SERVICES DE PAIEMENT · FRAUDE
BANCAIRE · DROIT DE L'UNION
Note sous CJUE, 1re ch., 15 octobre 2026,
Tukowiecka, aff. C‑70/25
Par Maître Yann Gré, Avocat au Barreau du Val-de-Marne · 15 octobre 2026
Informée d'une opération de paiement non autorisée, la banque
doit rembourser le payeur au plus tard à la fin du premier jour ouvrable
suivant, même si elle lui reproche d'avoir livré ses identifiants à un
fraudeur. Seules de bonnes raisons de soupçonner une fraude, communiquées par
écrit à l'autorité nationale, lui permettent de différer ce
remboursement ; en droit français, il doit s'agir d'une fraude du payeur
lui-même. La négligence grave ne disparaît pas du débat : elle ne porte
plus que sur le « caractère définitif du remboursement », que la
banque ne peut remettre en cause qu'en prouvant cette négligence, par les voies
de droit.
L'arrêt
« L'article 73, paragraphe 1, et
l'article 74, paragraphe 1, de la directive (UE) 2015/2366 [...]
doivent être interprétés en ce sens que : un prestataire de services de
paiement ne peut pas refuser de rembourser immédiatement à un payeur le montant
d'une opération de paiement non autorisée, au motif que ce payeur aurait rendu
possible cette opération par une négligence grave, en violation des obligations
qui lui incombent en vertu de l'article 69 de la directive 2015/2366. »
« [...] l'article 73 de ladite directive impose au
prestataire de services de paiement une obligation de remboursement immédiat de
ce montant, alors que l'article 74 de celle-ci encadre la répartition de
la responsabilité entre ce prestataire et le payeur à un stade ultérieur
[...]. »
« [...] une interprétation de l'article 74,
paragraphe 1, de la directive 2015/2366 en ce sens qu'il exonère le
prestataire de services de paiement de son obligation de procéder au
remboursement immédiat [...] aurait pour conséquence non seulement de priver
d'effet utile l'obligation de remboursement immédiat au payeur, mais également
de contraindre l'utilisateur à prendre l'initiative de faire valoir son droit,
le cas échéant, devant les juridictions compétentes et à supporter les inconvénients
qui en résultent, notamment les éventuels frais de procédure. »
CJUE, 1re ch., 15 oct. 2026,
Tukowiecka, aff. C‑70/25, ECLI:EU:C:2026:852, dispositif et pts 42 et 45
Le scénario est familier à tous ceux qui pratiquent le
contentieux bancaire. Le client découvre sur son relevé un débit qu'il n'a pas
voulu, le signale aussitôt, puis reçoit une lettre de refus : en
saisissant ses codes sur une page contrefaite, ou en les dictant à un faux
conseiller, il aurait commis une négligence grave. Le remboursement immédiat
que promet l'article L. 133‑18 du code monétaire et financier se mue alors
en procès, dont la victime doit prendre l'initiative et supporter la durée. Les
arrêts publiés de la chambre commerciale en gardent la trace : en 2017
comme en 2018, la banque avait opposé à son client sa faute ou sa négligence
pour refuser de le rembourser, et c'est le client qui avait dû l'assigner.
L'enjeu dépasse les dossiers individuels. Selon l'Observatoire de la sécurité
des moyens de paiement, la fraude a atteint 1,241 milliard d'euros en 2025,
dont 516 millions pour la seule fraude par manipulation, qui en représente
un peu plus de 40 %.
C'est cette pratique que la Cour de justice vient de
condamner, à propos d'une affaire polonaise d'un montant modeste. Une cliente
de la banque PKO BP, qui vendait un objet sur un portail d'enchères en ligne,
avait reçu d'un prétendu acheteur un lien censé provenir du portail et
confirmer la vente. Ce lien la conduisait vers un site reproduisant l'apparence
de celui de sa banque, où elle avait saisi ses identifiants de banque en ligne.
Le fraudeur s'en était servi pour virer 3 000 zlotys, environ
705 euros, vers son propre compte, en validant l'opération au moyen d'un
code de confirmation transmis par SMS, obtenu de la cliente sous l'effet de la
même tromperie. Le lendemain, elle avait découvert la fraude et l'avait
aussitôt signalée à sa banque et à la police. La banque avait refusé de la
rembourser, au motif notamment qu'elle avait, par négligence grave, manqué à
son obligation de conserver avec diligence l'instrument de paiement et de ne
pas le mettre à la disposition de personnes non autorisées.
