Le devoir de réaction de l’utilisateur d’un service de paiement

22.01.2026

L’utilisateur d’un service de paiement doit signaler, sans tarder, une opération de paiement non autorisée à son prestataire dès lors qu’il en a connaissance, signalement qui ne saurait excéder un délai butoir de treize mois sous peine de forclusion.

Depuis quelques années, le droit semble parfois perdre la cohérence de son propre temps. De nombreux délais viennent concurrencer la prescription, son cadre naturel, si bien que les droits subjectifs s’enferment dans des délais toujours plus nombreux, à la nature indéfinie, et qui s’imbriquent à la manière d’une poupée russe. Un délai de dénonciation est d’abord enfermé dans un délai de forclusion, qui s’insère lui-même dans un délai plus général de prescription. L’imbrication est telle, que le respect du premier conditionne l’effectivité des suivants. Tel est le rythme contractuel qu’impose le droit des instruments de paiement à ses utilisateurs qui trouveront, dans l’arrêt du 14 janvier 2026, la réponse attendue, mais prévisible, à la question du délai de contestation d’une opération de paiement non autorisée.

En l’espèce, la société Veracash, un prestataire de service de paiement, est spécialisée dans l’épargne adossée aux métaux précieux. Elle a pour particularité d’offrir une carte de paiement adossée au compte ouvert dans ses livrets. Son client, en l’espèce, bien qu’il n’ait ni demandé ni reçu cette carte, s’était étonné d’un certain nombre de retraits quotidiens intervenus du 30 mars au 17 mai 2017. Le client a alors assigné le prestataire en remboursement et en paiement de dommages-intérêts. Les juges l’ont débouté de sa demande au motif qu’il n’avait pas réagi suffisamment vite pour dénoncer l’opération de paiement non autorisée. Il avait, en effet, attendu plus de deux mois après le premier retrait pour s’en émouvoir. Le pourvoi en cassation s’est accompagné d’une procédure complexe. Le demandeur soutenait, d’une part, que l’article L. 133-24 du code monétaire et financier, qui impose à l’utilisateur de signaler sans tarder une opération de paiement non autorisée est enfermé dans un délai de forclusion de treize mois qui n’était pas accompli à la date de la dénonciation. Il soutenait, d’autre part, que le délai de dénonciation devait nécessairement s’apprécier à partir de la date de la connaissance, par le débiteur, de l’opération de paiement non autorisée et non celle du débit initial. Dès lors, il était encore dans les temps et la cour d’appel avait privé sa décision de base légale. Le second moyen contestait enfin l’appréciation des juges du fond qui avaient, de surcroît, considéré que le débiteur s’était rendu coupable d’une négligence grave.

Face aux difficultés d’interprétation, la Cour de cassation (Com. 8 nov. 2023, n° 22-14.822) a décidé de renvoyer plusieurs questions préjudicielles dont la principale est aussi la problématique de l’arrêt commenté :

« Comment articuler les deux délais prévus à l’article L. 133-24 du code monétaire et financier issu de l’article 58 de la directive 2007/64/CE ? Le premier, non quantifié et adossé à un standard, qui impose de réagir "sans tarder" et le second, déterminé et implacable, de treize mois ? »

La Cour de justice de l’Union européenne avait apporté ses réponses dans un arrêt du 1^er août 2025 (CJUE 1^er août 2025, aff. C-665/23, Dalloz actualité, 12 sept. 2025, obs. C. Hélaine ; D. 2025. 1726 , note J. Lasserre Capdeville ) en privilégiant une dissociation des deux délais qui s’articulaient de la manière suivante : le premier est un délai de dénonciation qui commence à courir à partir du moment où l’utilisateur a connaissance de l’opération non autorisée, délai glissant qui ne peut dépasser un délai de forclusion de treize mois qui rejoue ici un rôle identique au délai butoir. Dans tous les cas, aucun paiement ne peut avoir lieu si l’absence de réaction de l’utilisateur de paiement est le résultat d’une fraude ou d’une négligence grave. Par conséquent, en s’appuyant sur les réponses apportées par les magistrats européens, la chambre commerciale censure l’arrêt d’appel en ce qu’il n’a pas apprécié la tardiveté de la réaction de l’utilisateur au regard de sa connaissance de l’opération non autorisée, et qu’il a, par des motifs insuffisants, conclu à une négligence grave de l’utilisateur. Dans les deux cas, la cour d’appel n’avait pas donné de base légale à sa décision.

