PAIEMENT SANS CONTACT

LE PAIEMENT SANS CONTACT

David TSHILEMBI KAYOMBO & Mambi SIBY

06/02/2017

L’essentiel:

L’évolution technologique a rendu possibles des changements considérables en matière d’instruments de paiement. En effet, la technologie a permis non seulement d’en améliorer la sécurité, mais aussi la commodité, ce qui est particulièrement vrai en matière de paiement par carte bancaire. Depuis quelques années déjà, il est possible d’effectuer des paiements par carte sans avoir à composer de code confidentiel. Cette technique est appelée paiement « sans contact ». Toutefois, juridiquement, le paiement « sans contact », bien qu’original d’un point de vue technique, n’en demeure pas moins un transfert de monnaie scripturale. Effectué au moyen d’un instrument de paiement, il est donc assujetti à un certain nombre de règles. Nous essayerons de dessiner les contours du cadre juridique du paiement sans contact et verrons dans quelle mesure sa spécificité purement technique a un pendant juridique.

In brief :

Technological progress is at the origine of many changes with regard to payment instruments. Indeed, the technology has not only improved security, but also convenience, which is especially with regard to payment by credit card. For some years now, it is possible to make payments without having to dial a confidential code. This technique is called "contactless" payment. However, legally, the "contactless" payment, although technically original, nevertheless remains a transfer of bank money. Made through a payment instrument, it is subject to a number of rules. We propose to draw the outline of the legal framework for contactless payment and see how his technical specificity has a legal equivalent.

INTRODUCTION

Presque aussi vieux que l’humanité, les moyens de paiement connaissent une accélération de l’histoire avec l’avènement de l’informatique et des nouvelles technologies de l’information^[1]. Du troc pratiqué depuis plus de 12 000 ans à l’apparition de la monnaie « sonnante et trébuchante » – 2000 ans avant Jésus-Christ – puis des billets vers l’an 800 et des chèques, arrivés en France en 1826 avec le succès que l’on connaît[2], les hommes ont fini par utiliser une large palette de moyens de paiement.

Plutôt qu’employer le mot « moyen », le législateur a préféré employer le vocable « instrument »[3]. Ainsi, l’article L. 133-4 du Code monétaire et financier (ci-après CMF) dispose-t-il qu’un instrument de paiement s’entend, alternativement ou cumulativement, de tout dispositif personnalisé et de l’ensemble de procédures convenu entre l’utilisateur de services de paiement et le prestataire de services de paiement et auquel l’utilisateur de services de paiements a recours pour donner un ordre de paiement.

Les instruments de paiement permettent d’accomplir des opérations de paiement, ces dernières étant définies par l’article L. 133-3 du CMF comme une action consistant à verser, transférer ou retirer des fonds, indépendamment de toute obligation sous-jacente entre le payeur et le bénéficiaire, ordonnée par le payeur ou le bénéficiaire. Il est précisé au point II b) du même article que l’opération de paiement peut être ordonnée par le payeur, qui donne un ordre de paiement par l’intermédiaire du bénéficiaire qui, après avoir recueilli l’ordre de paiement du payeur, le transmet au prestataire de services de paiement de ce dernier, le cas échéant par l’intermédiaire de son propre prestataire de services de paiement. A cette opération peut être rattachée ce que la pratique bancaire dénomme actuellement le paiement par carte, qui résulte d’un ordre donné par le payeur mais adressé au bénéficiaire (généralement le commerçant qui reçoit le paiement par carte) qui transmet l’ordre reçu au prestataire de services de paiement du payeur[4].

Depuis la création de la première carte de paiement en France, en 1967^[5], le progrès technique a permis d’améliorer son utilisation, la rendant plus fiable, notamment du point de vue de la sécurité qui n’a cessé d’être renforcée[6]. En 1999, l’expérience pilote Moneo, lancée par un groupe de banques, conduit à la mise au point du porte-monnaie électronique via une carte à puce prépayée, permettant d’effectuer les petits paiements de la vie quotidienne habituellement effectués en liquide. Suite à l’échec commercial du Moneo, des initiatives sont nées visant à trouver des moyens techniques en vue de faciliter et d’apporter plus de commodité aux paiements de faibles montants. L’un d’entre eux – sans doute celui ayant connu le plus de succès – est la technologie Near Field Communication^[7] (ci-après NFC), technologie de communication sans fil à courte portée et haute fréquence, intégrée dans la puce contenue par la carte bancaire ou par un smartphone. Elle permet l’échange d’informations entre périphériques à proximité immédiate[8].

