Opérations de paiement non autorisées : la chambre commerciale redessine l’équilibre des obligations entre le banquier et son client
Le contentieux des opérations de paiement non autorisées connaît, depuis 2023, une densification remarquable devant la chambre commerciale, financière et économique de la Cour de cassation. Quatorze arrêts, dont dix publiés au Bulletin, sont venus préciser, en moins de trois années, les obligations respectives du prestataire de services de paiement et de l’utilisateur. Ce mouvement jurisprudentiel, amorcé sous l’empire de la directive 2007/64/CE du 13 novembre 2007 concernant les services de paiement, s’est trouvé amplifié par l’arrêt rendu le 1er août 2025 par la Cour de justice de l’Union européenne dans l’affaire Veracash (C-665/23), dont la Cour de cassation a tiré les conséquences dès le 14 janvier 2026. L’économie générale du régime institué par les articles L. 133-16 à L. 133-24 du code monétaire et financier s’en trouve profondément renouvelée.
La question centrale qui traverse ces décisions est celle de l’équilibre entre la protection du client, victime de fraudes de plus en plus sophistiquées, et la responsabilité du banquier, dont les obligations de vigilance sont à la fois réaffirmées et strictement encadrées. La présente analyse se propose d’examiner, d’une part, la consolidation du régime spécial des opérations de paiement par la chambre commerciale et, d’autre part, l’articulation renouvelée entre le devoir de vigilance et le principe de non-ingérence bancaire.
I. La consolidation du régime spécial des opérations de paiement non autorisées
La chambre commerciale a, par une série d’arrêts rendus entre 2023 et 2026, considérablement affermi les contours du régime des opérations de paiement non autorisées. Deux axes se dégagent de cette construction prétorienne : l’obligation de signalement sans tarder, érigée en condition substantielle du droit à remboursement, et l’affirmation de l’exclusivité du régime du code monétaire et financier.
A. L’obligation de signalement sans tarder, condition substantielle du droit à remboursement
Le droit au remboursement immédiat d’une opération de paiement non autorisée, prévu à l’article L. 133-18 du code monétaire et financier, est subordonné au respect par l’utilisateur d’une obligation procédurale essentielle : le signalement sans tarder de l’opération contestée. L’arrêt rendu par la chambre commerciale le 4 février 2026 énonce, dans une formule désormais canonique, qu’« il résulte des articles L. 133-18 et L. 133-24 du code monétaire et financier que, pour obtenir le remboursement immédiat d’une opération de paiement non autorisée, l’utilisateur doit l’avoir signalée sans tarder à son prestataire de service de paiement à compter du moment où il en a eu connaissance et, au plus tard, dans le délai de treize mois à compter du débit » (Com. 4 févr. 2026, n° 22-22.609, Publié au Bulletin). En l’espèce, les titulaires du compte, qui n’avaient pas justifié de la date à laquelle ils avaient signalé l’utilisation frauduleuse de leur carte bancaire, ont vu leur demande de remboursement rejetée.
Cette solution s’inscrit dans le prolongement direct de l’arrêt rendu le 14 janvier 2026, par lequel la chambre commerciale a tiré les conséquences de l’arrêt Veracash de la Cour de justice de l’Union européenne du 1er août 2025. La Cour de justice y avait dit pour droit que « l’obligation incombant à l’utilisateur de services de paiement de signaler sans tarder à son prestataire de services de paiement une opération non autorisée naît à compter du moment où il en a eu connaissance et que, faute de l’avoir signalée, de manière délibérée ou par négligence grave, il est privé du droit d’obtenir la correction de cette opération, peu important que ce signalement ait été effectué dans les treize mois suivant la date de débit » (Com. 14 janv. 2026, n° 22-14.822, Publié au Bulletin, citant CJUE 1er août 2025, C-665/23). Par cet arrêt, la Cour de cassation a cassé la décision des juges du fond qui s’étaient bornés à constater un écart de près de deux mois entre le premier retrait contesté et le signalement, sans rechercher à quelle date précise l’utilisateur avait eu connaissance de cette première opération.
La portée de cette obligation de signalement est d’autant plus considérable que sa méconnaissance est sanctionnée par la privation totale du droit à remboursement. L’article L. 133-19, IV, du code monétaire et financier dispose en effet que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées s’il n’a pas satisfait intentionnellement ou par négligence grave à ses obligations. Or, parmi ces obligations, figure précisément celle de signaler sans tarder. La chambre commerciale a confirmé que le seul défaut de justification de la date du signalement suffit à fonder le rejet de la demande, sans qu’il soit nécessaire d’établir une négligence grave distincte.
