Le mardi 20 octobre 2026 au matin, des milliers d’utilisateurs ont découvert qu’ils ne pouvaient plus se connecter à leur application bancaire : écrans d’erreur, soldes inaccessibles, virements impossibles. L’incident venait d’une infrastructure de cloud située à Londres, touchée par un événement électrique vers 6h08, qui a provoqué des taux d’erreurs élevés sur de nombreux services en ligne, dont plusieurs services bancaires, selon la presse du jour qui cite les pages d’état du fournisseur et les communications des établissements concernés. Certains clients sont restés plusieurs heures sans accès à leurs comptes, sans pouvoir payer ni vérifier leurs opérations.
La scène est devenue banale : la banque tient dans le téléphone, et quand le téléphone affiche une erreur, c’est l’argent qui semble bloqué. Pourtant, vos droits ne disparaissent pas avec l’application. Le contrat de compte continue, l’argent reste disponible et la banque reste tenue de ses obligations, même si c’est son prestataire informatique qui est en panne. Encore faut-il savoir quoi exiger pendant la coupure, comment garder la preuve de ce qui vous arrive et contre qui se tourner ensuite pour les frais et les préjudices subis.
Ce point fait le tri entre les réflexes utiles et les démarches perdues. D’abord, les gestes qui protègent vos fonds et vos droits pendant l’indisponibilité. Ensuite, les responsabilités encourues après la panne et les voies concrètes pour obtenir réparation, de la réclamation amiable à la plainte devant la CNIL et au juge.
I. Pendant la panne : accéder à vos fonds et protéger vos droits
A. Vos comptes restent vos comptes : exiger un accès à vos fonds malgré l’écran noir
Une application bancaire inaccessible ne suspend ni votre contrat de compte ni votre droit de disposer de votre argent. La banque demeure tenue d’exécuter vos ordres et de vous laisser accéder à vos fonds, par ses autres canaux quand l’application est hors service : site internet, agence, guichet, téléphone, distributeurs. Si un paiement urgent doit partir, un virement programmé doit être honoré ou un prélèvement important risque d’être rejeté, signalez-le par écrit sans attendre : en cas de litige ultérieur sur un retard, c’est la date de votre demande qui fixera le point de départ de la discussion sur la responsabilité.
Le premier réflexe consiste à qualifier ce qui se passe. Une panne générale, annoncée par la banque ou constatée par des milliers d’utilisateurs au même moment, n’appelle pas la même réaction qu’un blocage limité à votre seul compte. Quand l’accès est coupé pour vous seul, pensez aussi à l’hypothèse d’un blocage de sécurité de votre instrument de paiement : dès que vous avez connaissance d’une perte, d’un vol, d’un détournement ou de toute utilisation non autorisée de votre instrument ou des données qui lui sont liées, la loi vous impose d’en informer votre prestataire sans tarder, aux fins de blocage de l’instrument, en application de l’article L. 133-17 du code monétaire et financier. Cette information sans tarder protège à la fois vos fonds et votre position juridique, puisque le même code limite ensuite votre responsabilité financière.
Pendant toute la durée de l’indisponibilité, conservez vos relevés antérieurs, vos captures d’écran d’ordres programmés et la trace de chaque tentative de connexion. Ces pièces serviront deux fois : d’abord pour reconstituer vos opérations et vérifier, au retour du service, qu’aucune opération inconnue n’est passée pendant la coupure ; ensuite pour démontrer, pièces à l’appui, les paiements que vous n’avez pas pu émettre et les frais qui en ont résulté. Si des opérations que vous n’avez pas autorisées apparaissent après la panne, la règle est stricte et favorable au client : l’article L. 133-18 du code monétaire et financier impose au prestataire de rembourser « le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », sauf soupçon écrit de fraude transmis à la Banque de France. Le tribunal judiciaire de Paris l’a rappelé le 3 juillet 2025 : la banque « est tenue, de plein droit, de rembourser » le client qui a régulièrement dénoncé l’opération dans le délai prévu, « sauf à démontrer l’autorisation donnée à l’opération, d’une part, ou une faute intentionnelle ou une négligence grave de l’utilisateur, d’autre part » (tribunal judiciaire de Paris, 3 juillet 2025, n° 24/03431). Dans cette affaire, le client a toutefois été débouté parce qu’il ne justifiait pas du caractère frauduleux des opérations alors que la banque établissait leur validation par authentification forte : contester ne dispense pas de documenter.