Saisi par la cliente, le tribunal d'arrondissement de
Koszalin (Sąd Rejonowy w Koszalinie) a fait un constat que bien des praticiens
français pourraient reprendre à leur compte. Les juridictions polonaises
n'avaient pas été saisies d'actions de banques tendant à faire condamner un
consommateur pour négligence grave ; elles l'étaient, en revanche, de
nombreuses actions de consommateurs dont la banque avait refusé le
remboursement. Cette situation tendait, selon lui, à démontrer que
l'application des exceptions au droit au remboursement « est devenue la
règle ». Il a donc demandé à la Cour de justice si l'article 73,
paragraphe 1, de la directive (UE) 2015/2366 du 25 novembre 2015
concernant les services de paiement dans le marché intérieur, dite DSP2,
combiné avec son article 74, paragraphe 1, permet au prestataire de
refuser le remboursement immédiat d'une opération non autorisée lorsque le
payeur l'a rendue possible par une négligence grave, en violation des obligations
que lui impose l'article 69 de la même directive.
Le 5 mars 2026, l'avocat général Athanasios Rantos
avait proposé de répondre que ces dispositions s'opposent à ce qu'un
prestataire refuse le remboursement immédiat en invoquant une telle négligence.
La première chambre de la Cour le suit. Sous réserve d'un signalement sans
retard injustifié, le prestataire doit rembourser immédiatement, et au plus
tard à la fin du premier jour ouvrable suivant ; la seule exception que
prévoit le texte tient au soupçon d'une fraude, dont les raisons sont communiquées
par écrit à l'autorité nationale, et aucune ne vise la négligence grave.
Celle-ci ne joue plus qu'après coup : ayant remboursé, le prestataire peut
réclamer au payeur le remboursement des pertes s'il établit qu'elles résultent
d'un manquement gravement négligent à ses obligations, la preuve lui en
incombant.
La réponse n'allait pas de soi, et la Cour le concède :
le libellé de l'article 74, paragraphe 1, qui s'ouvre sur les mots
« Par dérogation à l'article 73 », « ne permet pas de
déterminer de manière univoque la portée de la dérogation y prévue ». La
banque polonaise en tirait la conséquence la plus radicale, puisqu'elle
soutenait pouvoir « apprécier de manière indépendante toutes les
conditions de sa responsabilité » et se trouver dispensée de rembourser
dès lors qu'elle établissait la négligence de sa cliente. La jurisprudence
récente pouvait sembler lui donner du crédit : quatorze mois plus tôt,
sous l'empire de la directive précédente, la Cour avait admis que le payeur qui
tarde à signaler l'opération de manière intentionnelle ou par négligence grave
peut être privé de son droit à la correction. L'arrêt dissipe l'équivoque en
séparant deux questions que la pratique confondait. Le remboursement immédiat
est détaché de la négligence du payeur dans la garde de ses identifiants (I),
et le contentieux de la fraude s'en trouve rééquilibré, dans des limites qu'il
faut mesurer (II).
I. Le remboursement
immédiat, détaché de la négligence grave
La Cour lit l'article 73 comme une obligation assortie
d'une exception unique, que l'harmonisation complète voulue par la directive
interdit aux États membres d'élargir (A). Elle renvoie la négligence grave à
une question distincte, celle de la charge définitive de la perte (B).
A. Une exception unique,
que la négligence ne peut grossir
L'article 73, paragraphe 1, impose au prestataire
du payeur de lui rembourser le montant de l'opération non autorisée
« immédiatement après avoir pris connaissance de l'opération ou après en
avoir été informé, et en tout état de cause au plus tard à la fin du premier
jour ouvrable suivant, sauf si le prestataire de services de paiement du payeur
a de bonnes raisons de soupçonner une fraude et s'il communique ces raisons par
écrit à l'autorité nationale concernée ». L'article L. 133‑18 du code
monétaire et financier, dans sa rédaction issue de l'ordonnance n° 2017‑1252
du 9 août 2017, entrée en vigueur le 13 janvier 2018, le transpose en
désignant la Banque de France comme destinataire de cette communication et en
précisant qu'il s'agit d'une fraude « de l'utilisateur du service de
paiement ». La négligence du payeur n'apparaît nulle part.
