Note sous Cass. com., 9 septembre 2026, n° 25-15.225, F-B (cassation partielle)
Deux virements, une seule escroquerie, deux solutions opposées. En jugeant que la charge de prouver l’autorisation du paiement, y compris quant au bénéficiaire, pèse sur le prestataire de services de paiement, la chambre commerciale rouvre aux victimes de la fraude au changement de RIB une voie que sa propre jurisprudence sur l’identifiant unique semblait avoir murée. L’immunité de l’article L. 133-21 du code monétaire et financier demeure. Encore faut-il que la banque en établisse les conditions.
La fraude au changement de coordonnées bancaires a ceci de redoutable qu’elle emprunte le canal légitime. Aucune donnée de sécurité n’est dérobée, aucun accès n’est forcé : c’est le client lui-même qui, trompé, transmet à sa banque l’identifiant du compte de l’escroc. D’où la difficulté de la concilier avec les dispositions du code monétaire et financier, conçues pour l’opération que le payeur n’a pas voulue, non pour celle qu’il a voulue sur la foi d’un faux.
Le contentieux s’est d’abord plaidé sur le terrain du devoir de vigilance. Depuis plusieurs années, la chambre commerciale a progressivement fermé cette porte. L’arrêt du 9 septembre 2026, publié au Bulletin, en ouvre une autre : plus étroite, mais autrement plus solide.
Pour en mesurer la portée, il faut avoir présente à l’esprit la ligne de partage que la chambre commerciale trace depuis 2023. Lorsque l’identifiant unique du bénéficiaire est celui que le payeur a lui-même fourni, l’opération est autorisée et le régime de l’article L. 133-21 absorbe tout. Lorsque l’identifiant a été substitué après la transmission de l’ordre, à l’insu du donneur d’ordre, l’opération n’est pas autorisée et c’est le régime du remboursement qui s’applique [1]. Toute la difficulté de la fraude au faux RIB tient à ce qu’elle se joue précisément sur cette frontière, et que la position du curseur dépend d’une chronologie. L’arrêt du 9 septembre 2026 le démontre en tranchant en sens inverse deux virements issus d’une même escroquerie.
Les faits et la procédure
Les faits sont d’une banalité désespérante. Une SCI, maître d’ouvrage, fait construire un immeuble par la société Hanny. Le 13 janvier 2020, elle adresse à sa banque la situation de travaux n° 6, revêtue d’un bon à payer, accompagnée d’une facture de 189 893,14 euros portant l’IBAN de l’entrepreneur à la Société Générale. Deux jours plus tard, elle transfère à la même banque un courriel présenté comme émanant de Hanny : le compte de la Société Générale ne serait plus actif, les prochains règlements, celui de la situation n° 6 compris, devront être virés sur un compte ouvert dans les livres de Bank Santander Totta. Le 20 janvier, la banque exécute. Le 13 février, la SCI transmet la situation de travaux n° 7, avec un bon à payer et une facture de 175 404,11 euros portant, cette fois encore, le véritable IBAN de la société Hanny. Le 24 février, la banque vire néanmoins la somme sur le compte portugais. Le 25, la SCI découvre et dénonce la fraude. Le préjudice atteint 365 297,25 euros.
Assignée en indemnisation pour manquement à son obligation de vigilance, la banque est mise hors de cause par la cour d’appel de Lyon le 25 mars 2025. Sur pourvoi de la SCI, la Cour de cassation rejette les griefs relatifs au premier virement, mais casse s’agissant du second, au visa de l’article 1353 du code civil et des articles L. 133-6, alinéa 1er, et L. 133-7, alinéa 1er, du code monétaire et financier.
Le rapport du conseiller rapporteur, publié avec l’arrêt sur Judilibre, apporte plusieurs précisions utiles [2]. La procédure a été engagée le 20 mai 2021 devant le tribunal judiciaire de Lyon, qui a débouté la SCI par jugement du 13 juin 2023, confirmé en toutes ses dispositions par la cour d’appel. Le financement reposait sur un prêt à déblocage successif, ce qui explique le circuit documentaire : chaque situation de travaux était transmise à la banque revêtue d’un bon pour paiement, accompagnée de la facture de l’entrepreneur portant ses coordonnées bancaires. Le courriel frauduleux du 15 janvier 2020 était accompagné d’un prétendu certificat administratif au logo de l’entreprise et d’un relevé d’identité bancaire portant un tampon humide barré d’une signature. La cassation est partielle : le rejet de la demande relative au premier virement est désormais définitif, et seul le second est soumis à la cour d’appel de Lyon autrement composée.
