Cour d'appel, 23 septembre 2026. 25/14752

Copies exécutoires REPUBLIQUE FRANCAISE délivrées aux parties le : AU NOM DU PEUPLE FRANCAIS COUR D'APPEL DE PARIS Pôle 5 - Chambre 6 ARRET DU 23 SEPTEMBRE 2026 (n° , 9 pages) Numéro d'inscription au répertoire général : N° RG 25/14752 - N° Portalis 35L7-V-B7J-CL4YQ Décision déférée à la Cour : Jugement du 03 Juillet 2025 - tribunal judiciaire de Paris 9ème chambre 3ème section - RG n° 24/02552 APPELANT Monsieur [H], [O] [I] né le [Date naissance 1] 1991 à [Localité 1] [Adresse 1] [Localité 2] Représenté par Me Yves TUSET, avocat au barreau de Paris, toque : L0158 INTIMÉE S.A. BNP PARIBAS [Adresse 2] [Localité 3] N°SIREN : 662 042 449 agissant poursuites et diligences de ses représentants légaux domiciliés en cette qualité audit siège Représentée par Me Dominique PENIN du PARTNERSHIPS MORGAN LEWIS & BOCKIUS UK LLP, avocat au barreau de Paris, toque : J011, avocat plaidant COMPOSITION DE LA COUR : En application des dispositions des articles 805 et 907 du code de procédure civile, l'affaire a été débattue le 04 Juin 2026, en audience publique, les avocats ne s'y étant pas opposés, devant Madame Laurence CHAINTRON, conseillère, entendue en son rapport. Ce magistrat a rendu compte des plaidoiries dans le délibéré de la Cour, composée de : M. Vincent BRAUD, président de chambre Mme Laurence CHAINTRON, conseillère Mme Anne BAMBERGER, conseillère Greffier lors des débats : Mme Mélanie THOMAS ARRET : - contradictoire - par mise à disposition de l'arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du code de procédure civile. - signé par M. Vincent BRAUD, président de chambre et par Mme Mélanie THOMAS, greffier, présent lors de la mise à disposition. * * * * * FAITS, PROCÉDURE ET PRÉTENTIONS DES PARTIES M. [H] [I] est titulaire de deux comptes ouverts dans les livres de la SA BNP Paribas (ci-après dénommée la banque), tant pour son activité professionnelle qu'à titre personnel. Il soutient avoir reçu le 21 mars 2023, un SMS frauduleux provenant du numéro « 07.77.28.91.28 » qui contenait un lien vers une page web similaire à celle du site amendes.gouv.fr et l'informait d'un retard de paiement d'une amende routière d'un montant de 35 euros. Le 23 mars 2023, M. [I] a voulu régler la fausse amende en saisissant sur ce site ses coordonnées de carte bancaire (numéros, cryptogramme et date d'expiration). Le 27 mars 2023, muni de ces informations, l'escroc a ordonné un achat d'un montant de 1 209,90 euros qui a déclenché une notification sur le téléphone de M. [I], lequel a su déjouer cette escroquerie en refusant la confirmation de l'achat. Quelques instants après, M. [I] a reçu un appel d'une personne, via un numéro masqué, se présentant comme un conseiller BNP Paribas qui lui a indiqué que des opérations frauduleuses avaient été faites sur son compte, mais qu'il pouvait y remédier. Le 28 mars 2023, M. [I] s'est rendu compte de l'escroquerie dont il avait été victime, une somme de 32 580 euros ayant été détournée de son compte professionnel. Par courriel du même jour, M. [I] a contesté auprès de sa banque ces opérations et a sollicité le remboursement de la somme de 32 580 euros. Par courriel du 31 mars 2023, la banque lui a répondu qu'il n'y avait aucune défaillance de sa part. Le 17 avril 2023, la banque a confirmé à M. [I] qu'elle refusait de lui rembourser les sommes détournées. Par exploit de commissaire de justice du 7 février 2024, M. [I] a assigné la banque en remboursement devant le tribunal judiciaire de Paris. Par jugement contradictoire rendu le 3 juillet 2025, le tribunal judiciaire de Paris a : - débouté M. [I] de l'ensemble de ses demandes formées contre la SA BNP Paribas ; - condamné M. [I] aux dépens ; - rejeté les demandes au titre de l'article 700 du code de procédure civile. Par déclaration remise au greffe de la cour le 22 août 2025, M. [I] a interjeté appel de cette décision. Par conclusions notifiées par voie électronique le 11 mai 2026, M. [I] demande, au visa des articles L. 133-16, L. 133-17, L. 133-18 et L. 133-19 du code monétaire et financier, 9 du code de procédure civile et 1353 du code civil, à la cour de : - accueillir M. [I] en son appel et ses conclusions ; - le déclarer recevable et bien fondé en ses demandes ; - infirmer le jugement en ce qu'il a débouté M. [I] de toutes ses demandes ; Et statuant à nouveau : - condamner la société BNP Paribas à payer à M. [I] la somme de 32 580 euros ; - condamner la société BNP Paribas au paiement des intérêts : - au taux légal majoré de cinq points à compter du 29 mars 2023, - au