La Cour s'en tient d'abord à cette lettre, qui « ne
prévoit qu'une seule exception à l'obligation de remboursement immédiat »
et n'en prévoit « aucune » lorsque le prestataire soupçonne le payeur
d'avoir rendu l'opération possible par une négligence grave. Cette exception
réunit une condition de fond et une condition de forme : de bonnes raisons
de soupçonner une fraude, d'une part, leur communication écrite à l'autorité
nationale, d'autre part. Le considérant 71 de la directive en révèle la
fonction. Lorsqu'il existe une « forte présomption » que l'opération
résulte d'un comportement frauduleux de l'utilisateur, fondée sur des raisons
objectives communiquées à l'autorité, le prestataire devrait pouvoir
« mener une enquête dans un délai raisonnable avant de rembourser le
payeur ». Le soupçon de fraude ne justifie donc qu'un délai d'enquête, non
un refus d'emblée, et la Cour estime que ce considérant « semble
conforter » l'interprétation selon laquelle l'exception expressément
prévue par l'article 73 est la seule.
La genèse du texte achève la démonstration. Ni
l'article 60 de la directive 2007/64 ni la proposition initiale de la
Commission ne prévoyaient d'exception explicite au remboursement
immédiat ; celle tirée de la fraude n'a été introduite qu'au cours du
processus législatif, « sans permettre aux États membres de maintenir en
vigueur ou d'introduire des dispositions différentes ». Le législateur ne
l'a pas étendue à la négligence grave, notion qui ne lui était pourtant pas
étrangère, puisqu'il l'emploie à l'article suivant. L'avocat général y ajoutait
un argument de cohérence que l'arrêt ne reprend pas : il serait
« pour le moins paradoxal » d'enfermer le soupçon de fraude dans des
conditions de fond et de forme exigeantes, tout en permettant à la banque de
suspendre le remboursement par la seule allégation d'une imprudence de son
client. L'exception de fraude perdrait alors toute raison d'être, car aucune
banque ne prendrait la peine de motiver un soupçon et d'en saisir l'autorité
nationale quand l'invocation de la négligence lui suffirait.
Encore faut-il savoir de quelle fraude il s'agit.
L'article 73 parle d'une fraude, sans autre précision. Le
considérant 71 vise toutefois un « comportement frauduleux de
l'utilisateur », la Cour le lit comme visant « l'existence d'une
fraude commise par l'utilisateur des services de paiement », et l'article
L. 133‑18 parle d'une « fraude de l'utilisateur du service de
paiement ». Ce n'est donc pas la fraude du tiers qui ouvre l'exception,
puisqu'elle est le présupposé ordinaire d'une opération non autorisée, mais
celle du payeur, qu'il ait inventé sa contestation, organisé le débit ou prêté
la main à l'escroc. Dans une affaire d'hameçonnage ordinaire, où la victime a
été trompée et l'a signalé sans délai, la banque ne dispose d'aucun motif
légitime de différer le remboursement.
L'harmonisation complète interdit d'y revenir.
L'article 107, paragraphe 1, interdit aux États membres de maintenir
ou d'introduire, dans la mesure où la directive contient des dispositions
harmonisées, des dispositions autres que les siennes, hors des exceptions qu'il
énumère et parmi lesquelles l'article 73 ne figure pas ; son
paragraphe 3 interdit aux prestataires de déroger, au détriment des
utilisateurs, aux dispositions nationales de transposition, sauf lorsque la
directive le prévoit expressément. L'avocat général en déduisait qu'aucune
atténuation nationale de l'obligation n'est possible.
La règle vaut aussi, selon nous, à l'égard des utilisateurs
qui ne sont pas des consommateurs : l'arrêt raisonne en termes de
protection des consommateurs, mais sa lecture de l'article 73 repose
d'abord sur la lettre du texte, qui ne distingue pas. L'article 61,
paragraphe 1, permet d'écarter avec ces utilisateurs, par convention, les
articles 72 et 74 et d'aménager les délais de l'article 71, mais non
l'article 73. En droit français, l'article L. 133‑2 autorise de même,
lorsque l'utilisateur n'est pas une personne physique agissant pour des besoins
non professionnels, la dérogation contractuelle aux articles L. 133‑19 et
L. 133‑23, et non à l'article L. 133‑18, tandis que l'article
L. 133‑24 permet de convenir d'un autre délai de signalement. L'entreprise
victime peut ainsi se voir opposer une répartition conventionnelle des pertes,
des règles de preuve aménagées ou un délai de signalement abrégé ; elle ne
peut se voir refuser le remboursement immédiat d'une opération non autorisée
régulièrement signalée.