La NFC permet d’effectuer des paiements dits « sans contact », en ce qu’ils consistent en un échange de données entre la puce et le terminal adéquat[9], effectué sans que le payeur n’ait à utiliser « de dispositif de sécurité personnalisé »[10]. Cette grande proximité[11] entre la puce et le terminal est le moyen permettant au « porteur »[12] de la carte d’émettre un ordre de paiement – généralement un transfert de fonds – au profit du bénéficiaire, généralement un commerçant.

L'utilisation de cette technologie permettant de régler des achats de petit montant sans utiliser de code devient un usage à part entière[13]. Il semblerait qu’aujourd’hui il ne soit plus l’« Arlésienne » des instruments de paiements en France. Pourtant, on peut s’interroger sur sa particularité. En effet, s’il est vrai qu’il a le mérite de la commodité, le paiement « sans contact » n’en demeure pas moins risqué, à tout le moins en son principe. Historiquement, l’évolution des instruments de paiement a toujours tendu vers une amélioration de la sécurité de ces derniers, en vue de limiter les cas de fraude. Ainsi, l’arrivée de la carte à puce a été bien accueillie car elle offre un niveau élevé de sécurité reposant sur les procédés d’identification et d’authentification – du porteur et de l’instrument. Alors, nous nous intéresserons aux dispositions régissant le paiement sans contact afin de voir dans quelle mesure le régime qui lui est applicable diffère de celui des « autres » paiements, particulièrement du paiement par carte bancaire « lambda ».

A cet effet, nous envisagerons le cadre juridique du paiement sans contact en commençant par sa nature juridique (I), avant d’évoquer certains aspects de son régime (II).

I.             La nature juridique du paiement « sans contact »

Le législateur a appréhendé assez promptement la dématérialisation appliquée au domaine financier, particulièrement aux moyens de paiement[14]. Si bien que l’essentiel des règles actuellement applicables au paiement sans contact existaient déjà dans l’arsenal normatif français dès 2009, grâce à la transposition de la Directive sur les services de paiement dite « DSP 1 » [15] par l’ordonnance du 15 juillet 2009[16]. Cette ordonnance a bouleversé le cadre juridique des services de paiement, notamment en introduisant une nouvelle exception au monopole des établissements de crédit en en soustrayant les services de paiement. Les dispositions régissant le paiement sans contact – situées dans le Chapitre III du Titre III du Livre Ier du CMF – sont communes à tous les instruments de paiement autres que le chèque, la lettre de change et le billet à ordre. A priori, il ne devrait pas – ou très peu – y avoir de disposition qui lui soit proprement destinée[17]. Le régime est donc, pour l’essentiel, semblable à celui des paiements par carte bancaire lambda.

La technique juridique sous-jacente à l’opération de paiement est bien connue, il s’agit de celle du mandat, ou plutôt des mandats (A). Dans le cadre de l’exécution de ce mandat, l’ordre de paiement est donné de manière si particulière qu’il convient de s’intéresser au consentement à l’opération (B).

