SERVICES DE PAIEMENT · FRAUDE BANCAIRE · DROIT DE L'UNION
Note sous CJUE, 1re ch., 15 octobre 2026, Tukowiecka, aff. C‑70/25
Par Maître Yann Gré, Avocat au Barreau du Val-de-Marne · 15 octobre 2026
Informée d'une opération de paiement non autorisée, la banque doit rembourser le payeur au plus tard à la fin du premier jour ouvrable suivant, même si elle lui reproche d'avoir livré ses identifiants à un fraudeur. Seules de bonnes raisons de soupçonner une fraude, communiquées par écrit à l'autorité nationale, lui permettent de différer ce remboursement ; en droit français, il doit s'agir d'une fraude du payeur lui-même. La négligence grave ne disparaît pas du débat : elle ne porte plus que sur le « caractère définitif du remboursement », que la banque ne peut remettre en cause qu'en prouvant cette négligence, par les voies de droit.
L'arrêt
« L'article 73, paragraphe 1, et l'article 74, paragraphe 1, de la directive (UE) 2015/2366 [...] doivent être interprétés en ce sens que : un prestataire de services de paiement ne peut pas refuser de rembourser immédiatement à un payeur le montant d'une opération de paiement non autorisée, au motif que ce payeur aurait rendu possible cette opération par une négligence grave, en violation des obligations qui lui incombent en vertu de l'article 69 de la directive 2015/2366. »
« [...] l'article 73 de ladite directive impose au prestataire de services de paiement une obligation de remboursement immédiat de ce montant, alors que l'article 74 de celle-ci encadre la répartition de la responsabilité entre ce prestataire et le payeur à un stade ultérieur [...]. »
« [...] une interprétation de l'article 74, paragraphe 1, de la directive 2015/2366 en ce sens qu'il exonère le prestataire de services de paiement de son obligation de procéder au remboursement immédiat [...] aurait pour conséquence non seulement de priver d'effet utile l'obligation de remboursement immédiat au payeur, mais également de contraindre l'utilisateur à prendre l'initiative de faire valoir son droit, le cas échéant, devant les juridictions compétentes et à supporter les inconvénients qui en résultent, notamment les éventuels frais de procédure. »
CJUE, 1re ch., 15 oct. 2026, Tukowiecka, aff. C‑70/25, ECLI:EU:C:2026:852, dispositif et pts 42 et 45
Le scénario est familier à tous ceux qui pratiquent le contentieux bancaire. Le client découvre sur son relevé un débit qu'il n'a pas voulu, le signale aussitôt, puis reçoit une lettre de refus : en saisissant ses codes sur une page contrefaite, ou en les dictant à un faux conseiller, il aurait commis une négligence grave. Le remboursement immédiat que promet l'article L. 133‑18 du code monétaire et financier se mue alors en procès, dont la victime doit prendre l'initiative et supporter la durée. Les arrêts publiés de la chambre commerciale en gardent la trace : en 2017 comme en 2018, la banque avait opposé à son client sa faute ou sa négligence pour refuser de le rembourser, et c'est le client qui avait dû l'assigner. L'enjeu dépasse les dossiers individuels. Selon l'Observatoire de la sécurité des moyens de paiement, la fraude a atteint 1,241 milliard d'euros en 2025, dont 516 millions pour la seule fraude par manipulation, qui en représente un peu plus de 40 %.
C'est cette pratique que la Cour de justice vient de condamner, à propos d'une affaire polonaise d'un montant modeste. Une cliente de la banque PKO BP, qui vendait un objet sur un portail d'enchères en ligne, avait reçu d'un prétendu acheteur un lien censé provenir du portail et confirmer la vente. Ce lien la conduisait vers un site reproduisant l'apparence de celui de sa banque, où elle avait saisi ses identifiants de banque en ligne. Le fraudeur s'en était servi pour virer 3 000 zlotys, environ 705 euros, vers son propre compte, en validant l'opération au moyen d'un code de confirmation transmis par SMS, obtenu de la cliente sous l'effet de la même tromperie. Le lendemain, elle avait découvert la fraude et l'avait aussitôt signalée à sa banque et à la police. La banque avait refusé de la rembourser, au motif notamment qu'elle avait, par négligence grave, manqué à son obligation de conserver avec diligence l'instrument de paiement et de ne pas le mettre à la disposition de personnes non autorisées.