taux légal majoré de dix points à compter du 4 avril 2023, - au taux légal majoré de quinze points à compter du 27 avril 2023 ; - ordonner, en application des dispositions de l'article 1343-2 du code civil, la capitalisation des intérêts dus pour une année entière ; - débouter la société BNP Paribas de sa demande de report du cours des intérêts à la date de l'arrêt ; En conséquence, - débouter la société BNP Paribas de toutes ses demandes, fins et conclusions ; - condamner la société BNP Paribas au paiement d'une somme de 3 500 euros au titre de l'article 700 du code de procédure civile ; - condamner la société BNP Paribas au paiement des entiers dépens de première instance et d'appel. Par conclusions notifiées par voie électronique le 11 mai 2026, la banque demande à la cour de : - juger M. [I] mal fondé en son appel ; - débouter M. [I] de l'intégralité de ses demandes ; - confirmer en toutes ses dispositions le jugement du tribunal judiciaire de Paris rendu le 3 juillet 2025 ; Subsidiairement, en cas d'infirmation, ordonner que les pénalités de retard prévues à l'article L. 133-18 du code monétaire et financier ne s'appliquent qu'à compter du prononcé de l'arrêt à intervenir ; Y ajoutant, condamner M. [I] à verser à BNP Paribas la somme de 3 000 euros au titre de l'article 700 du code de procédure civile ainsi qu'aux entiers dépens. Pour un plus ample exposé des faits, de la procédure, des moyens et des prétentions des parties, il est expressément renvoyé au jugement déféré et aux dernières conclusions écrites déposées en application de l'article 455 du code de procédure civile. L'ordonnance de clôture a été rendue le 26 mai 2026 et l'affaire a été fixée à l'audience du 4 juin 2026. MOTIFS Sur la responsabilité de la banque M. [I] fait valoir, au visa des articles L. 133-16 et L. 133-17 du code monétaire et financier, qu'une opération de paiement est autorisée lorsque le payeur donne son consentement à son exécution et que ce consentement doit être donné sous la forme convenue entre le payeur et son prestataire de services de paiement. Il expose que les fraudeurs ont ajouté eux-mêmes les tiers bénéficiaires et ont passé les ordres de virement dans la nuit du 27 au 28 mars 2023, qu'il n'a jamais autorisé ni validé les opérations litigieuses, qu'il a été informé le 28 mars 2023 de l'état de découvert de son compte et a dénoncé la fraude à sa banque le jour même. M. [I] avance, en se fondant sur les captures d'écran des opérations de création des bénéficiaires, que la connexion et l'authentification ont été réalisées via un appareil mobile au moyen d'une clé digitale. Or concernant son compte professionnel, il n'utilisait pas le système de clé digitale, mais un système de boîtier sécurisé fourni aux entreprises créant un code d'accès unique à chaque nouvelle connexion. Il soutient que la banque aurait dû être alertée par la mention du code « MOBILE-MBE » comme authentification de connexion en lieu et place d'un code « HARDWARE, TOKEN, LECTEUR-CARTE » ou similaire ainsi que par le nombre de virements en un jour et leur importance qui dépassaient l'usage normal du compte professionnel. Il allègue avoir signifié à la banque une sommation de communiquer les fichiers logs et journaux d'opérations concernant la présente affaire du 20 au 29 mars 2023 et relève que la banque ne produit aucun élément contractuel et technique relatif à l'enrôlement effectif de la clé sur un terminal lui appartenant. Selon lui, la pièce n° 10 fournie par la banque n'est pas suffisamment détaillée et ne comporte pas l'ensemble des éléments du dispositif anti-fraude de la banque relatifs aux opérations litigieuses. M. [I] soutient que la charge de la preuve incombe à la banque et qu'en l'espèce le relevé informatique produit n'est pas un commencement de preuve, dès lors qu'il n'est constitué que des seules écritures de la banque, non sourcées techniquement et non corroborées par un journal d'événements complet, daté, signé numériquement et conservé selon les exigences de l'article L. 133-23 du code monétaire et financier. Or la banque dispose, dans le cadre de ses obligations RGPD et au titre de sa politique interne de cybersécurité, de l'intégralité de ces données techniques. Il avance, au visa des articles L. 133-18 et L. 133-19 du code monétaire et financier, que les opérations sont non autorisées dès lors qu'il n'a jamais communiqué son identifiant et son mot de passe, qu'il n'a jamais reçu de demande de validation et que la banque n'en rapporte pas la preuve. Il ajoute que les bénéficiaires ont été ajoutés