La dissociation n’est pas un compromis. Elle est la traduction rigoureuse d’une idée simple : l’autorisation du payeur est à la fois la condition de l’immunité du prestataire (I) et l’objet d’une preuve qui lui incombe (II).
I. L’immunité tirée de l’identifiant unique, ou le droit commun tenu en lisière
Le premier moyen attaquait le rejet des demandes au titre du premier virement. Il échoue deux fois : d’abord parce que l’existence de l’ordre relevait du pouvoir souverain des juges du fond (A), ensuite parce que, cet ordre une fois caractérisé, le devoir de vigilance n’avait plus de prise (B).
A. Un ordre de paiement modifié, souverainement caractérisé
La première branche soutenait que le simple transfert, sans instruction propre, du courriel frauduleux du 15 janvier ne pouvait valoir autorisation « expresse et dépourvue d’équivoque » au profit du nouvel identifiant, dès lors que l’ordre de payer la situation n° 6 avait été donné deux jours plus tôt en visant le compte de la Société générale.
L’argument avait du répondant. Le consentement de l’article L. 133-6 porte sur l’exécution d’une opération de paiement, laquelle se définit notamment par le compte à créditer ; en modifier l’identifiant unique, ce n’est pas préciser un ordre, c’est en changer l’objet. On pouvait donc attendre que la modification fût aussi nette que l’ordre initial. La branche ne faisait d’ailleurs que reprendre, presque mot pour mot, l’attendu de principe du 1er juin 2023 : une opération de paiement initiée par le payeur n’est réputée autorisée que si celui-ci a également consenti à son bénéficiaire [1].
La Cour ne l’entend pas ainsi. Ou plutôt, elle refuse d’entrer dans ce débat. Après avoir rappelé les constatations de l’arrêt attaqué, elle relève que la cour d’appel s’est appuyée sur un indice cruel : la teneur du courriel du 25 février par lequel la SCI dénonçait la fraude « confirme que le transfert du courriel du 15 janvier 2020 [...] avait pour objet d’informer le prestataire des nouvelles références bancaires » (§ 12). Le moyen, conclut-elle, « ne tend qu’à remettre en cause l’appréciation souveraine par laquelle la cour d’appel a déduit des envois successifs de courriels [...] que la SCI lui avait ordonné le premier paiement » sur le compte portugais (§ 13).
Le principe n’est donc pas démenti ; il est renvoyé à l’appréciation des juges du fond. Encore faut-il souligner ce qui rendait cette appréciation possible. L’article L. 133-7, alinéa 1er, exige que le consentement soit donné « sous la forme convenue » entre le payeur et son prestataire. Hors stipulation contraire, aucun formalisme particulier n’est requis, et la forme convenue était ici l’échange de courriels lui-même : le rapport rappelle que l’ordre de virement obéit au principe du consensualisme et que sa validité n’est soumise qu’aux conditions de forme convenues entre les parties [3]. Ce point mérite attention en défense : c’est en discutant la forme convenue, telle que la convention de compte la définit, que l’on peut contester qu’un simple transfert de courriel ait pu valoir ordre.
Deux enseignements, l’un théorique, l’autre très pratique.
Théorique : la Cour de cassation n’exerce pas de contrôle sur la caractérisation du consentement à la modification de l’identifiant unique. On peut le regretter. La qualification d’ordre de paiement commande l’application d’un régime de source européenne, et l’on aurait pu défendre qu’un changement de compte bénéficiaire appelle, par nature, une instruction non équivoque. La chambre commerciale préfère s’en remettre aux juges du fond. Le résultat est que la bataille se gagne ou se perd en appel, sur les pièces.
Pratique : le courriel par lequel la victime dénonce l’escroquerie est une pièce à double tranchant. Rédigé dans l’urgence, il décrit volontiers la mécanique de la fraude, et donc, par la même occasion, ce que le client a lui-même demandé à sa banque. Ici, il a servi à établir l’ordre litigieux. La leçon vaut d’être retenue au stade du premier réflexe, avant même la consultation.
B. Un devoir de vigilance hors jeu
Les deuxième, troisième et quatrième branches déployaient l’artillerie classique : la communication de deux RIB différents en moins de quarante-huit heures, la localisation du second compte à l’étranger, l’adresse électronique réelle de l’expéditeur, les fautes d’orthographe du courriel, un « certificat administratif » ni daté ni signé. Autant d’anomalies apparentes qui, plaidait-on, auraient dû conduire un professionnel de la banque à solliciter confirmation.
