Le 15 octobre 2026, la Cour de justice de l’Union européenne a tranché une question que des milliers de victimes d’arnaques bancaires se posent chaque année en France : lorsqu’une opération de paiement non autorisée a vidé une partie du compte, la banque peut-elle refuser de rembourser au motif que le client aurait été négligent ? La réponse, rendue dans l’affaire C-70/25, est claire : la négligence grave du client, même établie, ne dispense pas le prestataire de services de paiement de rembourser immédiatement le montant de l’opération non autorisée, comme le résume le communiqué de presse n° 147/26 de la Cour.
L’affaire concernait la cliente d’une banque polonaise, victime d’une fraude par hameçonnage. Un tiers s’était présenté comme intéressé par l’achat d’un objet qu’elle vendait sur une plateforme de vente en ligne, lui avait transmis un lien frauduleux présenté comme provenant de cette plateforme, puis, la cliente ayant suivi ce lien vers un site reproduisant l’apparence de celui de sa banque et y ayant saisi ses données de connexion, avait transféré depuis son compte un montant équivalant à environ 700 euros. Le lendemain, la cliente avait signalé l’opération à sa banque, qui avait refusé de la rembourser en estimant qu’elle avait, par négligence grave, rendu l’opération possible en manquant à son obligation de préserver ses données de sécurité personnalisées. Saisie par la juridiction polonaise, la Cour répond que la banque devait rembourser d’abord, et ne pouvait discuter de la négligence grave qu’ensuite, en en apportant la preuve.
Cette solution s’applique directement en France, car elle interprète la directive (UE) 2015/2366 sur les services de paiement, dite DSP2, transposée dans le code monétaire et financier. Elle bouleverse une pratique répandue : le refus de remboursement opposé d’emblée au client au motif qu’il aurait communiqué ses codes, validé un paiement sous la pression d’un faux conseiller ou cliqué sur un lien frauduleux. La première partie de cet article expose ce que la Cour a jugé le 15 octobre 2026. La seconde décrit, à partir des textes français et de la jurisprudence des juges français, comment obtenir concrètement le remboursement d’une opération non autorisée après une arnaque, et comment répondre lorsque la banque invoque la négligence grave.
I. Ce que la Cour de justice a tranché le 15 octobre 2026
A. Le remboursement immédiat de l’opération non autorisée ne souffre qu’une seule exception
En cas d’opération de paiement non autorisée, le prestataire de services de paiement du payeur est tenu de rembourser immédiatement le montant de cette opération, et au plus tard à la fin du premier jour ouvrable suivant celui où il en a pris connaissance ou en a été informé, à condition que le client l’en informe sans retard injustifié. Telle est la règle posée par l’article 73, paragraphe 1, de la directive DSP2, que la Cour applique dans son arrêt : remboursement immédiat, au plus tard à la fin du premier jour ouvrable suivant, sauf si le prestataire a de bonnes raisons de soupçonner une fraude du client et communique ces raisons par écrit à l’autorité nationale concernée, comme le rappelle le communiqué officiel n° 147/26.
Une seule exception est donc prévue à l’obligation de remboursement immédiat : le cas où le prestataire a de bonnes raisons de soupçonner une fraude commise par le client lui-même, et communique ces raisons par écrit à l’autorité nationale compétente. Le fait que la banque estime que le client a rendu l’opération possible par négligence grave, notamment en ne protégeant pas ses données de sécurité personnalisées, ne figure pas parmi les exceptions. Dans son arrêt du 15 octobre 2026, la Cour juge que cette circonstance ne permet pas à la banque de refuser le remboursement immédiat, selon le communiqué officiel n° 147/26.
Le droit français reprend cette règle à l’article L. 133-18 du code monétaire et financier : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » Le texte ajoute que le prestataire rétablit alors le compte débité dans l’état où il se serait trouvé si l’opération non autorisée n’avait pas eu lieu, et que la date de valeur du crédit n’est pas postérieure à celle du débit.