A.    Un « double-mandat »

Le paiement « sans contact » n’est qu’une variante de paiement par carte[18] – lorsqu’il est effectué par le truchement d’un smartphone, il n’en demeure pas moins un paiement par carte dans la mesure où la carte sera dématérialisée dans le smartphone grâce au transfert de certaines de ses données. A ce titre, comme le paiement « traditionnel » par carte, il repose donc sur la technique du mandat[19] : l’émetteur de la carte paye le bénéficiaire du paiement au nom et pour le compte du payeur. Ce mandat est matérialisé et organisé par le « contrat porteur » [20], qui lie l’utilisateur de la carte à son émetteur. L’émetteur s’engage à l’égard du « porteur » à régler ses dépenses, en son nom et pour son compte. Par ailleurs, en tant que mandataire, l’émetteur est tenu de s’assurer que l’ordre de paiement qu’il reçoit émane bien du « porteur », il est tenu de ne pas se tromper en exécutant l’ordre. Pour sa part, le porteur s’engage notamment à utiliser sa carte – en principe – personnellement et conformément aux modalités convenues entre les parties[21]. Ces modalités prévoient notamment la manière dont doivent être émis les ordres de paiement, ces derniers doivent être signés par le « porteur » en utilisant les procédés électroniques en vigueur. L’ordre de paiement dûment donné par le porteur, selon les formes convenues entre les parties au « contrat porteur », au moyen de la carte est irrévocable[22].

Tout le problème du paiement « sans contact » se situe au niveau de l’émission de l’ordre de paiement. C’est-à-dire, au niveau du consentement du « porteur » à l’opération de paiement.

B.    Le consentement 

La crainte principale est qu’un paiement soit exécuté sans consentement du « porteur ». Les règles régissant la matière ne sont pas toutes contractuelles. En effet, le législateur ne prévoit-il pas qu’une opération de paiement soit autorisée si le payeur a donné son consentement à son exécution^[23]?

Toutefois, le consentement doit être donné sous la forme convenue entre le payeur et son prestataire de services de paiements^[24], et c’est peut-être là qu’est le problème. En effet, l’intérêt des cartes à puces est la sécurité qu’elles offrent, reposant notamment sur l’identification et l’authentification^[25] qui sont possibles et efficaces grâce à l’utilisation du code confidentiel – qui vaut signature électronique. Le fait de taper le code confidentiel sur un terminal vaut signature, et donc consentement et engagement, et vérification de l’auteur[26] de l’ordre de paiement ainsi émis. Or, dans le cadre d’un paiement sans contact « Le Titulaire de la Carte […] donne son consentement pour réaliser une opération de paiement par la présentation et le maintien de la Carte […] devant un dispositif identifiant la présence de la technologie dite “sans contact” aux Equipements Electroniques placés auprès des caisses de l’Accepteur “CB”, sans frappe du code confidentiel »^[27]. Ce qui n’est pas sans poser de questions quant à la sécurisation du dispositif. En effet, le propre de la technologie NFC est la « disponibilité » de données qui sont censées interagir avec un périphérique adéquat à proximité immédiate. Or, les données informatiques n’étant – pour le moment – que des « 0 » et des « 1 », elles peuvent être récoltées à l’insu du « porteur », et donner ainsi lieu à une utilisation frauduleuse de l’instrument lorsqu’un appareil contrefait utilise des données soustraites, mais encore lorsque la carte de paiement a été matériellement et/ou frauduleusement soustraite à la possession son titulaire.

Il conviendra alors de s’interroger sur cette question des paiements « sans contact » frauduleux auxquels le législateur réserve un régime juridique particulier.

II.         Particularités du régime juridique du paiement sans contact

Nous n’envisagerons que certains aspects du régime, ceux présentant un intérêt au regard de la spécificité du paiement « sans contact ». Nous examinerons l’hypothèse d’un paiement frauduleux (A) avant de nous intéresser à la très épineuse question de la preuve (B).

A.    L’utilisation frauduleuse

L’histoire relative à l’évolution des moyens de paiement est en grande partie faite d’une lutte visant à limiter les cas de fraude, se traduisant par un rehaussement du niveau de sécurité. De la signature olographe au système « 3D Secure »[28], en passant par le code confidentiel et le cryptogramme, les techniques permettant de sécuriser les instruments de paiement ont toujours eu vocation à s’assurer que le « payeur » soit bien le « porteur », le titulaire de l’instrument de paiement. Ce qui peut sembler paradoxal dans la sécurisation du paiement « sans contact » est que la seule réelle sécurité est la limitation des montants[29] éligibles. En effet, il suffit d’approcher et de maintenir l’instrument à très courte distance pour que l’ordre de paiement soit donné. Alors, le porteur ne bénéficie plus de la sécurité, certes relative – notamment en cas de soustraction matérielle de la carte – du code confidentiel qui, lorsqu’il est inconnu, empêche à tout le moins d’effectuer des paiements via un terminal de paiement électronique ou des retraits à un distributeur automatique de billets.

