Paiement non autorisé : la banque doit rembourser d'abord, même si elle juge le client négligent

Quand un paiement a été passé sans l’accord du titulaire du compte, la banque doit le rembourser immédiatement, au plus tard à la fin du premier jour ouvrable suivant le signalement, même si elle estime que son client a commis une négligence grave. La Cour de justice de l’Union européenne l’a jugé le jeudi 15 octobre 2026, dans l’affaire C-70/25. La négligence se discute ensuite : la banque peut réclamer l’argent dans un second temps, à condition de la prouver. Et l’arrêt ne vise que les opérations non autorisées. Les virements que la victime a elle-même ordonnés sous l’effet d’une manipulation, 61,3 % de la fraude au virement en 2025 selon l’Observatoire de la sécurité des moyens de paiement (OSMP), restent en dehors.

Un faux acheteur, un faux site bancaire et 705 euros envolés

Le litige oppose une cliente à sa banque polonaise, PKO BP. Elle vendait un objet sur un portail d’enchères en ligne lorsqu’un prétendu acheteur lui a envoyé un lien censé venir du portail pour confirmer la vente. Ce lien menait en réalité vers une imitation du site de sa banque, où elle a saisi ses identifiants. Le fraudeur a alors transféré 3 000 zlotys, environ 705 euros, vers un compte qu’il détenait. L’arrêt précise que l’opération a été validée « au moyen d’un code de confirmation transmis par SMS et obtenu de la requérante au principal sous l’effet de cette tromperie ».

Dès le lendemain, la cliente a signalé l’opération à sa banque et à la police. La banque a refusé de rembourser en invoquant sa négligence grave. Saisi du litige, le tribunal d’arrondissement de Koszalin a interrogé la Cour par une décision du jeudi 23 janvier 2025. Selon lui, ce ne sont pas les banques qui attaquent leurs clients pour négligence grave devant les tribunaux polonais, mais de nombreux clients qui poursuivent des banques ayant refusé de payer : l’application des exceptions au remboursement « est devenue la règle ». Ce constat porte sur la Pologne, mais le scénario guette tout particulier qui revend des objets en ligne.

Une seule exception, le soupçon de fraude du client

Dans le dispositif de l’arrêt, la Cour juge qu’une banque « ne peut pas refuser de rembourser immédiatement à un payeur le montant d’une opération de paiement non autorisée, au motif que ce payeur aurait rendu possible cette opération par une négligence grave ». La directive européenne de 2015 sur les services de paiement ne prévoit, rappelle-t-elle, « qu’une seule exception » : la banque a de bonnes raisons de soupçonner une fraude et communique ces raisons par écrit à l’autorité nationale. Rien de tel n’existe pour la négligence grave (points 33 et 34).

Au point 45, la Cour explique que laisser la banque se dispenser du remboursement reviendrait à « contraindre l’utilisateur à prendre l’initiative de faire valoir son droit, le cas échéant, devant les juridictions compétentes et à supporter les inconvénients qui en résultent, notamment les éventuels frais de procédure ». Les gouvernements tchèque et italien soutenaient que cette lecture court-circuitait la médiation. La Cour a écarté l’argument (points 50 et 51).

La règle s’applique en France : la directive étant d’harmonisation totale, les États membres ne peuvent pas prévoir de dispositions différentes sur ce point (point 49). Le communiqué de la Cour, qui n’engage pas la juridiction, souligne que la décision « lie, de la même manière, les autres juridictions nationales » saisies d’un problème similaire. L’avocat général Athanasios Rantos avait conclu dans le même sens le jeudi 5 mars 2026.

Rembourser d’abord ne veut pas dire rembourser pour de bon

La Cour décrit un mécanisme en deux temps. L’article 73 de la directive impose de rembourser sans attendre, l’article 74 règle la répartition des pertes « à un stade ultérieur ». La banque peut alors, « dans un second temps, réclamer au payeur le remboursement des pertes liées à des opérations non autorisées par les voies de droit prévues à cet effet » (point 38), si elle démontre une négligence grave. Cette preuve lui incombe (point 40). En droit français, l’utilisation de l’instrument de paiement enregistrée par la banque « ne suffit pas nécessairement en tant que telle » à établir la négligence (article L133-23 du Code monétaire et financier).