Le payeur n'est pas pour autant dispensé de toute diligence.
L'article 73 s'applique « sans préjudice de l'article 71 »,
qui subordonne la correction à un signalement sans retard injustifié, ce que la
Cour rappelle, et au plus tard dans les treize mois suivant le débit ;
l'article L. 133‑18 vise de même l'opération « signalée par
l'utilisateur dans les conditions prévues à l'article L. 133‑24 ». La
diligence du payeur conditionne l'existence même de son droit lorsqu'elle porte
sur l'information de la banque ; elle cesse d'être en cause, à ce premier
stade, lorsqu'elle porte sur la garde de ses identifiants.
B. La négligence grave
renvoyée à la charge définitive de la perte
L'article 74, paragraphe 1, prévoit que le payeur
peut être tenu de supporter, jusqu'à 50 euros, les pertes liées à
l'utilisation d'un instrument de paiement perdu ou volé ou à son détournement,
et qu'il supporte toutes les pertes occasionnées par des opérations non
autorisées lorsqu'elles résultent d'un agissement frauduleux de sa part ou du
fait qu'il n'a pas satisfait, « intentionnellement ou à la suite d'une
négligence grave », aux obligations de l'article 69, parmi lesquelles
celle de prendre toute mesure raisonnable pour préserver la sécurité de ses
données de sécurité personnalisées. Si ce texte déroge à l'article 73,
pourquoi la banque devrait-elle rembourser ce qu'elle sera fondée à
récupérer ? La Cour expose les deux lectures que permet sa lettre. Selon
la première, la dérogation affecte l'obligation de remboursement immédiat
elle-même. Selon la seconde, elle « ne porte que sur le caractère
définitif du remboursement », le prestataire étant tenu de rembourser
« dans un premier temps » avant de pouvoir, « le cas échéant,
dans un second temps », réclamer au payeur le remboursement des pertes.
Faute de pouvoir trancher par la lettre, la Cour s'en remet
au contexte, aux objectifs et à la genèse du texte, qui convergent vers la
seconde lecture. Les articles 73 et 74 régissent des aspects distincts de
la procédure de remboursement, le second encadrant la répartition de la
responsabilité « à un stade ultérieur ». L'argument tiré des mots
« Par dérogation » s'en trouve neutralisé : l'article 74
déroge bien à l'article 73, mais à la règle de fond qu'il exprime, selon
laquelle la perte née d'une opération non autorisée pèse sur le
prestataire ; il ne touche pas au calendrier du remboursement. La lecture
inverse, relève la Cour, priverait d'effet utile l'obligation de remboursement
immédiat et contraindrait la victime à prendre l'initiative de faire valoir son
droit, le cas échéant en justice, et à en supporter les éventuels frais,
répartition des risques « difficilement conciliable » avec le niveau
élevé de protection des consommateurs que vise la directive. D'où la formule
décisive : la circonstance que le prestataire « estime » le
payeur gravement négligent « ne saurait avoir pour effet de le dispenser
de l'obligation de remboursement immédiat ». La prétention de la banque
polonaise à apprécier seule les conditions de sa responsabilité se trouve ainsi
privée d'effet au stade du remboursement. Celui-ci ne tranche pas la
répartition de la perte ; il en devient le préalable.
La charge de la preuve en sort renforcée sans être déplacée.
L'article 72, paragraphe 2, la faisait déjà peser sur le prestataire,
et la Cour y voit le reflet de « l'économie générale du régime », qui
tend à renforcer la protection du payeur, et la marque d'une cohérence voulue
par le législateur entre l'obligation de remboursement immédiat et « les
règles procédurales destinées à garantir sa mise en œuvre effective ». Le
droit français ne disait pas autre chose. L'article L. 133‑23, dans sa
rédaction issue de l'ordonnance du 9 août 2017, oblige le prestataire à
fournir des éléments afin de prouver la fraude ou la négligence grave de
l'utilisateur, et la chambre commerciale jugeait déjà, sous l'empire du texte
antérieur, que cette preuve « ne peut se déduire du seul fait que
l'instrument de paiement ou les données personnelles qui lui sont liées ont été
effectivement utilisés ».
