Selon son communiqué de presse daté de Brest le 4 novembre 2026, le Crédit Mutuel Arkéa a annoncé avoir été victime d’une cyberattaque ayant permis la réalisation d’opérations frauduleuses. D’après ce même communiqué, certaines transactions ont été suspendues temporairement par mesure de précaution, l’incident est clos et maîtrisé et les avoirs des clients ne sont pas impactés. Le groupe y précise que l’incident a seulement entraîné une exécution différée de certaines opérations de virement et appelle ses clients à la vigilance face à de possibles tentatives d’hameçonnage dans les jours qui suivent. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne décrivent pas la situation du Crédit Mutuel Arkéa, sur laquelle l’article ne formule aucun constat. À la date de rédaction, aucune responsabilité n’est établie à l’égard de quiconque, les contrats signés priment sur toute analyse générale, et seul le juge décide au cas par cas. Pour le client d’une banque confronté à un incident de ce type, trois situations se distinguent, et elles n’ouvrent pas les mêmes droits : une opération figure au débit du compte alors qu’il ne l’a ni faite ni validée ; un virement qu’il a ordonné arrive en retard ou n’arrive pas ; un message ou un appel reçu après l’annonce de l’incident l’a conduit à communiquer ses codes ou à valider une opération. Le code monétaire et financier traite ces trois cas séparément, avec des délais, des charges de preuve et des remboursements différents.
I. Cyberattaque banque aujourd’hui : distinguer l’opération que vous n’avez pas faite du virement simplement différé
A. Opération de paiement non autorisée signalée par le client : remboursement au plus tard le premier jour ouvrable suivant et signalement sans tarder
Le premier cas est celui du débit que le titulaire du compte découvre sur son relevé sans l’avoir ordonné : virement vers un bénéficiaire inconnu, paiement par carte qu’il n’a pas réalisé, ajout d’un bénéficiaire qu’il n’a pas demandé. Le droit des services de paiement nomme cette situation « opération de paiement non autorisée ». Elle déclenche une obligation de remboursement rapide à la charge du prestataire de services de paiement du payeur, c’est-à-dire, pour un particulier, sa banque. L’article L. 133-18 du code monétaire et financier dispose qu’en cas d’opération de paiement non autorisée signalée par l’utilisateur, le prestataire « rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant ». Le même article ajoute que le prestataire rétablit, le cas échéant, le compte débité dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu, et que la date de valeur du crédit de remboursement n’est pas postérieure à la date du débit contesté. Rétablir le compte dans son état antérieur signifie concrètement que les agios, commissions d’intervention ou frais d’incident nés du seul débit contesté n’ont pas vocation à subsister, puisque le solde doit être reconstitué comme si l’opération n’avait pas existé.
Ce remboursement rapide comporte une seule réserve écrite dans le texte : le prestataire peut différer le remboursement « sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France », selon les termes de l’article L. 133-18 du code monétaire et financier. Un simple doute exprimé au téléphone, ou la circonstance que l’opération a été authentifiée par un code, ne correspond pas à cette réserve, qui suppose des raisons précises et une communication écrite à la Banque de France. Le texte sanctionne en outre le retard de remboursement par des intérêts majorés : les sommes dues produisent intérêt au taux légal majoré de cinq points, de dix points au-delà de sept jours de retard, et de quinze points au-delà de trente jours, selon l’article L. 133-18 du code monétaire et financier. Ces majorations donnent au client un levier chiffrable dès la première réclamation écrite : la date de réception du signalement par la banque fait courir à la fois le délai de remboursement et, en cas de retard, les intérêts majorés.
