Client victime d’opération non autorisée ? La banque doit rembourser d’abord, discuter ensuite

Quand son client est victime d’une opération non autorisée, la banque se doit d’abord de rembourser immédiatement l’opération de paiement non autorisée, même dans l’hypothèse d’une négligence grave de son client. Elle pourra ensuite alléguer une telle négligence pour la faire reconnaître, à charge pour elle de la prouver.

Par un arrêt du 15 octobre 2026, la Cour de justice de l’Union européenne précise l’articulation entre deux règles de la directive (UE) 2015/2366 du 25 novembre 2015 relative aux services de paiement. La première, inscrite à l’article 73, oblige la banque à rembourser sans délai l’opération que son client n’a pas autorisée. La deuxième, prévue à l’article 74, laisse toute la perte à la charge du client qui aurait commis une négligence grave. La banque peut-elle opposer la deuxième pour se soustraire à la première ?

La Cour répond par la négative : la négligence grave n’est pas une cause de dispense du remboursement, mais seulement un fondement pour réclamer ensuite que la perte soit mise à la charge définitive du client négligent. Sous des dehors techniques, la décision s’inscrit dans un contexte de protection accrue des consommateurs, de plus en plus touchés par les fraudes aux moyens de paiement.

Dans son communiqué du 7 septembre 2026, l’Observatoire de la sécurité des moyens de paiement chiffre à 516 millions d’euros le préjudice causé en France sur l’année 2025 par la fraude dite « par manipulation », en hausse de 34 % en un an. La fraude par manipulation représente ainsi 40 % du montant annuel total de fraude aux moyens de paiement. Faux acheteurs, faux conseillers, faux sites : les escrocs ne forcent plus les coffres, ils obtiennent des victimes elles-mêmes les clés de leur compte. Le phénomène n’est pas propre à la France : à l’échelle de l’Espace économique européen, la fraude aux paiements, prise dans toute l’étendue de ses méthodes, atteignait déjà 4,2 milliards d’euros en 2024 (v. European Banking Authority, Joint EBA-ECB report on payment fraud: strong authentication remains effective but fraudsters are adapting).

Reste à savoir qui, du banquier ou du client trompé, doit supporter le coût de la fraude

Telle est la question que pose la décision de la Cour de justice du 15 octobre 2026. En l’espèce, une cliente d’une banque polonaise met en vente un objet sur une plateforme d’enchères en ligne. Un prétendu acheteur lui adresse un lien supposé confirmer la vente. Ce lien conduit en réalité vers une copie du site de sa banque où, mystifiée, elle saisit ses identifiants de banque en ligne. Muni de ces données et d’un code de validation reçu par SMS, obtenu d’elle par l’effet du même stratagème trompeur, le fraudeur vire 3 000 zlotys (soit environ 705 €) de son compte vers le sien. Dès le lendemain, la victime signale l’opération à sa banque et porte plainte. La banque refuse pourtant de la rembourser : en livrant ses données de sécurité à un tiers, sa cliente aurait commis une négligence grave qui lui ferait supporter seule le coût de la supercherie. Celle-ci l’assigne en paiement devant le Tribunal d’arrondissement de Koszalin. Avant de trancher le litige, ce tribunal demande à la Cour de justice si la banque peut, au seul motif de cette négligence, se dispenser du remboursement immédiat que la directive (UE) 2015/2366 du 25 novembre 2015 impose en cas d’opération non autorisée.

La Cour répond par la négative. La banque doit rembourser d’abord, discuter ensuite.

Rembourser d’abord

Pour comprendre la solution, il faut d’abord rappeler les dispositions applicables en l’espèce.

Différentes lectures de la directive sont possibles, à la lumière de plusieurs de ses dispositions.

D’abord, l’article 69 concerne les obligations du client. L’utilisateur doit notamment, dès réception de l’instrument de paiement, prendre toutes les mesures raisonnables pour préserver la sécurité de ses données de sécurité personnalisées. Cette obligation de moyens peut fonder l’éventuelle négligence grave que la banque est susceptible de reprocher à son client (v. infra, art. 74).

