À titre liminaire, la présente étude juridique s’inscrit dans une démarche d’analyse doctrinale et jurisprudentielle générale : aucun incident, aucun manquement ni aucun préjudice individuel n’est imputé à un établissement bancaire ou à un prestataire déterminé à la date de rédaction, aucune responsabilité civile ou réglementaire n’est établie a priori, les conventions de compte et contrats-cadres de services de paiement signés entre les parties demeurent le point de départ de toute analyse dans le respect des dispositions impératives d’ordre public, et seul le juge compétent dispose du pouvoir de trancher chaque litige au vu des pièces produites. Au mois d’octobre 2026, le contentieux des fraudes aux moyens de paiement connaît une évolution majeure sous l’impulsion conjuguée du juge européen, de la Cour de cassation et des autorités financières françaises. Par un arrêt rendu le 15 octobre 2026 dans l’affaire C-70/25 dite Tukowiecka, présenté le même jour dans le communiqué de presse n° 147/26 de la Cour de justice de l’Union européenne, la première chambre de la juridiction européenne a tranché une question décisive : un prestataire de services de paiement ne peut pas refuser de rembourser immédiatement à un payeur le montant d’une opération de paiement non autorisée au motif que ce dernier aurait rendu possible cette opération par une négligence grave.
Cette décision intervient dans un contexte institutionnel particulièrement dense en France. Selon le communiqué de presse du Comité consultatif du secteur financier publié par la Banque de France et mis à jour le 23 octobre 2026, une consultation publique nationale est ouverte du 13 octobre au 30 novembre 2026 auprès des personnes victimes d’une fraude ou d’une escroquerie financière ayant entraîné une perte d’argent, afin d’établir un diagnostic des méthodes d’approche des auteurs d’escroqueries numériques ou téléphoniques. Parallèlement, la chambre commerciale de la Cour de cassation a rendu, par un arrêt du 8 octobre 2026 publié au Bulletin sous le numéro 25-17.510, une décision qui écarte toute possibilité pour un établissement bancaire d’invoquer la négligence grave du titulaire du compte lorsque l’ordre frauduleux a été exécuté au moyen d’un canal qui n’était plus l’instrument de paiement convenu entre les parties.
Pendant plusieurs années, la pratique observée dans le traitement des réclamations relatives aux opérations contestées a consisté pour de nombreux établissements à opposer dès le stade initial une exception tirée de la négligence grave supposée du client, notamment après un hameçonnage par message électronique, SMS ou appel téléphonique. Comme le relèvent les analyses publiées en octobre 2026, notamment l’étude parue sur le Village de la Justice le 20 octobre 2026 sur l’obligation de rembourser d’abord et de discuter ensuite ainsi que le décryptage publié par Actu.shop le 20 octobre 2026 sur la portée pratique de l’arrêt européen, ce refus initial inversait la charge de l’initiative procédurale en contraignant le consommateur privé de ses fonds à saisir lui-même le juge. L’examen de cette architecture jurisprudentielle conduit à analyser la consécration de l’obligation de remboursement immédiat des opérations non autorisées face à l’exception de négligence grave (I), puis le régime probatoire et l’articulation des délais légaux de contestation et d’action en justice (II).
I. L’obligation de remboursement immédiat des opérations non autorisées consacrée face à l’exception de négligence grave
A. La dissociation temporelle entre le remboursement au premier jour ouvrable et le débat au fond sur la responsabilité du payeur
L’apport central de l’arrêt rendu le 15 octobre 2026 par la Cour de justice de l’Union européenne réside dans l’interprétation combinée des articles 73, paragraphe 1, et 74, paragraphe 1, de la directive (UE) 2015/2366 du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, dite DSP2. Dans l’affaire soumise par le tribunal d’arrondissement de Koszalin en Pologne, une cliente avait mis un objet en vente sur un portail d’enchères en ligne et avait reçu d’un tiers un lien hypertexte imitant l’interface de sa banque. Après avoir saisi ses données de connexion et communiqué un code reçu par SMS sous l’effet de cette tromperie, elle avait constaté le débit d’un virement non autorisé de 3 000 zlotys polonais, soit environ 705 euros, signalé dès le lendemain à la banque et à la police. L’établissement avait refusé de restituer les fonds en soutenant que la cliente avait manqué par négligence grave à ses obligations de sécurité.