L’arrêt fixe ainsi principalement le régime de l’articulation des délais pour les opérations non autorisées et, revient, à titre résiduel, sur la question de la négligence grave.

L’articulation des délais de signalement d’une opération de paiement non autorisée

L’arrêt du 14 janvier 2026 est un chaînon particulier d’une jurisprudence abondante sur la question de la contestation du paiement non autorisé. Habituellement, ce sont plutôt les hypothèses de fraude et leur articulation avec le droit des instruments de paiement qui font couler le plus d’encre (v. par ex., Com. 19 nov. 2025, n° 24-19.776, n° 24-17.780, n° 24-17.056 et n° 24-18.534, Dalloz actualité, 27 nov. 2025, obs. M. Zaffagnini ; D. 2025. 1972 ; 23 oct. 2024, n° 23-16.267, Dalloz actualité, 5 nov. 2024, obs. C. Hélaine ; D. 2024. 2090 , note P. Storrer ; ibid. 2025. 1852, obs. H. Synvet et A.-C. Muller ; AJ pénal 2024. 578 et les obs. ; RTD com. 2024. 979, obs. D. Legeais ) mais la question de l’articulation des délais refait ponctuellement surface (Com. 2 juill. 2025, n° 24-16.590, Dalloz actualité, 10 juill. 2025, obs. C. Hélaine ; D. 2025. 1204 ; RTD com. 2025. 766, obs. D. Legeais ) et souligne le besoin d’une interprétation précise et rassurante pour la pratique et les utilisateurs. Pour y voir plus clair, rappelons le régime de la contestation d’une opération de paiement non autorisée. Les opérations non autorisées sont définies par l’article L. 133-6 du code monétaire et financier comme celles pour lesquelles le payeur n’a pas donné son consentement. Les textes offrent une protection optimale à l’utilisateur d’un instrument de paiement, puisqu’il ne supporte aucune conséquence financière résultant de l’opération. Pour en bénéficier, il ne doit avoir commis aucun agissement frauduleux ou acte de négligence grave. Lorsque tel est le cas, l’article L. 133-24 du code monétaire et financier dispose qu’il doit signaler sans tarder à son prestataire de services de paiement une opération de paiement non autorisée dans un délai de treize mois suivant la date de débit sous peine de forclusion (« faire opposition », dans le langage courant).

C’est ce dernier texte qui était susceptible de deux interprétations. D’une part, la première branche du premier moyen tente d’arguer que l’utilisateur d’un instrument de paiement dispose d’un délai de treize mois pour contester une opération non autorisée. Autrement dit, la prompte réaction doit s’entendre comme une réaction qui ne saurait excéder treize mois, peu important le moment exact du signalement. Cette interprétation est clairement rejetée par la Cour de justice, puis par la Cour de cassation qui juge que le moyen n’est pas fondé. D’autre part, et c’est ce qu’ont fait les juges européens et nationaux, il était possible d’interpréter le texte en ce sens que le délai de dénonciation dispose d’un point de départ glissant qui ne saurait excéder un délai forclusion butoir de treize mois. Ce point de départ glissant s’apprécie au regard de la connaissance par l’utilisateur de l’opération non autorisée – c’est alors que se déclenche son devoir de réaction.

