Cour d’appel de Montpellier, le 11 septembre 2025, n°24/01352

Rendue par la Cour d’appel de Montpellier le 11 septembre 2025, la décision tranche un contentieux de virements en ligne consécutifs à une escroquerie dite d’« investment scam ». Un client, persuadé d’ouvrir un compte à l’étranger dans le cadre d’un financement immobilier, a transmis un relevé d’identité bancaire à son prestataire de services de paiement pour l’ajouter comme bénéficiaire, puis a ordonné trois virements totalisant 80 160 euros. Il a découvert ensuite que les fonds avaient été crédités sur un compte tiers ouvert auprès d’un établissement étranger. Un « recall » infructueux a suivi, puis un dépôt de plainte.

Le tribunal judiciaire de Montpellier, le 18 janvier 2024, a retenu la faute du prestataire et l’a condamné à indemniser le préjudice matériel, moral et les frais exposés. L’appelante a soutenu l’exclusivité du régime spécial des opérations de paiement, au visa des articles L.133-18 à L.133-24 du code monétaire et financier, tandis que l’intimé invoquait un manquement aux obligations de conseil et de vigilance, y compris celles relatives à la lutte contre le blanchiment. Le litige posait la question de la qualification des virements contestés et du régime de responsabilité applicable, entre opération « non autorisée » et opération « mal exécutée ». La cour retient la seconde qualification, rappelle l’éviction du droit commun, et infirme. Elle souligne d’abord que « la cour rappelle qu’en matière de responsabilité du prestataire de paiement s’agissant d’une opération non-autorisée ou mal exécutée, les règles de droit commun ne trouvent pas à s’appliquer ». Elle reproduit ensuite l’article L.133-21 CMF, selon lequel « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté […] Si l’identifiant unique […] est inexact, le prestataire […] n’est pas responsable de la mauvaise exécution ou de la non-exécution […] ». L’analyse du sens, puis de la valeur et de la portée de la solution s’impose.

I. Le sens de la décision: la qualification d’opération « mal exécutée » et l’exclusivité du régime spécial

A. L’identifiant unique au cœur de la qualification et de l’allocation du risque

La cour qualifie les virements d’opérations autorisées par l’utilisateur, mais mal exécutées au regard du résultat voulu, en raison d’un identifiant unique erroné. Cette qualification écarte le régime des opérations « non autorisées » et oriente le débat vers l’article L.133-21 CMF. Le texte est reproduit et sert d’axe décisif: « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté […] Si l’identifiant unique […] est inexact, le prestataire […] n’est pas responsable de la mauvaise exécution ou de la non-exécution […] ». La règle organise la sécurité juridique et objective l’imputation du risque sur la donnée fournie par l’utilisateur.

Dans cette perspective, la cour refuse de requalifier des virements expressément ordonnés en opérations « non autorisées ». Elle rappelle que l’utilisateur a souhaité transférer la somme, tout en s’étant mépris sur le bénéficiaire réel. L’intention de payer existe, la divergence porte sur la destination effective, déterminée par l’IBAN communiqué. L’architecture du dispositif PSD2, transposée, justifie cette approche fonctionnelle de l’« identifiant unique ».

B. L’éviction du droit commun et l’indifférence des obligations de vigilance prudentielle

La cour assume l’exclusivité du régime spécial. Elle souligne que « seul est applicable le régime de responsabilité défini aux articles L133-18 à L133-24 du code monétaire et financier […] à l’exclusion de tout régime alternatif de responsabilité résultant du droit national ». Cette affirmation, en droite ligne d’une jurisprudence récente, neutralise les fondements de responsabilité contractuelle de droit commun pour ces hypothèses.

S’agissant des obligations LCB-FT, la solution est cohérente. La décision cite utilement que « les obligations de vigilance et de déclaration […] ont pour seule finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme » et que « la victime d’agissements frauduleux ne peut se prévaloir de l’inobservation de ces obligations […] pour réclamer des dommages et intérêts ». Ces mécanismes poursuivent un objectif d’ordre public financier, non l’indemnisation civile de l’utilisateur en cas de fraude tiers lors d’un virement autorisé.

II. Valeur et portée: la répartition du risque à l’ère des virements instantanés et les limites de l’exonération

A. La cohérence systémique de l’arrêt et ses effets pratiques

La solution présente une forte cohérence avec la logique de l’« identifiant unique » et l’automatisation des paiements. Elle clarifie que l’erreur d’IBAN imputable à l’utilisateur ne génère pas de responsabilité du prestataire, hors faute propre dans l’exécution mécanique de l’ordre. Elle conforte, en pratique, l’importance des parcours de sécurité en amont, des avertissements clairs sur les risques, et des outils de confirmation du bénéficiaire.

L’arrêt préserve l’effectivité des flux SEPA, en évitant d’introduire un contrôle subjectif du prestataire sur la concordance nominative. Il en résulte, pour l’utilisateur, une vigilance accrue lors de l’ajout de bénéficiaires et de la validation du premier virement. Pour le prestataire, l’obligation de coopération postérieure (demande de rappel) demeure, mais sans obligation de résultat.

B. Les lignes de crête: opérations « non autorisées », anomalie apparente et prévention

La portée de l’exonération n’est pas générale. Elle ne vaut pas lorsque l’opération est « non autorisée », cas régi par l’article L.133-18 CMF, qui implique un remboursement rapide sauf faute grave de l’utilisateur. Elle ne couvre pas non plus les hypothèses de défaillance technique imputable au prestataire dans l’exécution de l’ordre conforme à l’identifiant unique.

L’argument tiré de l’« anomalie apparente » du RIB est écarté dans ce cadre. La décision rappelle la ligne tenue par la jurisprudence récente en censurant l’ancrage sur l’obligation de vigilance pour renverser la règle de l’identifiant unique. Elle s’aligne ainsi sur l’exigence d’unicité du régime, sans éluder la nécessité de mesures préventives, pédagogiques et techniques, qui relèvent davantage du devoir d’information ex ante que d’une responsabilité ex post. La clarification emporte une allocation nette du risque, tout en laissant ouvertes les voies spécifiques lorsque l’autorisation fait défaut ou que l’exécution technique dévie de l’ordre transmis.