Saisie à titre préjudiciel, la Cour de justice écarte la thèse selon laquelle l’établissement bancaire pourrait s’appuyer sur son appréciation d’une négligence grave du payeur pour refuser d’exécuter son obligation de remboursement immédiat. Aux termes du dispositif de l’arrêt de la CJUE du 15 octobre 2026 dans l’affaire C-70/25, la Cour dit pour droit que « un prestataire de services de paiement ne peut pas refuser de rembourser immédiatement à un payeur le montant d’une opération de paiement non autorisée, au motif que ce payeur aurait rendu possible cette opération par une négligence grave, en violation des obligations qui lui incombent en vertu de l’article 69 de la directive 2015/2366. » Cette règle s’impose aux juridictions des États membres dès lors que l’article 107, paragraphe 1, de la directive 2015/2366 consacre un principe d’harmonisation totale.
En droit interne, les articles 73 et 74 de la directive sont transposés aux articles L. 133-18 et L. 133-19 du Code monétaire et financier. L’article L. 133-18 du Code monétaire et financier dispose qu’en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 du Code monétaire et financier, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France, en rétablissant le compte débité dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu.
Aux points 33 et 34 de son arrêt du 15 octobre 2026 (C-70/25), la Cour de justice souligne que « le libellé de l’article 73, paragraphe 1, de la même directive ne prévoit qu’une seule exception à l’obligation de remboursement immédiat, à savoir l’hypothèse selon laquelle le prestataire de services de paiement a de bonnes raisons de soupçonner une fraude et s’il communique ces raisons par écrit à l’autorité nationale concernée. » Elle ajoute au point 34 du même arrêt du 15 octobre 2026 que « l’article 73, paragraphe 1, de la directive 2015/2366 ne prévoit aucune exception à l’obligation de remboursement immédiat en cas de suspicion que le payeur a rendu possible une opération de paiement non autorisée par une négligence grave, en violation des obligations qui lui incombent en vertu de l’article 69 de cette directive. » Un prestataire ne peut donc assimiler une imprudence reprochée à un client trompé à une fraude commise par l’utilisateur.
Cette solution n’efface pas la responsabilité du payeur prévue par l’article L. 133-19 du Code monétaire et financier, mais l’ordonne selon une séquence en deux étapes. Comme l’énonce le point 42 de l’arrêt de la CJUE du 15 octobre 2026, « ces articles 73 et 74 régissent des aspects distincts de la procédure de remboursement du montant d’opérations de paiement non autorisées en ce sens que l’article 73 de ladite directive impose au prestataire de services de paiement une obligation de remboursement immédiat de ce montant, alors que l’article 74 de celle-ci encadre la répartition de la responsabilité entre ce prestataire et le payeur à un stade ultérieur ». Et le point 45 du même arrêt C-70/25 du 15 octobre 2026 précise qu’« une interprétation de l’article 74, paragraphe 1, de la directive 2015/2366 en ce sens qu’il exonère le prestataire de services de paiement de son obligation de procéder au remboursement immédiat, telle que prévue à l’article 73, paragraphe 1, de cette directive, lorsque le payeur a manqué, à la suite d’une négligence grave, aux obligations qui lui incombent en vertu de l’article 69 de celle-ci, aurait pour conséquence non seulement de priver d’effet utile l’obligation de remboursement immédiat au payeur, mais également de contraindre l’utilisateur à prendre l’initiative de faire valoir son droit, le cas échéant, devant les juridictions compétentes et à supporter les inconvénients qui en résultent, notamment les éventuels frais de procédure. »
En droit français, cette obligation de remboursement au plus tard à la fin du premier jour ouvrable suivant le signalement est assortie de sanctions financières automatiques. Aux termes des alinéas 3 à 6 de l’article L. 133-18 du Code monétaire et financier, issus de la loi n° 2022-1158 du 16 août 2022, en cas de manquement du prestataire à cette obligation dans le délai d’un jour ouvrable, les sommes dues produisent de plein droit intérêt au taux légal majoré de cinq points dès le premier jour de retard, de dix points au-delà de sept jours de retard, et de quinze points au-delà de trente jours de retard. Comme le soulignent les observations publiées le 21 octobre 2026 sur le Village de la Justice à propos des arrêts d’octobre 2026 de la CJUE et de la Cour de cassation, le refus de remboursement immédiat opposé au seul motif d’une négligence grave du client, sans déclaration écrite de soupçon de fraude adressée à la Banque de France conformément à l’article L. 133-18 du Code monétaire et financier, déclenche de plein droit ces majorations légales.