La réponse tient en deux phrases : « La responsabilité contractuelle de droit commun n’est pas applicable lorsque l’opération relève du régime exclusif de responsabilité prévu à l’article L. 133-21 du code monétaire et financier » (§ 16) ; l’ordre ayant été exécuté conformément à l’identifiant unique fourni par la SCI, « l’arrêt n’encourt pas les griefs fondés sur la responsabilité civile de droit commun » (§ 18).
Rien de neuf, et c’est bien le propos. La solution est l’aboutissement d’une construction commencée à Luxembourg. Dans l’affaire CRCAM, la Cour de justice a jugé que le régime de responsabilité issu de la directive sur les services de paiement fait l’objet d’une harmonisation complète, incompatible tant avec un régime parallèle fondé sur le même fait générateur qu’avec un régime concurrent reposant sur d’autres faits générateurs [4] ; l’arrêt Beobank l’a confirmé en 2023 [5]. La Cour de justice avait déjà jugé, dès 2019, que la limitation de responsabilité attachée à l’identifiant unique joue tant à l’égard du prestataire du payeur qu’à l’égard de celui du bénéficiaire, alors même que l’identifiant ne correspond pas au nom du bénéficiaire indiqué par le donneur d’ordre [6] ; et, en droit interne, la chambre commerciale avait posé la règle dès 2018 [7]. La chambre commerciale en a tiré les conséquences par un arrêt publié du 27 mars 2024, écartant le droit commun dès lors que la responsabilité du prestataire est recherchée à raison d’une opération non autorisée ou mal exécutée [8], puis a étendu la solution à la responsabilité délictuelle et au prestataire du bénéficiaire [9]. Le 15 janvier 2025, dans une formation de section présidée par le premier président, elle a énoncé que « l’article L. 133-21 [...] est exclusif de toute application des règles de droit commun » [10]. Depuis, la série est ininterrompue : peu importe que l’IBAN désigne un compte roumain [11], peu importe que le code BIC ne corresponde pas à la banque nommée sur l’ordre [12] : le devoir de vigilance ne revient pas par la fenêtre.
Cette exclusivité n’est pas une construction prétorienne hasardeuse : elle est commandée par le texte européen lui-même. L’article 107 de la directive (UE) 2015/2366, intitulé « harmonisation totale », énumère limitativement les dispositions auxquelles les États membres peuvent déroger, et l’article 88, relatif aux identifiants uniques inexacts, transposé à l’article L. 133-21, n’y figure pas [13]. Le juge national n’avait donc guère de marge.
Il faut mesurer ce que cela signifie pour le praticien. Les anomalies énumérées par le pourvoi ne sont pas jugées insuffisantes : elles sont juridiquement inopérantes lorsque les conditions du régime spécial sont réunies. Le contentieux du faux RIB, lorsqu’il est exclusivement plaidé sur le terrain de la faute de vigilance et que les conditions de l’article L. 133-21 sont réunies, est voué à l’échec.
Il ne faut pas pour autant conclure à la mort du devoir de vigilance, et c’est peut-être l’erreur la plus coûteuse que l’on puisse commettre à la lecture de cette jurisprudence. L’exclusivité ne joue que dans le champ de l’harmonisation, c’est-à-dire pour les opérations non autorisées et pour les opérations mal exécutées. Pour les opérations autorisées, le devoir de vigilance subsiste, avec ses conditions traditionnelles tenant à l’anomalie apparente, matérielle ou intellectuelle. La chambre commerciale l’a confirmé sans ambiguïté le 12 juin 2025, en formation de section, en refusant au passage de saisir la Cour de justice d’une question préjudicielle sur la responsabilité des prestataires « à l’occasion d’opérations de paiement autorisées » [14] ; elle avait, quelques mois plus tôt, approuvé une cour d’appel d’avoir retenu le manquement d’une banque au regard du montant inhabituel des virements et de leur destination hors zone SEPA [15]. Autrement dit, la fraude dite au président, le faux investissement, l’ordre falsifié dans sa signature relèvent toujours du droit commun, tandis que le faux RIB fourni par le client lui-même relève du seul article L. 133-21. Se tromper de case, c’est perdre le dossier.