par les fraudeurs à son insu, qu'il n'en a jamais été informé et qu'il n'a pas initié ou validé les virements litigieux. M. [I] expose que dans l'hypothèse où il aurait reçu et lu des notifications relatives à un « ajout de bénéficiaire », il y aurait lieu d'examiner concrètement si l'ensemble du contexte n'excluait pas la qualification de négligence grave. En effet, il a été victime d'un « phishing » d'une grande sophistication, il a fait preuve de vigilance en refusant une tentative d'achat de 1 209,90 euros, mais il a été appelé immédiatement après par un prétendu conseiller bancaire qui a su, par la connaissance de ses données personnelles et par l'instauration d'un climat d'urgence, désamorcer sa vigilance. De plus, le libellé « ajout de bénéficiaire » est techniquement opaque et ne saurait être assimilé, pour un usager non averti, à l'avertissement clair d'un paiement imminent et enfin, il a réagi avec diligence dès qu'il a eu connaissance de la fraude le 28 mars 2023, en signalant immédiatement les faits à sa banque et en déposant plainte le jour même au CSP [Localité 4]. Il fait valoir que toutes les décisions judiciaires citées par la banque sont relatives à des situations dans lesquelles le client a volontairement remis ses moyens d'authentification à des tiers ou a validé lui-même des opérations frauduleuses. Or la banque n'apporte pas la preuve de la négligence de M. [I]. M. [I] expose que si la banque communique une alerte de l'ANTAI concernant les SMS et sites frauduleux, cette alerte date du 17 juillet 2023, soit 3 mois après la fraude dont il est victime. Il souligne qu'il a pu, le jour de la fraude, relever les IBAN des bénéficiaires qui appartiennent à trois banques : Boursorama, Société Générale et Treezor. Il fait valoir qu'ayant connaissance des IBAN des bénéficiaires, la banque aurait pu agir auprès de ces autres banques afin de bloquer les virements et contrepasser les écritures durant 48 heures comme c'est l'usage bancaire, mais que la banque ne communique aucune pièce attestant qu'elle ait accompli ces diligences. Il ajoute que la fraude a été commise entre le 27 et le 28 mars 2023, mais que la banque ne lui a répondu que le 31 mars 2023, soit après le délai de contrepassation des écritures. M. [I] fait valoir que selon la jurisprudence, pour s'exonérer de sa responsabilité et ne pas être tenue de le rembourser à hauteur du préjudice subi, la banque doit d'abord rapporter la preuve que l'opération a été authentifiée, dûment enregistrée et comptabilisée sans déficience technique, avant de pouvoir soutenir qu'il a commis une négligence grave. Or, la banque ne rapporte pas la preuve de la première condition. Il ajoute qu'aux termes de la jurisprudence, en matière de spoofing, la transmission par le client de ses données personnelles à une personne se faisant passer pour un technicien de la banque par téléphone ne caractérise pas en soi une faute grave. La banque fait valoir que l'existence d'un spoofing téléphonique ne saurait exclure toute négligence grave du payeur et que M. [I] ne justifie pas avoir été victime de spoofing en ce que l'appel reçu provenait d'un numéro « inconnu ». La banque soutient qu'il ne peut pas être déduit de l'arrêt de la Cour de cassation du 23 octobre 2024 (Com. 23 octobre 2024, pourvoi n° 23-16.267, publié) qu'une fraude par spoofing téléphonique obligerait nécessairement un prestataire de services de paiement à rembourser des opérations de paiement contestées. Elle ajoute que les faits de l'espèce étaient antérieurs à la loi n° 2020 901 du 24 juillet 2020 et que les consommateurs sont depuis familiarisés avec les opérations bancaires dématérialisées et régulièrement sensibilisés aux risques de fraude. La banque avance qu'il revient donc au juge du fond d'admettre ou non l'existence d'une négligence grave en analysant l'ensemble des circonstances de l'espèce ayant conduit aux opérations frauduleuses et que le juge demeure contraint, dès lors que la banque l'allègue, de vérifier si des négligences graves sont caractérisées et imputables au client. Elle fait valoir que M. [I] a commis une négligence grave en se connectant sur un site factice pour régler une amende imaginaire après avoir échangé avec un inconnu au téléphone. Elle souligne que, depuis décembre 2022, elle avertit ses clients, dont M. [I], du risque de spoofing grâce à son site internet. En outre, elle leur adresse régulièrement des courriels d'information portant spécifiquement sur les risques d'appels téléphoniques émanant de faux conseillers bancaires. Elle soutient