DU PEUPLE FRANÇAIS
_________________________
ARRÊT DE LA COUR DE CASSATION, CHAMBRE COMMERCIALE, FINANCIÈRE ET ÉCONOMIQUE, DU 9 SEPTEMBRE 2026
La société Banque populaire occitane, société coopérative de banque populaire, dont le siège est [Adresse 1], a formé le pourvoi n° N 25-15.038 contre l'arrêt rendu le 18 mars 2025 par la cour d'appel de Toulouse (2e chambre), dans le litige l'opposant à M. [K] [V], domicilié [Adresse 2], défendeur à la cassation.
La demanderesse invoque, à l'appui de son pourvoi, deux moyens de cassation.
Le dossier a été communiqué au procureur général.
Sur le rapport de M. Bailly, conseiller, les observations de la SAS Boucard-Capron-Maman, avocat de la société Banque populaire occitane, de la SCP Lyon-Caen et Thiriez, avocat de M. [V], et l'avis de Mme Guinamant, avocate générale référendaire, après débats en l'audience publique du 9 juin 2026 où étaient présents M. Vigneau, président, M. Bailly, conseiller rapporteur, Mme Schmidt, conseillère doyenne, et Mme Sezer, greffière de chambre,
la chambre commerciale, financière et économique de la Cour de cassation, composée du président et des conseillers précités, après en avoir délibéré conformément à la loi, a rendu le présent arrêt.
Faits et procédure
1. Selon l'arrêt attaqué (Toulouse, 18 mars 2025), le 18 septembre 2021, M. [V], titulaire d'un compte et d'un livret A dans les livres de la société Banque populaire occitane (le prestataire de services de paiement), a reçu un appel sur son téléphone portable d'une personne se présentant comme un préposé de celle-ci lui indiquant qu'il était nécessaire de s'opposer à un retrait frauduleux opéré sur son compte.
2. M. [V] a confirmé à son interlocuteur les informations que ce dernier détenait sur son adresse postale et son numéro de carte bancaire et a reçu
un message texte, provenant du numéro préenregistré au nom du prestataire de services de paiement, lui confirmant la mise en opposition de sa carte.
3. A la demande de son interlocuteur qui lui présentait cette opération comme un test, M. [V] a validé un virement de 9 000 euros, puis a réinitialisé ses identifiant et mot de passe qu'il a ensuite communiqués à celui-ci.
4. M. [V] a constaté, à l'issue de l'entretien, qu'avaient été effectués, outre deux virements internes de son livret A vers son compte des sommes de 10 000 et 1 500 euros, un virement externe d'un montant de 9 000 euros au crédit du compte d'un tiers inconnu et quatre retraits d'un montant de 300 euros chacun.
5. Le 7 février 2022, M. [V] a assigné le prestataire de services de paiement en remboursement de ces dernières sommes.
Examen des moyens
Sur le premier moyen
6. En application de l'article 1014, alinéa 2, du code de procédure civile, il n'y a pas lieu de statuer par une décision spécialement motivée sur ce moyen qui n'est manifestement pas de nature à entraîner la cassation.
Mais, sur le second moyen
Enoncé du moyen
Le prestataire de services de paiement fait grief à l'arrêt de le condamner à payer à M. [V] la somme de 10 200 euros avec intérêts au taux légal à compter du 17 novembre 2021, alors :
1°/ « que l'utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et utilise son instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation ; qu'il supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent de ce qu'il n'a pas satisfait intentionnellement ou par négligence grave à ces obligations ; qu'en l'espèce, pour condamner la banque à verser à M. [K] [V] la somme de 10 200 euros, la cour d'appel s'est bornée à considérer, par principe, que lorsque un tiers malintentionné appelle un payeur au téléphone en se faisant passer pour un conseiller de son établissement bancaire et lui communique, aux fins d'asseoir l'usurpation d'identité, des informations personnelles telles que son l'adresse et son numéro de la carte bancaire, puis qu'il prétexte la nécessité d'une intervention immédiate en vue de faire cesser de prétendues opérations frauduleuses sur le compte pour obtenir du client la communication de ses codes personnels et réaliser des opérations préjudiciables sur son espace bancaire personnel même avec son concours et moyennant la transmission malavisée d'informations d'identification confidentielles, il ne peut être caractérisé de négligence grave à l'encontre du détenteur du compte ; qu'en statuant ainsi, sans rechercher si, au regard des circonstances de l'espèce, le fait pour M. [V] d'avoir non seulement communiqué des données personnelles mais aussi validé certaines opérations qu'il n'avait pas initiées ne caractérisait pas un manquement par négligence grave à ses obligations mentionnées à l'article L. 133-16 du code monétaire et financier, la cour d'appel a privé sa décision de base légale au regard des articles L. 133-16 et L. 133-19, IV du code monétaire et financier, dans leur rédaction issue de l'ordonnance n° 2017-1252 du 9 août 2017 ;