Encore faut-il que le régime de l’article L. 133-21 soit applicable, et l’on touche ici au point aveugle de la construction. Le texte, dont l’intitulé européen vise les « identifiants uniques inexacts », ne pose pas deux conditions cumulatives mais deux règles distinctes. Le texte protège le prestataire lorsque l’ordre a été exécuté conformément à l’identifiant unique fourni par l’utilisateur, l’ordre étant alors réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par cet identifiant et, lorsque la responsabilité est recherchée à raison d’une mauvaise exécution ou d’une non-exécution, lorsque cet identifiant est inexact. La distinction n’est pas académique : c’est la première règle, et elle seule, qui a fondé le rejet du premier moyen, sans que l’arrêt ait eu besoin de qualifier l’identifiant d’inexact (§ 17 et 18). Le rapport en livre la clef théorique en citant les conclusions du premier avocat général Le Mesle sous l’arrêt de 2018 : en réputant dûment exécuté l’ordre conforme à l’identifiant fourni, le législateur a nécessairement dit qu’une telle opération était une opération autorisée, faute de quoi l’article L. 133-21 serait privé de toute portée [16]. C’est bien parce que l’opération est autorisée que le régime du remboursement des opérations non autorisées ne peut pas jouer.
La chambre commerciale l’a dit sans détour dans deux espèces où le client n’avait ni contesté avoir autorisé les virements ni allégué que l’IBAN remis n’était pas celui du bénéficiaire attendu : « l’article L. 133-21 du code monétaire et financier n’était par conséquent pas applicable » [17]. Elle a par ailleurs réservé, par un arrêt publié du 4 mars 2026, le cas du prestataire qui ne s’est pas borné à exécuter l’ordre mais l’a lui-même rédigé : le droit commun retrouve alors son empire [18]. Pierre Storrer y a vu, à juste titre, une exception d’importance [19].
Le régime est donc d’exception, et ses conditions ne se présument pas. Reste à savoir qui doit les établir. C’est là que se joue le second moyen.
II. La preuve de l’autorisation, ou l’équilibre rétabli
Sur le second virement, la cour d’appel avait retenu que la SCI avait ordonné le paiement sur le compte portugais conformément au courriel du 15 janvier, et non sur le compte de la Société générale conformément à la transmission du 13 février, et « que la SCI ne justifie pas de ses instructions de paiement spécifiques à la situation n° 7 ».
Le raisonnement se retourne contre son auteur : il fait supporter au payeur la preuve de ce qu’il n’a pas ordonné.
A. Une charge qui pèse sur le prestataire, jusqu’au bénéficiaire
L’attendu de principe est d’une sobriété exemplaire : « la charge de la preuve de l’autorisation du paiement initié par le payeur donnée au prestataire de services de paiement, sous la forme convenue entre eux, repose sur le prestataire de services de paiement » (§ 21). La censure suit : dès lors que la cour d’appel relevait elle-même que la transmission du 13 février était accompagnée d’une facture mentionnant le véritable IBAN, « il incombait au prestataire [...], sur qui reposait la charge de prouver que l’opération avait été autorisée quant au bénéficiaire, de produire l’ordre de paiement relatif à ce virement » (§ 23).
Trois propositions s’y logent.
D’abord, l’autorisation ne se divise pas. Le consentement de l’article L. 133-6 porte sur l’exécution de l’opération, et l’arrêt du 9 septembre 2026 exige précisément que le prestataire établisse que l’opération a été autorisée « quant au bénéficiaire ». Une opération autorisée quant au montant mais non quant au bénéficiaire ne peut donc être regardée comme autorisée dans son ensemble. La proposition n’est pas une déduction hardie : elle est acquise. La chambre commerciale a jugé que le consentement doit porter sur le montant de l’opération [20], puis, par un arrêt publié du 1er juin 2023, qu’une opération de paiement initiée par le payeur n’est réputée autorisée que s’il a également consenti à son bénéficiaire [1]. L’arrêt du 9 septembre 2026 ne fait qu’en tirer la conséquence probatoire. La formule « autorisée quant au bénéficiaire » n’est pas une concession de style : elle détermine le périmètre du consentement et, par voie de conséquence, le régime applicable.