par ailleurs que l'escroc s'est connecté à l'espace personnel de M. [I] et que pour enregistrer un nouveau RIB dans la liste de bénéficiaires de virements, l'escroc a eu connaissance de l'identifiant et du mot de passe de M. [I] afin de pouvoir accéder à son espace en ligne et que son système informatique n'a pas concouru à la fraude. La banque expose qu'elle a mis en place un système de sécurité pour la réalisation des opérations sensibles, à savoir la clé digitale, et non pas un boîtier générant des codes uniques. Le fonctionnement de la « clé digitale » permet la mise en place de l' « authentification forte » d'une opération en ligne en ce que le client possède « son smartphone » et qu'il est le seul à connaître « son code secret ». Elle souligne que M. [I] a admis devant les services de police avoir été en communication avec l'escroc et que ce dernier a réalisé des opérations techniques sur son espace personnel. Il ressort de ses serveurs informatiques que plusieurs RIB ont été ajoutés à la liste de bénéficiaires de virements et que leur confirmation a supposé l'utilisation de la clé digitale de M. [I]. Sept notifications intitulées « Ajout de bénéficiaire » ont été envoyées sur le téléphone de M. [I] et celui-ci les a validées par la clé digitale. La banque fait valoir qu'il n'existait aucune opération bancaire anormale contrairement à ce que soutenait l'escroc, ce que M. [I] a reconnu. Elle expose que le 27 mars 2023 entre 14h16 et 17h11, l'escroc a exécuté sept virements vers les RIB que M. [I] venait de valider. Elle souligne qu'elle produit les journaux d'authentification établissant que chacune des opérations litigieuses a fait l'objet d'une validation via la clé digitale depuis le terminal personnel de M. [I], aux horaires précisément enregistrés, sans anomalie technique ni tentative préalable infructueuse. Le relevé informatique doit être regardé comme un commencement de preuve dès lors que, d'une part, M. [I] dispose de toute latitude pour en contester les termes et, d'autre part, il s'agit du seul document justificatif dont puisse valablement disposer la banque afin de prouver l'authentification et l'enregistrement des opérations litigieuses. La banque fait enfin valoir que l'escroquerie ne résulte pas d'un manquement à ses obligations, mais du défaut de vigilance de M. [I], qui s'est laissé abuser par les man'uvres frauduleuses d'un escroc se faisant passer pour un faux service de BNP Paribas et qui a validé la notification, permettant ainsi la réalisation des virements au profit du RIB ajouté. M. [I] a donc commis une négligence grave. M. [I] recherche la responsabilité de la banque en raison d'opérations non autorisées sur le fondement, notamment, des articles L. 133-16, L. 133-17, L. 133-19 et L. 123-23 du code monétaire et financier. L'article L. 133-23 du code monétaire et financier dispose que : "Lorsqu'un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre. L'utilisation de l'instrument de paiement telle qu'enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ou que celui-ci n'a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d'initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur de services de paiement." L'article L. 133-24 de ce code prévoit que : "L'utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n'ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III.". En l'espèce, si la société BNP Paribas soutient que les opérations litigieuses ont été effectuées via son service sécurisé de banque à distance, il n'en ressort pas pour autant que l'utilisation de l'instrument de paiement telle qu'enregistrée par elle suffise à prouver que les opérations ont été autorisées, encore moins qu'elles résultent d'une négligence grave de M. [I]. Le contenu de la plainte déposée le 28 mars 2023 pour "[Localité 5]" entre les mains du commissariat de police de [Localité 4] dans laquelle il indique avoir été victime d'un escroc qui l'a contacté par téléphone en se faisant passer pour un conseiller de la BNP Paribas et lui a indiqué "qu'il y avait des opérations frauduleuses" et que de nouveaux bénéficiaires avaient été ajoutés sur son compte, démontre l'existence d'une escroquerie dont M. [I] a été victime. La société BNP Paribas ne conteste pas vraiment que M. [I] n'a pas donné son consentement aux opérations litigieuses, mais soutient que les pertes occasionnées par les opérations de paiement résultent d'un manquement grave de sa part. Il s'en induit que les opérations de paiements effectuées par M. [I] n'étaient pas autorisées au sens des dispositions