Devant la Cour de cassation, le Crédit agricole s'est retrouvé au cœur d'un débat juridique majeur concernant la sécurité des transactions en ligne et l'authentification forte. Un client pas assez prudent, d'abord lésé par la Cour d'appel, a finalement obtenu gain de cause.
Dans un arrêt du 30 août 2023, la Cour de cassation a réaffirmé la responsabilité des banques en cas d'opérations de paiement non autorisées, à moins que le client n'ait agi frauduleusement. Cette décision, que nous allons vous expliquer plus en détail, a des implications importantes pour les pratiques de sécurité en ligne des institutions financières et la protection des consommateurs.
Le Crédit agricole avait puni le client pour négligence
La Cour de cassation a posé le principe suivant : sauf en cas d'agissement frauduleux du client, ce dernier ne supporte aucune conséquence financière si une opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement n'exige une authentification forte du payeur, comme prévu par l'article L. 133-44 du Code monétaire et financier. Mais que s'est-il passé dans cette affaire ?
Ici, un client de la banque Crédit agricole Centre France (CACF) avait communiqué un code de sécurité à 6 chiffres (« 3D Secure ») à un tiers qu'il pensait être un employé de sa banque. Il avait d'abord été contacté par téléphone et par message.
Après avoir communiqué le code, un paiement non autorisé a été effectué, et la banque avait refusé de rembourser le client, arguant qu'il avait commis une négligence grave. En d'autres termes, qu'il n'avait pas suffisamment fait attention et que ce n'était pas de la responsabilité de l'établissement.
La Cour de cassation a considéré que c'était à l'établissement bancaire d'assurer la sécurité nécessaire
Si le tribunal judiciaire de Clermont-Ferrand, puis la Cour d'appel ont confirmé la décision prise par le Crédit agricole, la Cour de cassation a opéré un revirement en cassant le jugement initial. Pour la juridiction suprême de l'ordre judiciaire, la banque devait s'assurer que l'authentification forte avait été effectuée avant de refuser le remboursement. Le Crédit agricole a donc été condamné à verser 3 000 euros au justiciable.
Au sens légal, le Crédit agricole n'a pas proposé une authentification forte sur cette opération. Et la Cour de cassation a rappelé que les établissements bancaires ont l'obligation de mettre en place des mesures de sécurité robustes pour s'assurer que les paiements en ligne sont effectués de manière authentique.
Cette décision peut en tout cas faire jurisprudence pour de futures affaires. Si une banque ne respecte pas les exigences réglementaires et qu'une opération non autorisée se produit, elle ne peut tout simplement pas rejeter la responsabilité sur son client. Des méthodes comme l'authentification à deux facteurs ou les codes de sécurité dynamiques peuvent, et même doivent aider le consommateur à se protéger en cas de tentative de fraude. Et le service juridique de la banque aussi.
Sources : Legalis, Cour de cassation