B. Prouver le blocage : captures, constats et écrits qui tiennent devant le juge
En matière de panne, le litige se gagne ou se perd sur la preuve. Le principe est posé par l’article 1353 du code civil : « Celui qui réclame l’exécution d’une obligation doit la prouver », et l’article 9 du code de procédure civile ajoute qu’« Il incombe à chaque partie de prouver conformément à la loi les faits nécessaires au succès de sa prétention ». Concrètement, c’est à vous d’établir que le service était inaccessible, pendant combien de temps, et quelles conséquences précises cette indisponibilité a eues : ordre non exécuté, paiement rejeté, découvert facturé, abonnement résilié, opportunité manquée.
Commencez par des captures d’écran horodatées : message d’erreur de l’application, écran de connexion impossible, solde figé, ordre resté au statut en attente. Faites apparaître la date et l’heure de votre appareil, conservez les fichiers originaux sans les recadrer et multipliez les constats à plusieurs moments de la journée pour établir la durée. Ces captures sont recevables : la preuve des faits juridiques est libre et une capture qui comporte date, adresse du service et contenu lisible n’est pas présumée fausse. Mais leur force probante reste discutée en cas de contestation sérieuse, et seul un constat dressé par un commissaire de justice donne à vos constatations matérielles une autorité difficile à ébranler. Pour une panne de quelques heures sans préjudice, les captures suffisent ; dès que des frais ou une perte dépassent quelques centaines d’euros, le coût du constat devient un investissement de procédure.
Pensez également aux preuves extérieures : message d’information publié par la banque sur son site ou ses réseaux, page d’état du service, déclaration de l’établissement reconnaissant une « perturbation », articles de presse datés relatant l’incident. Le 20 octobre 2026, la presse a ainsi relaté qu’un incident électrique survenu à 6h08 sur un centre de données londonien d’un grand fournisseur de cloud avait provoqué des « taux d’erreurs élevés » et des « pannes réseau intermittentes », avec des centaines de signalements d’utilisateurs ne parvenant plus à joindre leurs services bancaires en ligne (20 Minutes, 20 octobre 2026). De tels éléments datés corroborent vos propres constats et situent votre préjudice dans un incident avéré, sans que vous ayez à démontrer vous-même l’origine technique de la panne.
Enfin, écrivez à votre banque pendant la panne, depuis votre messagerie sécurisée ou par lettre recommandée : décrivez l’indisponibilité, listez les opérations urgentes que vous lui demandez d’exécuter par un autre canal et réservez expressément vos droits à réparation pour les frais et préjudices en cours. Si la panne dure et que des preuves électroniques risquent de disparaître, sachez que l’article 145 du code de procédure civile permet, « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige », de faire ordonner des mesures d’instruction sur requête ou en référé, avant tout procès. C’est l’outil du dossier qui se prépare pendant que l’incident est encore chaud.
II. Après la panne : qui répond de l’indisponibilité et sur quels fondements
A. La banque reste votre interlocutrice, même quand c’est son prestataire qui est en cause
Votre contrat vous lie à votre banque, pas au fournisseur de cloud qu’elle a choisi pour héberger ses services. C’est donc contre votre établissement que s’exerce d’abord tout recours contractuel : l’article 1231-1 du code civil dispose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure ». L’indisponibilité de l’application pendant plusieurs heures constitue une inexécution, ou à tout le moins un retard dans l’exécution, des obligations de mise à disposition du service et d’exécution des ordres. C’est à la banque, si elle veut échapper à sa responsabilité, d’établir la force majeure, avec ses trois conditions cumulatives rappelées par l’article 1218 du code civil : « un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées ».