légales précitées. L'article L. 133-18, alinéa 1, du code monétaire et financier pose le principe du remboursement par la banque des opérations non autorisées dans les termes suivants : "En cas d'opération de paiement non autorisée signalée par l'utilisateur dans les conditions prévues à l'article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l'opération non autorisée immédiatement après avoir pris connaissance de l'opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s'il a de bonnes raisons de soupçonner une fraude de l'utilisateur du service de paiement et s'il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l'état où il se serait trouvé si l'opération de paiement non autorisée n'avait pas eu lieu." Par dérogation, l'article L. 133-19 de ce code, paragraphe IV, dispose, dans le cas particulier des instruments de paiement dotés de données de sécurité personnalisées que : "Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'un agissement frauduleux de sa part ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17", lesquels lui font obligation de préserver la sécurité de ses données. M. [I] soutient que pour son entreprise, il n'utilisait pas le système de clé digitale, mais un boîtier sécurisé créant un code d'accès unique à chaque connexion « Hardware, Token, Lecteur-Carte ou similaire » et que pour sa connexion avec son compte professionnel, il utilisait son ordinateur et non son smartphone, alors que la banque prétend qu'il bénéficiait du système d'authentification forte mis en place correspondant au système de "clé digitale", lequel suppose que le client possède un smartphone et dispose d'un code secret qu'il est seul à connaître. Pour justifier de ses prétentions, la banque verse aux débats : - une pièce n° 10 intitulée « Traces informatiques sur l'ajout puis la validation des bénéficiaires de virement à l'aide de la clé digitale de Monsieur [I] » qui selon elle démontre que l'ajout de bénéficiaires a été effectué par M. [I] au moyen de sa clé digitale au motif que ce document comporte la rubrique « moyenAuthentcnx » et le code « MOBILE-MBE » qui signifie que la connexion et l'authentification ont été réalisées via un appareil mobile (smartphone ou tablette) au moyen d'une clé digitale, - une pièce n° 12 intitulée « Traces informatiques sur les virements » qui comporte également à la rubrique « moyen d'authentification » le code « MOBILE-MBE ». Or, force est de constater que la pièce n° 10 de la banque est à peine lisible, mais surtout que, comme le souligne à juste titre l'appelant, elle ne détaille pas : - les fichiers journaux (« logs ») d'authentification complets, - les adresses IP source de chacune des connexions et opérations litigieuses, - l'identification technique complète du ou des terminaux utilisés pour valider les opérations (fingerprint device, modèle, OS, version applicative), - l'ensemble des données de géolocalisation associées aux opérations litigieuses, - l'historique complet de l'enrôlement de la « clé digitale » sur le terminal de M. [I], en ce compris la date d'activation, le terminal associé, les éventuels changements de terminal ou réinitialisations, - les éléments techniques relatifs aux notifications « push » prétendument adressées à M. [I] pour chaque ajout de bénéficiaire (identifiant unique, horodatage d'envoi, statut de remise, statut de lecture). La banque ne produit par ailleurs aucun élément établissant que la « clé digitale » dont elle se prévaut ait été précédemment enrôlée sur un terminal appartenant à M. [I] à une date antérieure à la fraude. Mais surtout, elle ne produit aucun document contractuel liant les parties (convention d'ouverture de compte, conditions générales et particulières) qui permettrait à la cour de vérifier le système d'authentification dont bénéficiait M. [I] sur son compte professionnel à l'époque des virements litigieux effectués depuis ce compte, à savoir l'usage d'un boîtier électronique associé à un ordinateur ou celui d'une clé digitale associée à un téléphone mobile. A l'exception des deux listings produits, la banque ne produit en effet que des plaquettes commerciales sur la clé digitale et l'ajout d'un bénéficiaire. Au regard de l'ensemble de ces éléments, il y a lieu de considérer que la banque ne rapporte pas la preuve que les opérations de paiement litigieuses aient été authentifiées, dûment enregistrées et comptabilisées et qu'elles n'aient pas été affectées par une déficience technique ou autre. Dans ces conditions, la société BNP Paribas sera condamnée à rembourser à M. [I] la somme de 32 580 