Par ailleurs, il est possible d’aspirer les données « disponibles » de la puce si un terminal est placé à proximité, afin de reproduire une carte avec ces éléments car, après tout, « ce que la technique peut faire, cette même technique peut évidemment le reproduire »[30]. Face à cette situation, certains ont préconisé d’établir l’obligation pour les émetteurs de fournir au « porteur » un étui censé mettre à l’abri les données contenues dans la carte.

La Commission Nationale de l’Informatique et des Libertés (ci-après « CNIL ») a émis des inquiétudes au sujet de la protection des données personnelles. Ainsi, « sur les cartes émises depuis septembre 2012, le nom du porteur n’est plus lisible par l’intermédiaire de l’interface sans contact d’une carte bancaire. Et, depuis juin 2013, il n’est plus possible de lire l’historique des transactions. La réduction des données présentes sur la carte permet de réduire les risques d’atteintes à la vie privée. Ces données ne suffiraient pas à recréer de fausses cartes ou retirer de l’argent dans un distributeur automatique. La CNIL reste préoccupée par l’accessibilité des données. C’est pourquoi, dès juillet 2013, elle appelait le secteur bancaire à une adaptation constante des mesures de sécurité pour garantir que ces données ne soient pas collectées et réutilisées par des tiers.  Elle invite donc à la mise en œuvre des recommandations émises par l’Observatoire de la Sécurité des Cartes de Paiement dès 2007 et 2009 ainsi qu’à terme à un chiffrement des échanges, rendant tout accès aux données impossible »[31].

Qu’à cela ne tienne, le législateur prévoit pour tous les « autres instruments de paiement », l’obligation pour l’utilisateur de services de paiement d’informer sans tarder son prestataire – ou l’entité désignée par celui-ci –, aux fins de blocage de l’instrument^[32] « lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées ».

Cette information (opposition) « toutes affaires cessantes » est le sésame de l’exonération de l’utilisateur. En effet, en cas d’opération non autorisée régulièrement signalée^[33] par le « porteur », le prestataire de services de paiement rembourse immédiatement le montant de l’opération non-autorisée^[34] . Pour la période précédant l’information, si le paiement non autorisé est consécutif à la perte ou au vol de l’instrument, le « porteur » supporte les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 150 euros. En tout état de cause, et c’est là la particularité et la spécificité du paiement sans contact, la responsabilité du payeur n’est pas engagée, c’est-à-dire qu’aucune somme ne pourra lui être réclamée – pas même la « franchise » de 150 euros – si l’opération non autorisée a été effectuée sans utilisation du dispositif de sécurité personnalisé^[35], typiquement, en cas de paiement « sans contact ». Il en va de même si l’opération non autorisée a été effectuée en détournant, à l’insu du « porteur », l’instrument de paiement ou les données qui lui sont liées^[36] ; soit en cas de contrefaçon de l’instrument si, au moment du paiement non autorisé, le « porteur » était en possession de son instrument^[37].

Cette disposition extrêmement protectrice du « porteur » a sans doute pour finalité d’inciter les prestataires de services de paiement à renforcer le niveau de sécurité des instruments qu’ils mettent en circulation. Cette incitation se fait encore plus insistante depuis l’adoption en 2015 de la Directive « DSP 2 »[38] qui prévoit en son article 74 une obligation pour les prestataires de services de paiement de mettre en place des mécanismes d’authentification forte, et un abaissement de la « franchise » à 50 euros. On le voit, la pression est mise sur les prestataires de services de paiement, qui doivent se montrer plus ingénieux afin que la sécurité ne cède pas trop de place à la commodité.

Quoi qu’il en soit, une fois que le payeur a informé son prestataire aux fins de blocage de l’instrument de paiement, il ne supporte plus aucune conséquence de l’utilisation de cet instrument ou de l’utilisation détournée des données qui y sont liées, sauf agissement frauduleux de sa part^[39] ou manquement à ses obligations^[40].

