Client turc victime d'une usurpation de sa boîte mail subit des virements frauduleux: la banque n'a pas commis de faute grave, la clause de transfert de risque s'applique (art. 100 al. 1 CO)

BGE / ATF / DTF: ATF 146 III 326 · BGE 146 III 326 · DTF 146 III 326
Date: 09.07.2020
Numéro de dossier: 4A_9/2020
Cour: I. Zivilrechtliche Abteilung
Issue: Admis

Normes déterminantes

Art. 100 CO Art. 101 CO Art. 107 CO Art. 402 CO

Résumé

Une société de négoce en valeurs mobilières a exécuté plusieurs ordres de virement envoyés depuis l’adresse e-mail piratée d’un client résidant à Istanbul. Le client a demandé le remboursement des sommes débitées, alléguant une faute grave de la société. La cour cantonale de Genève a condamné la société à payer les montants litigieux, estimant qu’elle avait commis une faute grave dans l’exécution des ordres. La société a interjeté un recours au Tribunal fédéral contre cette décision.

Le Tribunal fédéral a admis le recours et réformé l’arrêt cantonal en rejetant la demande du client.

La Cour a d’abord constaté que les six ordres litigieux avaient été exécutés sans mandat du client, car émanant de tiers frauduleux ayant pris le contrôle de son adresse e-mail entre le 1er décembre 2015 et le 4 janvier 2016. Elle a ensuite jugé que les clauses de transfert de risque conclues entre les parties — notamment la convention de décharge signée séparément autorisant l’exécution immédiate des ordres transmis par e-mail et transférant le risque sur le client, sauf faute grave — étaient valables et applicables par analogie aux articles 100 et 101 al. 3 du Code des obligations. Ensuite, elle a retenu qu’aucune faute grave n’était imputable à la société de négoce, car les ordres provenaient tous de l’adresse e-mail officiellement communiquée par le client, étaient rédigés dans un anglais approximatif cohérent avec les précédents échanges, visaient des banques connues au Royaume-Uni, et étaient justifiés par des motifs économiques plausibles (« urgent business deal ») compatibles avec la situation financière du client (avoirs d’environ 850'000 euros) et son statut d’ancien homme d’affaires. La Cour a souligné que la clause de transfert de risque couvre même les cas fortuits, et que le dommage reste à la charge du client lorsque le piratage concerne son propre système informatique, et non celui de la banque. Les articles 100 al. 1 CO, 100 CO, 101 al. 3 CO, 107 al. 1 CO et 402 CO ont ainsi déterminé l’issue du litige. Les frais de la procédure fédérale (8'000 francs) et une indemnité de dépens (9'000 francs) ont été mis à la charge de l’intimé, qui succombe. Cette décision confirme que la faute grave, condition d’invalidité d’une clause de transfert de risque, exige des indices sérieux d’usurpation manifeste — bien au-delà d’une simple fréquence ou d’un montant élevé — et que la diligence exigée de la banque reste limitée par la rapidité nécessaire à l’exécution des opérations bancaires.

Regeste

Art. 100 Abs. 1, 101 Abs. 3, 107 Abs. 1, 402 OR; Banküberweisungen; fehlende Legitimation des Auftraggebers oder Fälschung von Überweisungsaufträgen; Risikotransferklausel für per E-Mail erteilte Aufträge; grobes Verschulden der Finanzdienstleisterin. Ermittlung in zwei Schritten, ob im Falle einer Risikotransferklausel die Finanzdienstleisterin oder der Kunde den Schaden zu tragen hat (E. 4). Fehlen eines Auftrags des Kunden (erster Schritt): von Dritten in betrügerischer Absicht erteilte Überweisungsaufträge (E. 5). Risikotransferklausel (zweiter Schritt): Voraussetzungen der Gültigkeit einer solchen Klausel (E. 6.1). Umstände, unter denen von einem groben Verschulden der Finanzdienstleisterin bei der Überprüfung auszugehen ist, namentlich bei per E-Mail erteilten Aufträgen (E. 6.2). Anwendung im konkreten Fall (E. 6.3). Regeste Art. 100 al. 1, 101 al. 3, 107 al. 1, 402 CO; virements bancaires; défaut de légitimation du donneur d'ordre ou faux non décelés; clause de transfert de risque pour ordres donnés par e-mail; faute grave de la société financière. Détermination, en deux étapes, de celui qui, de la société financière ou du client, doit supporter le dommage lorsqu'il y a clause de transfert de risque (consid. 4). Absence de mandat du client (première étape): ordres donnés par des tiers agissant dans un but frauduleux (consid. 5). Clause de transfert de risque (seconde étape): conditions de validité d'une telle clause (consid. 6.1). Circonstances dans lesquelles il y a faute grave de la société financière dans la vérification, notamment, des ordres donnés par e-mail (consid. 6.2). Application au cas d'espèce (consid. 6.3). Regesto Art. 100 cpv. 1, 101 cpv. 3, 107 cpv. 1, 402 CO; bonifici bancari; difetto di legittimazione del datore dell'ordine o falsi non individuati; clausola di trasferimento del rischio per ordini impartiti via e-mail; colpa grave della società finanziaria. Determinazione, in due tappe, di colui che, fra la società finanziaria o il cliente, deve sopportare il danno se vi è una clausola di trasferimento del rischio (consid. 4). Assenza di un mandato del cliente (prima tappa): ordini impartiti da terzi che agiscono a scopo fraudolento (consid. 5). Clausola di trasferimento del rischio (seconda tappa): condizioni di validità di una tale clausola (consid. 6.1). Circostanze in cui sussiste una colpa grave della società finanziaria nella verifica, in particolare, degli ordini dati per e-mail (consid. 6.2). Applicazione al caso di specie (consid. 6.3).

Décision originale auprès du tribunal ↗

Le résumé, l'issue et les normes déterminantes sont établis automatiquement et peuvent contenir des erreurs. Seule la décision originale fait foi. Pas de conseil juridique.

Client turc victime d'une usurpation de sa boîte mail subit des virements frauduleux: la banque n'a pas commis de faute grave, la clause de transfert de risque s'applique (art. 100 al. 1 CO)

Normes déterminantes

Résumé

Regeste

Décisions apparentées