L’utilisateur d’un service de paiement peut-il engager la responsabilité de son banquier, prestataire de services de paiement, sur un fondement autre que celui des textes transposant par les directives SEPA1, à savoir les articles L. 133-18 et suivants du Code monétaire et financier, et donc sur les règles de droit commun d’un État membre ? La CJUE, dans un arrêt du 2 septembre 20212, a donné une réponse négative ; elle a confirmé sa position dans un arrêt du 16 mars 20233. Celle-ci est fondée sur le fait que le régime harmonisé de responsabilité pour les opérations non autorisées ou mal exécutées établi par le droit de l’Union européenne est d’harmonisation maximale et ne saurait être concurrencé par un régime alternatif prévu par le droit national.
C’est en se référant expressément à la décision de la CJUE en date du 16 mars 2023 que la Cour de cassation, dans son arrêt du 27 mars 20244, a indiqué au visa de plusieurs textes, l’article 1231-1 du Code civil5 étant le premier cité, que « la responsabilité contractuelle de droit commun prévue résultant du premier de ces textes n’est pas applicable en présence d’un régime de responsabilité exclusif » et souligne que dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime de responsabilité prévu par le Code monétaire et financier à l’exclusion de tout régime alternatif de responsabilité résultant du droit national. Cette solution a été reprise par un arrêt du 2 mai 20046 ainsi que par les arrêts du 15 janvier 20257 qui, après avoir rappelé certains motifs de la décision de la CJUE en date du 16 mars 2023, reprennent le motif essentiel de l’arrêt du 27 mars 2024 : « la responsabilité contractuelle de droit commun prévue résultant » de l’article 1231-1 du Code civil « n’est pas applicable en présence d’un régime de responsabilité exclusif »8.
Les décisions de la CJUE se fondent sur la directive DPS 1 du 13 novembre 20079. Mais la règle demeure sous l’empire de la directive DSP 2 du 15 novembre 201510 puisque celle-ci reprend le dispositif de la DSP 1. Ce que confirme la jurisprudence de la Cour de cassation : les arrêts des 27 mars et 2 mai 2024 ainsi que l’arrêt n° 4 du 15 janvier 2025 prennent en compte la DSP 1 ; l’arrêt n° 6 du 15 janvier 2025 fait référence à la DSP 2. En conséquence, quels que soient les textes nationaux, ceux transposant la DSP 1 en 200911 ou ceux transposant la DSP 2 en 201712, le droit spécial résultant de ces textes est seul applicable à l’exclusion de tout régime alternatif de responsabilité résultant du droit national.
Le régime issu des directives SEPA 1 et 213 se caractérise par le droit au remboursement du client en cas d’opération non autorisée : ce droit est prévu par l’article L. 133-18 du CMF. Le client est toutefois privé de ce remboursement, et il doit donc supporter toutes les pertes occasionnées par les opérations non autorisées, si ces pertes résultent de sa négligence : l’article L. 133-9, IV, parle de « négligence grave ». Par ailleurs, d’une part, le client doit agir, selon l’article L. 133-24, « au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». D’autre part, la banque est déchargée de toute responsabilité en cas d’opération de paiement mal exécutée en application de l’article L. 133-21 : selon son alinéa 1, « un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique » ; et son alinéa 2 décide que « si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement ».
Les arrêts de la Cour de cassation sont à la fois des arrêts de cassation et de rejet.
L’arrêt du 2 mai 2024 est un arrêt de rejet. Un client contestait l’application de l’article L. 133-24 du CMF qui enferme l’action en responsabilité contre le prestataire de services de paiement dans le délai de 13 mois. Son pourvoi est rejeté.
Les autres arrêts sont des arrêts de cassation.
Dans son arrêt du 27 mars 2024, la Cour de cassation censure les juges du fond pour avoir retenu la responsabilité du prestataire de services de paiement pour manquement à son devoir de vigilance alors que « la responsabilité de la banque ne pouvait être recherchée que sur le fondement de l’article L. 133-18 du code monétaire et financier ».
Dans l’arrêt n° 4 du 15 janvier 2025, les juges du fond avaient opéré un partage de responsabilité en retenant une faute de la banque au titre de ses obligations de vigilance et de surveillance de ses systèmes alors même qu’ils avaient écarté sa responsabilité au titre de l’article L. 133-18 du CMF, les clients ayant commis une négligence grave : leur décision est censurée, au visa de l’article 1147, devenu 1231-1 du Code civil, et des articles L. 133-18 et L. 133-19, IV, du CMF dans leur rédaction issue de l’ordonnance n° 2009-866 du 15 juillet 2009, par la Cour de cassation.
Dans l’arrêt n° 6 du 15 janvier 2025, des virements avaient été effectués en communiquant par voie électronique un identifiant inexact mais les juges du fond avaient considéré que l’article L. 133-21 du CMF « ne dispense cependant pas le banquier de son obligation de vigilance en vertu de laquelle il lui appartient de vérifier la régularité des opérations qui sont soumises en contrôlant l’absence d’anomalie apparente ». Leur décision est censurée par la Cour de cassation qui vise, outre l’article 1231-1 du Code civil, l’article L. 133-21 du CMF.
L’application du régime issu des directives SEPPA n’est pas sans limite. Il s’applique si la responsabilité du prestataire de services de paiement est recherchée par le client, utilisateur d’un service de paiement : il ne s’applique pas si cette responsabilité est mise en cause par la caution14. Par ailleurs, le droit commun issu du droit national demeure applicable aux opérations qui ne sont pas couvertes par les directives SEPA15. n
