Responsabilité bancaire en cas de fraude : obligations de vigilance et négligence du client

N° DU RG : N° RG 24/00938 – N° Portalis DB2A-W-B7I-F22S
Code nature d’affaire : 38E- 0A

NL/GAL

1ère chambre civile

N° DU JUGEMENT :

JUGEMENT CIVIL
DU 03 MARS 2026

DEMANDERESSE :

Association LACAZE AUX SOTTISES, dont le siège social est sis [Adresse 1]

représentée par Me Francois DUFFAU, avocat au barreau de PAU

DEFENDERESSE :

S.A. BANQUE POPULAIRE AQUITAINE [Adresse 2], dont le siège social est sis [Adresse 3]

représentée par Maître Vincent LIGNEY de la SELARL DUALE – LIGNEY – BOURDALLE, avocats au barreau de TARBES

COMPOSITION DU TRIBUNAL :

Mme Geneviève ALAUX-LAMBERT, Vice-présidente
en présence de Mme Nathalie LAFFAILLE, Greffière, lors de l’appel des causes,
et lors du prononcé.

DEBATS :

A l’audience publique tenue le 06 Janvier 2026, les avocats des parties ont été entendus en leurs plaidoiries.

A l’issue des débats, le Tribunal, conformément à l’article 450 du code de procédure civile, a avisé les parties que le jugement serait prononcé par sa mise à disposition au greffe de la juridiction à la date du 03 Mars 2026.
FAITS ET PROCÉDURE

L’association LACAZE AUX SOTTISES a ouvert dans les livres de la SA [Adresse 4] (SA BANQUE POPULAIRE) un compte courant associé à une carte bancaire.
Le 9 novembre 2022, la responsable administrative de l’association a reçu un appel téléphonique, depuis un numéro masqué, d’une personne se présentant comme un employé du service informatique de la SA BANQUE POPULAIRE. Son interlocuteur l’a alertée d’un dysfonctionnement informatique nécessitant des vérifications d’écritures comptables. Dans le cadre de cet échange, la responsable administrative de l’association a révélé le code de sécurité du lecteur physique « Pass Cyberplus » à deux reprises.
Le même jour, les comptes bancaires de l’association LACAZE AUX SOTTISES sont débités d’un montant total de 24.000 euros par trois virements au profit d’un dénommé « [D] [N] ».
Le 10 novembre 2022, l’association LACAZE AUX SOTTISES a déposé plainte contre X auprès de la gendarmerie et a demandé le remboursement des sommes débitées à son établissement bancaire, qui s’y est refusé.
Par courrier du 20 janvier 2023, l’association a une nouvelle fois sollicité le remboursement de ces sommes à la SA BANQUE POPULAIRE, sans obtenir de réponse.
Le 30 juin 2023, l’association a procédé à une tentative de conciliation, dont l’échec a été constaté le 4 juillet 2023.
Le 7 septembre 2023, elle a saisi le médiateur de l’établissement bancaire, sans parvenir à un accord.
Par acte de commissaire de justice du 23 mai 2024, l’association LACAZE AUX SOTTISES a assigné la SA BANQUE POPULAIRE devant le Tribunal judiciaire de PAU aux fins d’obtenir le paiement de la somme de 24.000 euros avec les intérêts au taux légal majoré de l’article L.133-18 du Code de la consommation.
Dans ses dernières conclusions notifiées par voie électronique le 23 octobre 2025, l’association LACAZE AUX SOTTISES demande au Tribunal judiciaire  :
de condamner la SA [Adresse 4] à lui payer la somme de 24.000 euros avec intérêts au taux légal majoré de l’article L.133-18 du Code de la consommation ou, à défaut, avec intérêts au taux légal à compter de l’assignation ;de condamner la SA BANQUE POPULAIRE AQUITAINE CENTRE ATLANTIQUE à lui payer la somme de 3.600 euros au titre de l’article 700 du Code de procédure civile, outre les dépens ;de mettre également à la charge de l’établissement bancaire l’intégralité des droits proportionnels de recouvrement et d’encaissement prévus à l’article L.111-8 du Code de procédures civiles d’exécution.
Au soutien de ses prétentions, l’association LACAZE AUX SOTTISES conteste, au visa des articles L.133-6 I, L.133-7 alinéa 3, L.133-19, L.133-23 et suivants du Code monétaire et financier, avoir autorisé les opérations bancaires litigieuses.
Elle estime ne pas avoir commis de négligence grave, rappelant avoir été victime d’une escroquerie et en avoir alerté le jour-même l’établissement bancaire. De plus, elle estime que la banque n’a pas démontré l’absence de déficience technique lors des opérations litigieuses, avant de rappeler qu’aucune mesure technique conservatoire n’a été prise suite aux faits.
Dans l’hypothèse où les opérations litigieuses seraient considérées comme autorisées, elle fonde également sa demande sur l’obligation de vigilance incombant aux établissements bancaires. Elle renvoie aux éléments figurant sur le « relevé informatique virements 09/11/22 » produit par la banque, faisant état d’événements inhabituels qui auraient dû la conduire à faire preuve de vigilance dans l’exécution d’opérations suspectes.