Ensuite, la preuve incombe à celui qui se prétend libéré. Le visa de l’article 1353 du code civil n’est pas ornemental : celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. Le fondement est plus profond qu’il n’y paraît : le banquier teneur de compte est débiteur d’une obligation de restitution des fonds inscrits au crédit, et le débit du compte n’est libératoire que s’il est justifié par un ordre du client. Faire peser sur le client la preuve de l’absence d’ordre, c’est renverser l’ordre naturel de cette obligation. Demander au client de produire l’ordre est doublement problématique : on lui réclame la preuve d’un fait négatif, et on la lui réclame alors que la pièce est, par construction, entre les mains de son adversaire. Rappelons que le juge peut ordonner la production des pièces détenues par une partie [21] ; l’arrêt dispense d’y recourir en plaçant la charge de la preuve sur le prestataire.
Enfin, la solution s’articule sans heurt avec la jurisprudence sur l’identifiant unique, dont elle constitue le complément nécessaire. L’immunité de l’article L. 133-21 suppose un identifiant « fourni par l’utilisateur » : l’établissement de cette condition factuelle incombe au prestataire. Les deux virements de l’espèce l’illustrent à merveille. Pour le premier, la banque a rapporté la preuve de l’ordre, par la chaîne de courriels, et l’immunité a joué. Pour le second, la cour d’appel avait fait peser sur la SCI la preuve de ses instructions spécifiques ; la Cour de cassation juge que cette charge incombait au prestataire, auquel il appartenait de produire l’ordre de paiement relatif au virement litigieux. Même texte, même fraude, issues inverses : tout tient au dossier.
On observera que la chronologie fait ici toute la différence, et qu’elle rejoint exactement le critère dégagé en 2023. Pour le premier virement, l’identifiant frauduleux avait été transmis par le payeur avant l’exécution et visait expressément la situation n° 6 : l’ordre et l’identifiant coïncident, l’opération est autorisée. Pour le second, le payeur a transmis, postérieurement au courriel frauduleux, une pièce portant l’identifiant véritable : la coïncidence est rompue, et il n’est plus permis de présumer que le payeur a consenti au compte portugais. La leçon de rédaction est immédiate.
Ce qu’il faut démontrer, ce n’est pas que la banque aurait dû se méfier, c’est que la dernière manifestation de volonté du payeur, antérieure à l’exécution, désignait un autre bénéficiaire. C’est un travail de chronologie documentaire, pièce par pièce, et non un travail de plaidoirie sur la faute.
On ajoutera une observation que l’arrêt n’explicite pas mais qu’il commande. La banque pouvait soutenir que le courriel du 15 janvier valait consentement à une série d’opérations, hypothèse expressément prévue par le II de l’article L. 133-6. L’argument n’était pas absurde : le courriel visait « les prochains virements ». Mais il ne change pas le régime de la preuve : c’est encore au prestataire d’établir que ce consentement à une série a été donné, dans la forme convenue, et qu’il couvrait l’opération contestée, a fortiori lorsque le payeur lui a transmis, postérieurement, une pièce portant un identifiant contraire. Une instruction générale ne se retourne pas silencieusement contre l’indication spéciale et plus récente qui la dément.
B. Un fondement choisi, et ce qu’il change
Le détail le plus instructif de l’arrêt est peut-être celui qui passe le plus inaperçu. Le moyen invoquait l’article L. 133-23 du code monétaire et financier et l’article 1353 du code civil. La Cour conserve le second et substitue au premier les articles L. 133-6, alinéa 1er, et L. 133-7, alinéa 1er. Le choix est d’autant plus significatif que le rapport du conseiller rapporteur raisonnait, lui, à partir de l’article L. 133-23, dont il déduisait que la charge de prouver l’autorisation, dans la forme convenue, repose « logiquement » sur le prestataire. La chambre a préféré remonter aux textes qui définissent l’autorisation elle-même. Deux explications, qui se renforcent.
La première tient au champ d’application. L’article L. 133-23 vise notamment l’hypothèse dans laquelle l’utilisateur nie avoir autorisé une opération et impose au prestataire de prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. Il s’agit d’un régime probatoire qui porte sur l’authentification, l’enregistrement et l’intégrité technique de l’opération ; il ne suffit pas, à lui seul, à résoudre la question du périmètre du consentement. La chambre commerciale l’a rappelé le 1er juillet 2026 : l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire ne suffit pas nécessairement à prouver que l’opération a été autorisée par le payeur, et la cour d’appel qui déduit le consentement du seul recours à la forme convenue contractuellement inverse la charge de la preuve [22]. Or, dans notre espèce, la SCI ne contestait pas avoir transmis des instructions de paiement : elle contestait que le second virement eût été autorisé au profit du bénéficiaire finalement crédité. Le litige portait donc sur le périmètre du consentement, ce qui explique que la Cour ait fondé sa solution sur les articles L. 133-6, alinéa 1er, et L. 133-7, alinéa 1er.