Mais une charge de la preuve ne vaut que par la position
procédurale de celui qui la supporte, et c'est ce lien que la Cour met en
lumière. Tant que la banque pouvait conserver les fonds sur la foi de sa seule
allégation, c'est le client qui devait l'assigner et supporter l'initiative, le
coût et la durée du procès, même si la preuve ne pesait pas sur lui. C'est
désormais la banque qui, ayant remboursé, doit agir et convaincre. Elle ne le
pourra pas toujours : faute d'avoir exigé une authentification forte lorsque
l'article L. 133‑44 l'imposait, elle ne peut reporter aucune conséquence
financière sur le payeur, sauf agissement frauduleux de celui-ci, règle à
laquelle il peut toutefois être dérogé par contrat avec un utilisateur qui
n'est pas un consommateur.
Reste à savoir comment le prestataire peut
« réclamer ». L'arrêt y répond d'une incise : la réclamation
passe par « les voies de droit prévues à cet effet ». Les conclusions
étaient plus explicites encore : dans l'hypothèse où le payeur refuserait
de rembourser, il appartiendrait au prestataire « d'exercer un recours
contre le payeur », et l'avocat général avait écarté la thèse du
gouvernement italien, qui voulait permettre à la banque de récupérer
directement les sommes remboursées « sans devoir nécessairement engager
une action en justice ». La Cour ne discute pas cette thèse, mais
l'expression qu'elle retient, rapprochée de sa motivation, conduit, nous
semble-t-il, à la même conclusion. Si l'objectif est d'éviter que le client ait
à prendre l'initiative d'une procédure pour faire valoir son droit, la reprise
unilatérale des fonds par une contre-passation décidée par la banque
rétablirait, sous une autre forme, la situation que l'arrêt condamne. La
réclamation devrait donc supposer l'accord du client, donné une fois le litige
né, ou, à défaut, une décision de justice. Le droit commun de la compensation
conduit, selon nous, au même résultat. La compensation légale n'a lieu qu'entre
obligations certaines, liquides et exigibles ; or la créance de la banque
n'est pas seulement contestée par le client, elle dépend d'un fait, la
négligence grave, qu'il appartient encore à la banque de prouver. Quant à la
compensation judiciaire, que le juge peut prononcer même si l'une des
obligations n'est pas encore liquide ou exigible, et qu'il ne peut refuser pour
ce seul motif entre dettes connexes, elle suppose une obligation certaine et,
par définition, une décision de justice. À défaut d'accord du client, c'est
donc devant le juge, par une action en remboursement des pertes ou par une
demande reconventionnelle, que la banque devra faire reconnaître sa créance.
Cette lecture permet enfin de situer l'arrêt par rapport à
l'arrêt Veracash. Rendu le 1er août 2025 sur renvoi de la Cour
de cassation, au titre de la directive 2007/64, celui-ci avait jugé que le
payeur qui a signalé l'opération dans les treize mois n'est, en principe et
sauf agissement frauduleux, privé du droit d'obtenir sa correction effective
que s'il a tardé à la signaler de manière intentionnelle ou à la suite d'une
négligence grave « consistant en une violation caractérisée d'une
obligation de diligence » ; la chambre commerciale en a tiré les
conséquences le 14 janvier 2026. L'avocat général ne dissimulait pas que
cet arrêt, en soumettant le remboursement immédiat de l'ancien texte aux
exceptions tenant à la responsabilité du payeur, pouvait accréditer la thèse
des banques. Il l'écartait pour deux raisons : Veracash portait sur l'obligation
de signaler sans tarder l'opération, que nul ne contestait dans l'affaire
polonaise, et les articles 73 et 74 de la directive de 2015, qui ont
remplacé les dispositions interprétées en 2025, limitent désormais l'exception
à la fraude et organisent deux étapes distinctes. La Cour ne s'arrête pas à
l'objection : elle ne cite l'arrêt Veracash que pour rappeler sa méthode
d'interprétation, tout en relevant que le régime de l'article 73
« diffère substantiellement » de celui de la directive 2007/64
quant aux exceptions au remboursement immédiat.
Pour les opérations soumises à la directive de 2015, les
deux arrêts se complètent plus qu'ils ne se contredisent. La négligence dans le
signalement prive le payeur de son droit, parce qu'elle en affecte la condition
même, du moins si l'on transpose à l'article 71 la solution retenue sous
l'empire de l'ancien texte ; la négligence dans la garde des identifiants
ne joue qu'au stade de la répartition définitive des pertes. La définition
donnée par l'arrêt Veracash pourrait d'ailleurs guider les juges appelés à
apprécier, dans ce second temps, la gravité de la négligence alléguée.