Si le traitement de faveur dont jouissent les porteurs d’instruments de paiement utilisables sans dispositif de sécurité personnalisé est évident au regard des textes, on peut néanmoins s’interroger sur la question de la preuve.

B.    La question de la preuve (un « aléa moral »[41] ?)

Que faut-il prouver ? Le « consommateur » de services de paiements qui se plaint d’une utilisation frauduleuse de son instrument de paiement doit prouver qu’il n’était pas l’auteur de(s) l’opération(s) litigieuse(s). En vertu d'une célèbre clause du « contrat porteur », les opérations réalisées au moyen du code sont présumées émaner du titulaire ; à charge pour ce dernier, donc, de rapporter la preuve contraire[42] (Notons que la jurisprudence avait admis très tôt la clause prévoyant le procédé de preuve d’ordre de paiement[43]).

Evidemment, cela ne vaut que pour les paiements par carte lambda. En ce qui concerne le paiement sans contact, nous l’avons vu, « Le Titulaire de la Carte […] donne son consentement pour réaliser une opération de paiement par la présentation et le maintien de la Carte […] devant un dispositif identifiant la présence de la technologie dite “sans contact” aux Equipements Electroniques placés auprès des caisses de l’Accepteur “CB”, sans frappe du code confidentiel ». Alors, qu’en est-il de la présomption ? Les établissements de crédit n’ont-ils pas, par cette stipulation, ouvert une boîte de pandore ? En réalité, non. Tout simplement parce que le risque est relativement limité et bien maîtrisé si on en se fie au succès du paiement sans contact. Etant au courant de la bienveillance avec laquelle le législateur traite les « consommateurs » de paiement sans contact, ils ont pris le soin de plafonner les paiements éligibles et de limiter leur nombre.

Pour savoir quels sont les principes qui gouverneraient la preuve d’un paiement « sans contact » frauduleux, on peut se référer à jurisprudence existante en matière de paiement frauduleux par carte bancaire.

La Cour de cassation se montre très protectrice du « consommateur » des services de paiements, mettant à la charge des établissements de crédit la preuve de la faute grave du « porteur », seul élément en mesure de faire peser sur ce dernier l’entière responsabilité des paiements frauduleux et de mettre à l’abri l’établissement de crédit de toute obligation de remboursement. A plusieurs reprises[44], notamment par un arrêt rendu très récemment par la chambre commerciale les hauts magistrats ont estimé que « si, aux termes des articles L. 133-16 et L. 133-17 du code monétaire et financier, il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées, c’est à ce prestataire qu’il incombe, par application des articles L. 133-19, IV, et L. 133-23 du même code, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations ; que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisé » [45]. On peut supposer qu’en matière de paiement « sans contact » la solution ne saurait être moins protectrice des utilisateurs. En effet, si la preuve d’une négligence grave ne peut être déduite du seul fait que l’instrument de paiement ait été utilisé – fût-ce avec un dispositif de sécurité personnalisé – pourrait-elle être déduite de la seule présentation et du maintien de la carte devant un dispositif identifiant la présence de la technologie dite « sans contact » ? A priori, non.

La solution retenue par les textes – et la jurisprudence actuelle –, mettant totalement à l’abri le titulaire de la carte en cas de paiement frauduleux, pourrait-elle constituer une incitation à la fraude ? Une réponse négative à cette question s’impose. La spécificité du régime du paiement « sans contact » tend à inciter les émetteurs d’instruments de paiement à la plus grande vigilance en faisant peser sur eux l’essentiel des risques financiers liés à cette technique. Encore que, pour être efficace, cette « garantie » offerte par le législateur devra être mise en œuvre.

Gageons toutefois que l’immense majorité des titulaires de cartes bancaires floquées du pictogramme indiquant la fonction « sans contact » n’envisage pas d’adopter un comportement frauduleux dans l’utilisation de la carte, ayant en tête que, de toute manière, la banque n’ira pas jusqu’au contentieux pour contester son obligation de rembourser des montants si peu élevés. Après tout, la bonne foi est toujours présumée, et c’est à celui qui allègue la mauvaise foi de la prouver[46].