B. La frontière déterminante entre opération de paiement non autorisée et ordre exécuté sous manipulation
Si l’arrêt du 15 octobre 2026 renforce la position procédurale du titulaire du compte, son champ d’application demeure circonscrit aux opérations juridiquement qualifiées de non autorisées. Selon l’article L. 133-6 du Code monétaire et financier, une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. C’est ce qu’a illustré la chambre commerciale de la Cour de cassation dans son arrêt du 2 mai 2024 (pourvoi n° 22-18.074) en jugeant, au visa de l’article L. 133-6 du Code monétaire et financier, que « les retraits et paiements effectués par Mme [X], à l’aide du doublon de la carte bancaire de son conjoint qu’elle avait obtenu à son insu, constituent des opérations de paiement non autorisées par le payeur titulaire du compte. »
Cette distinction entre l’opération non autorisée et l’opération ordonnée par la victime sous l’emprise d’une manœuvre dolosive constitue l’enjeu central mis en lumière par le communiqué de la Banque de France relatif à la consultation publique du CCSF ouverte du 13 octobre au 30 novembre 2026. Ce document relève que les escroqueries numériques représentent désormais la moitié des fraudes en France contre 31 % en 2016, que 17 % des Français déclarent avoir subi une arnaque selon le baromètre 2025 cité par la Banque de France, et que le préjudice annuel global est estimé à au moins 500 millions d’euros. Les données du rapport annuel 2025 de l’Observatoire de la sécurité des moyens de paiement analysées par Actu.shop dans son étude du 20 octobre 2026 indiquent que la fraude par manipulation a atteint 516 millions d’euros en 2025, en hausse de 34 % sur un an, soit 41,6 % de la fraude totale : au sein des 484,7 millions d’euros de fraude au virement, les opérations de « faux » initiées par le fraudeur au moyen d’identifiants dérobés représentent 130 millions d’euros (26,8 %), tandis que les opérations de « détournement » initiées par la victime trompée s’élèvent à 297,1 millions d’euros (61,3 %).
En outre, lorsque la régularité de l’instrument de paiement utilisé est contestée, l’arrêt rendu le 8 octobre 2026 par la chambre commerciale de la Cour de cassation (pourvoi n° 25-17.510) pose un garde-fou déterminant pour le contentieux commercial et bancaire devant les juridictions françaises. Dans cette espèce, une société avait signé le 10 mars 2017 un contrat sécurisé prévoyant la remise des virements internationaux au moyen d’une clé numérique personnalisée, cessant d’utiliser l’ancien processus par télécopie. En décembre 2019, victime d’une fraude, l’assistante administrative de la société avait adressé par télécopie et courriel un ordre de virement international revêtu d’une signature imitée du dirigeant. La cour d’appel avait retenu une négligence grave de la société sur le fondement de l’article L. 133-16 du Code monétaire et financier.