La SA BANQUE POPULAIRE dans ses dernières conclusions notifiées par voie électronique le 17 novembre 2025, sollicite du Tribunal judiciaire :
qu’il déboute l’association LACAZE AUX SOTTISES de ses demandes ;qu’il la condamne à lui payer la somme de 1.500 euros au titre de l’article 700 du Code de procédure civile, outre les entiers dépens ;qu’il juge que l’exécution provisoire n’est pas compatible avec la nature de l’affaire.
Elle soutient, au visa des articles 1103, 1104, 1231-1 et 1231-3 du Code civil, L.133-16 et suivants du Code monétaire et financier, que l’association LACAZE AUX SOTTISES a commis une imprudence fautive en communiquant ses données personnelles et les éléments de sécurité personnels uniques dont elle disposait.
Elle rappelle également qu’aucune banque ne sollicite ce type d’élément par téléphone. Selon elle, c’est exclusivement grâce à ces informations permettant une « authentification forte » que les virements litigieux ont pu être réalisés.
Elle conclut que ces virements avaient bien été autorisés conformément aux dispositions de l’article L. 133-21 du Code monétaire et financier, et qu’aucune opposition n’a été régularisée par l’association.
Elle ajoute que le système de paiement à distance a parfaitement fonctionné, dans la mesure où c’est le comportement de la requérante qui a permis d’en contourner la sécurité, en conférant à ces transactions bancaires « une authentification forte ».

Concernant le manquement à son obligation de vigilance invoqué par la requérante, la banque estime qu’aucun élément rapporté par l’association sur les opérations litigieuses ne justifiait une vigilance renforcée de sa part. Selon elle, l’authentification forte dont bénéficiaient les différentes opérations litigieuses lui imposait de respecter son obligation de non-ingérence dans les affaires de ses clients. Elle indique également avoir immédiatement agi en bloquant le compte de l’association dès qu’elle avait été informée des suspicions de fraude à l’égard de ces opérations.

L’ordonnance de clôture est intervenue le 16 décembre 2025 et l’affaire a été renvoyée à l’audience du 6 janvier 2026 pour y être plaidée.
MOTIFS DE LA DECISION
– Sur la demande en remboursement des sommes objets des opérations bancaires arguées de frauduleuses
1/ Sur la responsabilité de l’établissement bancaire fondée sur l’absence d’autorisation donnée aux opérations litigieuses par l’association LACAZE AUX SOTTISES
L’article L. 133-18 du Code monétaire et financier prévoit qu’en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu.
L’article L.133-19 alinéas 6 et 9 de ce même Code ajoute que la responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées. Toutefois, le payeur supporte toutes les pertes occasionnées par les opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L.133-16 et L133-17 de ce Code, notamment de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées.
L’article L133-23 du Code monétaire et financier précise que lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.
En l’espèce, il ressort de l’attestation de Madame [L] [Y], responsable administrative de l’association, que le 9 novembre 2022, elle recevait un appel en fin d’après-midi d’une personne se présentant comme un membre du service informatique de la SA [Adresse 4]. Cette personne lui faisait part d’un dysfonctionnement informatique nécessitant la vérification d’écritures comptables. Elle précise que son interlocuteur avait connaissance des opérations bancaires effectuées par l’association depuis le mois d’octobre 2022, et les avoir toutes passées en revue avec elle. Elle explique également s’être connectée à l’espace personnel de l’association à sa demande et avoir suivi ses directives, notamment en lui communiquant à deux occasions le code obtenu via le lecteur physique PASS CYBERPLUS permettant la double authentification, ainsi que son adresse mail.
Elle indique avoir reçu un avis de virement d’un montant de 10.000 euros, précisant avoir immédiatement signalé à l’établissement bancaire ne pas en être à l’origine.
Elle précise que la conversation était toujours en cours lors de la réception de cet avis et que la directrice de l’association était également présente à ses côtés.
Ces éléments sont corroborés par la plainte déposée le 10 novembre 2022 par Monsieur [T] [I], représentant légal de l’association.
Il précise que la conversation a duré un certain temps, la responsable administrative ayant donné le code obtenu via le lecteur physique PASS CYBERPLUS à deux reprises.
Il confirme que la banque a été immédiatement prévenue après la notification du premier virement de 10.000 euros. À leur demande, la banque a bloqué leur compte et à l’issue, ils s’apercevaient qu’il y avait eu non pas un, mais trois virements réalisés.
Il résulte de ce qui vient d’être exposé, que les opérations de paiement ont été réalisées en détournant les données de sécurité personnalisées transmises par Madame [L] [Y], responsable administrative de l’association LACAZE AUX SOTTISES.
Si l’association LACAZE AUX SOTTISES se prévaut des manœuvres dolosives dont elle aurait été victime pour minimiser l’impact de son comportement, l’opération invoquée par son interlocuteur, à savoir la vérification et l’ajout de ligne de compte de transactions déjà réalisées, est sans lien avec la transmission de données de sécurité nécessaires à la validation d’opérations bancaires en cours de réalisation. De plus, l’opération par son anormalité, ne pouvait être proposée par un professionnel normalement diligent et compétent d’un établissement bancaire, à plus forte raison d’une personne se présentant comme appartenant à son service informatique.
Enfin, il apparait que l’association LACAZE AUX SOTTISES a communiqué à deux reprises les données de sécurité personnalisées à usage unique obtenues via le lecteur physique PASS CYBERPLUS.
Le relevé informatique de virements du 9 novembre 2022 transmis par l’établissement bancaire démontre que les transferts monétaires litigieux ont bénéficié d’une authentification forte via les données sécurisées du lecteur physique.
Elles ont ainsi permis d’authentifier, d’enregistrer et de comptabiliser les opérations litigieuses sans qu’elles soient affectées d’une déficience technique ou autre, entre 18 heures 14 et 18 heures 16, soit au cours de la conversation téléphonique évoquée par l’association LACAZE AUX SOTTISES.
Il n’est pas contesté que les autres tentatives de transferts mentionnées sur ce document ont échoué suite à l’intervention de l’établissement bancaire alerté dans les suites de la réception du premier avis de virement par les membres de l’association.
Par conséquent, la banque démontre que les opérations litigieuses ont bien été autorisées par l’association LACAZE AUX SOTTISES en raison de la négligence grave dont elle a fait preuve en communiquant de manière réitérée ses données personnelles uniques de sécurité, leur conférant ainsi une authentification forte.

