La Cour de justice de l’Union européenne a tranché, le 15 octobre 2026, un point que beaucoup d’établissements utilisaient pour caler un dossier : une banque ne peut plus refuser le remboursement immédiat d’une opération non autorisée au motif que le client aurait commis une négligence grave. L’arrêt, rendu dans l’affaire C-70/25, concerne un piratage par phishing d’environ 700 euros.
Une cliente d’une banque polonaise vendait un objet sur une plateforme en ligne. Un tiers s’est fait passer pour un acheteur, lui a envoyé un lien frauduleux censé confirmer la vente, puis l’a dirigée vers un site imitant celui de sa banque. Elle y a saisi ses identifiants. Avec ces données, l’escroc a transféré l’argent vers un compte qu’il contrôlait. Le lendemain, elle a signalé l’opération. L’établissement a refusé de recréditer, estimant qu’elle n’avait pas protégé ses données de sécurité personnalisées.
Le remboursement d’abord, le débat sur la faute ensuite
La Cour répond clairement à la question posée par le juge polonais. En cas d’opération de paiement non autorisée, le prestataire doit, en principe, rembourser le montant immédiatement, et en tout état de cause au plus tard à la fin du jour ouvrable suivant celui où il a constaté l’opération ou en a été informé, dès lors que le client a notifié le fait sans retard injustifié.
Une seule exception existe : le prestataire a de bonnes raisons de soupçonner une fraude commise par le client lui-même et communique ces raisons à l’autorité nationale compétente. Considérer que le client a facilité l’opération par négligence grave, notamment en ne protégeant pas ses identifiants, ne permet pas de refuser ce premier remboursement.
Le droit de l’Union distingue donc 2 temps. D’abord, l’argent doit revenir sur le compte. Ensuite seulement, la banque peut, le cas échéant, réclamer le recouvrement des pertes si elle établit que celles-ci résultent d’un manquement intentionnel ou d’une négligence grave du client, en particulier l’obligation de garder secrètes ses données de sécurité. La charge de cette preuve pèse sur l’établissement, pas sur la victime.
Cette lecture s’appuie sur l’article 73 de la directive (UE) 2015/2366 relative aux services de paiement. En France, le même mécanisme figure à l’article L. 133-18 du Code monétaire et financier, qui impose de recréditer « au plus tard à la fin du premier jour ouvrable suivant » le signalement. La pratique consistant à geler le dossier en accusant d’emblée le client de négligence se heurte désormais à cette interprétation.
Pourquoi la Cour refuse le blocage initial
Selon le communiqué de la Cour, laisser la banque refuser d’emblée le remboursement au nom de la négligence grave viderait d’effet l’obligation de restitution rapide. Le client devrait alors prendre l’initiative d’un procès, avec ses coûts et ses délais, pour faire valoir un droit que le législateur européen a voulu immédiat. L’objectif affiché reste un niveau élevé de protection du consommateur.
L’affaire illustre un schéma désormais courant : fausse interface, lien de confirmation, saisie des identifiants, virement instantané. Les faux conseillers bancaires et gestes de protection immédiats relèvent du même écosystème, même si le dossier jugé à Luxembourg partait d’un site de vente en ligne. L’ampleur de la fraude par manipulation mesurée par la Banque de France montre aussi que ces scénarios ne sont plus marginaux.
Ce que la banque peut encore tenter après le recrédít
Le remboursement immédiat n’efface pas toute discussion. Une fois les fonds restitués, l’établissement peut chercher à faire supporter définitivement la perte au client s’il prouve l’intention ou la négligence grave. Tant que cette preuve n’est pas établie, et sauf signalement formel d’une fraude imputée au client auprès de l’autorité compétente, retenir l’argent n’est pas conforme à la règle européenne.
Dans le dossier polonais, le refus initial reposait uniquement sur le fait que la cliente avait saisi ses identifiants sur un faux site. Pour la Cour, cela ne suffit pas à écarter le premier versement. Le juge national tranchera le litige concret, mais devra appliquer cette grille : restitution d’abord, éventuel recours de la banque ensuite.
Le signalement sans délai reste déterminant : sans notification, le calendrier du « jour ouvrable suivant » ne se déclenche pas. L’opposition sur les moyens de paiement et la conservation des preuves (lien reçu, captures, horodatage) continuent de peser dans la suite du dossier, notamment si la banque entend démontrer une faute lourde.
Reste ouverte la question de la preuve : comment un établissement établira, au cas par cas, qu’une victime de phishing a réellement commis une négligence grave, alors que l’interface copiée visait précisément à la tromper.
