Piratage : la banque doit rembourser avant d’invoquer votre négligence

Une cliente d’une banque polonaise met un objet en vente sur un site d’enchères en ligne. Un faux acheteur lui envoie un lien censé confirmer la vente ; il mène à une copie du site de sa banque, où elle saisit ses identifiants. L’escroc s’en sert pour virer 3 000 zlotys (environ 705 euros) vers son propre compte, en validant l’opération avec un code reçu par SMS qu’il a obtenu d’elle par la même ruse. Le lendemain, elle prévient sa banque, PKO BP, et la police. La banque refuse de rembourser : sa cliente aurait commis une négligence grave en livrant ses données.

Saisie par le tribunal d’arrondissement de Koszalin, la Cour de justice de l’Union européenne a répondu le 15 octobre, dans son arrêt C-70/25, que ce motif ne permettait pas de refuser le remboursement immédiat. L’arrêt interprète la directive européenne de 2015 sur les services de paiement, dite DSP2, que la France applique comme les autres États membres. Il ne dit pas pour autant que la victime garde l’argent quoi qu’il arrive, et il ne couvre pas toutes les arnaques.

Deux temps, deux articles de la directive

L’article 73 de la directive oblige la banque à rembourser une opération que son client n’a pas autorisée « immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant ». Un jour ouvrable est, selon la même directive, un jour où la banque exerce une activité permettant d’exécuter des paiements. Le compte doit être remis dans l’état où il se serait trouvé sans l’opération, la somme étant recréditée avec effet rétroactif à la date du débit, « afin de protéger le payeur contre tout préjudice », dit le préambule de la directive (considérant 71).

Le texte ne prévoit qu’une exception, relève la Cour (point 33) : la banque « a de bonnes raisons de soupçonner une fraude » et « communique ces raisons par écrit à l’autorité nationale concernée ». À partir du même considérant, l’arrêt rattache ce soupçon à une fraude commise par le client lui-même (point 39). D’où cette conclusion (point 34) : l’article 73 « ne prévoit aucune exception à l’obligation de remboursement immédiat en cas de suspicion que le payeur a rendu possible une opération de paiement non autorisée par une négligence grave ».

La négligence grave n’est pas pour autant sans effet. Elle relève de l’article 74 : le client supporte toutes les pertes s’il a manqué, intentionnellement ou par négligence grave, à ses obligations, dont celle de prendre « toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées » (les identifiants et codes que la banque fournit pour s’authentifier). PKO BP lisait cet article comme une dispense de rembourser. La Cour retient l’autre lecture (points 38 et 42) : l’article 74 ne porte que sur le caractère définitif du remboursement. La banque rembourse « dans un premier temps », puis peut, « dans un second temps, réclamer au payeur le remboursement des pertes » par les voies de droit prévues à cet effet.

C’est aussi à elle de prouver cette négligence, rappelle l’arrêt (point 40) en citant l’article 72 de la directive, selon lequel l’utilisation d’un instrument de paiement telle qu’enregistrée par la banque « ne suffit pas nécessairement en tant que telle » à l’établir. Un relevé montrant que le bon code a été saisi n’y suffit donc pas forcément.

Pourquoi la démarche revient à la banque

L’enjeu de l’ordre des opérations est pratique. Si la banque pouvait refuser d’emblée, écrit la Cour (point 45), le client serait contraint « à prendre l’initiative de faire valoir son droit, le cas échéant, devant les juridictions compétentes et à supporter les inconvénients qui en résultent, notamment les éventuels frais de procédure ». Avec l’arrêt, c’est à la banque qui estime son client fautif d’engager la démarche.

Le tribunal polonais avait décrit la situation qu’il constatait : aucune action de banque contre un consommateur pour négligence grave, mais de nombreuses actions de consommateurs contre des banques qui refusaient de rembourser (point 23). Selon lui, cela tendrait à montrer que l’application par les banques des exceptions au remboursement « est devenue la règle » (point 24). La Cour s’appuie aussi sur l’histoire du texte : la directive précédente, de 2007, ne prévoyait aucune exception explicite au remboursement immédiat, et seul le soupçon de fraude a été ajouté pendant les négociations de la DSP2 (points 48 et 49). Les gouvernements tchèque et italien soutenaient que cette lecture contournait la médiation prévue par la directive ; la Cour a écarté l’argument (points 50 et 51). Elle suit l’avocat général Athanasios Rantos, qui avait proposé la même réponse dans ses conclusions du 5 mars 2026.

Ce qui reste au juge de Koszalin

L’arrêt répond à une question de principe. Il ne dit pas si la cliente de PKO BP a été gravement négligente en cliquant sur le lien et en livrant son code : c’est au tribunal polonais de trancher le litige, et à la banque, si elle le souhaite, de réclamer ensuite la somme en apportant la preuve. La Cour ne définit pas davantage la négligence grave. Le préambule de la directive (considérant 72) en donne la mesure : elle « devrait impliquer plus que de la simple négligence et comporter un défaut de vigilance caractérisé », comme le fait de garder ses codes à côté de sa carte, « sous une forme aisément accessible et reconnaissable par des tiers ». Le ministère de l’Économie reprenait ces termes dans une réponse à un député publiée le 28 mai 2024.

Une condition s’impose aussi à la victime : l’obligation de rembourser joue « sans préjudice de l’article 71 », qui exige de signaler l’opération « sans retard injustifié », et au plus tard treize mois après le débit (points 7 et 32).

