Droit bancaire / Usurpation de codes confidentiels / Preuve de la faute du client.

Le code monétaire et financier prévoit que l’utilisateur de services de paiement électroniques doit préserver la sécurité de ses données personnelles et former une opposition dés qu'il a connaissance de la perte, du vol de sa carte bancaire ou de l’utilisation non autorisée de sa carte bancaire ou des codes qui lui sont liés (art. L. 133-17).

Dés que l’opposition est émise, le client est protégé contre les débits frauduleux postérieurs. Pour les opérations antérieures, l’article L 133-19 du code monétaire limite à 150 euros la responsabilité financière du client, mais la banque peut tenter d’écarter ce plafond en soutenant notamment que le titulaire de la carte a été négligent dans la protection de ses données personnelles.

En revanche, dans ce cas, c’est bien à la banque qu'il incombe de rapporter la preuve matérielle que l'utilisateur a été gravement négligent.

C’est ce que vient de rappeler clairement la Cour de Cassation dans un arrêt du 18 janvier 2017 à propos d’une affaire de « phishing » (ou « hameçonnage »), et ça change tout pour l’usager.

Le piège est connu mais nombreux sont encore ceux qui s’y laissent prendre : Le « phishing » est une technique par laquelle des escrocs se font passer pour des organismes administratifs ou financiers qui vous sont familiers en envoyant des messages frauduleux pour récupérer des mots de passe de comptes bancaires, numéros de codes ou autres clés personnelles.

Dans l’affaire qui vient d’être jugée, la banque refusait de rembourser les achats prélevés sur le compte de son client victime de « phishing » avant opposition en considérant que compte tenu des données qui avaient été nécessaires pour réaliser les paiements frauduleux, celui-ci avait manifestement commis une faute en permettant à un tiers d’accéder à des informations confidentielles. Elle s’appuyait précisément sur l’obligation de vigilance du titulaire de la carte en rappelant que le détenteur est entièrement responsable de l'usage et de la conservation de ses données personnelles, et donc de leur divulgation, même involontaire.

Peine perdue. Le juge du fond, comme le juge de cassation, ont rejeté cette argumentation en rappelant que c’est à la banque de rapporter la preuve que l’utilisateur n’a pas agi selon les prescriptions légales et, surtout, que « cette preuve ne peut pas se déduire du seul fait que l'instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisées ».

Si cet arrêt ne met pas définitivement les victimes de « phishing » à l’abri de toute perte financière, il limite considérablement la capacité des banques à échapper à leur obligation de garantie en les obligeant à prouver dans quelles circonstances précises les données confidentielles de l’utilisateur auront été usurpés, ce qui est pratiquement impossible à postériori. Pas sûr, toutefois, qu’elles trouvent beaucoup d’âmes charitables pour compatir à cette surcharge probatoire…