Le Tribunal des activités économiques de Paris, dans un jugement du 16 janvier 2026, a statué sur un litige opposant un client professionnel à sa banque à la suite d’une fraude de type « spoofing ». Le client contestait des opérations de paiement non autorisées, totalisant 14.147,50 euros, réalisées après un appel téléphonique usurpant l’identité d’un conseiller bancaire. La banque refusait tout remboursement, invoquant une autorisation par authentification forte ou, à titre subsidiaire, une négligence grave du client. La question de droit centrale était de déterminer si la banque rapportait la preuve de l’autorisation des opérations ou de la négligence grave du client, et si les conditions générales du contrat étaient opposables. Le tribunal a condamné la banque à rembourser le client, écartant l’opposabilité des clauses contractuelles et constatant l’absence de preuve d’une authentification forte.

I. L’inopposabilité des clauses contractuelles aménageant la charge de la preuve

Le tribunal a d’abord écarté l’application de l’article 3.3 des conditions générales invoqué par la banque. Il a jugé que ces stipulations, prévoyant une présomption de validation en cas d’authentification forte, n’étaient pas opposables au client. En effet, le tribunal a relevé que le simple envoi d’un courriel informant le client des nouvelles conditions générales ne valait pas acceptation, aucun élément ne démontrant un consentement exprès ou tacite. Cette solution rappelle le principe selon lequel les clauses contractuelles modifiant le régime légal de preuve doivent être acceptées de manière claire et non équivoque, surtout entre professionnels. La portée de cette décision est de préserver l’équilibre probatoire instauré par le code monétaire et financier, en empêchant les prestataires de contourner la loi par des stipulations unilatérales. Ainsi, le tribunal a fait application directe des articles L. 133-18 et suivants du code monétaire et financier, sans aménagement contractuel.

II. L’absence de preuve de l’authentification forte et l’application du régime protecteur

Le tribunal a ensuite examiné le régime de responsabilité applicable, en retenant l’article L. 133-19 du code monétaire et financier, relatif aux instruments dotés de données personnalisées. Il a constaté que la banque ne rapportait pas la preuve que les opérations litigieuses avaient été autorisées par un processus d’authentification forte. Les « logs techniques » produits étaient jugés peu lisibles et insuffisants pour démontrer que la validation émanait de l’appareil de confiance enrôlé par le client. Dès lors, le tribunal a fait application du paragraphe V de l’article L. 133-19, qui exonère le payeur de toute conséquence financière en l’absence d’authentification forte. Cette solution se fonde sur une lecture stricte de l’obligation probatoire pesant sur le prestataire, conformément à l’article L. 133-23 du même code. La valeur de cet arrêt est d’affirmer que le seul enregistrement technique d’opérations ne suffit pas à prouver leur autorisation, et que la banque doit démontrer de manière claire et lisible le recours à l’authentification forte. En conséquence, la banque a été condamnée à rembourser le client, sans qu’il soit nécessaire d’examiner la négligence grave alléguée.