En contrepartie, le client doit signaler vite. L’article L. 133-17 du code monétaire et financier prévoit que, lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur « en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci ». Dès cette information donnée, l’article L. 133-15 du code monétaire et financier impose au prestataire d’empêcher toute utilisation de l’instrument de paiement, et l’article L. 133-20 du code monétaire et financier pose qu’après cette information, « le payeur ne supporte aucune conséquence financière résultant de l’utilisation de cet instrument de paiement ou de l’utilisation détournée des données qui lui sont liées, sauf agissement frauduleux de sa part ». Le moment du signalement sépare donc deux périodes : après lui, les débits ultérieurs réalisés avec l’instrument bloqué ne pèsent plus sur le client, hors fraude de sa part.
Le signalement obéit aussi à une borne extrême. L’article L. 133-24 du code monétaire et financier prévoit que l’utilisateur signale l’opération non autorisée ou mal exécutée « sans tarder » et « au plus tard dans les treize mois suivant la date de débit sous peine de forclusion », à moins que le prestataire ne lui ait pas fourni ou mis à disposition les informations relatives à l’opération. Passé ce délai de treize mois à compter de la date de débit, la contestation fondée sur ce régime est forclose, selon le même article L. 133-24 du code monétaire et financier. Treize mois est un délai long en apparence, mais « sans tarder » reste la règle de comportement, et un signalement tardif complique la preuve des faits, la récupération éventuelle des fonds et l’appréciation du comportement du client. Dans un contexte d’incident annoncé par une banque, vérifier ses relevés ligne à ligne dès la reprise des services, puis signaler par un canal qui laisse une trace datée, est le geste qui conditionne tous les droits décrits dans cet article.
Reste la question du reste à charge. Le plafond de 50 euros souvent cité a un champ étroit : aux termes du I de l’article L. 133-19 du code monétaire et financier, le texte dispose : « En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17 , les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 € ». Le même article écarte même ce plafond lorsque l’opération a été effectuée sans utilisation des données de sécurité personnalisées, lorsque la perte ou le vol ne pouvait pas être détecté par le payeur avant le paiement, ou lorsque la perte est due à des actes ou à une carence d’un salarié, d’un agent, d’une succursale du prestataire ou d’une entité vers laquelle ses activités ont été externalisées. Surtout, le II de l’article L. 133-19 du code monétaire et financier dispose : « La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées ». Une opération réalisée à la faveur d’une attaque contre les systèmes de la banque, sans que le client ait perdu sa carte, communiqué ses codes ou validé quoi que ce soit, relève par hypothèse de cette catégorie du détournement à l’insu du payeur, ce qui exclut en principe tout reste à charge. La qualification exacte des faits appartient toutefois au juge saisi, sur les éléments techniques produits par la banque et par le client.
La seule hypothèse dans laquelle le client supporte intégralement les pertes est écrite au IV de l’article L. 133-19 du code monétaire et financier : agissement frauduleux de sa part, ou manquement intentionnel ou par négligence grave aux obligations de préservation de ses données de sécurité et de signalement. L’obligation de préservation est celle de l’article L. 133-16 du code monétaire et financier, qui demande à l’utilisateur de prendre « toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées » et d’utiliser l’instrument conformément aux conditions de sa délivrance. La frontière entre le client qui n’a rien fait et le client trompé qui a validé une opération ou transmis un code est donc décisive : le premier relève du remboursement de l’opération non autorisée, le second expose la banque à soulever la négligence grave, débat traité dans la seconde partie de cet article.
B. Virement différé, retardé ou mal exécuté pendant un incident bancaire : date de valeur, restitution et frais supportés par le client
Le deuxième cas ne suppose aucune fraude contre le client : il a ordonné un virement régulier, par exemple un loyer, un salaire à recevoir ou un remboursement attendu, et l’opération est exécutée avec retard, suspendue par précaution, ou portée au compte du bénéficiaire plus tard que prévu. Le régime applicable n’est plus celui de l’opération non autorisée, mais celui de la bonne exécution des opérations de paiement. Le I de l’article L. 133-13 du code monétaire et financier prévoit que le montant de l’opération est crédité sur le compte du prestataire du bénéficiaire « au plus tard à la fin du premier jour ouvrable suivant le moment de réception de l’ordre de paiement ». Une exécution différée annoncée pendant un incident peut donc placer concrètement le client au-delà de ce délai d’exécution, et c’est par rapport à cette norme que s’apprécie le retard, jour ouvrable par jour ouvrable, selon l’article L. 133-13 du code monétaire et financier.