Si la négligence est démontrée, le client « supporte toutes les pertes » (article L133-19), sans le plafond de 50 euros prévu en cas de perte ou de vol avant l’opposition. Le mercredi 15 janvier 2025 (chambre commerciale, n° 23-13.579), la Cour de cassation a ainsi cassé un arrêt qui faisait payer à une banque la moitié des pertes de deux sociétés victimes d’hameçonnage : en cas de négligence grave, tout reste à la charge des clients.

L’arrêt laisse ouverte la façon dont la banque récupère les sommes. Selon le communiqué de la Cour sur les conclusions de l’avocat général, si le client refuse de rendre l’argent, « il appartient à la banque d’engager une action en justice contre lui ». La Cour, elle, parle seulement des « voies de droit prévues à cet effet », sans dire si une banque peut, après avoir remboursé, reprendre d’elle-même les fonds en débitant le compte. En France, la recommandation n° 2 de l’OSMP prévoit qu’en cas de remboursement provisoire, la banque prévienne le client d’une éventuelle reprise des fonds, à effectuer en principe dans les 30 jours.

Le guide français aux victimes admet encore un refus

Le droit français fixe déjà ce délai d’un jour ouvrable, avec une seule exception : un soupçon de fraude de l’utilisateur, communiqué par écrit à la Banque de France (article L133-18). Depuis mai 2023, ce sont les recommandations de l’OSMP qui organisent le traitement des contestations. La n° 6 vise les opérations authentifiées de manière forte : après une première analyse « dans le délai d’un jour ouvré », la banque peut refuser si elle a « suffisamment d’éléments de preuve » que le client a autorisé l’opération ou a été « gravement négligent ». Pour les opérations sans authentification forte, la recommandation n° 4 écarte déjà tout refus fondé sur la négligence, « même grave ».

Le guide pratique destiné aux victimes, republié le lundi 7 septembre 2026 en annexe du rapport annuel de l’OSMP, reprend cette logique. La banque rembourse « sauf si » elle a de bonnes raisons de soupçonner une fraude du client ou « suffisamment de preuves pour considérer que vous avez autorisé les opérations contestées ou que vous avez été gravement négligent ». Sur la négligence grave, ce texte paru un peu plus de cinq semaines avant l’arrêt dit, selon la lecture d’Actu.shop, l’inverse de la Cour pour les opérations non autorisées. Au mardi 20 octobre 2026, Actu.shop n’a trouvé ni mise à jour de ce guide, ni prise de position de la Banque de France, de l’ACPR, de l’OSMP ou de la Fédération bancaire française sur une adaptation des pratiques.

Les virements faits soi-même restent hors champ

L’arrêt ne protège que les opérations « non autorisées ». En droit français, une opération est autorisée « si le payeur a donné son consentement à son exécution » (article L133-6). Le faux conseiller qui convainc sa victime de faire elle-même un virement « de sécurisation », le faux RIB d’un créancier ou le faux placement relèvent d’une autre logique : pour ces virements, l’arrêt ne change rien.

Ce sont pourtant eux qui pèsent le plus dans la fraude au virement. Le rapport 2025 de l’OSMP distingue le « faux », où le fraudeur usurpe les identifiants de banque en ligne pour passer lui-même l’ordre, comme dans l’affaire polonaise, et le « détournement », où il amène par la tromperie le titulaire du compte à passer lui-même, en bonne et due forme, un virement vers un compte qui n’est pas celui du bénéficiaire légitime.

Faites défiler le tableau vers la droite pour voir toutes les colonnes.

Source : rapport 2025 de l’OSMP, tableau T20 ; ligne « falsification et autres » calculée par Actu.shop par différence.

L’OSMP chiffre par ailleurs la « fraude par manipulation », dont la forme la plus fréquente est la fraude au faux conseiller bancaire, à 516 millions d’euros en 2025 (+34 % sur un an), soit 41,6 % des 1,241 milliard d’euros de fraude aux moyens de paiement. Ce n’est pas la part des virements faits par les victimes : cet indicateur indirect additionne la fraude par carte avec authentification forte (140 millions) et celle au virement de banque en ligne (376 millions), que l’ordre vienne du fraudeur ou de la victime.

L’arrêt ne règle pas non plus le cas du code obtenu par tromperie. Dans l’affaire jugée, le fraudeur avait validé le virement avec le code de confirmation envoyé par SMS à la victime, qu’il lui avait soutiré par la tromperie. La Cour est partie du principe, retenu par le juge polonais, que l’opération n’était pas autorisée ; elle n’a pas tranché cette qualification. En France, elle s’apprécie au cas par cas : avoir donné un code sous la manipulation ne fait pas automatiquement entrer une opération dans le champ de l’arrêt.