euros. Sur la demande formée par M. [I] tendant au paiement des pénalités de retard M. [I] fait valoir qu'il est en droit de solliciter la condamnation de la banque au paiement des pénalités prévues à l'article L. 133-18 du code monétaire et financier. Il soutient que le remboursement de la banque devait intervenir immédiatement ou au plus tard à la fin du premier jour ouvrable suivant l'information donnée à la banque de l'escroquerie dont il avait été victime et qu'en l'espèce, la banque ayant été informée le 28 mars 2023 des paiements non autorisés, le remboursement aurait dû intervenir au plus tard le mercredi 29 mars 2023. Il ajoute que les pénalités prévues à cet article sont des pénalités légales destinées à sanctionner le retard fautif du prestataire de services de paiement. La banque soutient, au visa de l'article L.133-18 du code monétaire et financier, que la demande de condamnation au paiement d'intérêts de retard est infondée en ce que les pénalités de retard ne sont applicables qu'en cas de manquement du prestataire de services de paiement à son obligation de remboursement. Elle ajoute que l'application d'un intérêt majoré ne saurait permettre d'allouer des intérêts sans commune mesure avec un éventuel préjudice subi du fait de sa résistance à rembourser les opérations contestées. La banque fait valoir, au visa de l'article L. 133-19 du code monétaire et financier, qu'elle peut refuser de rembourser les fonds en cas de négligence grave de l'utilisateur et que l'action en remboursement d'opérations non autorisées ne doit pas permettre un enrichissement de l'utilisateur, lequel pourrait alors volontairement tarder à introduire son instance afin de percevoir des intérêts de retard plus élevés. Il ressort des développements qui précèdent que dans la mesure où la banque ne rapporte pas la preuve que les opérations de paiement litigieuses aient été authentifiées, il n'y a pas lieu d'apprécier l'existence d'une éventuelle négligence grave de M. [I]. Selon l'article L. 133-18 alinéa 3 du code monétaire et financier : « En cas de manquement du prestataire de services de paiement aux obligations prévues aux deux premiers alinéas du présent article, les pénalités suivantes s'appliquent : 1° Les sommes dues produisent intérêt au taux légal majoré de cinq points ; 2° Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points ; 3° Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points. » La banque ne conteste pas avoir été informée des opérations litigieuses dès le 28 mars 2026. Il sera par conséquent fait droit aux demandes de pénalités de M. [I] et la banque sera condamnée au paiement des intérêts : - au taux légal majoré de cinq points à compter du 29 mars 2023, - au taux légal majoré de dix points à compter du 4 avril 2023, - au taux légal majoré de quinze points à compter du 27 avril 2023. Sur la capitalisation des intérêts Il y a lieu d'ordonner la capitalisation des intérêts dans les termes de l'article 1343-2 du code civil. Sur les dépens et les frais irrépétibles Aux termes de l'article 696, alinéa premier, du code de procédure civile, la partie perdante est condamnée aux dépens, à moins que le juge, par décision motivée, n'en mette la totalité ou une fraction à la charge d'une autre partie. L'intimée sera donc condamnée aux dépens, le jugement déféré étant infirmé en ce qu'il a condamné M. [I] aux dépens de première instance. En application de l'article 700 du code de procédure civile, le juge condamne la partie tenue aux dépens ou qui perd son procès à payer à l'autre partie la somme qu'il détermine, au titre des frais exposés et non compris dans les dépens. Sur ce fondement, la société BNP Paribas sera condamnée à payer la somme de 2 000 euros à M. [I]. LA COUR, PAR CES MOTIFS, INFIRME le jugement du tribunal judiciaire de Paris du 3 juillet 2025 ; Statuant à nouveau des chefs de la décision infirmée, CONDAMNE la société BNP Paribas à rembourser à M. [H] [I] la somme de 32 580 euros avec intérêts : - au taux légal majoré de cinq points à compter du 29 mars 2023, - au taux légal majoré de dix points à compter du 4 avril 2023, - au taux légal majoré de quinze points à compter du 27 avril 2023 ; ORDONNE la capitalisation des intérêts dans les termes de l'article 1343-2 du code civil ; CONDAMNE la société BNP Paribas à payer à M. [H] [I] la somme de 2 000 euros sur le fondement de l'article 700 du code de procédure civile ; CONDAMNE la société BNP Paribas aux entiers dépens de première instance et d'appel ; REJETTE toute autre demande. * * * * * Le greffier Le président