Saisi par la cliente, le tribunal d'arrondissement de Koszalin (Sąd Rejonowy w Koszalinie) a fait un constat que bien des praticiens français pourraient reprendre à leur compte. Les juridictions polonaises n'avaient pas été saisies d'actions de banques tendant à faire condamner un consommateur pour négligence grave ; elles l'étaient, en revanche, de nombreuses actions de consommateurs dont la banque avait refusé le remboursement. Cette situation tendait, selon lui, à démontrer que l'application des exceptions au droit au remboursement « est devenue la règle ». Il a donc demandé à la Cour de justice si l'article 73, paragraphe 1, de la directive (UE) 2015/2366 du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, dite DSP2, combiné avec son article 74, paragraphe 1, permet au prestataire de refuser le remboursement immédiat d'une opération non autorisée lorsque le payeur l'a rendue possible par une négligence grave, en violation des obligations que lui impose l'article 69 de la même directive.
Le 5 mars 2026, l'avocat général Athanasios Rantos avait proposé de répondre que ces dispositions s'opposent à ce qu'un prestataire refuse le remboursement immédiat en invoquant une telle négligence. La première chambre de la Cour le suit. Sous réserve d'un signalement sans retard injustifié, le prestataire doit rembourser immédiatement, et au plus tard à la fin du premier jour ouvrable suivant ; la seule exception que prévoit le texte tient au soupçon d'une fraude, dont les raisons sont communiquées par écrit à l'autorité nationale, et aucune ne vise la négligence grave. Celle-ci ne joue plus qu'après coup : ayant remboursé, le prestataire peut réclamer au payeur le remboursement des pertes s'il établit qu'elles résultent d'un manquement gravement négligent à ses obligations, la preuve lui en incombant.
La réponse n'allait pas de soi, et la Cour le concède : le libellé de l'article 74, paragraphe 1, qui s'ouvre sur les mots « Par dérogation à l'article 73 », « ne permet pas de déterminer de manière univoque la portée de la dérogation y prévue ». La banque polonaise en tirait la conséquence la plus radicale, puisqu'elle soutenait pouvoir « apprécier de manière indépendante toutes les conditions de sa responsabilité » et se trouver dispensée de rembourser dès lors qu'elle établissait la négligence de sa cliente. La jurisprudence récente pouvait sembler lui donner du crédit : quatorze mois plus tôt, sous l'empire de la directive précédente, la Cour avait admis que le payeur qui tarde à signaler l'opération de manière intentionnelle ou par négligence grave peut être privé de son droit à la correction. L'arrêt dissipe l'équivoque en séparant deux questions que la pratique confondait. Le remboursement immédiat est détaché de la négligence du payeur dans la garde de ses identifiants (I), et le contentieux de la fraude s'en trouve rééquilibré, dans des limites qu'il faut mesurer (II).
I. Le remboursement immédiat, détaché de la négligence grave
La Cour lit l'article 73 comme une obligation assortie d'une exception unique, que l'harmonisation complète voulue par la directive interdit aux États membres d'élargir (A). Elle renvoie la négligence grave à une question distincte, celle de la charge définitive de la perte (B).
A. Une exception unique, que la négligence ne peut grossir
L'article 73, paragraphe 1, impose au prestataire du payeur de lui rembourser le montant de l'opération non autorisée « immédiatement après avoir pris connaissance de l'opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf si le prestataire de services de paiement du payeur a de bonnes raisons de soupçonner une fraude et s'il communique ces raisons par écrit à l'autorité nationale concernée ». L'article L. 133‑18 du code monétaire et financier, dans sa rédaction issue de l'ordonnance n° 2017‑1252 du 9 août 2017, entrée en vigueur le 13 janvier 2018, le transpose en désignant la Banque de France comme destinataire de cette communication et en précisant qu'il s'agit d'une fraude « de l'utilisateur du service de paiement ». La négligence du payeur n'apparaît nulle part.