Les juges appliquent ces conditions avec exigence aux prestataires informatiques. Dans une affaire où un hébergeur opposait la force majeure après un incendie ayant détruit un centre de données et laissé un client sans serveur accessible pendant près d’un mois, la cour d’appel a rejeté le moyen : les manquements contractuels retenus contre le prestataire ne pouvaient pas être couverts par une force majeure dont les conditions n’étaient pas réunies, et les clauses limitatives de responsabilité n’ont pas suffi à effacer le seul préjudice imputable au manquement, déjà indemnisé (cour d’appel de Douai, 4 juin 2026, n° 24/00967). L’enseignement vaut pour une panne bancaire : un incident chez un sous-traitant, même spectaculaire, n’est pas automatiquement un cas de force majeure exonérant la banque. Tout dépend de la prévisibilité du risque, des mesures de redondance et de secours prévues au contrat et de la durée pendant laquelle le client est resté sans solution de repli.
Le partage des rôles entre la banque et son hébergeur se joue aussi sur le terrain des sauvegardes et des délais de rétablissement. La cour d’appel de Versailles a ainsi confirmé la responsabilité d’un hébergeur pour un incident ayant rendu des données indisponibles, en retenant notamment le non-respect du délai contractuel de remise en ligne, puis l’a condamné à des dommages et intérêts et à l’annulation d’une facture (cour d’appel de Versailles, 19 mai 2022, n° 20/05106). Pour le client de la banque, la leçon est pratique : demandez communication des engagements de disponibilité et de rétablissement que votre établissement impose à ses propres prestataires, car ce sont ces engagements qui permettront au juge d’apprécier si la durée de la coupure était acceptable ou fautive.
Deux règles du code monétaire et financier renforcent encore votre position. D’une part, l’article L. 133-19 exonère le payeur de toute conséquence financière, sauf fraude de sa part, en cas « de perte due à des actes ou à une carence » d’un prestataire ou « d’une entité vers laquelle ses activités ont été externalisées » : quand la panne vient du prestataire informatique de la banque, ce texte fait obstacle à ce que le coût de l’incident soit reporté sur vous. D’autre part, la Cour de cassation juge que « c’est au prestataire de services de paiement qu’il incombe de rapporter la preuve que l’utilisateur » a agi frauduleusement ou avec une négligence grave, et que « cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés » (Cour de cassation, chambre commerciale, 9 mars 2022, n° 20-12.376). Si des opérations litigieuses sont passées pendant la coupure, ce n’est pas à vous de prouver votre innocence technique, c’est à la banque de prouver votre faute.
Données personnelles et résilience bancaire : le double filet du RGPD et de DORA.
Une panne qui vous prive de l’accès à vos données bancaires touche aussi à la protection de vos données personnelles. Le règlement européen impose au responsable du traitement et à son sous-traitant de mettre en œuvre des moyens garantissant la disponibilité et la « résilience constante » des systèmes, ainsi que le rétablissement de l’accès aux données « dans des délais appropriés » en cas d’incident (article 32 du RGPD). La disponibilité n’est donc pas un simple argument commercial : c’est une composante légale de la sécurité des données, au même titre que la confidentialité. Et le choix du prestataire est encadré : le responsable du traitement ne recourt qu’à des sous-traitants présentant des « garanties suffisantes » de protection des données (article 28 du RGPD), par un contrat qui définit les instructions, la sécurité, l’assistance et les audits.