Le virement fait sous la dictée d’un faux conseiller

Tout repose sur un mot : non autorisée. Selon l’article 64 de la directive, une opération n’est « réputée autorisée que si le payeur a donné son consentement à l’exécution de l’opération de paiement ». Dans l’affaire polonaise, c’est l’escroc qui a ordonné le virement, avec un code soutiré à la victime ; l’arrêt présente l’opération comme non autorisée dès l’exposé des faits (points 2 et 16) et la Cour raisonne sur cette base, sans en discuter.

Le cas est différent quand la victime saisit elle-même un virement, par exemple vers le « compte sécurisé » que lui indique un faux conseiller au téléphone. Elle a alors donné elle-même l’ordre de paiement. La Commission européenne décrit ces cas, dans le préambule de sa proposition de règlement de 2023 (considérant 79), comme des opérations frauduleuses que les consommateurs « ont autorisées sans savoir que ces opérations étaient frauduleuses » ; selon elle, ces fraudes « rendent plus floue la différence qui existait dans la directive (UE) 2015/2366 entre les opérations autorisées et les opérations non autorisées », et les conditions dans lesquelles le client a donné son autorisation devraient être « dûment prises en considération, y compris par les tribunaux ». Dans l’arnaque au faux conseiller, décrit la Banque de France, les victimes « procèdent à leur insu et sous la pression à la validation des opérations frauduleuses ». Savoir si une telle validation vaut consentement dépend des faits, et l’arrêt du 15 octobre ne tranche pas cette question. Les parades techniques qu’Android déploie contre ces appels sont détaillées dans notre article du 15 octobre.

Le futur règlement européen sur les paiements vise précisément ce cas. La proposition de règlement sur les services de paiement présentée par la Commission en juin 2023 rend la banque responsable « lorsqu’un consommateur a été manipulé, pour qu’il autorise une opération de paiement, par un tiers se faisant passer, par des mensonges ou par imposture, pour un employé » de cette banque. Le texte n’est pas encore en vigueur : la commission compétente du Parlement européen a approuvé le 5 mai 2026 le compromis négocié avec les États, et la fiche de procédure) indique une séance plénière prévue le 14 décembre 2026, à titre indicatif. La rédaction issue du compromis peut différer de la proposition de 2023.

L’écart n’est pas théorique. En France, les fraudes par manipulation, dont la plus fréquente est celle au faux conseiller, ont représenté 516 millions d’euros en 2025, soit 41,6 % de la fraude aux moyens de paiement, selon l’Observatoire de la sécurité des moyens de paiement, présidé par le premier sous-gouverneur de la Banque de France. Le virement en concentre 376 millions.

En France, la même règle, une séquence désormais nette

Le Code monétaire et financier prévoit le remboursement des opérations non autorisées à ses articles L133-18 et L133-19, rappelle la Banque de France. La directive étant d’« harmonisation totale » sur ce point, les États ne peuvent pas maintenir de règles différentes (article 107, cité au point 49 de l’arrêt) : l’interprétation de la Cour s’impose à la lecture du droit français.

Ce que l’arrêt éclaire, c’est l’ordre des étapes. La page de la Banque de France sur la carte de paiement indique que « votre banque doit rembourser immédiatement le montant de l’opération non autorisée », puis : « Si l’établissement de crédit refuse de vous rembourser, il doit justifier son refus et apporter la preuve que vous avez été particulièrement négligent dans la conservation de vos données bancaires. » La formule ne distingue pas les deux temps que la Cour sépare : une négligence, même prouvée, ne permet pas de refuser le remboursement immédiat ; elle permet seulement de réclamer la somme ensuite. Le seul motif de refus immédiat reste le soupçon que le client a lui-même fraudé, dont la banque communique les raisons par écrit à l’autorité nationale concernée.

Deux autres protections de la directive méritent d’être connues. Si la banque n’a pas exigé d’authentification forte (au moins deux preuves d’identité de nature différente, par exemple un mot de passe et un code reçu sur son téléphone), le client « ne supporte aucune perte financière éventuelle à moins qu’il ait agi frauduleusement » (article 74, paragraphe 2). Et une fois la banque prévenue de la perte, du vol ou du détournement, les opérations suivantes ne sont plus à la charge du client, sauf fraude de sa part (article 74, paragraphe 3).

Si la banque refuse le remboursement

• Prévenir la banque sans attendre : faire opposition sur la carte ou bloquer l’accès en ligne, puis signaler chaque opération contestée. Le délai légal court jusqu’à treize mois après le débit, mais l’article 71 exige un signalement « sans retard injustifié ».
• Demander le remboursement par écrit, en visant les articles L133-18 et L133-19 du Code monétaire et financier, et en rappelant que la Cour de justice de l’UE a jugé, le 15 octobre 2026 (arrêt C-70/25), qu’une négligence alléguée ne justifie pas le refus du remboursement immédiat. Garder une copie et noter la date.
• Signaler la fraude aux forces de l’ordre : au commissariat ou à la gendarmerie, ou sur la plateforme en ligne Perceval pour une fraude à la carte quand on l’a toujours en sa possession, conseille la Banque de France, qui précise qu’« un dépôt de plainte ne peut pas être exigé par votre banque ».
• Saisir le médiateur de la banque si la réponse ne convient pas. Selon service-public.fr, il peut être saisi après une réclamation écrite restée sans réponse satisfaisante sous deux mois, délai ramené à « 15 jours pour un différend relatif à un service de paiement ». Le recours est gratuit, doit intervenir moins d’un an après la réclamation, et le médiateur a 90 jours pour proposer une solution, que chacun reste libre d’accepter ou non. Le juge reste ensuite possible.

L’arrêt ne garantit pas l’issue finale : une banque qui prouve une négligence grave pourra toujours réclamer la somme. Il fixe en revanche qui avance l’argent et qui doit prendre l’initiative d’un procès, et ce n’est pas la victime.