Lorsque le retard ou le défaut d’exécution est imputable au prestataire du payeur, le I de l’article L. 133-22 du code monétaire et financier le déclare responsable de la bonne exécution de l’opération à l’égard du payeur jusqu’à réception du montant par le prestataire du bénéficiaire, et prévoit qu’il « restitue sans tarder son montant au payeur » et rétablit le compte débité dans la situation qui aurait prévalu si l’opération mal exécutée n’avait pas eu lieu. Le même texte protège la date de valeur : celle à laquelle le compte du payeur est recrédité n’est pas postérieure à la date du débit, et, en cas d’exécution tardive, la date de valeur portée au compte du bénéficiaire ne doit pas être postérieure à celle qui lui aurait été attribuée si l’opération avait été correctement exécutée, selon l’article L. 133-22 du code monétaire et financier. Pour le client, l’enjeu pratique est souvent là : un loyer ou une échéance payé tardivement peut générer des pénalités chez le créancier, et un salaire crédité tardivement peut provoquer des rejets de prélèvements. La correction de la date de valeur neutralise une partie de ces effets dans la relation avec la banque, à charge pour le client de documenter les frais réellement subis.
Le IV de l’article L. 133-22 du code monétaire et financier complète le dispositif en rendant les prestataires « redevables, vis-à-vis de leurs utilisateurs de services de paiement respectifs, des frais et des intérêts supportés par l’utilisateur de services de paiement imputables à la non-exécution, la mauvaise exécution ou l’exécution tardive de l’opération de paiement dont ils sont responsables ». Le client qui a supporté des frais d’incident, des intérêts de retard chez un créancier ou des commissions à cause d’un virement différé peut donc en demander le remboursement à son prestataire, justificatifs à l’appui, dans la mesure où ces frais sont imputables à l’exécution tardive dont ce prestataire est responsable au sens de l’article L. 133-22 du code monétaire et financier. Le III du même article lui ouvre un droit d’investigation utile dès les premiers jours : en cas d’opération mal exécutée, son prestataire s’efforce immédiatement, sur sa demande, de retrouver la trace de l’opération et lui notifie le résultat de sa recherche. Demander cette recherche par écrit permet de savoir si les fonds sont partis, bloqués chez un intermédiaire, ou jamais émis, et d’orienter la réclamation vers le bon responsable.
Deux distinctions évitent les confusions fréquentes dans les recherches des internautes. La première concerne l’erreur de bénéficiaire : l’article L. 133-21 du code monétaire et financier prévoit qu’un ordre exécuté conformément à l’identifiant unique fourni par l’utilisateur est réputé dûment exécuté pour le bénéficiaire désigné par cet identifiant, et que si l’identifiant fourni est inexact, le prestataire n’est pas responsable de la mauvaise exécution, tout en devant s’efforcer de récupérer les fonds. Un IBAN erroné saisi par le client ne relève donc ni de l’opération non autorisée ni du retard d’exécution, mais de cette règle propre à l’identifiant inexact selon l’article L. 133-21 du code monétaire et financier. La seconde distinction concerne la solvabilité de l’établissement : un incident informatique, même sérieux, ne dit rien par lui-même de la solidité financière d’une banque, et la question différente de ce que devient un prêt ou une épargne si une banque fait faillite relève d’autres mécanismes, exposés dans notre analyse si ma banque fait faillite, que devient mon prêt immobilier. Confondre les deux sujets conduit à demander les mauvaises garanties : face à un virement différé ou à un débit inconnu, les droits du client sont ceux des services de paiement décrits ici, exercés contre son prestataire, relevés et dates à l’appui.
