Afficher le sommaire Masquer le sommaire
Un faux acheteur, un lien qui imite le site de votre banque, des identifiants saisis en confiance : le scénario de l’hameçonnage est devenu banal, et la réponse de la banque l’est souvent aussi. Elle refuse de rembourser en invoquant la négligence grave du client qui a livré ses codes. Le 15 octobre 2026, la Cour de justice de l’Union européenne a jugé que ce motif ne permettait pas de différer le remboursement.
L’hameçonnage désigne la manœuvre par laquelle un fraudeur obtient vos données bancaires en se faisant passer pour un tiers de confiance. Les fuites de données de l’été 2026, de la fuite touchant la DGFiP, qui concerne 678 000 personnes, aux trois millions de numéros exposés de Bloctel, en fournissent la matière première. L’opération qui en résulte est dite non autorisée, puisque vous ne l’avez pas ordonnée vous-même, et elle relève d’un régime fixé par la directive (UE) 2015/2366 sur les services de paiement, que le Code monétaire et financier transpose en droit français. Qui supporte la perte, et à quel moment la banque doit-elle rendre l’argent ?
Une question posée par un tribunal polonais sur 700 euros
L’affaire C-70/25 part d’un litige de faible montant. Une cliente polonaise avait mis un objet en vente sur une plateforme en ligne. Un prétendu acheteur lui a transmis un lien qui menait à une imitation du site de sa banque, où elle a saisi ses identifiants. Le fraudeur a récupéré le code de confirmation reçu par SMS et viré environ 700 €, soit 3 000 zlotys, vers son propre compte.
À lireHeures creuses saisonnalisées : ce que le TURPE 7 change pour les abonnés à partir de novembre 2026La cliente a signalé la fraude à sa banque et à la police dès le lendemain. La banque a refusé le remboursement, au motif qu’elle avait manqué à son devoir de conserver avec diligence son instrument de paiement. Saisi du litige, le tribunal d’arrondissement de Koszalin a interrogé la Cour sur la portée des articles 69, 73 et 74 de la directive, qui fixent les obligations du client et la responsabilité de chacun.
Selon le communiqué de presse n° 147/26 de la Cour de justice, la réponse est nette : une négligence grave, même établie, ne permet pas de refuser le remboursement immédiat. Cette lecture renvoie directement aux règles françaises qui transposent la directive.
Les règles du Code monétaire et financier en jeu
La directive interprétée par la Cour a été transposée par l’ordonnance n° 2017-1252 du 9 août 2017. Quatre articles du Code monétaire et financier, déjà applicables aux paiements par carte et aux virements, organisent le sort d’une opération contestée :
- l’article L133-18 impose à la banque de rembourser l’opération non autorisée immédiatement, et au plus tard à la fin du premier jour ouvrable suivant son signalement ;
- le même article ne prévoit qu’une exception, lorsque la banque a de bonnes raisons de soupçonner une fraude du client et les communique par écrit à la Banque de France ;
- l’article L133-19 laisse au client toutes les pertes en cas d’agissement frauduleux de sa part ou de manquement, intentionnel ou par négligence grave, à ses obligations de sécurité ;
- l’article L133-23 fait peser sur la banque la preuve de la fraude ou de la négligence grave, et précise que l’enregistrement de l’opération ne suffit pas à l’établir.
Ces textes ouvrent au client un délai de 13 mois à compter du débit pour contester, ramené à 70 jours pour un paiement effectué hors de l’Espace économique européen, comme le rappelle la fiche de Service-Public consacrée à la fraude par internet. La difficulté tenait à l’articulation entre ces règles.
Rembourser d’abord, contester ensuite
Deux lectures s’opposaient. La première autorisait la banque qui estimait le client gravement négligent à conserver les fonds jusqu’à ce que la question soit tranchée. La seconde séparait les deux temps : la restitution immédiate, puis le débat sur la faute. La Cour a retenu la seconde, en faisant de la négligence grave un moyen de récupérer la perte, et non un motif pour ne pas la rembourser.