La seconde explication est plus redoutable, et l’on ne peut que la proposer. L’article L. 133-2 autorise, sauf lorsque l’utilisateur est une personne physique agissant pour des besoins non professionnels, à déroger par contrat à un ensemble de dispositions, au nombre desquelles figurent les deux derniers alinéas de l’article L. 133-7 et, précisément, l’article L. 133-23. Une SCI n’est pas une personne physique. Fonder la règle probatoire sur l’article L. 133-23 aurait donc pu l’exposer à une clause contraire de la convention de compte. En la fondant sur les articles L. 133-6, alinéa 1er, L. 133-7, alinéa 1er, et 1353 du code civil, textes qui ne figurent pas parmi les dispositions auxquelles l’article L. 133-2 permet de déroger, la Cour paraît avoir retenu un fondement moins exposé à la liberté contractuelle. La lecture n’est pas certaine ; elle est cohérente avec la structure du chapitre et avec le soin du visa.
Si cette lecture est exacte, la conséquence est importante pour les entreprises, les professions libérales et les structures patrimoniales, qui subissent une part importante de ce contentieux et dont les conventions de compte peuvent comporter des clauses d’aménagement de la preuve. La règle probatoire ainsi dégagée paraît, sous cette réserve, échapper à une stipulation contractuelle contraire.
Le praticien se gardera toutefois de retourner l’argument sans précaution, car il peut fonctionner dans les deux sens.
Pour un utilisateur qui n’est pas une personne physique agissant à des fins non professionnelles, ce qui est gagné sur le terrain de la charge de la preuve de l’autorisation peut donc se perdre, au stade du renvoi, sur celui de la répartition des pertes, si la convention de compte l’a organisée. La lecture de la convention de compte est, ici, un préalable indispensable et non une simple formalité.
C. L’enjeu du renvoi
Il reste à mesurer l’enjeu du renvoi.
Si la cour d’appel de Lyon, autrement composée, juge le second virement non autorisé, le contentieux change de nature : il ne s’agit plus seulement d’indemniser un préjudice à proportion d’une faute, mais d’appliquer le régime spécial de remboursement. L’article L. 133-18 impose le remboursement du montant de l’opération non autorisée immédiatement après que le prestataire en a eu connaissance ou en a été informé et, en tout état de cause, au plus tard à la fin du premier jour ouvrable suivant, sous réserve notamment de l’exception prévue lorsque le prestataire a de bonnes raisons de soupçonner une fraude de l’utilisateur et communique ces raisons par écrit à la Banque de France [23].
Le même texte, depuis le 18 août 2022, assortit ce délai de pénalités de plein droit qu’il ne faut pas négliger dans le chiffrage des demandes : les sommes dues produisent intérêt au taux légal majoré de cinq points, de dix points au-delà de sept jours de retard et de quinze points au-delà de trente jours [24].
Le compte débité doit en outre être rétabli dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu, et la date de valeur ne peut être postérieure à celle du débit.
S’ajoutent les règles de l’article L. 133-19 relatives aux pertes supportées par le payeur en cas d’agissement frauduleux ou de manquement intentionnel ou de négligence grave aux obligations prévues aux articles L. 133-16 et L. 133-17 [25]. Deux réserves s’imposent sur ce point, que la pratique néglige trop souvent. La première est que l’article L. 133-19 figure dans une sous-section consacrée au « cas particulier des instruments de paiement dotés de données de sécurité personnalisées », et que les obligations des articles L. 133-16 et L. 133-17 auxquelles renvoie son IV portent sur la préservation de ces données et sur l’information aux fins de blocage de l’instrument : on aperçoit mal comment elles auraient été méconnues par un maître d’ouvrage transmettant à sa banque, par courriel, une situation de travaux et une facture.
La seconde est que la chambre commerciale a exclu, le 15 janvier 2025, tout partage de responsabilité fondé sur la négligence du payeur en dehors des prévisions du code [26]. La discussion sur la négligence grave ne se déplace donc pas, comme on le voit parfois plaider, sur le terrain de la faute de la victime.
Le débat promet d’être vif, d’autant que l’avocat général Rantos a invité la Cour de justice, dans l’affaire polonaise C-70/25, à distinguer nettement le remboursement immédiat de la répartition définitive des pertes : la banque rembourse d’abord, sauf bonnes raisons de soupçonner une fraude de l’utilisateur, et discute ensuite, au besoin en agissant en restitution [27].
