L'arrêt rendu le 1er juillet 2026 par la Chambre Commercial de la Cour de Cassation est particulièrement intéressant.
Trois virements, un boîtier, un raisonnement fautif.
Le 23 novembre 2020, trois virements sont exécutés depuis le compte dont une société détient dans les livres d’une banque (le Crédit lyonnais).
La société soutient qu’elle n’est pas l’auteur des virements et assigne sa banque en restitution des fonds.
Devant la Cour d’Appel de Paris, la banque produit ce que produisent toutes les banques dans ce contentieux : des relevés informatiques. Ils montrent que l’identifiant et le code d’accès à l’espace en ligne ont été utilisés, et qu’un jeton a été généré par un boîtier. La cour en tire trois conclusions successives. L’opération a été authentifiée, dûment enregistrée et comptabilisée. Elle n’a pas été affectée par une déficience technique. Le consentement de la société est donc présumé avoir été donné conformément à la forme convenue entre les parties. Les demandes sont donc rejetées.
La Chambre Commerciale de la Cour de Cassation casse l’arrêt en toutes ses dispositions et renvoie devant la Cour d’Appel de Versailles.
Le motif tient en une phrase : la société contestait avoir consenti aux opérations et soutenait que ses données de sécurité personnalisées avaient été utilisées à son insu ; en déduisant le consentement du recours à la forme convenue contractuellement, la cour d’appel a inversé la charge de la preuve.
L’arrêt est publié au Bulletin. Il ne crée pas de règle nouvelle. Il applique un texte de 2018 à une question à laquelle on ne l’appliquait pas, et cela suffit à modifier l’équilibre d’un contentieux de masse.
I. Ce que la banque doit prouver
A. Une opération n’est autorisée que si le payeur y a consenti
Le régime des opérations de paiement repose sur une définition, et cette définition est courte.
Selon l’article L. 133-6 du code monétaire et financier, une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. L’article L. 133-7 ajoute que ce consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement, et qu’en l’absence d’un tel consentement, l’opération est réputée non autorisée. Les deux textes sont en vigueur dans leur rédaction actuelle depuis le 13 janvier 2018, date d’entrée en vigueur de la transposition de la directive dite DSP 2.
La qualification commande tout le reste. Lorsque l’opération est non autorisée et que l’utilisateur l’a signalée dans les conditions de l’article L. 133-24, l’article L. 133-18 impose au prestataire de rembourser le montant immédiatement après en avoir eu connaissance, et au plus tard à la fin du premier jour ouvrable suivant. Le compte doit être rétabli dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu, avec une date de valeur qui n’est pas postérieure à celle du débit. La seule échappatoire du texte est étroite : le prestataire peut différer s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur, mais il doit alors communiquer ces raisons par écrit à la Banque de France.
Depuis le 18 août 2022, le retard se paie. Les sommes dues produisent intérêt au taux légal majoré de cinq points, de dix points au-delà de sept jours de retard, de quinze points au-delà de trente jours. Cette majoration est souvent oubliée dans les mises en demeure adressées aux établissements. Elle mérite d’y figurer.
Il faut donc distinguer deux questions, et ne jamais les confondre. L’opération était-elle autorisée ? Si elle ne l’était pas, le payeur doit-il néanmoins en supporter la perte ? La première question relève des articles L. 133-6 et L. 133-7. La seconde relève de l’article L. 133-19. Ce sont deux débats successifs, avec deux objets de preuve différents. Toute l’erreur de la cour d’appel de Paris a consisté à traiter la première comme si elle était déjà tranchée.
B. La forme convenue n’est pas le consentement
L’article L. 133-23 comporte trois phrases. La première met à la charge du prestataire la preuve que l’opération contestée a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée par une déficience technique ou autre. La troisième lui impose de fournir des éléments pour prouver la fraude ou la négligence grave de l’utilisateur.
Entre les deux figure la phrase décisive : l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur, ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant.