Pour une banque, ces exigences se doublent depuis le 17 janvier 2025 d’un règlement sectoriel contraignant : le règlement européen sur la résilience opérationnelle numérique du secteur financier, dit DORA, qui « s’applique à partir du 17 janvier 2025 » (article 64 du règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, dit DORA). Ce texte oblige les entités financières à gérer leurs risques informatiques, à déclarer leurs incidents majeurs à l’autorité compétente (les entités financières déclarent leurs incidents majeurs liés aux TIC à l’autorité compétente, article 19 de DORA) et à encadrer par écrit leurs contrats avec leurs prestataires informatiques, accords de niveau de service compris (les droits et obligations respectifs de l’entité financière et du prestataire doivent être définis clairement et consignés par écrit, article 30 de DORA). Concrètement, une banque dont l’application tombe pendant des heures parce que son fournisseur de cloud est en panne doit non seulement vous rétablir l’accès, mais aussi rendre des comptes à son superviseur sur la gestion de l’incident. Vous pouvez le rappeler dans votre réclamation : l’incident que vous avez subi est aussi, pour elle, un incident déclarable.
Reste une question que les clients posent souvent : la panne doit-elle être notifiée à la CNIL ? La réponse dépend de la nature exacte de l’événement. Le RGPD impose au responsable du traitement de notifier toute violation de données dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes (article 33 du RGPD). La CNIL précise que cette notification se fait par un téléservice réservé aux responsables de traitement et que la notification initiale dans les 72 heures peut être complétée ensuite, le dépassement devant être motivé (CNIL, notifier une violation de données personnelles). Mais une simple indisponibilité, sans accès non autorisé ni perte de données, constitue une atteinte à la disponibilité dont la qualification en « violation » et l’obligation de notification s’apprécient au cas par cas, selon le risque pour les personnes. Retenez l’essentiel : ce n’est pas à vous de notifier, c’est à la banque d’évaluer et, le cas échéant, de notifier dans les 72 heures, puis d’informer les personnes concernées en cas de risque élevé. Si vos données ont réellement fuité pendant l’incident, notre analyse dédiée aux fuites via prestataire explique la marche à suivre, notification CNIL en 72 heures et clauses contractuelles à activer (fuite de données via votre prestataire : notification CNIL, contrat et réparation).
B. Obtenir réparation : réclamation, CNIL et juge, dans le bon ordre
Une fois le service rétabli, vérifiez ligne par ligne vos relevés sur toute la période de la coupure : opérations inconnues, doublons, frais d’incidents, agios, commissions de rejet, intérêts de retard facturés par vos propres créanciers. Chaque anomalie donne lieu à une contestation écrite distincte, car les régimes applicables diffèrent. Pour une opération que vous n’avez pas autorisée, signalez-la à votre banque « sans tarder », et « au plus tard dans les treize mois suivant la date de débit sous peine de forclusion » (article L. 133-24 du code monétaire et financier). Ce délai de treize mois est un couperet procédural : passé ce délai, votre contestation devient irrecevable, sauf si la banque ne vous a pas fourni les informations sur l’opération. Notez-le dès la panne dans votre agenda, même si vous pensez que tout est en ordre : certaines opérations frauduleuses n’apparaissent que sur le relevé suivant.
Sachez aussi où s’arrête la protection légale. Pour les opérations consécutives à la perte ou au vol de l’instrument, le payeur supporte les pertes « dans la limite d’un plafond de 50 € » avant l’information aux fins de blocage (article L. 133-19 du code monétaire et financier), et il supporte toutes les pertes si elles résultent de sa fraude ou d’une négligence grave, par exemple après un message frauduleux : la Cour de cassation a censuré un juge qui avait écarté la négligence grave d’un client ayant communiqué ses identifiants après un courriel d’hameçonnage, sans rechercher si ce client n’aurait pas pu avoir conscience du caractère frauduleux du message (Cour de cassation, chambre commerciale, 24 novembre 2021, n° 20-13.767). Pendant une panne, redoublez de vigilance : les escrocs profitent des incidents techniques pour envoyer de faux messages « de votre banque » vous invitant à ressaisir vos codes sur un faux site. Ne cliquez jamais sur un lien reçu pendant la coupure et ne communiquez vos identifiants à personne.