---

[1] https://histoire.bnpparibas/dossier/troc-argent-liquide-sans-contact-petite-histoire-des-moyens-de-paiements/

[2] La France reste championne d’Europe dans l’utilisation des chèques : 3,3 milliards de chèques utilisés en 2009 ( https://www.banque-france.fr/ccsf/fr/publications/telechar/autres/rapport-utisisation-cheque.pdf ).

[3] On peut y voir un signe de l’instrumentalisation du droit des affaires, certains y voient un appauvrissement sur le plan éthique. Pour une critique de l’instrumentalisation du droit, voir B. Oppetit, Philosophie du droit, Dalloz, 1999, n°64, à propos de l’œuvre de J. Habermas.

[4] Régine Bonhomme, Instruments de crédit et de paiement – Introduction au droit bancaire, LGDJ 11^e édition, 2015, page 294.

[5] A l’initiative de la BNP, CCF, Crédit du Nord, CIC, Crédit lyonnais et Société générale.

[6] Notamment par l’arrivée de la carte à puce en 1986 et l’évolution des systèmes de crytage.

[7] Pour « communication en champ proche » ou NFC.

[8] C’est ce système qui est mis en place par Google avec son application Google wallet dont on peut se servir sur les smartphones équipés d’une puce NFC, ou encore le système Apple Pay.

[9] Dont doit être équipé la personne qui reçoit le paiement.

[10] Au sens de l’article L. 133-4, a) du CMF, c’est-à-dire « tout moyen technique affecté par un prestataire de services de paiement à un utilisateur donné pour l'utilisation d'un instrument de paiement. Ce dispositif, propre à l'utilisateur de services de paiement et placé sous sa garde, vise à l'authentifier ».

[11] Moins de 4 centimètres.

[12] Partie au « contrat porteur », voir infra.

[13] En effet, selon les derniers chiffres du réseau de paiement Visa, ce type de paiement représente aujourd'hui une transaction sur cinq contre une sur soixante en 2013. Le réseau de paiement Visa a recensé 3 milliards de transactions sans contact sur le continent en un an avec des cartes Visa en Europe entre mai 2015 et avril 2016 et 2 milliards d'euros dépensés en France. Aujourd'hui le paiement sans contact est une réalité : 500 000 commerçants l'acceptent et 64 % des cartes bancaires sont équipées de la technologie sans contact. Chaque mois, de plus en plus de paiements sans contact sont effectués (https://www.visa.fr/je-suis-particulier/paiement-sans-contact/).

[14] Conseil National du Crédit et du Titre, Problèmes juridiques liés à la dématérialisation des moyens de paiement et des titres, Mai 1997, p. 3.

[15] Directive 2007/64/CE du 13 novembre 2007, concernant les services de paiement dans le marché intérieur, modifiant les directives 97/7/CE, 2002/65/CE, 2005/60/CE, ainsi que 2006/48/CE et abrogeant la directive 97/5/CE (JOUE L319/1 du 5 décembre 2007).

[16] Ordonnance n° 2009-866 du 15 juillet 2009 relative aux conditions régissant la fourniture de services de paiement et portant création des établissements de paiement (JO n°0162 du 16 juillet 2009).

[17] Par ailleurs, l’expression « paiement sans contact » ne figure pas au sein du CMF.

[18] Notons que les cartes de paiement ne peuvent être émises que par des établissements de crédit au sens de l’article L. 511-1 du même code, ainsi que les institutions visées dans l’article L. 518-1. Ainsi, tout autre établissement se voit interdire l’émission de cartes de paiement au sens de l’article L. 132-1 ancien (« Constitue une carte de paiement toute carte émise par un établissement de crédit ou par une institution ou un service mentionné à l’article L. 518-1 et permettant à son titulaire de retirer ou de transférer des fonds ».). Aujourd’hui, la

[19] Régine Bonhomme, Instruments de crédit et de paiement – Introduction au droit bancaire, LGDJ 11^e édition, 2015.

[20] F.-J. Crédot, « Le contrat porteur et la loi », Banque 1995, n°563, p. 36 et s.

[21] Notamment conserver pour lui le code confidentiel de la carte.