Cette phrase a deux branches. Depuis un arrêt du 18 janvier 2017, la jurisprudence exploitait la seconde. La chambre commerciale y avait jugé que la preuve de la fraude ou de la négligence grave de l’utilisateur incombe au prestataire et ne peut se déduire du seul fait que l’instrument de paiement ou les données qui lui sont liées ont été effectivement utilisés. La règle est devenue classique dans le contentieux de la carte bancaire.
La première branche restait, elle, largement inexploitée. C’est celle que l’arrêt du 1er juillet 2026 met en œuvre, en la reprenant seule dans son chapeau. Le déplacement est discret, ses effets ne le sont pas.
La logique est la suivante. La forme convenue entre le payeur et sa banque, qu’il s’agisse d’un boîtier générateur de jetons, d’un code reçu par message ou d’une signature électronique, est un mode d’expression du consentement. Elle n’est pas une présomption de son existence. Constater que la forme a été employée, c’est constater qu’un ordre est parvenu à la banque dans le canal prévu, rien de plus. La question de savoir si cet ordre émane de la volonté du titulaire du compte reste entière, précisément parce que le propre de la fraude aux données de sécurité personnalisées est d’emprunter le canal légitime.
En posant que le consentement se déduisait de l’usage de la forme, la cour d’appel avait fait de la preuve technique une preuve juridique. Elle avait, du même mouvement, transféré au client la charge de démontrer qu’il n’avait pas consenti, c’est-à-dire de prouver un fait négatif dans un système dont il ne détient aucun journal. La Cour de cassation qualifie ce glissement d’inversion de la charge de la preuve, et vise les trois textes ensemble.
Une précision s’impose sur la portée. La Cour ne juge pas que les virements litigieux étaient non autorisés. Elle juge que le motif retenu ne pouvait pas établir qu’ils l’étaient. La cassation est procédurale, et l’affaire repart devant la cour d’appel de Versailles, qui statuera sur les éléments produits. La Cour n’a pas examiné la seconde branche du moyen.
II. Ce que l’arrêt change en pratique
A. Le débat se déplace vers la négligence grave
Si la banque ne peut plus gagner sur le terrain de l’autorisation en produisant ses seuls journaux, il lui reste l’article L. 133-19, IV. Le payeur supporte toutes les pertes si elles résultent d’un agissement frauduleux de sa part, ou s’il a manqué intentionnellement ou par négligence grave aux obligations des articles L. 133-16 et L. 133-17, soit préserver la sécurité de ses données de sécurité personnalisées et signaler sans tarder toute utilisation non autorisée.
La charge de cette preuve pèse sur la banque, l’article L. 133-23 le dit dans sa dernière phrase. C’est là que se joue désormais l’essentiel, et la Chambre Commerciale n’y est ni systématiquement favorable au client ni systématiquement favorable à l’établissement.
Le 12 juin 2025, elle a rejeté le pourvoi d’une banque condamnée à rembourser 98 000 euros à une société de transport. La salariée avait reçu l’appel d’une personne se présentant comme technicien de l’établissement, annonçant une panne informatique et lui demandant des manipulations destinées à reconstituer des écritures disparues. L’escroc avait usurpé un numéro de téléphone de la banque, annonçait le code qui s’affichait sur l’écran de l’utilisatrice et connaissait les opérations réalisées avant l’appel. La cour d’appel avait pu déduire de ces circonstances l’absence de négligence grave.
Le 4 mars 2026, la même chambre a cassé un jugement qui avait écarté la négligence grave d’un particulier victime du même procédé, au motif que l’appel provenait du numéro officiel de son agence, pendant les heures d’ouverture. Le juge du fond aurait dû rechercher si, à réception du message de confirmation adressé par la banque, indiquant que les opérations constituaient une validation de paiement et non un remboursement ou une annulation, le client n’était pas en mesure de suspecter la fraude.
La leçon combinée des deux décisions est concrète. L’usurpation du numéro d’appel ne suffit plus, à elle seule, à exonérer le client. Le contenu exact des messages de confirmation reçus au moment des opérations est devenu la pièce maîtresse du dossier. Il faut les obtenir, les dater et les produire, quelle que soit la partie que l’on défend.