Cette exigence procédurale, dont le non-respect emporte des conséquences financières parfois considérables pour le client, impose à ce dernier une vigilance accrue dans le suivi de ses comptes. Le délai de treize mois prévu à l’article L. 133-24 du code monétaire et financier, souvent perçu par les justiciables comme un délai de forclusion libéral, n’est en réalité qu’un plafond au-delà duquel toute action est irrecevable. En deçà de ce délai, l’obligation de signaler sans tarder commande une réactivité qui s’apprécie concrètement, à compter de la connaissance effective de l’opération litigieuse par l’utilisateur.
B. L’exclusivité du régime du code monétaire et financier sur le droit commun de la responsabilité
La chambre commerciale a, par deux arrêts rendus le même jour, le 4 février 2026, affirmé avec une netteté particulière le caractère exclusif du régime de responsabilité institué par le code monétaire et financier. Dans l’arrêt n° 24-22.320, la Cour énonce qu’« il résulte de la combinaison de ces textes qu’en cas d’opération de paiement non autorisée, seul s’applique le régime de responsabilité du prestataire de services de paiement prévu par le code monétaire et financier, exclusif du droit commun de la responsabilité contractuelle » (Com. 4 févr. 2026, n° 24-22.320). Cette solution, qui s’inscrit dans le sillage de l’arrêt CRCAM de la Cour de justice de l’Union européenne du 2 septembre 2021 (C-337/20), empêche le client de contourner les conditions et limitations du régime spécial en invoquant le droit commun de la responsabilité contractuelle.
Parallèlement, l’arrêt du 4 mars 2026 est venu préciser les limites de ce principe d’exclusivité en posant une exception d’importance pratique. La chambre commerciale y juge que « si la responsabilité contractuelle de droit commun fondée sur l’article 1231-1 du code civil n’est pas applicable à l’exécution par le prestataire de services de paiement d’un ordre de paiement conformément à l’identifiant unique fourni par l’utilisateur, tel n’est pas le cas lorsque le prestataire de services de paiement ne s’est pas borné à exécuter l’ordre de paiement » (Com. 4 mars 2026, n° 25-11.959, Publié au Bulletin). En l’espèce, la banque avait elle-même rédigé l’ordre de virement avant de le soumettre à la signature des clients, et cet ordre comportait des incohérences apparentes et manifestes sur l’identité bancaire du bénéficiaire. La Cour en a déduit que la banque, ne s’étant pas bornée à exécuter un ordre, était tenue d’indemniser ses clients sur le fondement du droit commun.
La notion d’opération autorisée a, quant à elle, fait l’objet d’une clarification déterminante. Dans un arrêt du 1er juin 2023, la chambre commerciale a jugé qu’« un ordre de virement régulier lors de sa rédaction mais dont le numéro IBAN du compte destinataire a été ultérieurement modifié par un tiers à l’insu du donneur d’ordre ne constitue pas une opération autorisée » (Com. 1er juin 2023, n° 21-19.289, Publié au Bulletin). La fraude au RIB, qui consiste pour un tiers à intercepter un ordre de virement et à en modifier le numéro de compte destinataire, ne saurait ainsi être imputée au donneur d’ordre, lequel n’a jamais consenti au paiement en faveur du bénéficiaire substitué. Cette solution, protectrice du client, a été complétée par l’arrêt du 10 décembre 2025, qui rappelle que « l’opération est réputée non autorisée en l’absence d’un tel consentement, donné sous la forme convenue entre le payeur et le prestataire de service de paiement » (Com. 10 déc. 2025, n° 24-20.778, Publié au Bulletin).
La répartition de la charge de la preuve constitue le troisième pilier de ce régime spécial. L’arrêt du 20 novembre 2024 a posé une règle protectrice du client en énonçant que « s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, le prestataire de services de paiement doit au préalable prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre » (Com. 20 nov. 2024, n° 23-15.099, Publié au Bulletin). Avant même de pouvoir invoquer une négligence grave du client, le banquier doit donc établir la régularité technique de l’opération contestée. Cette exigence probatoire, qui pèse lourdement sur les établissements bancaires, constitue un rempart significatif contre les refus de remboursement non motivés.
II. L’articulation renouvelée entre devoir de vigilance et principe de non-ingérence bancaire
Au-delà du seul régime des opérations de paiement, la chambre commerciale a entrepris, dans plusieurs décisions récentes, de préciser les obligations de vigilance du banquier, en les articulant avec le principe traditionnel de non-ingérence dans les affaires du client. Cette articulation, complexe et parfois subtile, détermine largement l’issue des litiges dans lesquels le client reproche à sa banque de ne pas avoir décelé ou empêché une fraude.