II. Un contentieux de la
fraude rééquilibré
En déplaçant la négligence grave, la Cour déplace la charge
du procès. Les effets de l'arrêt en droit français sont immédiats (A), mais sa
portée reste bornée par la qualification de l'opération et par l'horizon du
futur règlement européen (B).
A. Des effets immédiats
en droit français
L'article L. 133‑18 transpose l'article 73 et doit
être interprété à sa lumière, comme la Cour de cassation l'a rappelé à propos
de la directive précédente. L'interprétation retenue par la Cour de justice
s'impose de la même manière aux juridictions nationales saisies d'un problème
similaire. Selon une jurisprudence constante, elle éclaire la règle
« telle qu'elle doit ou aurait dû être comprise et appliquée depuis le
moment de sa mise en vigueur », de sorte qu'elle s'applique aux litiges en
cours, sauf limitation de ses effets dans le temps, que l'arrêt ne prévoit pas,
et pourvu que les conditions permettant de porter le litige devant le juge
soient réunies. Le délai de treize mois de l'article L. 133‑24 continue
ainsi de borner le droit à la correction : l'arrêt ne ranime pas les
droits que ce délai a éteints. L'interprétation vaut pour les opérations
soumises au droit issu de la directive de 2015, c'est-à-dire, en France, pour
celles exécutées depuis le 13 janvier 2018 ; les opérations
antérieures demeurent régies par l'ancien texte, tel que l'a interprété l'arrêt
Veracash.
Le refus lui-même change de nature. Une banque qui oppose la
négligence grave de son client à la demande de remboursement d'une opération
non autorisée, régulièrement signalée, méconnaît l'article L. 133‑18,
quelle que soit l'issue du débat ultérieur sur la charge de la perte. Ce
manquement est sanctionné, en droit français, par des pénalités chiffrées que
la directive ne prévoit pas. Depuis la loi n° 2022‑1158 du 16 août
2022 portant mesures d'urgence pour la protection du pouvoir d'achat, dont la
rédaction est en vigueur depuis le 18 août 2022, les sommes dues
produisent intérêt au taux légal majoré de cinq points, de dix points au-delà
de sept jours de retard et de quinze points au-delà de trente jours. Pour les
manquements postérieurs à cette date, ces majorations courent, selon nous, dès
l'expiration du délai de remboursement contre la banque qui refuse en invoquant
la négligence. Une question restera discutée : la banque qui établit
finalement la négligence grave de son client doit-elle les pénalités échues
entre ce terme et le remboursement qu'elle n'a pas fait ? Elle invoquera
l'article 1348‑1 du code civil, selon lequel la compensation de dettes
connexes est réputée s'être produite au jour de l'exigibilité de la première
d'entre elles, pour soutenir que la créance de son client s'est éteinte avant
que les pénalités ne courent. La logique de l'arrêt invite pourtant à répondre
par l'affirmative, puisque le remboursement était dû indépendamment de la
répartition finale de la perte et qu'une compensation rétroactive priverait de
tout effet la sanction du refus ; la question n'est pas tranchée.
La voie procédurale s'en trouve simplifiée. Puisque la
négligence grave n'affecte plus l'obligation de rembourser, et que
l'appréciation qu'en fait la banque est sans effet à ce stade, elle ne paraît
plus pouvoir constituer, à elle seule, une contestation sérieuse de cette
obligation. Le référé-provision, ouvert « dans les cas où l'existence de
l'obligation n'est pas sérieusement contestable » par l'article 835,
alinéa 2, du code de procédure civile et, devant le tribunal de commerce,
par son article 873, alinéa 2, devrait ainsi devenir la voie à
privilégier pour la victime d'une opération non autorisée. Le juge des référés
restera toutefois juge du sérieux des contestations : l'arrêt ne tranche
ni le caractère non autorisé de l'opération ni la régularité du signalement,
que la banque demeure libre de discuter, et il laisse intacte l'exception de
fraude lorsque ses conditions sont réunies. La banque tentera sans doute
d'opposer sa propre créance ; mais une créance qui suppose encore la preuve
d'une négligence grave ne paraît pas certaine, et y voir une contestation
sérieuse de l'obligation de rembourser reviendrait à rétablir le refus que la
Cour condamne. La banque conserve la faculté de soutenir au fond que son client
a été gravement négligent. Elle le fera en demanderesse, à ses frais et à ses
risques, ce qui, pour des sommes de quelques centaines ou de quelques milliers
d'euros, décidera souvent de l'issue du litige.