2°/ que l'utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et utilise son instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation ; que l'article 4.3 des conditions générales d'utilisation du service de banque à distance CyberPlus stipule : L'Abonné prend toute mesure raisonnable pour préserver la sécurité de son identifiant, de son mot de passe, du Code et de tout élément d'authentification appartenant aux trois catégories ci-dessus. L'Abonné s'oblige à les tenir secrets et à ne les communiquer ou les remettre à quiconque, même à la Banque qui ne peut en avoir connaissance et ne les lui demandera jamais" ; que l'utilisateur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent de ce qu'il n'a pas satisfait intentionnellement ou par négligence grave à ces obligations ; qu'en l'espèce, la cour d'appel a constaté que M. [V] avait communiqué volontairement à l'escroc allégué un certain nombre d'éléments et en particulier ses identifiant et mot de passe réinitialisés ; qu'en considérant toutefois qu'en dépit de cette communication, il ne pouvait être caractérisé à l'encontre de M. [V] de négligence grave au sens du code monétaire et financier, la cour d'appel, qui n'a pas tiré les conséquences de ses constatations, a violé les articles L. 133-16 et L. 133-19, IV du code monétaire et financier, dans leur rédaction issue de l'ordonnance n° 2017-1252 du 9 août 2017. »
Réponse de la Cour
Vu les articles L. 133-19, IV, et L.133-16 du code monétaire et financier :
7. Il résulte du premier de ces textes que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations, imposées par le second, d'une part de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées, d'autre part d'utiliser l'instrument de paiement conformément aux conditions régissant son utilisation.
8. Pour exclure la responsabilité de M. [V], l'arrêt énonce que si le prestataire de services de paiement produit un relevé des connexions montrant que ce dernier a validé, par son identification, quatre opérations, une négligence grave ne peut être imputée à l'utilisateur lorsqu'un tiers malintentionné l'appelle au téléphone en se faisant passer pour un conseiller de son établissement bancaire et lui communique, aux fins d'asseoir l'usurpation d'identité, des informations personnelles comme l'adresse et le numéro de la carte bancaire, puis qu'il prétexte la nécessité d'une intervention immédiate en vue de faire cesser de prétendues opérations frauduleuses sur le compte pour obtenir du client la communication de ses codes personnels et réaliser des opérations préjudiciables, même avec son concours et moyennant la transmission malavisée d'informations d'identification confidentielles.
9. Il ajoute qu'ayant reçu un message texte en provenance d'un numéro enregistré dans son répertoire comme celui du prestataire de services de paiement et lui confirmant la mise en opposition de sa carte, la négligence grave de M. [V] ne peut être caractérisée, malgré la communication volontaire d'un certain nombre d'éléments à son interlocuteur.
10. En se déterminant ainsi, par un motif péremptoire excluant la négligence grave du payeur lorsqu'il est sollicité au moyen d'un appel téléphonique d'une personne se présentant comme un préposé du prestataire de services de paiement et dont le numéro de téléphone correspond à celui de ce dernier, sans rechercher, concrètement, si la divulgation volontaire par M. [V] de son identifiant et de son code d'accès au service de paiement en ligne et la validation des opérations de paiement qu'il n'a pas initiées ne constituaient pas une telle négligence grave, la cour d'appel n'a pas donné de base légale à sa décision.
PAR CES MOTIFS, et sans qu'il y ait lieu de statuer sur le dernier grief, la Cour :
CASSE ET ANNULE, sauf en ce qu'il rejette la demande de dommages et intérêts de M. [V] pour résistance abusive, l'arrêt rendu le 18 mars 2025, entre les parties, par la cour d'appel de Toulouse ;
Remet, sauf sur ce point, l'affaire et les parties dans l'état où elles se trouvaient avant cet arrêt et les renvoie devant la cour d'appel de Montpellier ;
Condamne M. [V] aux dépens ;
En application de l'article 700 du code de procédure civile, rejette les demandes ;
Dit que sur les diligences du procureur général près la Cour de cassation, le présent arrêt sera transmis pour être transcrit en marge ou à la suite de l'arrêt partiellement cassé ;
Ainsi fait et jugé par la Cour de cassation, chambre commerciale, financière et économique, et prononcé publiquement le neuf septembre deux mille vingt-six par mise à disposition de l'arrêt au greffe de la Cour, les parties ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du code de procédure civile.ECLI:FR:CCASS:2026:CO00429