La Cour s'en tient d'abord à cette lettre, qui « ne prévoit qu'une seule exception à l'obligation de remboursement immédiat » et n'en prévoit « aucune » lorsque le prestataire soupçonne le payeur d'avoir rendu l'opération possible par une négligence grave. Cette exception réunit une condition de fond et une condition de forme : de bonnes raisons de soupçonner une fraude, d'une part, leur communication écrite à l'autorité nationale, d'autre part. Le considérant 71 de la directive en révèle la fonction. Lorsqu'il existe une « forte présomption » que l'opération résulte d'un comportement frauduleux de l'utilisateur, fondée sur des raisons objectives communiquées à l'autorité, le prestataire devrait pouvoir « mener une enquête dans un délai raisonnable avant de rembourser le payeur ». Le soupçon de fraude ne justifie donc qu'un délai d'enquête, non un refus d'emblée, et la Cour estime que ce considérant « semble conforter » l'interprétation selon laquelle l'exception expressément prévue par l'article 73 est la seule.
La genèse du texte achève la démonstration. Ni l'article 60 de la directive 2007/64 ni la proposition initiale de la Commission ne prévoyaient d'exception explicite au remboursement immédiat ; celle tirée de la fraude n'a été introduite qu'au cours du processus législatif, « sans permettre aux États membres de maintenir en vigueur ou d'introduire des dispositions différentes ». Le législateur ne l'a pas étendue à la négligence grave, notion qui ne lui était pourtant pas étrangère, puisqu'il l'emploie à l'article suivant. L'avocat général y ajoutait un argument de cohérence que l'arrêt ne reprend pas : il serait « pour le moins paradoxal » d'enfermer le soupçon de fraude dans des conditions de fond et de forme exigeantes, tout en permettant à la banque de suspendre le remboursement par la seule allégation d'une imprudence de son client. L'exception de fraude perdrait alors toute raison d'être, car aucune banque ne prendrait la peine de motiver un soupçon et d'en saisir l'autorité nationale quand l'invocation de la négligence lui suffirait.
Encore faut-il savoir de quelle fraude il s'agit. L'article 73 parle d'une fraude, sans autre précision. Le considérant 71 vise toutefois un « comportement frauduleux de l'utilisateur », la Cour le lit comme visant « l'existence d'une fraude commise par l'utilisateur des services de paiement », et l'article L. 133‑18 parle d'une « fraude de l'utilisateur du service de paiement ». Ce n'est donc pas la fraude du tiers qui ouvre l'exception, puisqu'elle est le présupposé ordinaire d'une opération non autorisée, mais celle du payeur, qu'il ait inventé sa contestation, organisé le débit ou prêté la main à l'escroc. Dans une affaire d'hameçonnage ordinaire, où la victime a été trompée et l'a signalé sans délai, la banque ne dispose d'aucun motif légitime de différer le remboursement.
L'harmonisation complète interdit d'y revenir. L'article 107, paragraphe 1, interdit aux États membres de maintenir ou d'introduire, dans la mesure où la directive contient des dispositions harmonisées, des dispositions autres que les siennes, hors des exceptions qu'il énumère et parmi lesquelles l'article 73 ne figure pas ; son paragraphe 3 interdit aux prestataires de déroger, au détriment des utilisateurs, aux dispositions nationales de transposition, sauf lorsque la directive le prévoit expressément. L'avocat général en déduisait qu'aucune atténuation nationale de l'obligation n'est possible.
La règle vaut aussi, selon nous, à l'égard des utilisateurs qui ne sont pas des consommateurs : l'arrêt raisonne en termes de protection des consommateurs, mais sa lecture de l'article 73 repose d'abord sur la lettre du texte, qui ne distingue pas. L'article 61, paragraphe 1, permet d'écarter avec ces utilisateurs, par convention, les articles 72 et 74 et d'aménager les délais de l'article 71, mais non l'article 73. En droit français, l'article L. 133‑2 autorise de même, lorsque l'utilisateur n'est pas une personne physique agissant pour des besoins non professionnels, la dérogation contractuelle aux articles L. 133‑19 et L. 133‑23, et non à l'article L. 133‑18, tandis que l'article L. 133‑24 permet de convenir d'un autre délai de signalement. L'entreprise victime peut ainsi se voir opposer une répartition conventionnelle des pertes, des règles de preuve aménagées ou un délai de signalement abrégé ; elle ne peut se voir refuser le remboursement immédiat d'une opération non autorisée régulièrement signalée.