Concrètement, la chronologie imposée par la loi est la suivante : le client signale l’opération sans retard injustifié, puis la banque rembourse au plus tard à la fin du premier jour ouvrable suivant. Tout refus fondé sur la seule appréciation par la banque du comportement du client, sans soupçon écrit de fraude de sa part transmis à la Banque de France, méconnaît ce calendrier. La Cour justifie cette lecture par l’objectif de garantir un niveau élevé de protection des consommateurs : permettre à la banque de refuser d’emblée le remboursement en invoquant la négligence grave priverait d’effet utile l’obligation de remboursement immédiat et contraindrait le client à engager lui-même une procédure, avec les coûts et les inconvénients que cela entraîne, comme l’explique le communiqué de la Cour.
B. La négligence grave ne se discute qu’après le remboursement, et c’est à la banque de la prouver
L’arrêt du 15 octobre 2026 ne supprime pas la notion de négligence grave : il déplace le moment où elle se discute et rappelle qui doit la prouver. Le droit de l’Union distingue deux temps. Dans un premier temps, le prestataire rembourse immédiatement. Dans un second temps, il peut réclamer au client le remboursement des pertes s’il établit qu’elles résultent du fait que le client a, intentionnellement ou par négligence grave, manqué à ses obligations, notamment celle de préserver la sécurité de ses données de sécurité personnalisées. Le communiqué officiel précise que c’est au prestataire de services de paiement de prouver l’existence d’une telle négligence grave du client.
Ce second temps correspond, en droit de l’Union, à l’article 74, paragraphe 1, de la directive DSP2, qui fait supporter au payeur les pertes résultant de son agissement frauduleux ou de sa négligence grave, et dont la Cour fait application dans son arrêt selon le communiqué officiel n° 147/26. En droit français, le pendant de ce texte est le IV de l’article L. 133-19 du code monétaire et financier : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » Ces obligations sont, d’une part, celle de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées, prévue par l’article L. 133-16 du même code — « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées » — et, d’autre part, celle d’informer sans tarder son prestataire en cas d’utilisation non autorisée.
La charge de cette preuve pèse sur la banque, et non sur le client. L’article L. 133-23 du code monétaire et financier dispose : « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. » Le même article ajoute que « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière », et que le prestataire « fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement ».
Il en résulte un renversement pratique complet : la banque qui refuse de rembourser en affirmant que le client a été négligent, sans apporter d’éléments précis, inverse l’ordre légal. Elle doit d’abord restituer les fonds dans le délai d’un jour ouvrable, puis, si elle l’estime fondé, établir la négligence grave par des éléments concrets et en demander les conséquences. Le simple fait que l’instrument de paiement ou les données personnelles liées aient été utilisés ne suffit pas à caractériser cette négligence, comme la Cour de cassation l’a jugé en France dès 2018 et comme la suite de cet article le montre.
II. En France, obtenir le remboursement après une arnaque bancaire
A. Signaler sans tarder, exiger le remboursement immédiat et conserver chaque preuve
Le premier réflexe consiste à signaler l’opération à la banque sans tarder, car le délai de contestation est enfermé dans un délai de forclusion. L’article L. 133-24 du code monétaire et financier dispose : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. » Passé ce délai de treize mois suivant la date du débit, la contestation devient irrecevable, sauf si la banque n’a pas mis à disposition les informations sur l’opération. En pratique, il ne faut donc pas attendre : la contestation s’effectue dès la découverte de l’opération, par écrit, en décrivant précisément les débits contestés et en affirmant qu’ils n’ont pas été autorisés.
Le deuxième réflexe consiste à exiger le remboursement dans le délai légal d’un jour ouvrable. La banque doit rembourser « immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », comme l’impose l’article L. 133-18 du code monétaire et financier. La lettre de contestation adressée à la banque gagne à viser expressément ce texte et à rappeler que la négligence grave alléguée ne constitue pas une exception à ce remboursement immédiat depuis l’arrêt de la Cour de justice du 15 octobre 2026. Lorsque la banque tarde, la loi prévoit des pénalités : les sommes dues produisent intérêt au taux légal majoré de cinq points, puis de dix points au-delà de sept jours de retard, et de quinze points au-delà de trente jours de retard, selon le même article L. 133-18. Ces majorations rendent chaque semaine de retard coûteuse pour l’établissement et justifient de dater précisément chaque échange.