2/ Sur la responsabilité de l’établissement bancaire fondée sur son devoir de vigilance
Les articles L. 561-1 et suivants du Code monétaire et financier imposent aux établissements bancaires une obligation de vigilance à l’égard des opérations bancaires auxquelles ils prêtent leur concours.
L’article L. 561-6 de ce même Code prévoit que pendant toute la durée de la relation d’affaires et dans les conditions fixées par décret en Conseil d’État, ces personnes exercent, dans la limite de leurs droits et obligations, une vigilance constante et pratiquent un examen attentif des opérations effectuées en veillant à ce qu’elles soient cohérentes avec la connaissance actualisée qu’elles ont de leur relation d’affaires.
En l’espèce, l’association soutient également que l’établissement aurait manqué à son devoir de vigilance.
Il ressort du relevé informatique de virements du 9 novembre 2022 un nombre important d’identifications et de connexions en provenance de la ville de [Localité 1], via l’opérateur Tefincom SA entre 17 heures 48 et le premier virement intervenu à 18 heures 12.
Ces connexions présentent toutes la particularité de ne disposer d’aucune adresse IP, ne permettant pas d’identifier son auteur. Or, ces données de connexion ne correspondent pas à celles utilisées usuellement par l’association LACAZE AUX SOTTISES dans ses relations avec l’établissement bancaire.
De plus, l’une des opérations réalisées à 17 heures 58 via ces données de connexion est mentionnée comme ayant échoué avec l’indication suivante : « VIR_AJOUT_SUSPECT_CPT_EXT », marquant ainsi le caractère inhabituel de ces connexions.
Par ailleurs, les trois virements litigieux ont été réalisés avec ces mêmes données sur un temps très bref (moins de 10 minutes) pour un montant de 24.000 euros. À cet égard, la SA BANQUE POPULAIRE n’apporte aucun élément laissant présumer que ces opérations étaient cohérentes avec l’activité bancaire de l’association.
Si la SA BANQUE POPULAIRE conteste toute responsabilité de sa part en raison de la négligence grave commise par l’association LACAZE AUX SOTTISES, cette négligence est insuffisante pour la dispenser à elle seule du devoir de vigilance auquel elle demeure astreinte, dès lors qu’il existait par ailleurs des anomalies objectivement décelables dans les ordres de virements litigieux.
La banque se prévaut également de son obligation de non-ingérence dans les affaires de ses clients. Or, les opérations bancaires litigieuses présentent toutes des anomalies apparentes similaires pouvant être perçues par tout professionnel bancaire normalement diligent, sans analyse des motivations de son client et par la simple lecture des données à sa disposition, qui auraient dû la conduire à procéder à des vérifications supplémentaires, compte tenu des habitudes de son client.