Le payeur n'est pas pour autant dispensé de toute diligence. L'article 73 s'applique « sans préjudice de l'article 71 », qui subordonne la correction à un signalement sans retard injustifié, ce que la Cour rappelle, et au plus tard dans les treize mois suivant le débit ; l'article L. 133‑18 vise de même l'opération « signalée par l'utilisateur dans les conditions prévues à l'article L. 133‑24 ». La diligence du payeur conditionne l'existence même de son droit lorsqu'elle porte sur l'information de la banque ; elle cesse d'être en cause, à ce premier stade, lorsqu'elle porte sur la garde de ses identifiants.
B. La négligence grave renvoyée à la charge définitive de la perte
L'article 74, paragraphe 1, prévoit que le payeur peut être tenu de supporter, jusqu'à 50 euros, les pertes liées à l'utilisation d'un instrument de paiement perdu ou volé ou à son détournement, et qu'il supporte toutes les pertes occasionnées par des opérations non autorisées lorsqu'elles résultent d'un agissement frauduleux de sa part ou du fait qu'il n'a pas satisfait, « intentionnellement ou à la suite d'une négligence grave », aux obligations de l'article 69, parmi lesquelles celle de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. Si ce texte déroge à l'article 73, pourquoi la banque devrait-elle rembourser ce qu'elle sera fondée à récupérer ? La Cour expose les deux lectures que permet sa lettre. Selon la première, la dérogation affecte l'obligation de remboursement immédiat elle-même. Selon la seconde, elle « ne porte que sur le caractère définitif du remboursement », le prestataire étant tenu de rembourser « dans un premier temps » avant de pouvoir, « le cas échéant, dans un second temps », réclamer au payeur le remboursement des pertes.
Faute de pouvoir trancher par la lettre, la Cour s'en remet au contexte, aux objectifs et à la genèse du texte, qui convergent vers la seconde lecture. Les articles 73 et 74 régissent des aspects distincts de la procédure de remboursement, le second encadrant la répartition de la responsabilité « à un stade ultérieur ». L'argument tiré des mots « Par dérogation » s'en trouve neutralisé : l'article 74 déroge bien à l'article 73, mais à la règle de fond qu'il exprime, selon laquelle la perte née d'une opération non autorisée pèse sur le prestataire ; il ne touche pas au calendrier du remboursement. La lecture inverse, relève la Cour, priverait d'effet utile l'obligation de remboursement immédiat et contraindrait la victime à prendre l'initiative de faire valoir son droit, le cas échéant en justice, et à en supporter les éventuels frais, répartition des risques « difficilement conciliable » avec le niveau élevé de protection des consommateurs que vise la directive. D'où la formule décisive : la circonstance que le prestataire « estime » le payeur gravement négligent « ne saurait avoir pour effet de le dispenser de l'obligation de remboursement immédiat ». La prétention de la banque polonaise à apprécier seule les conditions de sa responsabilité se trouve ainsi privée d'effet au stade du remboursement. Celui-ci ne tranche pas la répartition de la perte ; il en devient le préalable.
La charge de la preuve en sort renforcée sans être déplacée. L'article 72, paragraphe 2, la faisait déjà peser sur le prestataire, et la Cour y voit le reflet de « l'économie générale du régime », qui tend à renforcer la protection du payeur, et la marque d'une cohérence voulue par le législateur entre l'obligation de remboursement immédiat et « les règles procédurales destinées à garantir sa mise en œuvre effective ». Le droit français ne disait pas autre chose. L'article L. 133‑23, dans sa rédaction issue de l'ordonnance du 9 août 2017, oblige le prestataire à fournir des éléments afin de prouver la fraude ou la négligence grave de l'utilisateur, et la chambre commerciale jugeait déjà, sous l'empire du texte antérieur, que cette preuve « ne peut se déduire du seul fait que l'instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés ».