A. Les contours affinés de l’obligation de vigilance du banquier
Le devoir de vigilance du banquier connaît, dans la jurisprudence récente de la chambre commerciale, une double limitation. La première, posée par l’arrêt du 4 mars 2026, concerne l’articulation entre la vigilance bancaire et les obligations issues de la lutte contre le blanchiment de capitaux et le financement du terrorisme. La Cour y affirme avec force que « l’obligation de vigilance à l’égard de la clientèle imposée aux organismes financiers en application des articles L. 561-4-1 à L. 561-14-2 du code monétaire et financier a pour seule finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme » et qu’« en conséquence la victime d’agissements frauduleux ne peut se prévaloir de leur inobservation pour réclamer des dommages et intérêts à l’organisme financier » (Com. 4 mars 2026, n° 24-19.588, Publié au Bulletin). Cette solution, qui prive le client d’un fondement souvent invoqué en pratique, cantonne strictement la finalité des obligations LCB-FT à la protection de l’ordre public financier et non à celle des intérêts privés.
La seconde limitation, énoncée par l’arrêt du 14 janvier 2026, porte sur le contenu même du devoir de vigilance. La chambre commerciale y rappelle que « la banque, tenue à une obligation de non-ingérence dans les affaires de son client, n’a pas à procéder à des investigations sur l’origine et l’importance des fonds versés sur ses comptes ni même à l’interroger sur l’existence de mouvements de grande ampleur dès lors que ces opérations ont une apparence de régularité et qu’aucun indice de falsification ne peut être décelé » (Com. 14 janv. 2026, n° 24-19.102, Publié au Bulletin). En l’espèce, une salariée avait détourné, au préjudice de son employeur, cinquante-huit virements pour un montant total de plus de deux cent soixante mille euros, en substituant à l’identité bancaire des fournisseurs celle de ses comptes personnels. La cour d’appel avait retenu la responsabilité de la banque, mais la Cour de cassation a censuré cette décision, au motif que les juges du fond n’avaient pas caractérisé d’anomalies apparentes aisément décelables par un professionnel normalement diligent.
Une décision du 10 juin 2026 est venue compléter cette construction en précisant que « le banquier doit alerter son client lorsqu’une opération de paiement présente des anomalies apparentes aisément décelables par un professionnel normalement diligent » (Com. 10 juin 2026, n° 25-13.302). La frontière entre la vigilance requise et l’ingérence prohibée se dessine ainsi autour de la notion d’anomalie apparente : tant que l’opération conserve une apparence de régularité, le banquier n’a pas à s’immiscer ; dès lors qu’une anomalie est aisément décelable, il doit alerter. Cette distinction, pour classique qu’elle soit, trouve dans les espèces récentes une concrétisation rigoureuse qui limite sensiblement les hypothèses de mise en cause de la responsabilité bancaire.
L’arrêt du 12 juin 2025 illustre cette rigueur dans l’appréciation des anomalies apparentes. La chambre commerciale y a jugé qu’une société dont la comptable, trompée par de faux courriers électroniques au nom du dirigeant, avait adressé quatre ordres de virement à destination d’un compte ouvert dans une banque hongroise, n’était pas fondée à reprocher à sa banque un manquement à son devoir de vigilance, dès lors que « le montant des virements restait dans la limite des plafonds quotidiens convenus et demeurait couvert par le solde créditeur du compte, et que la destination des virements était un compte détenu dans les livres d’une banque agréée dans un pays membre de l’Union européenne qui n’attirait pas spécialement l’attention en termes de sécurité » (Com. 12 juin 2025, n° 24-10.168, Publié au Bulletin). La conformité des virements aux plafonds convenus et la destination vers un établissement agréé dans l’Union européenne suffisent ainsi à écarter l’existence d’une anomalie devant alerter le banquier.
B. La délimitation des responsabilités entre le prestataire et l’utilisateur
La question de la négligence grave de l’utilisateur, qui lui fait supporter les pertes occasionnées par des opérations non autorisées, a donné lieu à plusieurs décisions importantes qui en précisent la caractérisation. La chambre commerciale exerce sur ce point un contrôle exigeant, tant à l’égard des juges du fond qui retiendraient trop hâtivement une négligence grave du client qu’à l’égard de ceux qui l’écarteraient sans motivation suffisante.
Dans l’arrêt du 14 janvier 2026, la Cour a censuré les juges du fond qui s’étaient bornés à relever que l’utilisateur avait « agi par imprudence et négligence en ne veillant ni à empêcher un tiers d’avoir accès à sa boîte aux lettres ni à préserver la confidentialité de son identifiant et de sa clé secrète », sans préciser dans quelles conditions le tiers avait eu accès à ces données (Com. 14 janv. 2026, n° 22-14.822, Publié au Bulletin). La négligence grave, pour être caractérisée, suppose une violation caractérisée d’une obligation de diligence, ce qui exige des juges du fond qu’ils décrivent avec précision les circonstances de fait établissant un tel manquement.