Par conséquent, il y a lieu de retenir la responsabilité de la SA BANQUE POPULAIRE en raison du manquement à son devoir de vigilance.
Pour autant, il a été établi que le préjudice subi par l’association LACAZE AUX SOTTISES résulte également de sa propre négligence fautive. Par conséquent, il convient de procéder à un partage de responsabilité et de condamner la SA [Adresse 4] à lui payer la somme de 12.000 euros, correspondant à 50 % de son préjudice, avec les intérêts au taux légal à compter de la date de l’assignation, soit du 23 mai 2024.

– Sur les frais du procès et l’exécution provisoire :

Sur les dépens :Aux termes de l’article 696 du code de procédure civile, la partie perdante est condamnée aux dépens, à moins que le juge, par décision motivée, n’en mette la totalité ou une fraction à la charge d’une autre partie.
La SA BANQUE POPULAIRE AQUITAINE CENTRE ATLANTIQUE, partie perdante, sera condamnée aux dépens.
Sur les frais irrépétibles :Conformément aux dispositions de l’article 700 du Code de procédure civile, le juge condamne la partie tenue aux dépens ou qui perd son procès à payer à l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens. Dans tous les cas, le juge tient compte de l’équité ou de la situation économique de la partie condamnée. Il peut, même d’office, pour des raisons tirées des mêmes considérations, dire qu’il n’y a pas lieu à ces condamnations.
La SA [Adresse 4], condamnée aux dépens, devra payer à l’association LACAZE AUX SOTTISES, prise en la personne de son représentant légal, la somme de 1.500 euros au titre des frais irrépétibles exposés par elle et sera déboutée de sa propre demande de ce chef.
Sur les frais d’exécution forcéeIl résulte des dispositions de l’article L. 111-8 du Code des procédures civiles d’exécution qu’à l’exception des droits proportionnels de recouvrement ou d’encaissement qui peuvent être mis partiellement à la charge des créanciers dans des conditions fixées par décret en Conseil d’État, les frais de l’exécution forcée sont à la charge du débiteur, sauf s’il est manifeste qu’ils n’étaient pas nécessaires au moment où ils ont été exposés. Les contestations sont tranchées par le juge.
Les frais de recouvrement entrepris sans titre exécutoire restent à la charge du créancier, sauf s’ils concernent un acte dont l’accomplissement est prescrit par la loi au créancier. Toute stipulation contraire est réputée non écrite, sauf disposition législative contraire.

Cependant, le créancier qui justifie du caractère nécessaire des démarches entreprises pour recouvrer sa créance peut demander au juge de l’exécution de laisser tout ou partie des frais ainsi exposés à la charge du débiteur de mauvaise foi.
L’article R631-4 du Code de la consommation prévoit que lors du prononcé d’une condamnation, le juge peut, même d’office, pour des raisons tirées de l’équité ou de la situation économique du professionnel condamné, mettre à sa charge l’intégralité des droits proportionnels de recouvrement ou d’encaissement prévus à l’article L. 111-8 du code des procédures civiles d’exécution.
En l’espèce, la condamnation prononcée à l’encontre de la SA BANQUE POPULAIRE n’intervient pas dans le cadre d’un litige relevant des dispositions du Code de la consommation. De plus, l’association LACAZE AUX SOTTISES, personne morale, ne justifie pas sa qualité de non-professionnel au sens de l’article liminaire du Code de la consommation lui permettant de se prévaloir des dispositions de l’article R.631-4 de ce même Code.
Par conséquent, il convient de la débouter de sa demande de ce chef.
Sur l’exécution provisoire :Les décisions de première instance étant exécutoires par provision, il n’y a pas lieu de déroger à ce principe prévu à l’article 514 du Code de procédure civile.
PAR CES MOTIFS
Le tribunal, statuant par décision contradictoire, en premier ressort, par mise à disposition au greffe :

– CONDAMNE la SA [Adresse 4] à payer la somme de 12.000 euros à l’association LACAZE AUX SOTTISES, prise en la personne de son représentant légal, assortie des intérêts au taux légal à compter du 23 mai 2024 ;

– CONDAMNE la SA [Adresse 4] à payer la somme de 1.500 euros à l’association LACAZE AUX SOTTISES, prise en la personne de son représentant légal, au titre de l’article 700 du Code de procédure civile ;

– DEBOUTE la SA [Adresse 4] de sa demande de ce chef ;

– DEBOUTE l’association LACAZE AUX SOTTISES de sa demande au titre de l’article L111-8 du code de procédure civile et de l’article R631-4 du Code de la consommation ;

– CONDAMNE la SA [Adresse 4] aux dépens ;

– RAPPELLE que l’exécution provisoire de la décision est de droit et dit n’y avoir lieu de l’écarter.

Le Greffier, Le Président,

Nathalie LAFFAILLE Geneviève ALAUX-LAMBERT