Mais une charge de la preuve ne vaut que par la position procédurale de celui qui la supporte, et c'est ce lien que la Cour met en lumière. Tant que la banque pouvait conserver les fonds sur la foi de sa seule allégation, c'est le client qui devait l'assigner et supporter l'initiative, le coût et la durée du procès, même si la preuve ne pesait pas sur lui. C'est désormais la banque qui, ayant remboursé, doit agir et convaincre. Elle ne le pourra pas toujours : faute d'avoir exigé une authentification forte lorsque l'article L. 133‑44 l'imposait, elle ne peut reporter aucune conséquence financière sur le payeur, sauf agissement frauduleux de celui-ci, règle à laquelle il peut toutefois être dérogé par contrat avec un utilisateur qui n'est pas un consommateur.
Reste à savoir comment le prestataire peut « réclamer ». L'arrêt y répond d'une incise : la réclamation passe par « les voies de droit prévues à cet effet ». Les conclusions étaient plus explicites encore : dans l'hypothèse où le payeur refuserait de rembourser, il appartiendrait au prestataire « d'exercer un recours contre le payeur », et l'avocat général avait écarté la thèse du gouvernement italien, qui voulait permettre à la banque de récupérer directement les sommes remboursées « sans devoir nécessairement engager une action en justice ». La Cour ne discute pas cette thèse, mais l'expression qu'elle retient, rapprochée de sa motivation, conduit, nous semble-t-il, à la même conclusion. Si l'objectif est d'éviter que le client ait à prendre l'initiative d'une procédure pour faire valoir son droit, la reprise unilatérale des fonds par une contre-passation décidée par la banque rétablirait, sous une autre forme, la situation que l'arrêt condamne. La réclamation devrait donc supposer l'accord du client, donné une fois le litige né, ou, à défaut, une décision de justice. Le droit commun de la compensation conduit, selon nous, au même résultat. La compensation légale n'a lieu qu'entre obligations certaines, liquides et exigibles ; or la créance de la banque n'est pas seulement contestée par le client, elle dépend d'un fait, la négligence grave, qu'il appartient encore à la banque de prouver. Quant à la compensation judiciaire, que le juge peut prononcer même si l'une des obligations n'est pas encore liquide ou exigible, et qu'il ne peut refuser pour ce seul motif entre dettes connexes, elle suppose une obligation certaine et, par définition, une décision de justice. À défaut d'accord du client, c'est donc devant le juge, par une action en remboursement des pertes ou par une demande reconventionnelle, que la banque devra faire reconnaître sa créance.
Cette lecture permet enfin de situer l'arrêt par rapport à l'arrêt Veracash. Rendu le 1er août 2025 sur renvoi de la Cour de cassation, au titre de la directive 2007/64, celui-ci avait jugé que le payeur qui a signalé l'opération dans les treize mois n'est, en principe et sauf agissement frauduleux, privé du droit d'obtenir sa correction effective que s'il a tardé à la signaler de manière intentionnelle ou à la suite d'une négligence grave « consistant en une violation caractérisée d'une obligation de diligence » ; la chambre commerciale en a tiré les conséquences le 14 janvier 2026. L'avocat général ne dissimulait pas que cet arrêt, en soumettant le remboursement immédiat de l'ancien texte aux exceptions tenant à la responsabilité du payeur, pouvait accréditer la thèse des banques. Il l'écartait pour deux raisons : Veracash portait sur l'obligation de signaler sans tarder l'opération, que nul ne contestait dans l'affaire polonaise, et les articles 73 et 74 de la directive de 2015, qui ont remplacé les dispositions interprétées en 2025, limitent désormais l'exception à la fraude et organisent deux étapes distinctes. La Cour ne s'arrête pas à l'objection : elle ne cite l'arrêt Veracash que pour rappeler sa méthode d'interprétation, tout en relevant que le régime de l'article 73 « diffère substantiellement » de celui de la directive 2007/64 quant aux exceptions au remboursement immédiat.
Pour les opérations soumises à la directive de 2015, les deux arrêts se complètent plus qu'ils ne se contredisent. La négligence dans le signalement prive le payeur de son droit, parce qu'elle en affecte la condition même, du moins si l'on transpose à l'article 71 la solution retenue sous l'empire de l'ancien texte ; la négligence dans la garde des identifiants ne joue qu'au stade de la répartition définitive des pertes. La définition donnée par l'arrêt Veracash pourrait d'ailleurs guider les juges appelés à apprécier, dans ce second temps, la gravité de la négligence alléguée.