Perspective : un régime en sursis
Un dernier mot, prospectif. Les faits de l’espèce datent de janvier 2020. Un virement du même ordre, aujourd’hui, ne se déroulerait plus exactement ainsi. Depuis le 9 octobre 2025, l’article 5 quater du règlement (UE) n° 260/2012, inséré par le règlement (UE) 2024/886 du 13 mars 2024 sur les virements instantanés en euros, impose aux prestataires de services de paiement établis dans un État membre dont la monnaie est l’euro de proposer au payeur, avant qu’il n’autorise le virement, un service de vérification du bénéficiaire, par rapprochement entre l’identifiant du compte et le nom du bénéficiaire ; l’échéance est fixée au 9 juillet 2027 pour les prestataires des autres États membres. En cas de discordance, le payeur doit en être informé ; et lorsque le manquement du prestataire à cette obligation a conduit à une opération mal exécutée, le règlement lui impose de restituer sans tarder le montant viré et, le cas échéant, de rétablir le compte débité [28]. Si, comme cela paraît vraisemblable au regard de la fraude décrite, le compte portugais n’était pas ouvert au nom de la société Hanny, une telle discordance aurait aujourd’hui vocation à être détectée par ce dispositif.
Le paquet DSP3-RSP, issu de l’accord politique provisoire conclu entre le Parlement européen et le Conseil le 27 novembre 2025, est appelé à aller plus loin encore, notamment en matière de remboursement de certaines fraudes par usurpation d’identité, sous réserve de son adoption définitive et des délais de mise en application [29].
L’arrêt du 9 septembre 2026 est ainsi le dernier mot d’un régime en sursis. Il n’en est que plus précieux : pour tous les dossiers nés sous l’empire du droit antérieur, et ils sont nombreux, il indique où porter l’effort. Non pas sur les anomalies que la banque aurait dû voir, mais sur l’ordre qu’elle doit produire.
Maître Yann GRÉ
Avocat au Barreau du Val-de-Marne
16, rue Paul Séjourné, 94000 Créteil
Tél. : 01 49 81 99 70
Toque PC 381
Notes
[1] Cass. com., 1er juin 2023, n° 21-19.289 et 21-21.831, F-B : « une opération de paiement initié par le payeur, qui donne un ordre de paiement à son prestataire de service de paiement, est réputée autorisée uniquement si le payeur a également consenti à son bénéficiaire » et « un ordre de virement régulier lors de sa rédaction mais dont le numéro IBAN du compte destinataire a été ultérieurement modifié par un tiers à l’insu du donneur d’ordre ne constitue pas une opération autorisée ».
[2] Rapport de M. Bailly, conseiller rapporteur, sous le pourvoi n° R 25-15.225, 10 février 2026.
[3] Rapport précité, citant R. Bonhomme, Répertoire de droit commercial, Virement, n° 31, et Cass. com., 19 juin 2007, n° 06-11.070.
[4] CJUE, 4e ch., 2 septembre 2021, DM et LR c/ Caisse régionale de Crédit agricole mutuel (CRCAM) Alpes-Provence, aff. C-337/20, spéc. points 42, 45 et 46.
[5] CJUE, 16 mars 2023, Beobank, aff. C-351/21, point 37, reproduit in extenso par Cass. com., 15 janvier 2025, n° 23-15.437, § 9 (référence ci-dessous, note 10).
[6] CJUE, 10e ch., 21 mars 2019, Tecnoservice Int. Srl c/ Poste Italiane SpA, aff. C-245/18, sur l’article 74, § 2, de la directive 2007/64/CE, disposition équivalente à l’article 88 de la directive (UE) 2015/2366.
[7] Cass. com., 24 janvier 2018, n° 16-22.336, Bull. 2018, IV, n° 8 : « si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution de l’opération de paiement qui en est la conséquence ».
[8] Cass. com., 27 mars 2024, n° 22-21.200, publié : « dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime de responsabilité » des articles L. 133-18 à L. 133-24 du code monétaire et financier. À rapprocher de Cass. com., 9 février 2022, n° 17-19.441, qui tire les conséquences de l’arrêt CRCAM.
[9] Cass. com., 23 mai 2024, n° 22-18.098 : l’article L. 133-21 est applicable « tant à l’égard du prestataire de services de paiement du donneur d’ordre qu’à celui du bénéficiaire » et la responsabilité délictuelle de l’article 1240 du code civil est écartée.