La chambre commerciale casse cet arrêt au visa des articles L. 133-16 et L. 133-19, IV, du Code monétaire et financier interprétés à la lumière des articles 69 et 74 de la directive (UE) 2015/2366. Au point 4 de son arrêt du 8 octobre 2026 (n° 25-17.510), la Cour énonce qu’« en cas d’opération de paiement non autorisée, le prestataire de services de paiement ne peut s’exonérer de sa responsabilité que lorsque l’utilisateur du service de paiement manque par négligence grave à ses obligations d’utiliser l’instrument de paiement qui lui a été délivré conformément aux conditions régissant sa délivrance et son utilisation ou ne prend pas toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. » Puis, au point 8 du même arrêt du 8 octobre 2026, elle juge que « la télécopie n’était plus l’instrument de paiement convenu entre les parties, de sorte que la banque, qui avait accepté d’exécuter une opération de paiement au moyen d’un tel instrument, ne pouvait pas reprocher à la société une négligence grave ». Cette règle irrigue nos domaines d’intervention en droit économique et financier.
II. Le régime probatoire de la négligence grave et l’articulation stricte des délais de contestation et d’action
A. La charge de la preuve incombant au prestataire de services de paiement et le caractère exclusif du régime spécial
Lorsqu’un prestataire de services de paiement, après avoir exécuté son obligation de remboursement immédiat conformément à l’article L. 133-18 du Code monétaire et financier, agit ensuite pour faire supporter la perte au payeur, il doit satisfaire aux exigences de l’article L. 133-23 du Code monétaire et financier. En vertu de ce texte, lorsqu’un utilisateur nie avoir autorisé une opération exécutée, son prestataire doit prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre ; surtout, l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée ou que le payeur n’a pas satisfait intentionnellement ou par négligence grave à ses obligations, le prestataire devant fournir des éléments pour prouver la fraude ou la négligence grave.
La Cour de cassation refuse ainsi que la négligence grave soit déduite de la seule trace informatique ou du seul emploi d’une authentification forte prévue par l’article L. 133-44 du Code monétaire et financier. Dans son arrêt du 13 février 2019 (pourvoi n° 17-23.139), la chambre commerciale a jugé que « c’est à ce prestataire qu’il incombe, par application des articles L. 133-19, IV, et L. 133-23 du dit code, dans leur rédaction alors applicable, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait, intentionnellement ou par négligence grave, à ses obligations ; que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés ». De plus, en application du V de l’article L. 133-19 du Code monétaire et financier, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération non autorisée a été effectuée sans que le prestataire du payeur n’exige une authentification forte prévue à l’article L. 133-44 du Code monétaire et financier.
À l’inverse, si le prestataire rapporte la preuve extrinsèque que l’utilisateur a manqué par négligence grave aux obligations des articles L. 133-16 et L. 133-17 du Code monétaire et financier, la perte est intégralement laissée à sa charge au stade définitif. Comme l’a rappelé la chambre commerciale dans son arrêt du 1er juillet 2020 (pourvoi n° 18-21.487), « le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées s’il n’a pas satisfait par négligence grave, exclusive de toute appréciation de sa bonne foi, à l’obligation, imposée à l’utilisateur de services de paiement par le second de ces textes, de prendre toute mesure raisonnable pour préserver la sécurité du dispositif de sécurité personnalisé mis à sa disposition ».
En outre, ce régime spécial est exclusif de tout recours au droit commun de la responsabilité contractuelle. Par un arrêt du 15 janvier 2025 (pourvoi n° 23-13.579), la chambre commerciale de la Cour de cassation a jugé que « dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier, qui transposent les articles 58, 59 et 60, paragraphe 1, de la directive 2007/64/CE, à l’exclusion de tout régime alternatif de responsabilité résultant du droit national. » Dans cet arrêt du 15 janvier 2025, la Cour a censuré un partage de responsabilité fondé sur le devoir général de vigilance de la banque.
B. Les délais impératifs de signalement, de traitement des réclamations et de prescription de l’action en paiement
L’exercice du droit au remboursement obéit à des délais légaux distincts. D’abord, dès qu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données liées, l’utilisateur doit en informer sans tarder son prestataire aux fins de blocage, conformément au I de l’article L. 133-17 du Code monétaire et financier. Ensuite, selon l’article L. 133-24 du Code monétaire et financier, l’utilisateur signale, sans tarder, à son prestataire une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion, à moins que le prestataire ne lui ait pas fourni ou mis à disposition les informations relatives à cette opération, un délai distinct ne pouvant être convenu que lorsque l’utilisateur n’est pas une personne physique agissant pour des besoins non professionnels. Comme l’a confirmé la Cour de cassation dans son arrêt du 2 mai 2024 (pourvoi n° 22-18.074), l’absence de contestation dans ce délai de treize mois suivant la date de débit prévu à l’article L. 133-24 du Code monétaire et financier entraîne l’irrecevabilité par forclusion.