Il appartient au prestataire de services de paiement de prouver l’existence d’une telle négligence grave du client.
Cour de justice de l’Union européenne, communiqué de presse n° 147/26 du 15 octobre 2026 sur l’arrêt C-70/25
La banque garde donc un recours. Elle peut agir contre son client pour obtenir le reversement des sommes, mais c’est à elle de démontrer la faute, et la seule exécution de l’opération avec vos codes ne vaut pas preuve. Cette répartition déplace le coût du litige : c’est l’établissement, et non la victime, qui doit prendre l’initiative d’une action. Encore faut-il que l’opération soit qualifiée de non autorisée.
La qualification de l’opération décide du régime applicable
L’arrêt ne vaut que pour les opérations que le client n’a pas lui-même ordonnées. Le tableau ci-dessous, établi à partir du communiqué de la Cour, de l’actualité publiée par Service-Public le 2 novembre 2026 et des articles L133-18 à L133-23, situe quatre cas fréquents au regard de ces règles :
| Situation | Qualification | Remboursement immédiat | Ce que la banque peut faire ensuite |
|---|---|---|---|
| Codes saisis sur un faux site, virement effectué par le fraudeur | Opération non autorisée | Oui, même en cas de négligence grave alléguée | Agir contre le client en prouvant sa négligence grave |
| Carte perdue ou volée, utilisée avant l’opposition | Opération non autorisée | Oui | Laisser à la charge du client 50 € au plus, ou la totalité s’il prouve une négligence grave |
| Virement ordonné par le client lui-même sous la pression d’un faux conseiller | Opération autorisée | Non couvert par l’arrêt | Le litige relève d’autres règles |
| Soupçon sérieux de fraude du client | Opération contestée | Non, si les raisons sont communiquées par écrit à la Banque de France | Refuser dans l’attente, motifs à l’appui |
La ligne de partage se situe entre une opération exécutée à votre insu et un ordre donné par vous, même sous l’effet d’une manipulation. Service-Public le relève explicitement : les virements que la victime réalise elle-même, par exemple sur les instructions d’un faux conseiller bancaire, restent en dehors de la solution retenue par la Cour.
Les points que l’arrêt laisse ouverts
La Cour ne définit pas la négligence grave. Le texte de l’arrêt du 15 octobre 2026 publié sur EUR-Lex porte sur le moment du remboursement et sur la charge de la preuve, et laisse aux juridictions nationales l’appréciation de la faute dans chaque affaire. Savoir si la saisie de codes sur un site frauduleux constitue une négligence grave reste une question de fait, tranchée au cas par cas.
L’interprétation donnée par la Cour s’impose aux juges des États membres lorsqu’ils appliquent les textes issus de la directive, et donc aux articles L133-18 et suivants. Elle ne fixe pas, en revanche, le montant qu’une banque pourra récupérer au terme d’une action, ni les éléments qui suffiront à prouver la faute, qui dépendent de chaque dossier. La chronologie du signalement prend alors toute son importance.
Un signalement daté, condition de tout le reste
Dans l’affaire jugée, la cliente avait alerté sa banque et la police le lendemain de l’opération. Ce point n’est pas accessoire : l’obligation de remboursement immédiat suppose un signalement sans retard injustifié, et le délai de 13 mois borne toute contestation. Un numéro d’opposition, un récépissé de plainte et la date de chaque démarche forment la trace sur laquelle repose ensuite le débat sur la faute.
À lireExpulsion d’un réfugié : le Conseil d’État distingue la décision et l’éloignement (décision du 14 octobre 2026)Le rapport de force entre une banque et son client se joue désormais sur la preuve plutôt que sur la trésorerie. Lorsque l’établissement refuse malgré tout de rembourser ou engage une action pour récupérer les sommes, un avocat en droit bancaire est compétent pour apprécier la qualification de l’opération et la portée de cette jurisprudence.