La contestation d’une opération mal exécutée emprunte la même borne que celle de l’opération non autorisée : le signalement intervient « sans tarder » et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion, selon l’article L. 133-24 du code monétaire et financier. Dans les faits, un virement différé se constate en quelques jours, et attendre affaiblit la demande de remboursement des frais consécutifs, dont le lien avec le retard devient plus difficile à établir avec le temps. La méthode utile tient en trois pièces : l’ordre de virement avec sa date et son heure d’émission, le relevé montrant la date d’exécution réelle et sa date de valeur, et les justificatifs des frais subis chez les créanciers concernés. Ces pièces permettent de mesurer l’écart par rapport au délai du premier jour ouvrable et de chiffrer la demande sans discussion inutile sur le principe.
II. Cyberattaque banque 2026 : qui doit prouver quoi quand la banque refuse de rembourser ?
A. Charge de la preuve de la banque, authentification forte et déficience technique : ce que le client peut exiger avant tout débat sur sa négligence
Le refus de remboursement repose le plus souvent sur un argument unique : l’opération aurait été authentifiée avec les codes du client, donc le client l’aurait autorisée ou aurait gravement négligé la sécurité de ses données. Le code monétaire et financier organise ce débat en commençant par la preuve du prestataire. L’article L. 133-23 du code monétaire et financier dispose que, lorsque l’utilisateur nie avoir autorisé une opération exécutée, « il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre ». Le même article ajoute que l’utilisation de l’instrument telle qu’enregistrée par le prestataire « ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant », et que le prestataire fournit des éléments afin de prouver la fraude ou la négligence grave de l’utilisateur, selon l’article L. 133-23 du code monétaire et financier. Un journal de connexion montrant la saisie d’un code ne clôt donc pas le dossier : la banque doit établir l’authentification régulière, l’enregistrement correct, l’absence de déficience technique, puis, si elle invoque la négligence grave, la prouver par des éléments distincts.
La Cour de cassation a donné à cette architecture une portée procédurale nette. Par un arrêt du 12 novembre 2020, rendu sous la rédaction des textes alors applicable, sa chambre commerciale a énoncé que le prestataire qui entend faire supporter les pertes à l’utilisateur pour manquement intentionnel ou négligence grave « doit aussi prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre » (Cass. com., 12 novembre 2020, n° 19-12.112). La même chambre a confirmé et précisé cette exigence sous les textes actuels par un arrêt du 30 avril 2025 : « le prestataire de services de paiement doit au préalable prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre » (Cass. com., 30 avril 2025, n° 24-10.149). Dans cette espèce, la cour d’appel avait débouté le client en retenant sa négligence grave pour avoir cliqué sur un courriel frauduleux ; la Cour de cassation a cassé l’arrêt parce que les juges n’avaient pas recherché si la banque démontrait l’authentification régulière des virements et l’absence de déficience technique. L’ordre des questions est donc contraignant pour le juge : preuve technique de la banque d’abord, comportement du client ensuite.
Dans le contexte d’un incident de sécurité annoncé par l’établissement lui-même, cet ordre prend un relief particulier, sans qu’il soit besoin d’affirmer quoi que ce soit sur l’incident en cause. La condition d’absence de « déficience technique ou autre » posée par l’article L. 133-23 du code monétaire et financier oblige en effet le prestataire à documenter le fonctionnement de ses propres systèmes au moment de l’opération contestée : journaux d’authentification, traces d’enregistrement, éléments établissant que l’opération n’a pas été affectée par l’incident en cours. Le client, lui, n’a pas accès à ces éléments et n’a pas à démontrer l’existence d’une faille ; il lui suffit de nier avoir autorisé l’opération et de signaler les faits. Si la banque ne rapporte pas cette preuve préalable, elle ne peut pas davantage se prévaloir de la négligence grave du client pour lui laisser les pertes, conformément à la solution rappelée par l’arrêt du 30 avril 2025 précité (Cass. com., 30 avril 2025, n° 24-10.149).