Toutefois, ce délai de treize mois concerne le signalement au prestataire et non l’assignation en justice. Par un arrêt du 20 mai 2026 (pourvoi n° 25-13.721), la chambre commerciale de la Cour de cassation a jugé, au visa de l’article L. 133-24 du Code monétaire et financier, que « M. et Mme [Q] avaient signalé sans tarder et au plus tard dans le délai de treize mois les opérations non autorisées, ce qui les autorisait à agir en paiement contre la banque dans le délai de prescription de droit commun ». Or, aux termes de l’article 2224 du Code civil, les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer. Dès lors que le signalement a été effectué dans les treize mois suivant le débit selon l’article L. 133-24 du Code monétaire et financier, l’action en paiement demeure recevable dans le délai quinquennal de prescription de droit commun de l’article 2224 du Code civil.
Sur le plan précontentieux, tandis que le remboursement doit intervenir au plus tard à la fin du premier jour ouvrable suivant le signalement selon l’article L. 133-18 du Code monétaire et financier, l’article L. 133-45 du Code monétaire et financier prévoit que la réponse écrite à une réclamation est transmise au plus tard dans les quinze jours ouvrables suivant sa réception, ou au plus tard dans les trente-cinq jours ouvrables dans les situations exceptionnelles échappant au contrôle du prestataire après envoi d’une réponse d’attente motivée. Enfin, lorsque le consommateur saisit le médiateur de la consommation mentionné à l’article L. 612-1 du Code de la consommation, l’article L. 612-2 du Code de la consommation subordonne la recevabilité de sa demande à une réclamation écrite préalable auprès du professionnel et à une saisine du médiateur dans le délai d’un an à compter de cette réclamation écrite, le médiateur notifiant un éventuel rejet de recevabilité dans un délai de trois semaines à compter de la réception du dossier, ce qui s’articule avec les actions menées en contentieux bancaire et commercial.
Conclusion
La convergence de l’arrêt rendu le 15 octobre 2026 par la Cour de justice de l’Union européenne dans l’affaire C-70/25 (Tukowiecka) et de l’arrêt rendu le 8 octobre 2026 par la chambre commerciale de la Cour de cassation (n° 25-17.510) redessine l’équilibre procédural du contentieux des opérations de paiement non autorisées. Pour toute opération non autorisée signalée sans tarder et au plus tard dans le délai de treize mois suivant la date de débit prévu à peine de forclusion par l’article L. 133-24 du Code monétaire et financier, le prestataire de services de paiement est tenu de rembourser immédiatement et au plus tard à la fin du premier jour ouvrable suivant conformément à l’article L. 133-18 du Code monétaire et financier, sous la seule exception d’un soupçon de fraude du payeur communiqué par écrit à la Banque de France, la négligence grave ne pouvant être débattue qu’ultérieurement selon les règles probatoires de l’article L. 133-23 du Code monétaire et financier et à condition que l’instrument convenu au sens de l’article L. 133-16 du Code monétaire et financier ait été respecté.
Tandis que les travaux engagés dans le cadre de la consultation publique du Comité consultatif du secteur financier ouverte jusqu’au 30 novembre 2026 soulignent l’ampleur des escroqueries par manipulation, la qualification précise de chaque opération demeure déterminante. À la date de rédaction du présent article, il est rappelé qu’aucune responsabilité civile ou réglementaire générale n’est préjugée à l’encontre d’un établissement déterminé, que l’examen des conventions de compte et des contrats-cadres signés entre les parties demeure indispensable dans le respect des dispositions d’ordre public du Code monétaire et financier, et que seul le juge saisi dispose du pouvoir d’apprécier souverainement les faits et les pièces de chaque litige.