La proposition de règlement européen sur les services de paiement, présentée par la Commission en 2023, envisageait un droit à remboursement pour la victime d’un faux employé de sa banque, sous conditions : plainte, information rapide de la banque, usurpation convaincante, et rien en cas de négligence grave. Un accord provisoire a été trouvé le jeudi 27 novembre 2025 et confirmé par le Coreper le mercredi 22 avril 2026, mais le texte n’est pas encore applicable. Son adoption définitive n’a pas pu être vérifiée, et le contenu de l’accord final peut différer de la proposition de 2023.

Paiement frauduleux : les démarches, dans l’ordre

1. Faire opposition sans attendre. Pour une carte, le serveur interbancaire répond au 0 892 705 705 (numéro majoré, 7 jours sur 7 et 24 heures sur 24) ; sinon, appeler sa banque. Tarder est risqué : selon service-public.fr, une opposition tardive peut entraîner un refus de remboursement.
2. Pour une carte, signaler la fraude en ligne sur Perceval ; dans tous les cas, il est possible de porter plainte. Signalement et plainte sont conseillés, mais la banque ne peut pas exiger la plainte comme préalable à l’examen du dossier, précise le guide de l’OSMP.
3. Contester par écrit auprès de la banque, sans tarder et au plus tard 13 mois après la date de débit (70 jours si la banque du bénéficiaire est hors UE et EEE). Citer l’article L133-18 du Code monétaire et financier et l’arrêt C-70/25 du 15 octobre 2026, et demander le remboursement au plus tard à la fin du premier jour ouvrable, agios éventuels compris.
4. Sans remboursement à la fin du premier jour ouvrable, la banque doit au moins répondre par écrit à la réclamation sous 15 jours ouvrables, ou 35 au maximum dans des situations exceptionnelles avec une réponse d’attente motivée (article L133-45). Ce délai vaut pour la réponse, pas pour le remboursement.
5. Saisir gratuitement le médiateur de la banque dans l’année qui suit la première réclamation écrite ; la médiation dure 90 jours au maximum. En dernier recours, le juge : tribunal de proximité ou tribunal judiciaire jusqu’à 10 000 euros, tribunal judiciaire au-delà. Pour un virement, l’action civile reste possible pendant 5 ans à compter de l’exécution de l’opération.

En cas de retard de la banque, l’article L133-18 prévoit des intérêts au taux légal majoré de 5 points, puis de 10 points au-delà de 7 jours de retard et de 15 points au-delà de 30 jours. Avec le taux légal applicable aux particuliers au second semestre 2026 (6,84 %), cela donne 11,84 %, 16,84 % puis 21,84 % par an, selon le calcul d’Actu.shop. Le mode exact d’application de ces majorations par tranche n’a pas été vérifié.

L’OSMP rappelle « qu’une banque n’a jamais besoin de demander à son client quelque manœuvre que ce soit pour arrêter un paiement suspecté d’être frauduleux ». Communiquer ses codes reste le terrain sur lequel une banque cherchera à établir la négligence grave. Les SMS et appels suspects se signalent au 33 700, les sites d’hameçonnage sur la plateforme Phishing Initiative, et 17Cyber accompagne les victimes.

Une consultation ouverte aux victimes jusqu’au 30 novembre

Le Comité consultatif du secteur financier (CCSF) interroge les victimes d’escroqueries financières du mardi 13 octobre au lundi 30 novembre 2026. Le questionnaire, anonyme, est accessible depuis la page du CCSF sur le site de la Banque de France. Il s’adresse aux personnes ayant subi une fraude « avec un préjudice sous forme de perte d’argent », à titre personnel ou professionnel, et porte sur la manière dont les fraudeurs les ont contactées.

L’exercice répond à une lettre de mission du ministre de l’Économie, Roland Lescure, datée du mercredi 8 avril 2026, qui demande « un diagnostic des moyens utilisés par les fraudeurs pour contacter leurs victimes » et des leviers pour prévenir ces fraudes. Trois ministères (Justice, Intérieur, Économie), l’ACPR, l’AMF, l’Arcom et les médiateurs du secteur financier participent aux travaux. Répondre n’ouvre aucun droit à remboursement, et le CCSF n’a pas indiqué quand il rendrait son diagnostic.