Fraude en ligne : la banque est tenue de rembourser immédiatement une opération de paiement non autorisée

« Vous avez communiqué vos identifiants, vous avez commis une négligence grave, nous ne vous rembourserons pas. » Cette réponse, de nombreuses victimes de fraude bancaire l'ont reçue de leur banque. Par un arrêt du 15 octobre 2026 (CJUE, 1^re chambre, N.O. c/ PKO BP S.A., aff. C-70/25), la Cour de justice de l'Union européenne y met un coup d'arrêt : la banque doit d'abord rembourser l'opération non autorisée, et ne peut discuter de la faute de son client qu'ensuite.

Décryptage de la décision, de son raisonnement et de ses conséquences concrètes pour les victimes de phishing, de piratage de compte ou d'usage frauduleux de leurs données bancaires.

Arrêt CJUE C-70/25 : ce qu’il faut retenir sur le remboursement des fraudes bancaires

• En cas d'opération de paiement non autorisée, la banque doit rembourser le client immédiatement, et au plus tard à la fin du premier jour ouvrable suivant le signalement.
• La banque ne peut pas refuser ce remboursement au motif que le client aurait commis une négligence grave (par exemple en saisissant ses identifiants sur un faux site).
• Une seule exception est admise : la banque a de bonnes raisons de soupçonner une fraude du client lui-même et communique ces raisons par écrit à l'autorité nationale (en France, la Banque de France).
• Le remboursement n'est pas nécessairement définitif : la banque peut ensuite réclamer les sommes au client, à condition de prouver sa négligence grave.
• La charge de l'initiative et de la preuve pèse donc sur la banque, et non plus sur la victime.

Les faits : un hameçonnage sur une plateforme de vente en ligne

La requérante, titulaire d'un compte courant auprès d'une banque polonaise, avait mis en vente un objet sur un site d'enchères en ligne. Un prétendu acheteur lui a adressé un lien censé confirmer la vente. Ce lien la dirigeait vers une copie du site de sa banque, sur laquelle elle a saisi ses identifiants de banque en ligne.

Grâce à ces données, l'escroc a viré 3 000 zlotys (environ 705 euros) vers son propre compte, en validant l'opération avec un code de confirmation reçu par SMS, que la victime lui avait communiqué sous l'effet de la tromperie.

Dès le lendemain, la cliente a signalé la fraude à sa banque et à la police. La banque a refusé de la rembourser, estimant qu'elle avait, par négligence grave, manqué à son obligation de préserver ses données de sécurité. La victime a alors saisi le tribunal d'arrondissement de Koszalin, qui a interrogé la Cour de justice par une décision du 23 janvier 2025.

Négligence grave du client : la banque peut-elle refuser le remboursement ?

La juridiction polonaise demandait, en substance, si les articles 73 et 74 de la directive (UE) 2015/2366 (dite DSP2) permettent à une banque de refuser le remboursement immédiat d'une opération non autorisée lorsque le client a rendu cette opération possible par une négligence grave.

Deux thèses s'opposaient :

• Pour la banque, la négligence grave du client l'exonère de son obligation de rembourser, et elle peut elle-même apprécier si cette négligence est caractérisée.
• Pour la victime, et pour le juge polonais, seul un soupçon de fraude du client, signalé aux autorités, autorise un refus de remboursement immédiat.

Le juge de renvoi relevait un constat révélateur : les tribunaux polonais n'étaient jamais saisis par des banques réclamant des fonds à des clients négligents, mais très souvent par des clients réclamant un remboursement refusé. Autrement dit, l'exception était devenue la règle en pratique, et c'était au consommateur de supporter le coût et la charge du procès.

Opération non autorisée : un remboursement immédiat obligatoire

La Cour donne raison à la victime. Le dispositif de l'arrêt est sans ambiguïté : un prestataire de services de paiement ne peut pas refuser de rembourser immédiatement le montant d'une opération non autorisée au motif que le payeur l'aurait rendue possible par une négligence grave, en violation des obligations de l'article 69 de la directive.

Une seule exception : le soupçon de fraude du client

L'article 73, paragraphe 1, de la directive ne prévoit qu'une hypothèse dans laquelle la banque peut différer le remboursement : lorsqu'elle a de bonnes raisons de soupçonner une fraude et qu'elle communique ces raisons par écrit à l'autorité nationale compétente. La Cour en déduit qu'aucune exception n'est prévue pour la simple suspicion de négligence grave.

La distinction est essentielle : la fraude suppose un comportement malhonnête du client (par exemple, simuler un piratage pour se faire rembourser), alors que la négligence grave vise une imprudence caractérisée, sans intention de tromper. Une victime de phishing relève, au pire, de la seconde catégorie.

La négligence grave intervient dans un second temps

La Cour ne supprime pas pour autant la responsabilité du client négligent. Elle sépare deux questions :

• Le remboursement immédiat (article 73) : il intervient d'abord, sans attendre.
• La charge finale des pertes (article 74) : elle se règle ensuite. Si la banque démontre que le client a manqué, intentionnellement ou par négligence grave, à ses obligations de sécurité, elle peut lui réclamer les sommes remboursées.

Concrètement, c'est désormais à la banque de prendre l'initiative de récupérer les fonds, et non à la victime d'agir en justice pour les obtenir.

Pourquoi la CJUE écarte la négligence grave comme motif de refus

L'intérêt de l'arrêt tient aussi à sa méthode. La Cour reconnaît que le texte de l'article 74 n'est pas univoque (point 38) : il pouvait être lu soit comme une exception au remboursement immédiat, soit comme une règle portant uniquement sur le caractère définitif du remboursement. Elle tranche en faveur de la seconde lecture en mobilisant quatre arguments convergents.