À l’inverse, dans l’arrêt du 4 mars 2026, la chambre commerciale a censuré des juges qui avaient écarté la négligence grave du client au motif que celui-ci « avait été contacté par l’intermédiaire d’un numéro de téléphone correspondant au numéro officiel de son agence bancaire, pendant les heures d’ouverture ». La Cour a exigé que les juges recherchent « si à réception du message de confirmation adressé par la banque mentionnant que les opérations litigieuses constituaient des opérations de validation de paiement, et non d’annulation, le client n’était pas en mesure de suspecter le caractère frauduleux de ces opérations » (Com. 4 mars 2026, n° 24-19.588, Publié au Bulletin). La technique du « spoofing » téléphonique, qui permet à un fraudeur d’usurper le numéro d’appel de la banque, ne dispense ainsi pas le client de toute vigilance lorsqu’il reçoit, en temps réel, des messages de validation de sa propre banque contredisant le discours du prétendu conseiller.
La jurisprudence la plus récente consolide ainsi une répartition des responsabilités qui, sans être déséquilibrée, impose à chaque partie une diligence spécifique. Le banquier doit prouver la régularité technique de l’opération avant de pouvoir invoquer une faute du client. Le client doit signaler sans tarder toute opération suspecte et ne saurait s’exonérer de sa propre négligence en invoquant la seule habileté du fraudeur. La chambre commerciale veille, par un contrôle rigoureux de la motivation des juges du fond, à ce que ni le banquier ni le client ne soient dispensés de leurs obligations respectives par une appréciation trop sommaire des circonstances de l’espèce.
L’arrêt du 20 mai 2026, rendu sur le fondement de l’article L. 133-24 du code monétaire et financier, a encore précisé que le point de départ du délai de forclusion de treize mois est la date de débit, et non celle de la connaissance de l’opération (Com. 20 mai 2026, n° 25-13.721). Un signalement intervenant plus de treize mois après le débit est ainsi irrecevable, quelle que soit la date à laquelle le client a découvert la fraude. Cette règle, combinée à l’obligation de signaler sans tarder dès la connaissance de l’opération, dessine un double délai — l’un de forclusion, l’autre de réactivité — dont le non-respect emporte des conséquences dirimantes pour le client.
Par ailleurs, la chambre commerciale a également confirmé, dans une décision du 26 mars 2025, qu’« il appartient au prestataire de services de paiement de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés » (Com. 26 mars 2025, n° 23-21.299). La charge de la preuve de la négligence grave incombe ainsi intégralement au banquier, ce qui constitue une garantie procédurale essentielle pour le client.
L’ensemble de ces décisions fait apparaître une construction jurisprudentielle cohérente et exigeante, dans laquelle la chambre commerciale s’attache à préserver l’équilibre des obligations réciproques tout en refusant de faire peser sur le banquier une obligation générale de surveillance des comptes de sa clientèle. Le régime légal des articles L. 133-16 à L. 133-24 du code monétaire et financier, dans sa version issue de l’ordonnance n° 2009-866 du 15 juillet 2009 et de la loi n° 2010-737 du 1er juillet 2010, constitue désormais, sous le contrôle de la Cour de cassation et de la Cour de justice de l’Union européenne, un corpus complet et autonome qui régit l’intégralité des relations entre le prestataire de services de paiement et l’utilisateur en cas d’opération contestée.
Conclusion
La chambre commerciale de la Cour de cassation a, par une série d’arrêts remarquablement construits rendus entre 2023 et 2026, consolidé le régime des opérations de paiement non autorisées autour de trois principes directeurs. Le premier est l’exigence de signalement sans tarder, érigée en condition substantielle du droit à remboursement, dont la méconnaissance prive le client de toute indemnisation, même en l’absence de négligence grave distincte. Le deuxième est l’exclusivité du régime du code monétaire et financier sur le droit commun de la responsabilité contractuelle, tempérée par l’exception de la rédaction de l’ordre de paiement par le banquier lui-même. Le troisième est la répartition rigoureuse de la charge de la preuve, qui impose au banquier d’établir la régularité technique de l’opération avant de pouvoir invoquer une faute du client.
Cette construction prétorienne, irriguée par la jurisprudence de la Cour de justice de l’Union européenne, offre désormais un cadre juridique lisible et prévisible, dont la mise en œuvre commande tant aux établissements bancaires qu’à leurs clients une vigilance renouvelée. La pratique révèle que la célérité du signalement et la conservation des preuves de celui-ci constituent, pour le client, les deux précautions les plus déterminantes dans la préservation de ses droits.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.