Ensuite, l’article 73 prévoit l’obligation de la banque. En cas d’opération non autorisée, le prestataire du payeur lui rembourse le montant de l’opération immédiatement, et au plus tard à la fin du premier jour ouvrable suivant celui où il en a pris connaissance ou en a été informé. Une seule exception : s’il a de bonnes raisons de soupçonner une fraude du client lui-même et communique ces raisons par écrit à l’autorité nationale compétente. On comprend que l’obligation de remboursement est une obligation de résultat.

Enfin, l’article 74 sur la part de perte laissée au client. Le payeur supporte toutes les pertes, sans plafond, s’il a agi frauduleusement ou s’il n’a pas satisfait, intentionnellement ou par négligence grave, à une ou plusieurs des obligations de l’article 69. Il apparaît donc que l’obligation prévue à l’article 73 n’est pas illimitée. Encore faut-il comprendre comment s’instaurent ses limites.

En effet, et en somme, l’article 69 fixe les obligations du client. L’article 73 oblige la banque à rembourser vite. L’article 74 dit qui supporte finalement la perte, et fait peser toute la perte sur le client gravement négligent.

Comment articuler ces textes ?

Une première lecture est possible, celle de la banque. L’article 74 serait une exception à l’article 73. Rien de plus facile : si la banque estime le client gravement négligent, elle ne rembourse pas du tout. C’est alors au client, prétendant devoir être remboursé, de l’assigner et de gagner son procès pour récupérer son argent. Pour étayer l’interprétation de la banque, on observera que l’article 74 s’ouvre par les termes « par dérogation à l’article 73 ». Cet argument de texte soutiendrait l’idée que si le client gravement négligent doit supporter la perte, cela signifie que la banque ne doit pas se plier aux exigences de l’article auquel il est dérogé. Un autre pourrait poindre, l’argument d’économie, pour éviter un circuit inutile. Pourquoi rembourser une somme que l’on pourra aussitôt réclamer ? La banque fait l’économie d’un aller-retour en opposant d’emblée ce qu’elle pourrait obtenir ensuite.

Une seconde lecture, bien différente, s’infère de la directive et de ses finalités, c’est la lecture de la Cour. Les articles 73 et 74 interviennent à deux moments différents.

D’abord, la banque rembourse ! Cette obligation ne peut souffrir de refus : le paiement immédiat est dû, en toute hypothèse, au client.

Ensuite, seulement, si elle estime le client gravement négligent, elle peut lui réclamer le remboursement des pertes occasionnées, à charge pour elle de discuter la négligence qu’elle entend imputer à son client. Ainsi, selon la Cour, et contrairement à ce que soutenait la banque, l’article 74 de la directive ne dit pas que la négligence serait une exception à l’obligation de la banque, il dit seulement que la perte finira, en définitive, à la charge du client. D’ailleurs, les termes « par dérogation » ouvrent moins l’article 74 que son seul premier alinéa relatif aux pertes et vols de moyens de paiement. La lecture de la Cour de justice évoque donc l’adage solve et repete.

Cet adage, particulièrement familier du contribuable, s’applique désormais au banquier. Celui-ci doit rembourser d’abord et ne pourra discuter qu’ensuite de la négligence de son client.

Dans les deux lectures, le client négligent finit par supporter la perte. La différence porte finalement sur la question de savoir qui garde l’argent pendant le litige et sur qui doit prendre l’initiative du procès. Dans la première lecture, c’est le client qui assigne. Dans la seconde, c’est la banque, ce qui change tout à cette échelle, soit pour un litige ici de 700 €. S’ajoute bien entendu l’enjeu probatoire : le client ne doit pas être amené à devoir discuter la preuve de la négligence avant tout remboursement. Cela reviendrait finalement à instaurer un filtre dans le droit du consommateur, en contraignant ce dernier à prouver que le remboursement lui est dû. Voilà une interprétation contraire à l’esprit de la directive et plus spécialement de son article 73. Ce qui ressort donc de la solution dégagée par la Cour est une situation procédurale et probatoire plus confortable pour le client consommateur, en cohérence avec les objectifs de protection voulus par le droit de l’Union.

