[Brèves] Hameçonnage : illustration de la négligence grave constitutive de la responsabilité du payeur

► En matière d’opérations de paiement, une juridiction du fond ne saurait condamner la banque à rembourser au payeur la moitié des sommes détournées alors qu’elle avait aussi retenu que l’intéressé avait commis une négligence grave en répondant à un courriel présentant de sérieuses anomalies tenant tant à la forme qu’au contenu du message qu’il comportait.

Le « hameçonnage », dit aussi « phishing », consiste à se faire remettre par les victimes contactées par des courriels non sollicités leurs données bancaires personnelles afin de les exploiter frauduleusement. Or, la réponse à un tel « phishing » par une personne amenée à contester par la suite des opérations de paiement, peut présenter des incidences sur le remboursement de ces dernières par son prestataire de services de paiement (PSP).

La décision étudiée rappelle ainsi qu’il résulte de l’article L. 133-19, IV du Code monétaire et financier (N° Lexbase : L5118LGN) que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées s’il n’a pas satisfait par négligence grave, exclusive de toute appréciation de sa bonne foi, à l’obligation, imposée à l’utilisateur de services de paiement par l’article L. 133-16 du même code (N° Lexbase : L5114LGI), de prendre toute mesure raisonnable pour préserver la sécurité du dispositif de sécurité personnalisé mis à sa disposition.

Faits et procédure. En l’espèce, M. B., titulaire d’un compte ouvert dans les livres d’une banque avait, en novembre 2015, contesté des opérations de paiement effectuées, selon lui frauduleusement, sur ce compte et avait demandé à l’établissement de lui en rembourser le montant. Toutefois, se heurtant au refus de la banque, qui lui reprochait d’avoir commis une faute en donnant à un tiers des informations confidentielles permettant d’effectuer les opérations contestées, M. B. avait assigné cette dernière en remboursement des sommes débitées sur son compte et en paiement de dommages-intérêts.

Le tribunal d’instance de Soissons avait condamné, par un jugement du 12 décembre 2017, la banque à rembourser à M. B. la moitié des sommes détournées, après avoir relevé que celui-ci, qui était de bonne foi, avait été victime d’une fraude commise par un tiers, de sorte qu’il n’était pas entièrement responsable de son préjudice.

La caisse locale, mais aussi la caisse régionale, de l’établissement de crédit ont formé un pourvoi en cassation.

Décision. La Haute juridiction casse et annule le jugement du tribunal d’instance. Selon elle, en effet, en statuant ainsi, « alors qu’il avait aussi retenu que M. B. avait commis une négligence grave en répondant à un courriel présentant de sérieuses anomalies tenant tant à la forme qu’au contenu du message qu’il comportait », le tribunal avait violé les articles L. 133-16 et L. 133-19, IV, du Code monétaire et financier.

Cette solution ne saurait surprendre. Depuis quelques années, la Cour de cassation considère que si le payeur reconnait avoir été victime d’un cas de « phishing », les juges du fond ne peuvent pas retenir la responsabilité de son prestataire de services de paiement, mais doivent s’interroger sur la présence, à la vue des circonstances de fait, d’une négligence grave de sa part (Cass. com., 25 octobre 2017, n° 16-11.644, FS-P+B+I N° Lexbase : A6296WW4 ; Cass. com., 28 mars 2018, n° 16-20.018, FS-P+B N° Lexbase : A8613XIT ; Cass. com., 6 juin 2018, n° 16-29.065, F-D N° Lexbase : A7397XQZ ; Cass. com., 3 octobre 2018, n° 17-21.395, F-D N° Lexbase : A5452YEN).

Dans le cas qui nous occupe, le tribunal d’instance avait, semble-t-il, relevé une telle faute, l’intéressé ayant reconnu avoir répondu à un courriel présentant « de sérieuses anomalies ». Un partage de responsabilité n’était donc pas possible.

L’arrêt confirme également que les anomalies en question peuvent résulter de la forme du message et/ou de son contenu. La présence de fautes d’orthographe « manifestes » devrait, notamment, être un indice important.

En revanche, il apparaît encore et toujours que si l’intéressé conteste avoir été victime d’un tel « hameçonnage », il n’est pas possible d’engager sa responsabilité (Cass. com., 18 janvier 2017, n° 15-18.102, FS-P+B+I N° Lexbase : A0605S9B ; Cass. com., 21 novembre 2018, n° 17-18.888, F-D N° Lexbase : A0142YNL ; Cass. com., 13 février 2019, n° 17-23.139, F-D N° Lexbase : A3270YXE ; Cass. com., 29 mai 2019, n° 18-10.147, F-D N° Lexbase : A0978ZDL). Dans ce cas, le prestataire de services de paiement devra lui rembourser les opérations contestées.

© Reproduction interdite, sauf autorisation écrite préalable