Précisons, enfin, que la même Cour (Com. 2 juill. 2025, n° 24-16.590, préc.) a jugé que le délai de l’article L. 133-24 du code monétaire et financier n’est pas un délai d’action mais un délai imposé à l’utilisateur pour contester un paiement. Une fois dénoncé, l’utilisateur a toute liberté pour agir contre le prestataire dans le délai de droit commun. Il est ainsi frappant de voir qu’à l’intérieur même du délai de prescription, un mécanisme concurrent, qui ne porte pas le même nom, mais qui obéit au même régime et aboutit au même résultat, évolue en son sein. L’essor, dans de nombreuses branches du droit, d’un devoir de réaction (J. Bruschi, Le devoir de réaction du contractant, N. Balat [dir.], thèse, Aix-Marseille, 2022) qui impose, en dehors de la prescription, au contractant de se prévaloir en temps utile d’un droit sous peine de s’en voir privé trouve ici parfaite illustration. La solution est enfin pleinement compréhensible au regard de l’esprit de la directive qui vise à limiter le risque de démultiplication d’opérations de ce type. Ce délai peut, en effet, sembler excessivement court. Mais il est nécessaire pour trouver l’équilibre entre le besoin de protection de l’utilisateur et la responsabilité élargie du prestataire de service de paiement. Il faut y voir une forme, pour l’utilisateur, de devoir de minimiser son propre dommage.

L’absence de négligence grave de l’utilisateur du service de paiement

Le second moyen s’interrogeait sur le comportement de l’utilisateur auquel les juges du fond avaient reproché des actes de négligences graves. En effet, il aurait agi « par imprudence et négligence » en ce qu’il n’avait pas veillé à empêcher « un tiers d’avoir accès à sa boîte aux lettres ni à préserver la confidentialité de son identifiant et de sa clé secrète ni à contacter immédiatement la société Veracarte d’une utilisation effectuée à son insu » (pt n° 15 nous soulignons).

On le voit, pour les juges du fond, l’absence de réaction de l’utilisateur dans le cadre du devoir de signaler l’opération non autorisée est intimement liée à celle, plus générale, de négligence grave. En l’espèce selon eux, non seulement le demandeur avait objectivement signalé l’illicéité tardivement, mais, de surcroît, cette inertie s’inscrivait dans un florilège de négligences plus générales. Sur ce point encore, l’arrêt est cassé en ce qu’il s’est déterminé par des motifs insuffisants à caractériser la négligence grave de l’utilisateur, et notamment le point de savoir dans quelles conditions le tiers avait eu accès à son identifiant et à sa clé secrète.

Mais, pour rattacher ce point de l’arrêt avec les questions préjudicielles et mieux comprendre l’appréciation de la négligence grave dans le cas précis d’une tardiveté de signalement, souvenons-nous que la Cour de justice a apporté la précision suivante : « lorsqu’est en cause une opération de paiement non autorisée consécutive à l’utilisation d’un instrument de paiement perdu, volé ou détourné ou à toute utilisation non autorisée d’un tel instrument, et que cette opération a été signalée par le payeur à son prestataire de services de paiement dans les treize mois suivant la date de débit, ce payeur n’est, en principe et sauf agissement frauduleux de sa part, privé de son droit d’obtenir la correction effective de ladite opération que s’il a tardé à signaler celle-ci à son prestataire de services de paiement de manière intentionnelle ou à la suite d’une négligence grave consistant en une violation caractérisée d’une obligation de diligence » (pt n° 9).

La Cour de justice insiste ici sur le lien entre la négligence grave et l’obligation de diligence. Autrement dit, quand bien même l’utilisateur aurait réagi en temps utile face à une opération non autorisée, les circonstances de la tardiveté doivent aussi être appréciées et porter en elles de nouvelles causes de négligences graves. On regrettera ici que la Cour de cassation ne se prononce que sur des mesures de sécurité générales sans demander aux juges du fond d’apprécier les circonstances de la diligence. Si la tardiveté en elle-même ne saurait constituer, à elle seule, une négligence grave, gageons que les circonstances qui l’entourent pourront créer de nouveaux cas de négligence grave : un utilisateur qui ne surveille pas ses courriels, ou bien celui qui n’ouvre pas les messages vocaux de son prestataire.

Finalement, pour boucler la boucle avec le droit de la prescription, risquons l’interprétation suivante : l’utilisateur doit dénoncer l’opération dès lors qu’il en a connaissance, ou qu’il aurait dû en avoir connaissance…

Com. 14 janv. 2026, FS-B, n° 22-14.822

par Jean Bruschi, Maître de conférences à l’Université Paris VIII Vincennes Saint-Denis