[10] Cass. com., 15 janvier 2025, n° 23-15.437, FS-B, présidé par le premier président, en formation élargie en application de l’article R. 431-5 du code de l’organisation judiciaire.
[11] Cass. com., 10 septembre 2025, n° 24-15.485.
[12] Cass. com., 20 mai 2026, n° 25-14.005, qui précise en outre que l’article L. 133-5 du code monétaire et financier « n’a ni pour objet, ni pour effet » de permettre d’engager la responsabilité du prestataire.
[13] Article 107 de la directive (UE) 2015/2366 du 25 novembre 2015, dont le paragraphe 1er énumère les dispositions auxquelles les États membres peuvent déroger ; l’article 88, transposé à l’article L. 133-21 du code monétaire et financier, n’y figure pas. Le point est relevé par le rapport précité.
[14] Cass. com., 12 juin 2025, n° 24-10.168, FS-B, § 7 : absence de doute raisonnable quant à l’interprétation de la directive (UE) 2015/2366 « en matière de responsabilité des prestataires de services de paiement à l’occasion d’opérations de paiement autorisées ».
[15] Cass. com., 2 octobre 2024, n° 23-13.282. V. également, sur l’anomalie affectant la signature de l’ordre, Cass. com., 2 mai 2024, n° 22-18.454.
[16] Conclusions du premier avocat général Le Mesle sous Cass. com., 24 janvier 2018, n° 16-22.336, citées par le rapport précité : à défaut, « l’on priverait de toute portée les dispositions de l’article L. 133-21 du code monétaire et financier ».
[17] Cass. com., 1er octobre 2025, n° 24-17.306. Comp., sur l’appréciation du devoir de vigilance hors du champ de l’article L. 133-21, Cass. com., 25 mars 2026, n° 24-18.093, F-B.
[18] Cass. com., 4 mars 2026, n° 25-11.959, F-B.
[19] P. Storrer, « Quand le devoir de vigilance du banquier s’invite à la table des opérations de paiement mal exécutées », Banque & Droit n° 226, 30 mars 2026. Sur la discussion du caractère réellement exclusif du régime européen, v. P. Lequet, « L’articulation de la responsabilité du prestataire de service de paiement et du devoir de vigilance du banquier à l’aune du droit européen : dialogue des juges ou quiproquo ? », Actu-Juridique, 21 octobre 2024.
[20] Cass. com., 30 novembre 2022, n° 21-17.614, publié.
[21] Article 142 du code de procédure civile, renvoyant aux articles 138 et 139.
[22] Cass. com., 1er juillet 2026, n° 25-13.134, F-B, rendu au visa des articles L. 133-6, L. 133-7 et L. 133-23 du code monétaire et financier.
[23] Article L. 133-18 du code monétaire et financier, dans sa rédaction en vigueur depuis le 18 août 2022. Sur le délai de contestation, article L. 133-24 du même code, dont le deuxième alinéa permet, hors le cas de la personne physique non professionnelle, de convenir d’un délai distinct des treize mois.
[24] Article L. 133-18, quatrième alinéa et 1° à 3°, du code monétaire et financier, dans sa rédaction issue de la loi n° 2022-1158 du 16 août 2022, en vigueur depuis le 18 août 2022.
[25] Article L. 133-19, IV, du code monétaire et financier, articles L. 133-16 (préservation des données de sécurité personnalisées) et L. 133-17 (information aux fins de blocage) du même code.
[26] Cass. com., 15 janvier 2025, n° 23-13.579, publié, rendu le même jour que l’arrêt n° 23-15.437.
[27] Conclusions de l’avocat général A. Rantos présentées le 5 mars 2026, aff. C-70/25 ; la procédure est toujours pendante à la date du présent commentaire.
[28] Règlement (UE) 2024/886 du Parlement européen et du Conseil du 13 mars 2024 modifiant notamment le règlement (UE) n° 260/2012, dont il insère l’article 5 quater, « Vérification du bénéficiaire dans le cas d’un virement ». Les dates d’application figurent au § 9 de cet article : 9 octobre 2025 pour les prestataires établis dans un État membre dont la monnaie est l’euro, 9 juillet 2027 pour les autres. La restitution en cas de manquement est prévue au § 8.
[29] Conseil de l’Union européenne, communiqué de presse du 27 novembre 2025, « Payment services: Council and Parliament agree to step up the fight against fraud and increase transparency ».