• L'argument de texte : l'article 73 ne prévoit qu'une seule exception, le soupçon de fraude signalé à l'autorité nationale (points 33 et 34).
• L'argument de contexte : le considérant 71 de la directive ne vise que la fraude, et l'article 72, paragraphe 2, fait peser sur la banque la preuve de la négligence grave. Laisser la banque trancher seule la question de la négligence serait incohérent avec cette répartition de la preuve (points 39 à 42).
• L'argument de finalité : la directive vise un niveau élevé de protection des consommateurs. Permettre un refus fondé sur la négligence grave priverait d'effet utile l'obligation de remboursement immédiat et obligerait la victime à saisir le juge, à ses frais (points 43 à 47).
• L'argument historique : l'ancienne directive 2007/64 ne prévoyait aucune exception explicite, pas plus que la proposition initiale de la Commission. L'exception de fraude a été ajoutée au cours de la procédure législative, sans marge laissée aux États membres, la directive étant d'harmonisation totale (article 107) (points 48 et 49).

La Cour écarte enfin l'argument des gouvernements tchèque et italien, selon lesquels cette solution contournerait les procédures de règlement extrajudiciaire des litiges prévues à l'article 102 de la directive. Ces procédures couvrent tous les litiges relevant de la directive et ne constituent pas un passage obligé pour vérifier une éventuelle négligence avant tout remboursement (points 50 et 51).

Ce que l'arrêt change en droit français

La DSP2 a été transposée dans le Code monétaire et financier. L'arrêt de la CJUE s'impose aux juridictions françaises, qui doivent interpréter ces textes conformément à la directive.

• Article L. 133-18 du Code monétaire et financier : il reprend l'obligation de remboursement immédiat, au plus tard à la fin du premier jour ouvrable suivant, sauf bonnes raisons de soupçonner une fraude de l'utilisateur communiquées par écrit à la Banque de France. Depuis août 2022, le retard est sanctionné par des intérêts au taux légal majoré de 5 points, puis de 10 points après 7 jours et de 15 points après 30 jours.
• Article L. 133-19, IV : le payeur supporte toutes les pertes s'il a agi frauduleusement ou manqué, intentionnellement ou par négligence grave, à ses obligations (articles L. 133-16 et L. 133-17).
• Article L. 133-23 : l'utilisation enregistrée de l'instrument de paiement ne suffit pas nécessairement à prouver la négligence grave ; la banque doit en apporter la preuve.

Le texte français était donc déjà clair sur le papier. Mais en pratique, de nombreux établissements opposaient la négligence grave dès la réclamation, en se fondant sur l'article L. 133-19 pour refuser tout remboursement. Cette lecture est désormais condamnée : l'article L. 133-19 règle la répartition finale des pertes, il ne justifie pas un refus de rembourser immédiatement.

Pour les victimes, l'effet est double : un argument juridique de premier plan à opposer à la banque dès la première réclamation, et une possible revendication des pénalités de retard de l'article L. 133-18 lorsque la banque a refusé à tort de rembourser dans le délai.

Les limites de l'arrêt : ce qu'il ne dit pas

L'arrêt marque une avancée réelle, mais il ne doit pas être surinterprété.

• Il ne vise que les opérations non autorisées. Lorsque la victime a elle-même ordonné le virement (par exemple sous la pression d'un faux conseiller ou dans une escroquerie sentimentale), la banque peut soutenir que l'opération était autorisée. La qualification de l'opération reste alors le premier terrain du débat.
• Le signalement doit être rapide. L'obligation de remboursement s'applique sans préjudice de l'article 71 de la directive : la victime doit signaler l'opération sans retard injustifié, et au plus tard dans les 13 mois suivant le débit (article L. 133-24 du Code monétaire et financier).
• Le remboursement peut être provisoire. La banque conserve la possibilité de réclamer les sommes si elle prouve une négligence grave. L'arrêt déplace le moment du débat, il ne le supprime pas.
• La notion de négligence grave n'est pas redéfinie. Selon le considérant 72 de la directive, elle suppose davantage qu'une simple négligence. La Cour de cassation l'apprécie au cas par cas.

FAQ : remboursement d’une fraude bancaire et négligence grave

Ma banque peut-elle encore refuser de me rembourser après un phishing ?

Pas au motif de votre négligence grave. Elle ne peut différer le remboursement que si elle soupçonne une fraude de votre part et en informe par écrit la Banque de France. Elle peut aussi contester que l'opération soit « non autorisée » si vous avez vous-même ordonné le paiement.

Dans quel délai la banque doit-elle rembourser ?

Immédiatement après avoir été informée, et au plus tard à la fin du premier jour ouvrable suivant. Le compte doit être rétabli dans l'état où il se serait trouvé sans l'opération, avec une date de valeur qui ne peut être postérieure à celle du débit.

La banque peut-elle me reprendre l'argent après m'avoir remboursé ?

Oui, si elle prouve que vous avez commis une négligence grave ou agi frauduleusement. La preuve lui incombe, et le simple fait que vos codes aient été utilisés ne suffit pas nécessairement.

L'arrêt s'applique-t-il en France alors qu'il concerne une banque polonaise ?

Oui. Une décision préjudicielle de la CJUE interprète le droit de l'Union pour tous les États membres. Elle lie les juridictions françaises saisies d'un litige similaire.