Car, s’il était privé de remboursement, le consommateur devrait non seulement supporter l’initiative et les coûts (non rentables) du procès, mais manifestement discuter la décision unilatéralement prise par la banque, de retenir contre lui une négligence privative de remboursement. Concernant le recours éventuel à la médiation, l’expérience française révèle que les fraudes aux moyens de paiement représentent environ 80 % des saisines recevables du médiateur auprès de la Fédération bancaire française (Le médiateur FBF, Rapport d’activité 2024, p. 4), qui relève que la règle du remboursement est « inégalement appliquée » (p. 7) et que les délais de traitement, de l’ordre de 229 jours, ne sont « pas satisfaisants » (p. 5).

Du point de vue de la banque, sur le plan purement comptable, la solution pourrait sembler néanmoins peu pragmatique. En effet, elle oblige la banque à rembourser une somme pour immédiatement en demander la restitution… Dans la perspective technique du seul rapport d’obligation, il peut sembler perturbant qu’un débiteur ne puisse pas opposer toute exception ou une éventuelle compensation (entre les créances de remboursement) à son créancier.

Toutefois, sur le plan de la politique juridique, la Cour garantit ici la bonne exécution par les banques de leurs obligations. En substance, la négligence suspectée ne doit pas permettre à la banque de s’affranchir des obligations que lui impose le droit de l’Union. Surtout, elle ne doit pas faire peser par principe, sur le consommateur, la contrainte de devoir faire valoir des droits garantis par le truchement d’une obligation de résultat. Ainsi, en cas de fraude, il faut dissocier les raisonnements :

  • il y aurait, d’une part, une logique purement contractuelle, dans laquelle la banque doit honorer, ipso jure, ce qui s’apparente à une obligation automatique de remboursement, décorrélée de toute faute du client. C’est l’article 73 de la directive qui donne au prestataire financier une posture semblable à celle d’un garant à première demande ;
  • il y aurait, dans un second temps, une logique de responsabilité, par laquelle la banque peut, a posteriori, reprocher à son client la violation grave de ses propres obligations, entraînant comme sanction la charge définitive des pertes occasionnées par de telles violations. C’est l’article 74, combiné à l’article 69.

On comprend bien alors que la banque ne peut compenser par anticipation les créances de remboursement : elle doit s’acquitter de ce qu’elle doit, qui est certain, dans l’attente d’exiger le paiement d’une créance encore incertaine (car soumise à la preuve de la négligence).

Dans cette double logique, la responsabilité du client n’est donc pas opposable par la banque qui souhaiterait s’exonérer de son obligation de remboursement.

Cette répartition rejoint également l’analyse de ceux qui voient dans la fraude un risque inhérent à la banque numérique. Les établissements qui offrent, voire imposent, à leur clientèle, familière ou non, des outils numériques et la dématérialisation des paiements, doivent en assumer les possibles dérives, à la manière d’un « risque industriel » (D. Legeais, RTD com. 2024. 979 , rappelant que même les « personnes plus averties peuvent se laisser prendre tant les tromperies sont habiles » ; rappr. RTD com. 2023. 201 ; ibid. 2025. 173 ).

L’arrêt du 15 octobre 2026 s’accorde avec cette approche par la théorie des risques : le risque pèse sur la banque au moins jusqu’à ce qu’elle fasse reconnaître la faute de son client.

Discuter ensuite

Une fois le remboursement effectué, la banque pourra donc alléguer la négligence grave du client pour espérer faire peser sur lui la charge de la perte.