La banque ne pourra pas davantage renvoyer d'abord son
client vers le médiateur. Les gouvernements tchèque et italien soutenaient que
cette lecture contournerait le règlement extrajudiciaire des litiges prévu par
la directive ; la Cour l'écarte : ce mécanisme couvre tous les
litiges relevant des titres III et IV de la directive, de sorte qu'il ne
saurait équivaloir à « un mécanisme de vérification obligatoire du respect
des obligations prévues à l'article 69 ». La médiation de l'article
L. 316‑1 du code monétaire et financier demeure un droit du consommateur,
non un préalable au remboursement.
Les conventions de compte doivent être relues dans la même
perspective. Une stipulation qui subordonne le remboursement à l'absence de
faute du client, comme celle que rapportaient les juges du fond dans l'affaire
jugée en 2018, selon laquelle la banque rembourserait immédiatement les
opérations non autorisées « sauf faute imputable au client », était
déjà discutable, puisque seule la négligence grave, et non la simple faute, met
la perte à la charge du payeur. Elle l'est bien davantage depuis l'arrêt :
même limitée à la négligence grave, une telle condition ne peut plus différer
le remboursement immédiat des opérations soumises à la directive de 2015. Il en
va de même, selon nous, d'une clause autorisant la banque à contre-passer
d'office le montant remboursé dès qu'elle s'estime en mesure de prouver une
négligence grave : ce serait réintroduire par le contrat le refus que la
directive interdit et se dispenser des voies de droit par lesquelles la
réclamation doit passer, alors que l'article 107, paragraphe 3, de la
directive prohibe les dérogations conventionnelles au détriment de
l'utilisateur hors des cas qu'elle prévoit expressément. La liberté
contractuelle ne reprend ses droits qu'avec les utilisateurs autres que les
consommateurs, et dans les seules limites des articles L. 133‑2 et
L. 133‑24 : répartition des pertes, preuve et délai de signalement.
La jurisprudence française sur la négligence grave ne perd
rien de son intérêt ; elle change de moment. Les critères dégagés par la
chambre commerciale continueront de gouverner l'action de la banque contre son
client. Manque ainsi par négligence grave à son obligation de préserver ses
données de sécurité personnalisées l'utilisateur qui les communique « en
réponse à un courriel qui contient des indices permettant à un utilisateur
normalement attentif de douter de sa provenance », qu'il soit ou non avisé
des risques d'hameçonnage. À l'inverse, des motifs « insuffisants à
caractériser la négligence grave », qui ne précisent pas dans quelles
conditions le tiers a eu accès aux identifiants du payeur, encourent la
censure, comme l'a jugé un arrêt publié du 14 janvier 2026. Dans le même
souci d'appréciation concrète, un arrêt non publié du 9 septembre 2026 a
jugé que la négligence ne peut être exclue par principe au motif que le
fraudeur, se présentant comme un préposé de la banque, appelait depuis un
numéro correspondant à celui de cette dernière : le juge doit rechercher
concrètement si la divulgation des identifiants et la validation des opérations
la caractérisent. Ces débats, souvent incertains, seront conduits à
l'initiative et aux risques de celui qui doit en supporter la preuve.
B. Une portée bornée,
sous l'horizon du futur règlement
La solution ne vaut que pour les opérations non autorisées.
Or la part de la fraude par manipulation dans l'ensemble de la fraude a doublé
en quatre ans, et ces schémas conduisent souvent la victime, trompée, à donner
elle-même l'ordre ou à valider l'opération préparée par le fraudeur. Dans ces
hypothèses, la banque ne plaidera plus la négligence grave pour refuser le
remboursement ; elle soutiendra que l'opération a été autorisée. La
bataille se déplace vers la qualification, et c'est là que se jouera l'essentiel
du contentieux.