[22] Régine Bonhomme précité, page 322 ; CMF article L. 132-2.

[23] CMF, article L. 133-6 I.

[24] CMF, article L. 133-7.

[25] Paul Le Cannu, Thierry Granier et Richard Routier précité, page 58.

[26] Paul Le Cannu, Thierry Granier et Richard Routier précité, page 71.

[27] Voir Annexe 1, exemplaire de fascicule de la Banque Caisse d’Epargne.

[28] Outil d’authentification des transactions en ligne similaire au code PIN ou à la signature utilisé dans les boutiques ou les restaurants pour sécuriser les transactions sur un terminal physique. Il a été développé à l’origine par VISA sous le nom « Verified by VISA », puis très vite adopté par MasterCard (SecureCode), JCB (J/Secure) et American Express (Safekey®). L’authentification 3-D Secure peut prendre différentes formes en fonction de la banque du client et son pays d’origine. Grâce à elle, les e-commerçants peuvent s’assurer que leurs clients sont bien les porteurs légitimes de leur carte et réduire ainsi les tentatives de fraude (https://payment-services.ingenico.com/fr/fr/support/qu-est-ce-que-3d-secure).

[29] 20 euros maximum pour les paiements par carte, plafond relevé à 30 euros à l’automne 2017 ; 25 euros pour les M-Paiements (paiement avec un smartphone ou une tablette) sans utilisation de code, jusqu’à 300 euros en utilisant un code, etc.

[30] Paul Le Cannu, Thierry Granier et Richard Routier précité, page 289.

[31] https://www.cnil.fr/fr/carte-de-paiement-sans-contact-mode-demploi

[32] CMF, article L. 133-17.

[33] Conformément à CMF article L. 133-24.

[34] CMF, article L. 133-18.

[35] CMF, article L. 133-19 I. Suite à l’adoption de la Directive dite « DSP 2 », la franchise sera abaissée à 50 euros.

[36] CMF, article L. 133-19 II.

[37] CMF, article L. 133-19 III.

[38] Directive (UE) n° 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, modifiant les directives 2002/65/CE, 2009/110/CE et 2013/36/UE et le règlement (UE) n° 1093/2010, et abrogeant la directive 2007/64/CE (JOUE n° L 337, 23 décembre 2015), dont l’entrée en vigueur est prévue en janvier 2018.

[39] CMF, article L. 133-20.

[40] Préserver la sécurité du dispositif de sécurité personnalisé, utiliser l’instrument conformément aux conditions stipulées et informer promptement le prestataire, conformément à l’article L. 133-19 IV du CMF.

[41] La notion d'aléa moral a été introduite au XVIIe siècle par l'économiste écossais Adam Smith (1723-1790). L’idée étant que le comportement d’un agent économique est susceptible d’être influencé négativement par l’existence de protections (garanties) trop importantes, qui ont pour effet d’accroître l’exposition aux risques et de diminuer la prévention.  

[42] Antoine Hontebeyrie, « Perte ou vol d'une carte bancaire : quel régime probatoire ? », D. 2009 p. 1492.

[43] Civ. 1^ère, 8 novembre 1989, n°86-16196, Bull. civ. I, n° 342.

[44] Com., 2 oct. 2007, Bull. civ. IV, n° 208 ; D. 2008. Jur. 454, obs. A. Boujeka, Pan. 877, obs. D. R. Martin, et Pan. 2830, obs. T. Vasseur ; D. 2007. AJ. 2604, obs. V. Avena-Robardet, et Chron. C. cass. 2765, obs. M.-L. Bélaval ; ou Civ. 1^ère , 28 mars 2008, Bull. civ. I, n° 91 ; D. 2008. AJ. 1136, obs. V. Avena-Robardet ; JCP G 2008. II. 10109, note E. Bazin, et Actu. 245, note M. Roussille ; RTD com. 2008. 607, obs. D. Legeais ; ou  Com., 12 novembre 2008, n°07-19, 324 ; ou encore Com., 1er mars 2016, n° 14-22.946.

[45] Com.,18 janvier 2017, n°15-18.102.

[46] Article 2268 du Code civil.