A priori, la banque ne devra pas se contenter d’ordonner une contre-passation de l’opération de remboursement. En effet, non seulement cela serait contraire à la solution dégagée par l’arrêt du 15 octobre 2026, dès lors que la contre-passation reviendrait à évincer son obligation de remboursement ; mais un tel acte semble aussi peu compatible avec l’encadrement de la contre-passation unilatérale (v. not., Com. 24 nov. 2021, n° 20-10.044, D. 2022. 268 , note J. Lasserre Capdeville ; ibid. 1828, obs. D. R. Martin et H. Synvet ; RTD com. 2022. 133, obs. D. Legeais ). La clause éventuelle qui autoriserait cette hypothèse, prévue dans la convention de compte, semblerait pour sa part illicite.

De plus, la contre-passation unilatérale ne suppose pas de conditionnement par la preuve de la négligence, laquelle devra se jouer devant un juge ou un médiateur. Encore faut-il savoir ce que la banque devra discuter exactement.

Quelle consistance donner alors à la négligence grave ?

L’arrêt ne touche pas à la question de la définition de la négligence grave, que la directive n’énonce pas et que la Cour de justice se borne à décrire comme une violation caractérisée d’une obligation de diligence (CJUE 1er août 2025, Veracash, aff. C-665/23, Dalloz actualité, 12 sept. 2025, obs. C. Hélaine ; D. 2025. 1726 , note J. Lasserre Capdeville ; ibid. 2026. 1771, obs. H. Synvet et A.-C. Muller ; rappr., Dir. [UE] 2015/2366, consid. 72, « la négligence grave devrait impliquer plus que de la simple négligence et comporter un défaut de vigilance caractérisé »), laquelle s’apprécie in concreto et conformément au droit national (consid. 72, préc.). Dans la jurisprudence interne, la compréhension de la négligence se construit ainsi au cas par cas (H. Synvet et A.-C. Muller, Droit bancaire, D. 2026. 1771 ). Le juge doit notamment rechercher si l’utilisateur pouvait avoir conscience du caractère frauduleux du message auquel il a répondu (Com. 25 oct. 2017, n° 16-11.644, Dalloz actualité, 7 nov. 2017, obs. X. Delpech ; D. 2017. 2465 , note F. Mélin ; Dalloz IP/IT 2018. 256, obs. N. Kilgus ; RTD civ. 2018. 485, obs. N. Cayrol ) ; la négligence caractérisée est exclusive de toute appréciation de sa bonne foi (Com. 1er juill. 2020, n° 18-21.487, Dalloz actualité, 31 août 2020, obs. C. Bonnet ; D. 2020. 1452 ; RTD com. 2020. 696, obs. D. Legeais ). L’appréciation se fait nécessairement au regard du mode opératoire. Le spoofing (usurpation d’identité), qui fait apparaître le numéro de la banque, crée la confiance et diminue ipso facto, légitimement, la vigilance du client (Com. 23 oct. 2024, n° 23-16.267, Dalloz actualité, 5 nov. 2024, obs. C. Hélaine ; D. 2024. 2090 , note P. Storrer ; ibid. 2025. 1852, obs. H. Synvet et A.-C. Muller ; AJ pénal 2024. 578 et les obs. ; RTD com. 2024. 979, obs. D. Legeais ). Mais la réception de messages contradictoires peut suffire à alerter le client (Com. 4 mars 2026, n° 24-19.588, Dalloz actualité, 16 mars 2026, obs. T. Gérard ; D. 2026. 428 ; RTD com. 2026. 473, obs. D. Legeais ). À l’inverse, l’entreprise dont la salariée a suivi les instructions d’un faux conseiller n’a pas nécessairement commis de négligence grave (Com. 12 juin 2025, n° 24-13.777, Dalloz actualité, 19 juin 2025, obs. C. Hélaine ; D. 2025. 1870 , note P. Storrer ; RTD com. 2025. 762, obs. D. Legeais ) : tout dépend du faisceau d’éléments que les juges du fond doivent relever et confronter.