II. Un contentieux de la fraude rééquilibré
En déplaçant la négligence grave, la Cour déplace la charge du procès. Les effets de l'arrêt en droit français sont immédiats (A), mais sa portée reste bornée par la qualification de l'opération et par l'horizon du futur règlement européen (B).
A. Des effets immédiats en droit français
L'article L. 133‑18 transpose l'article 73 et doit être interprété à sa lumière, comme la Cour de cassation l'a rappelé à propos de la directive précédente. L'interprétation retenue par la Cour de justice s'impose de la même manière aux juridictions nationales saisies d'un problème similaire. Selon une jurisprudence constante, elle éclaire la règle « telle qu'elle doit ou aurait dû être comprise et appliquée depuis le moment de sa mise en vigueur », de sorte qu'elle s'applique aux litiges en cours, sauf limitation de ses effets dans le temps, que l'arrêt ne prévoit pas, et pourvu que les conditions permettant de porter le litige devant le juge soient réunies. Le délai de treize mois de l'article L. 133‑24 continue ainsi de borner le droit à la correction : l'arrêt ne ranime pas les droits que ce délai a éteints. L'interprétation vaut pour les opérations soumises au droit issu de la directive de 2015, c'est-à-dire, en France, pour celles exécutées depuis le 13 janvier 2018 ; les opérations antérieures demeurent régies par l'ancien texte, tel que l'a interprété l'arrêt Veracash.
Le refus lui-même change de nature. Une banque qui oppose la négligence grave de son client à la demande de remboursement d'une opération non autorisée, régulièrement signalée, méconnaît l'article L. 133‑18, quelle que soit l'issue du débat ultérieur sur la charge de la perte. Ce manquement est sanctionné, en droit français, par des pénalités chiffrées que la directive ne prévoit pas. Depuis la loi n° 2022‑1158 du 16 août 2022 portant mesures d'urgence pour la protection du pouvoir d'achat, dont la rédaction est en vigueur depuis le 18 août 2022, les sommes dues produisent intérêt au taux légal majoré de cinq points, de dix points au-delà de sept jours de retard et de quinze points au-delà de trente jours. Pour les manquements postérieurs à cette date, ces majorations courent, selon nous, dès l'expiration du délai de remboursement contre la banque qui refuse en invoquant la négligence. Une question restera discutée : la banque qui établit finalement la négligence grave de son client doit-elle les pénalités échues entre ce terme et le remboursement qu'elle n'a pas fait ? Elle invoquera l'article 1348‑1 du code civil, selon lequel la compensation de dettes connexes est réputée s'être produite au jour de l'exigibilité de la première d'entre elles, pour soutenir que la créance de son client s'est éteinte avant que les pénalités ne courent. La logique de l'arrêt invite pourtant à répondre par l'affirmative, puisque le remboursement était dû indépendamment de la répartition finale de la perte et qu'une compensation rétroactive priverait de tout effet la sanction du refus ; la question n'est pas tranchée.
La voie procédurale s'en trouve simplifiée. Puisque la négligence grave n'affecte plus l'obligation de rembourser, et que l'appréciation qu'en fait la banque est sans effet à ce stade, elle ne paraît plus pouvoir constituer, à elle seule, une contestation sérieuse de cette obligation. Le référé-provision, ouvert « dans les cas où l'existence de l'obligation n'est pas sérieusement contestable » par l'article 835, alinéa 2, du code de procédure civile et, devant le tribunal de commerce, par son article 873, alinéa 2, devrait ainsi devenir la voie à privilégier pour la victime d'une opération non autorisée. Le juge des référés restera toutefois juge du sérieux des contestations : l'arrêt ne tranche ni le caractère non autorisé de l'opération ni la régularité du signalement, que la banque demeure libre de discuter, et il laisse intacte l'exception de fraude lorsque ses conditions sont réunies. La banque tentera sans doute d'opposer sa propre créance ; mais une créance qui suppose encore la preuve d'une négligence grave ne paraît pas certaine, et y voir une contestation sérieuse de l'obligation de rembourser reviendrait à rétablir le refus que la Cour condamne. La banque conserve la faculté de soutenir au fond que son client a été gravement négligent. Elle le fera en demanderesse, à ses frais et à ses risques, ce qui, pour des sommes de quelques centaines ou de quelques milliers d'euros, décidera souvent de l'issue du litige.