Votre réclamation écrite à la banque doit chiffrer chaque préjudice et joindre chaque preuve : dates et heures d’indisponibilité, captures, constat, relevés annotés, factures de frais, justificatifs de paiements rejetés. Demandez le remboursement des frais d’incidents directement liés à la panne, la régularisation des rejets auprès des créanciers et une indemnisation pour le temps et les démarches. Adressez-la au service réclamations, puis, en cas de réponse insatisfaisante, au niveau de recours interne que la convention de compte désigne. Cette phase amiable n’est pas une formalité : un dossier chiffré et documenté obtient souvent le remboursement des frais sans procès, et il conditionne la suite.
Si la banque refuse ou ne répond pas, deux voies publiques s’offrent à vous. D’abord la CNIL, pour le volet données personnelles : tout particulier peut déposer une plainte en ligne lorsque l’accès à ses données, leur rectification ou leur sécurité est en cause, et la formation restreinte de la Commission peut prononcer des sanctions dont des amendes administratives. La plainte ne vous indemnise pas directement, mais elle pèse dans le rapport de force et contribue à faire constater le manquement, ce qui nourrit votre dossier civil. Les associations de consommateurs distinguent utilement le blocage individuel d’un compte, souvent lié aux obligations de connaissance du client et de lutte contre la fraude, de la panne technique collective, qui relève de la continuité du service : les recours ne sont pas les mêmes, comme le rappellent les analyses publiées par les associations de consommateurs et la presse juridique sur les comptes bloqués.
Ensuite le juge judiciaire, pour la réparation. Le fondement varie selon votre préjudice : inexécution contractuelle contre la banque sur l’article 1231-1 du code civil, remboursement d’opérations non autorisées sur l’article L. 133-18 du code monétaire et financier, et, pour l’atteinte à vos données, le droit à réparation du RGPD : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut en obtenir réparation auprès du responsable du traitement ou du sous-traitant (article 82 du RGPD). Sur ce dernier fondement, la Cour de cassation vient de rappeler, le 24 juin 2026 (chambre sociale, pourvoi n° 24-22.792, publié au Bulletin), une règle décisive pour les victimes de pannes : la seule violation du RGPD ne suffit pas à ouvrir droit à réparation, et le juge doit vérifier que la victime établit l’existence d’un dommage matériel ou moral causé par cette violation. L’arrêt reprend la jurisprudence de la Cour de justice de l’Union européenne, qui dit pour droit que la simple violation du règlement ne suffit pas à ouvrir droit à réparation, et qui refuse toute règle nationale subordonnant la réparation du dommage moral à un seuil de gravité du préjudice (CJUE, 4 mai 2023, C-300/21, Österreichische Post). Autrement dit, l’indisponibilité fautive ne suffit pas : vous devez prouver un dommage concret, frais facturés, opération manquée, préjudice moral caractérisé par l’angoisse durable de ne plus accéder à vos fonds. Mais aucune gravité minimale n’est exigée : le juge ne peut pas subordonner la réparation à un seuil de gravité du préjudice. Un préjudice modeste mais établi se répare, y compris devant le juge de proximité selon les montants en jeu.
Conclusion
Une panne d’application bancaire n’est jamais « juste un bug » : pendant la coupure, exigez l’accès à vos fonds par les autres canaux, signalez sans tarder tout usage non autorisé et accumulez les preuves horodatées de l’indisponibilité et de ses conséquences. Après le rétablissement, contrôlez vos relevés, contestez par écrit dans les délais, chiffre chaque préjudice et faites constater le manquement, devant la banque, devant la CNIL pour le volet données et devant le juge pour la réparation. La banque ne peut ni se retrancher automatiquement derrière son prestataire de cloud ni vous faire payer le prix de sa panne : c’est à elle de prouver la force majeure ou votre faute, et c’est à vous de prouver votre dommage. Les incidents se répètent, les infrastructures restent fragiles, mais un dossier précis transforme une matinée d’écrans d’erreur en une réparation obtenue.