L’usage d’un dispositif d’authentification fort, tel que « 3D Secure », ne prouve pas, à lui seul, la négligence (Com. 12 juin 2024, n° 22-21.981). Globalement, la Cour de cassation n’exerce qu’un contrôle qui laisse toute sa place à l’appréciation in concreto des juges du fond. La doctrine s’est attachée à en recenser des critères : la nature de l’acte accompli par la victime (simple communication de données ou validation d’une opération), le canal employé et la finesse de la manœuvre, l’âge, les aptitudes et l’aisance numérique du client, le montant en jeu ou encore le délai de découverte de la fraude (D. Legeais, RTD com. 2024. 979 ).

L’arrêt du 15 octobre 2026 n’enrichit pas ce contentieux mais rappelle, par sa mise en perspective, la bienveillance certaine avec laquelle la jurisprudence évalue le défaut de vigilance en matière d’opérations non autorisées.

Sur le principe, on aurait tort de croire que la vigilance attendue du client en sort diminuée. Il faut se rappeler que le texte exige un standard de « gravité », de sorte que les juges ne peuvent ni ne doivent adopter une conception souple de la négligence.

De plus, des devoirs incombent au client sollicitant un remboursement. Par exemple, le client qui tarde, délibérément ou par négligence grave, à signaler une opération perd bien son droit au remboursement, du moins pour les opérations qu’il a ainsi tardé à signaler (CJUE 1er août 2025, aff. C-665/23, préc. ; Com. 14 janv. 2026, n° 22-14.822, Dalloz actualité, 21 janv. 2026, obs. J. Bruschi ; D. 2025. 1726 , note J. Lasserre Capdeville ; ibid. 2026. 1771, obs. H. Synvet et A.-C. Muller ). C’est que le signalement conditionne le droit lui-même : l’article 73 de la directive s’applique « sans préjudice de l’article 71 » relatif au délai pour signaler.

On rappellera aussi qu’une exception vaut pour neutraliser à proprement parler l’obligation de remboursement immédiat, et la Cour de justice en fait le rappel : lorsque le prestataire de services de paiement a de bonnes raisons de soupçonner une fraude commise par le client et communique ces raisons par écrit à l’autorité nationale compétente.

Sur le plan probatoire, on pourrait se préoccuper de ce que la situation de la banque semble généralement désavantagée, la preuve de la négligence étant difficile à rapporter. Toutefois, le recours à la théorie du risque justifie ici que le phénomène des fraudes liées aux nouvelles technologies de paiement supporté par la banque qui propose de tels services technologiques. La doctrine fait alors justement remarquer qu’en mettant en perspective le modèle économique sur lequel reposent les services bancaires, le risque considéré est « en réalité supporté par la clientèle grâce aux frais divers facturés » (v. D. Legeais, art. préc.).

Enfin, considérant la fonction normative du droit de l’Union, le risque qui pèse sur la banque encourage celle-ci à déployer tous les moyens permettant de sécuriser les paiements. Il en va de même des politiques publiques de lutte contre la fraude et, sur ce dernier point, le ministère de l’Économie (répondant à une question adressée à la Chancellerie, Fraudes à la carte bancaire sur internet, Question écrite n° 2026, JO 19 nov. 2024, p. 6049 ; Réponse, JO 3 juin 2025, p. 4288) a affirmé que « le niveau général de remboursement des utilisateurs a peu évolué à ce jour » tout en annonçant qu’un futur règlement européen (sans doute la Proposition de règlement du Parlement européen et du Conseil concernant les services de paiement dans le marché intérieur et modifiant le règlement [UE] nº 1093/2010, COM/2023/367) devrait venir renforcer le droit au remboursement des victimes, pour une meilleure lutte contre la fraude.

 

par Hania Kassoul, Maîtresse de conférences en droit privé et sciences criminelles HDR - Université Côte d'Azur

CJUE 15 oct. 2026, aff. C-70/25

Source

© Lefebvre Dalloz