Un dernier point mérite d’être signalé, car il ferme une porte que beaucoup de demandes empruntent encore. Le même arrêt du 4 mars 2026 juge que l’obligation de vigilance à l’égard de la clientèle imposée aux organismes financiers a pour seule finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme, et que la victime d’agissements frauduleux ne peut se prévaloir de son inobservation pour réclamer des dommages et intérêts. Fonder une demande de remboursement sur les manquements de la banque à ses obligations de vigilance conduit désormais à la cassation.
B. Quatre réserves avant d’invoquer l’arrêt
1. Les règles concernant la preuve peuvent être écartées conventionnellement, pour les professionnels. L’article L. 133-2 du code monétaire et financier énonce que, sauf lorsque l’utilisateur est une personne physique agissant pour des besoins non professionnels, il peut être dérogé par contrat à une liste de dispositions parmi lesquelles figure l’article L. 133-23.
La directive DSP 2 ouvre la même faculté lorsque l’utilisateur n’est pas un consommateur. La portée de la solution n’est donc pas la même selon le client. Pour le particulier, elle est acquise. Pour l’entreprise, elle suppose que la convention de compte n’ait rien prévu de contraire, ce qui est loin d’être toujours le cas. La première diligence, dans un dossier professionnel, consiste à relire les conditions générales sur ce point précis.
À l’inverse, l’article L. 133-6 et le premier alinéa de l’article L. 133-7 ne figurent pas dans la liste des textes écartables. La définition même de l’opération autorisée demeure impérative pour tous.
La banque peut aménager la règle de preuve, elle ne peut pas décider par contrat qu’un ordre non consenti sera réputé autorisé.
2. Le signalement conditionne tout, et sa date se prouve. L’article L. 133-24 impose de signaler l’opération sans tarder, et au plus tard dans les treize mois suivant le débit, sous peine de forclusion. Un arrêt du 4 février 2026 en tire une conséquence sévère : la cour d’appel qui constate que les titulaires du compte ne justifiaient pas de la date à laquelle ils avaient signalé l’utilisation frauduleuse rejette leur demande par ce seul motif.
Le client qui téléphone à son conseiller sans rien écrire se prive de son droit au remboursement.
Un écrit daté, conservé avec son accusé de réception, vaut mieux que le meilleur des arguments de fond. Ici encore, les parties peuvent convenir d’un délai différent lorsque l’utilisateur n’est pas une personne physique agissant à des fins non professionnelles.
3. L’arrêt sanctionne une méthode, il ne tranche pas le litige. La cassation est prononcée pour inversion de la charge de la preuve. Devant la cour de renvoi, la banque reste libre d’établir par d’autres éléments que l’opération a été autorisée, ou que le client a commis une négligence grave. Présenter l’arrêt comme consacrant un droit automatique au remboursement serait inexact, et se retournerait à la première audience.
4. L’authentification forte relève d’un moyen distinct. L’article L. 133-19, V, prévoit que, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération non autorisée a été effectuée sans que sa banque exige l’authentification forte de l’article L. 133-44.
C’est un fondement autonome, qui se cumule avec le précédent et ne se confond pas avec lui. La confusion est fréquente et elle est exactement celle que l’arrêt du 1er juillet 2026 corrige : établir qu’une authentification forte a bien été appliquée peut faire échec au V de l’article L. 133-19, cela ne prouve toujours rien sur le consentement.
Reste une évidence que le contentieux redécouvre à chaque génération technique. Plus le dispositif de sécurité est sophistiqué, plus la tentation est grande de le tenir pour une preuve de volonté. La chambre commerciale rappelle que le droit des paiements protège un consentement, non un protocole.
Maître Yann GRÉ
Avocat au Barreau du Val-de-Marne
16, rue Paul Séjourné, 94000 Créteil
Tél. : 01 49 81 99 70
https://www.yanngre.com
Toque PC 381
Aucun commentaire:
Enregistrer un commentaire