S’y ajoute l’exigence d’authentification forte. Le I de l’article L. 133-44 du code monétaire et financier impose au prestataire d’appliquer l’authentification forte du client notamment lorsque le payeur accède à son compte en ligne, initie une opération de paiement électronique ou exécute une opération à distance susceptible de comporter un risque de fraude. Le V de l’article L. 133-19 du code monétaire et financier en tire la conséquence financière : « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 ». La Cour de cassation l’a rappelé le 22 octobre 2025 : « le prestataire de service de paiement doit appliquer l’authentification forte du client […] en cas d’opération de paiement à distance et […] à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur » (Cass. com., 22 octobre 2025, n° 24-19.749). Dans cette affaire, le client avait pourtant communiqué des données confidentielles en réponse à un courriel frauduleux, négligence grave retenue par le tribunal ; le remboursement a néanmoins été confirmé parce que la banque ne justifiait pas avoir exigé l’activation de l’authentification forte. Avant de discuter son propre comportement, le client peut donc demander à la banque de justifier, opération par opération, l’authentification forte effectivement exigée.
B. Hameçonnage après l’annonce d’un incident et faux conseiller : négligence grave appréciée au cas par cas et démarches qui préservent le remboursement
Le troisième cas est celui que les communiqués d’incident signalent presque toujours : dans les heures ou les jours qui suivent l’annonce publique d’une attaque, des messages imitant la banque invitent le client à vérifier son compte, à réactiver son accès ou à valider une opération de sécurisation. Si le client suit ces instructions, communique ses codes ou valide l’ajout d’un bénéficiaire, la banque soulèvera la négligence grave prévue au IV de l’article L. 133-19 du code monétaire et financier, qui fait supporter au payeur toutes les pertes lorsque celles-ci résultent d’un manquement intentionnel ou par négligence grave aux obligations des articles L. 133-16 et L. 133-17 du même code. Cette négligence grave ne se présume pas : le prestataire doit la prouver, comme le rappelle l’article L. 133-23 du code monétaire et financier, et les juges l’apprécient à partir des circonstances concrètes de la tromperie, non à partir du seul fait que le client a saisi un code.
L’arrêt rendu par la chambre commerciale le 23 octobre 2024 illustre cette appréciation concrète dans une hypothèse de faux conseiller bancaire (Cass. com., 23 octobre 2024, n° 23-16.267). Le client avait été appelé par une personne se présentant comme l’assistante de sa conseillère, qui lui avait demandé de réenregistrer des bénéficiaires de virement prétendument supprimés pour déjouer une attaque informatique ; il avait validé les ajouts en saisissant son code confidentiel, et 54 500 euros avaient été virés. La cour d’appel avait condamné la banque à rembourser, et la Cour de cassation a rejeté le pourvoi : le numéro affiché sur le téléphone du client était celui de sa conseillère, il croyait valider le réenregistrement de bénéficiaires connus sur une application présentée comme sécurisée, et « le mode opératoire par l’utilisation du « spoofing » a mis M. [J] en confiance et a diminué sa vigilance », vigilance jugée inférieure, lors d’un appel téléphonique annonçant le piratage du compte, à celle d’une personne recevant un courriel qu’elle a le temps d’examiner. De ces constatations, la cour d’appel avait pu déduire que la négligence grave n’était pas caractérisée. À l’inverse, un courriel présentant des anomalies grossières a pu fonder la négligence grave dans l’affaire jugée le 22 octobre 2025, sans pour autant dispenser la banque du remboursement faute d’authentification forte exigée (Cass. com., 22 octobre 2025, n° 24-19.749). Aucune de ces solutions ne se transpose mécaniquement : présentation du message ou de l’appel, numéro affiché, urgence invoquée, expérience du client et état des connaissances publiques sur l’incident en cours sont autant d’éléments que le juge pèse un à un.
