Pour la Cour de Cassation, c’est à la banque de prouver une arnaque par phishing

Selon la Cour de Cassation, une banque ne peut se contenter de suggérer un cas d’hameçonnage pour refuser de rembourser une victime. Elle doit en apporter la démonstration face à un client qui réclame le remboursement de plusieurs achats frauduleux sur Internet. 

Le Crédit Mutuel de Wattignies avait refusé de rembourser trois achats en ligne, d’un montant de 838 euros, contestés par un client. Selon l’établissement, ce dernier avait commis une faute : sans doute a-t-il donné à un tiers des informations confidentielles permettant d’effectuer ces opérations.

La banque suggérait ainsi que le malheureux se soit fait piéger par un mail de phishing (ou d’hameçonnage). Jugeant le courriel officiel, il aurait renseigné identifiants, mots de passe et clefs personnelles, bref toutes ces couches qui permettent de mieux blinder la sécurité des transactions à distance.  

Elle lui opposait alors l'article L133-16 du Code Monétaire et Financier selon lequel « dès qu'il reçoit un instrument de paiement, l'utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés ».

La banque doit apporter la preuve de la négligence grave du client:

La Cour de cassation n’a pas fait sienne cette démonstration basée sur une suggestion. En quête d’un équilibre des forces, elle rappelle qu’il revient au prestataire « de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations ».

Et pour la haute juridiction, « cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés ».

Dans cet arrêt du 18 janvier 2017, elle retient qu’au regard des pièces, les juges du fond ont pu souverainement retenir que ce client n’avait pas « divulgué à un tiers, de manière intentionnelle, par imprudence ou par négligence grave, des éléments d’identification strictement confidentiels ayant permis les paiements contestés ».

De son côté, la banque ne peut se contenter d'invoquer l'hypothèse d’un hameçonnage. Elle doit en apporter la démonstration.