La Cour n'avait pas à en connaître, la question
préjudicielle tenant pour acquis le caractère non autorisé de
l'opération ; mais sa présentation des faits est éloquente. La même
opération y est dite « autorisée par l'auteur de la fraude au moyen d'un
code de confirmation transmis par SMS et obtenu de la requérante au principal
sous l'effet de cette tromperie », et décrite comme une opération
« non autorisée par N.O. », c'est-à-dire par la cliente. Ce qui
compte est le consentement du payeur, non l'usage des moyens
d'authentification. La chambre commerciale a posé le même jalon, à propos de
données utilisées à l'insu du payeur : le consentement ne se déduit pas du
seul recours à la forme convenue contractuellement, et la cour d'appel qui en
tire la preuve d'une autorisation inverse la charge de la preuve. L'arrêt non
publié du 9 septembre 2026 a par ailleurs raisonné sur le terrain de la
négligence grave, et donc de la répartition des pertes nées d'opérations non
autorisées, à propos d'opérations validées par un client trompé mais qu'il
n'avait pas initiées. L'arrêt de la Cour accroît l'enjeu de cette frontière,
puisque, de l'autre côté de la ligne, le remboursement est immédiat.
L'exception de fraude pourrait, de son côté, être sollicitée
au-delà de son objet. Privés de l'argument de la négligence, certains
prestataires seront tentés d'invoquer plus volontiers le soupçon de fraude. Les
conditions du texte devraient les en dissuader : il faut de bonnes raisons
de soupçonner une fraude du payeur lui-même, et non du tiers, une communication
écrite de ces raisons à la Banque de France, et le considérant 71 ne
justifie qu'un délai d'enquête raisonnable avant le remboursement. Un soupçon
de pure forme, adressé à l'autorité à seule fin de différer le remboursement
d'une victime d'hameçonnage, exposerait la banque aux pénalités de l'article
L. 133‑18.
Reste l'horizon législatif. Le règlement sur les services de
paiement, appelé à reprendre ces règles, n'est pas encore adopté à la date de
cette note. Le texte de compromis issu de l'accord provisoire du
27 novembre 2025 a été transmis au Comité des représentants permanents le
17 avril 2026 et approuvé par la commission compétente du Parlement
européen le 5 mai 2026 ; la procédure attend la position du Conseil
en première lecture, et une date indicative de séance plénière est fixée au
14 décembre 2026.
Or ce compromis paraît rouvrir, sous une forme encadrée, la
porte que la Cour vient de fermer. Son considérant 77 permet au
prestataire qui dispose de raisons objectivement justifiées de soupçonner un
manquement intentionnel ou gravement négligent, ou un comportement frauduleux
du payeur, d'enquêter avant de rembourser, à charge de rembourser ou de motiver
son refus dans un délai de quinze jours ouvrables, en indiquant les organismes
que le payeur peut saisir. R. Kelemen, V. Herold et D. Bosits, qui rattachent
ce mécanisme à l'article 56 du compromis, y voient une réadmission
partielle de la négligence grave au stade du remboursement. Le texte prévoit
également le remboursement intégral du consommateur victime d'une usurpation de
l'identité de son prestataire, sauf fraude ou négligence grave de sa part et à
condition qu'il ait signalé la fraude à la police et à son prestataire, ce qui
atteindra une partie des fraudes par manipulation que l'arrêt laisse hors de
son champ. Le législateur de l'Union s'apprête ainsi à admettre, pour l'avenir
et sous conditions, ce que la Cour refuse de lire dans le texte actuel.
L'arrêt n'en perd pas son intérêt, bien au contraire. Il
gouvernera l'ensemble des opérations soumises à la directive de 2015, ce qui
comprend tous les litiges en cours portant sur des opérations exécutées depuis
le 13 janvier 2018, jusqu'à ce que le règlement, une fois adopté et
publié, soit devenu applicable. Sa motivation pèsera en outre sur la lecture du
texte futur. Le soupçon objectivement justifié d'une négligence grave y
constituera une exception au remboursement, d'interprétation stricte, que ne saurait
satisfaire la seule circonstance que la victime a saisi ses identifiants sur
une page contrefaite, sauf à laisser l'exception redevenir la règle, ce que
dénonçait le juge polonais, et à priver de nouveau l'obligation de
remboursement de son effet utile.
Pour les opérations soumises à la directive de 2015, la
règle est désormais fixée : la banque rembourse d'abord ; si elle
tient la négligence de son client pour grave, c'est à elle de le prouver et
d'en demander raison.
Le cabinet assiste les particuliers et les
entreprises victimes de fraudes aux moyens de paiement, devant les juridictions
du Val-de-Marne et la cour d'appel de Paris.
Yann Gré
Avocat au Barreau du
Val-de-Marne · Chargé d'enseignement à l'UPEC
16, rue Paul Séjourné, 94000 Créteil · Tél. :
01 49 81 99 70
contact@yanngre.com ·
www.yanngre.com