Dans ce débat, la chronologie documentée vaut mieux que les affirmations générales. Le client qui reçoit un message suspect après l’annonce d’un incident conserve le message, son expéditeur apparent, les captures d’écran horodatées et le journal des appels reçus ; celui qui a déjà validé une opération ou transmis un code fait procéder au blocage de l’instrument sans tarder, comme le prévoit l’article L. 133-17 du code monétaire et financier, change ses codes depuis un accès qu’il ouvre lui-même sans suivre le lien reçu, et dépose une réclamation écrite décrivant les faits dans l’ordre : contenu exact de l’appel ou du message, opérations validées et leur objet apparent, heure de découverte des débits, heure du signalement. Après ce signalement aux fins de blocage, l’article L. 133-20 du code monétaire et financier protège le payeur contre les conséquences financières des utilisations ultérieures de l’instrument, sauf agissement frauduleux de sa part. La réclamation écrite sert aussi de point de départ au délai de remboursement de l’article L. 133-18 du code monétaire et financier pour les opérations que le client conteste comme non autorisées, et elle fige sa version des faits avant que la banque ne produise ses propres journaux techniques.
Si la banque refuse le remboursement, le client dispose d’une gradation de recours qu’il a intérêt à suivre sans brûler les étapes. Il demande d’abord, par écrit, la communication des éléments sur lesquels la banque fonde son refus : preuve de l’authentification et de l’enregistrement de chaque opération, justification de l’absence de déficience technique au moment des faits, authentification forte exigée, et éléments précis de la négligence grave alléguée, conformément à la répartition des charges posée par l’article L. 133-23 du code monétaire et financier. Il saisit ensuite le service réclamations de l’établissement, puis le médiateur bancaire dont les coordonnées figurent sur ses relevés et sa convention de compte si le litige persiste après la réponse du service réclamations. En cas d’échec, le juge tranche sur pièces : relevés, réclamation datée, réponses de la banque, journaux techniques produits, messages frauduleux conservés. Dans tous les cas, la borne du signalement reste celle de l’article L. 133-24 du code monétaire et financier : sans tarder, et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion. Le client qui découvre tardivement une opération ancienne vérifie donc d’abord la date du débit contesté, car c’est elle, et non la date de découverte, que le texte retient comme point de départ du délai de treize mois.
Conclusion
Face à une cyberattaque annoncée par une banque, le sort du client dépend moins de l’ampleur de l’incident que de la qualification exacte de ce qu’il constate sur son compte. Un débit qu’il n’a ni ordonné ni validé relève de l’opération non autorisée : remboursement au plus tard à la fin du premier jour ouvrable suivant le signalement, compte rétabli dans son état antérieur, et aucun reste à charge lorsque l’instrument ou ses données ont été détournés à son insu. Un virement régulier exécuté tardivement relève de la bonne exécution : délai normé au premier jour ouvrable, date de valeur corrigée, frais et intérêts imputables au retard remboursables sur justificatifs. Une opération validée sous l’effet d’un message ou d’un appel trompeur ouvre le débat sur la négligence grave, que la banque doit prouver après avoir elle-même établi l’authentification régulière de l’opération, son enregistrement correct, l’absence de déficience technique et l’authentification forte exigée ; les arrêts récents de la chambre commerciale montrent que ce débat se gagne ou se perd sur les circonstances précises de la tromperie, jamais sur le seul fait qu’un code a été saisi. Dans les trois cas, les mêmes réflexes protègent les droits du client : vérifier ses relevés dès la reprise des services, signaler sans tarder par un canal traçable, conserver messages et captures, chiffrer les frais subis. À la date de rédaction de cet article, aucune responsabilité n’est établie s’agissant de l’incident ayant motivé ces explications, les contrats signés et les conventions de compte priment sur toute analyse générale, et seul le juge décide, dossier par dossier, du remboursement contesté.