La banque ne pourra pas davantage renvoyer d'abord son client vers le médiateur. Les gouvernements tchèque et italien soutenaient que cette lecture contournerait le règlement extrajudiciaire des litiges prévu par la directive ; la Cour l'écarte : ce mécanisme couvre tous les litiges relevant des titres III et IV de la directive, de sorte qu'il ne saurait équivaloir à « un mécanisme de vérification obligatoire du respect des obligations prévues à l'article 69 ». La médiation de l'article L. 316‑1 du code monétaire et financier demeure un droit du consommateur, non un préalable au remboursement.
Les conventions de compte doivent être relues dans la même perspective. Une stipulation qui subordonne le remboursement à l'absence de faute du client, comme celle que rapportaient les juges du fond dans l'affaire jugée en 2018, selon laquelle la banque rembourserait immédiatement les opérations non autorisées « sauf faute imputable au client », était déjà discutable, puisque seule la négligence grave, et non la simple faute, met la perte à la charge du payeur. Elle l'est bien davantage depuis l'arrêt : même limitée à la négligence grave, une telle condition ne peut plus différer le remboursement immédiat des opérations soumises à la directive de 2015. Il en va de même, selon nous, d'une clause autorisant la banque à contre-passer d'office le montant remboursé dès qu'elle s'estime en mesure de prouver une négligence grave : ce serait réintroduire par le contrat le refus que la directive interdit et se dispenser des voies de droit par lesquelles la réclamation doit passer, alors que l'article 107, paragraphe 3, de la directive prohibe les dérogations conventionnelles au détriment de l'utilisateur hors des cas qu'elle prévoit expressément. La liberté contractuelle ne reprend ses droits qu'avec les utilisateurs autres que les consommateurs, et dans les seules limites des articles L. 133‑2 et L. 133‑24 : répartition des pertes, preuve et délai de signalement.
La jurisprudence française sur la négligence grave ne perd rien de son intérêt ; elle change de moment. Les critères dégagés par la chambre commerciale continueront de gouverner l'action de la banque contre son client. Manque ainsi par négligence grave à son obligation de préserver ses données de sécurité personnalisées l'utilisateur qui les communique « en réponse à un courriel qui contient des indices permettant à un utilisateur normalement attentif de douter de sa provenance », qu'il soit ou non avisé des risques d'hameçonnage. À l'inverse, des motifs « insuffisants à caractériser la négligence grave », qui ne précisent pas dans quelles conditions le tiers a eu accès aux identifiants du payeur, encourent la censure, comme l'a jugé un arrêt publié du 14 janvier 2026. Dans le même souci d'appréciation concrète, un arrêt non publié du 9 septembre 2026 a jugé que la négligence ne peut être exclue par principe au motif que le fraudeur, se présentant comme un préposé de la banque, appelait depuis un numéro correspondant à celui de cette dernière : le juge doit rechercher concrètement si la divulgation des identifiants et la validation des opérations la caractérisent. Ces débats, souvent incertains, seront conduits à l'initiative et aux risques de celui qui doit en supporter la preuve.
B. Une portée bornée, sous l'horizon du futur règlement
La solution ne vaut que pour les opérations non autorisées. Or la part de la fraude par manipulation dans l'ensemble de la fraude a doublé en quatre ans, et ces schémas conduisent souvent la victime, trompée, à donner elle-même l'ordre ou à valider l'opération préparée par le fraudeur. Dans ces hypothèses, la banque ne plaidera plus la négligence grave pour refuser le remboursement ; elle soutiendra que l'opération a été autorisée. La bataille se déplace vers la qualification, et c'est là que se jouera l'essentiel du contentieux.
