Banque : le titulaire d'un compte n'est pas automatiquement responsable en cas de piratage

(Pixabay / mastersenaiper)

La Cour de cassation a donné raison au client d'une banque qui refusait de prendre en charge des débits frauduleux sur son compte. L'établissement bancaire estimait de son côté que la victime avait communiqué ses codes à des tiers ou ne les avait pas suffisamment protégés, alors qu'il en avait l'obligation.

Le titulaire d'un compte bancaire ne peut être tenu pour responsable, par déduction, d'une fraude. Ce n'est pas parce qu'il n'y a pas d'autre explication au piratage qu'il a forcément divulgué ses codes d'accès, a récemment jugé la Cour de cassation*.

La cour d'appel avait donné raison à la banque

Une cour d'appel avait pourtant donné raison à la banque en observant que pour modifier les données personnelles d'un client et procéder à des débits frauduleux, il avait fallu se connecter à son compte avec l'identifiant et le code secret. Elle en avait déduit, comme la banque, que malgré ses dénégations, le titulaire du compte avait communiqué ses codes à des tiers ou ne les avait pas suffisamment protégés, alors qu'il en avait l'obligation.

Dans l'affaire étudiée par la Cour, un inconnu avait modifié les données personnelles de la victime, remplaçant son adresse mail, ses codes secrets et son numéro de téléphone. Il avait ensuite pu retirer de l'argent ou procéder à des paiements en les validant avec un code de confirmation adressé par SMS.

La déduction ne suffit pas

Le client refusait de prendre en charge ces débits frauduleux et en demandait le remboursement à la banque, comme le prévoit la loi. Mais, selon l'établissement bancaire, l'accès d'un fraudeur à toutes ces données personnelles révèle nécessairement que le client lui a communiqué ses codes, volontairement ou imprudemment, en ne les protégeant pas suffisamment comme il en a l'obligation légale.

Simple déduction, a rétorqué la Cour de cassation, et c'est insuffisant pour conclure à la responsabilité du client. Selon le code monétaire et financier, a-t-elle rappelé, « l'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant » .

*Cass. Com, 21.11.2018, H 17-18.888.