La Cour n'avait pas à en connaître, la question préjudicielle tenant pour acquis le caractère non autorisé de l'opération ; mais sa présentation des faits est éloquente. La même opération y est dite « autorisée par l'auteur de la fraude au moyen d'un code de confirmation transmis par SMS et obtenu de la requérante au principal sous l'effet de cette tromperie », et décrite comme une opération « non autorisée par N.O. », c'est-à-dire par la cliente. Ce qui compte est le consentement du payeur, non l'usage des moyens d'authentification. La chambre commerciale a posé le même jalon, à propos de données utilisées à l'insu du payeur : le consentement ne se déduit pas du seul recours à la forme convenue contractuellement, et la cour d'appel qui en tire la preuve d'une autorisation inverse la charge de la preuve. L'arrêt non publié du 9 septembre 2026 a par ailleurs raisonné sur le terrain de la négligence grave, et donc de la répartition des pertes nées d'opérations non autorisées, à propos d'opérations validées par un client trompé mais qu'il n'avait pas initiées. L'arrêt de la Cour accroît l'enjeu de cette frontière, puisque, de l'autre côté de la ligne, le remboursement est immédiat.
L'exception de fraude pourrait, de son côté, être sollicitée au-delà de son objet. Privés de l'argument de la négligence, certains prestataires seront tentés d'invoquer plus volontiers le soupçon de fraude. Les conditions du texte devraient les en dissuader : il faut de bonnes raisons de soupçonner une fraude du payeur lui-même, et non du tiers, une communication écrite de ces raisons à la Banque de France, et le considérant 71 ne justifie qu'un délai d'enquête raisonnable avant le remboursement. Un soupçon de pure forme, adressé à l'autorité à seule fin de différer le remboursement d'une victime d'hameçonnage, exposerait la banque aux pénalités de l'article L. 133‑18.
Reste l'horizon législatif. Le règlement sur les services de paiement, appelé à reprendre ces règles, n'est pas encore adopté à la date de cette note. Le texte de compromis issu de l'accord provisoire du 27 novembre 2025 a été transmis au Comité des représentants permanents le 17 avril 2026 et approuvé par la commission compétente du Parlement européen le 5 mai 2026 ; la procédure attend la position du Conseil en première lecture, et une date indicative de séance plénière est fixée au 14 décembre 2026.
Or ce compromis paraît rouvrir, sous une forme encadrée, la porte que la Cour vient de fermer. Son considérant 77 permet au prestataire qui dispose de raisons objectivement justifiées de soupçonner un manquement intentionnel ou gravement négligent, ou un comportement frauduleux du payeur, d'enquêter avant de rembourser, à charge de rembourser ou de motiver son refus dans un délai de quinze jours ouvrables, en indiquant les organismes que le payeur peut saisir. R. Kelemen, V. Herold et D. Bosits, qui rattachent ce mécanisme à l'article 56 du compromis, y voient une réadmission partielle de la négligence grave au stade du remboursement. Le texte prévoit également le remboursement intégral du consommateur victime d'une usurpation de l'identité de son prestataire, sauf fraude ou négligence grave de sa part et à condition qu'il ait signalé la fraude à la police et à son prestataire, ce qui atteindra une partie des fraudes par manipulation que l'arrêt laisse hors de son champ. Le législateur de l'Union s'apprête ainsi à admettre, pour l'avenir et sous conditions, ce que la Cour refuse de lire dans le texte actuel.
L'arrêt n'en perd pas son intérêt, bien au contraire. Il gouvernera l'ensemble des opérations soumises à la directive de 2015, ce qui comprend tous les litiges en cours portant sur des opérations exécutées depuis le 13 janvier 2018, jusqu'à ce que le règlement, une fois adopté et publié, soit devenu applicable. Sa motivation pèsera en outre sur la lecture du texte futur. Le soupçon objectivement justifié d'une négligence grave y constituera une exception au remboursement, d'interprétation stricte, que ne saurait satisfaire la seule circonstance que la victime a saisi ses identifiants sur une page contrefaite, sauf à laisser l'exception redevenir la règle, ce que dénonçait le juge polonais, et à priver de nouveau l'obligation de remboursement de son effet utile.
Pour les opérations soumises à la directive de 2015, la règle est désormais fixée : la banque rembourse d'abord ; si elle tient la négligence de son client pour grave, c'est à elle de le prouver et d'en demander raison.
Le cabinet assiste les particuliers et les entreprises victimes de fraudes aux moyens de paiement, devant les juridictions du Val-de-Marne et la cour d'appel de Paris.
Yann Gré
Avocat au Barreau du Val-de-Marne · Chargé d'enseignement à l'UPEC
16, rue Paul Séjourné, 94000 Créteil · Tél. : 01 49 81 99 70
contact@yanngre.com · www.yanngre.com