Le troisième réflexe concerne la sécurisation du compte et des données. Après un hameçonnage, il faut faire opposition sur la carte si ses données ont pu être captées, modifier les codes d’accès à la banque en ligne depuis un appareil sain, et vérifier qu’aucun bénéficiaire inconnu n’a été ajouté. Après un faux appel de conseiller, il faut rappeler la banque sur son numéro officiel, figurant sur la carte ou le relevé, et jamais sur un numéro rappelé par l’interlocuteur. La fiche réflexe officielle consacrée à la fraude au faux conseiller bancaire détaille ces gestes de sécurisation et les signalements utiles. Chaque mesure prise rapidement limite le préjudice et démontre que l’utilisateur a satisfait à son obligation d’information sans tarder, prévue par les textes.
Le quatrième réflexe est probatoire : conserver tout ce qui établit la tromperie. Les messages, courriels et captures d’écran du site frauduleux montrent le mode opératoire ; les relevés et l’historique des appels montrent la chronologie ; un constat par commissaire de justice fige les éléments techniques, comme le numéro affiché lors d’un appel usurpé. Dans une affaire jugée en 2025, la victime avait fait constater par huissier qu’elle avait été appelée pendant plus de seize minutes par le numéro attribué au service fraude de sa banque, et que son époux, en rappelant aussitôt ce numéro, avait été mis en relation avec le véritable service de l’établissement : ce constat a établi la réalité de l’usurpation du numéro, appelée spoofing. Les lecteurs confrontés à ce scénario précis trouveront une analyse détaillée des recours dans l’article consacré au faux conseiller bancaire par spoofing, entre virement extorqué, remboursement, plainte et réparation. Par ailleurs, il faut exiger de la banque les éléments techniques qu’elle seule détient : en application de l’article L. 133-23 du code monétaire et financier, c’est à elle de prouver que l’opération a été authentifiée, enregistrée et non affectée par une déficience technique, et les juges attendent la production des journaux informatiques d’enregistrement, non un simple descriptif général du dispositif de sécurité.
Le cinquième réflexe est pénal : porter plainte. La plainte, déposée au commissariat ou à la gendarmerie, fait constater l’escroquerie par les enquêteurs et permet de verser au dossier civil les pièces de la procédure, notamment lorsque les auteurs sont identifiés ou qu’un mode opératoire organisé est établi. Elle ne remplace pas la contestation civile adressée à la banque, qui seule fait courir le délai de remboursement d’un jour ouvrable, mais elle complète le dossier et documente la qualité de victime. Si la banque maintient son refus après la contestation écrite, le recours au médiateur de l’établissement puis, à défaut d’accord, la saisine du juge permettent de faire trancher le litige au vu des textes et des décisions présentées dans la suite de cet article.
B. Quand la banque oppose la négligence grave ou une validation : ce que jugent les tribunaux français
Les banques refusent fréquemment le remboursement en soutenant que le client a validé l’opération, notamment au moyen d’un dispositif d’authentification forte, ou qu’il a commis une négligence grave en communiquant ses données. Les juges français encadrent strictement ces deux arguments, et l’arrêt européen du 15 octobre 2026 les prive désormais de tout effet suspensif sur le remboursement.
Sur la charge de la preuve, la Cour de cassation a posé dès 2018 une règle toujours appliquée. Dans un arrêt du 28 mars 2018, la chambre commerciale, saisie d’un litige où une banque reprochait à son client une négligence grave dans la garde de ses données après un hameçonnage, a jugé que, si l’utilisateur doit prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et informer sans tarder son prestataire de toute utilisation non autorisée, c’est au prestataire qu’il incombe de rapporter la preuve que l’utilisateur qui nie avoir autorisé l’opération a agi frauduleusement ou a manqué intentionnellement ou par négligence grave à ses obligations, et que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles liées ont été effectivement utilisés (Cass. com., 28 mars 2018, n° 16-20.018). Le seul usage des codes ne prouve donc ni l’autorisation ni la négligence : la banque doit apporter des éléments positifs.
Le même arrêt précise le seuil de la négligence grave en matière d’hameçonnage. La Cour de cassation a censuré une cour d’appel qui avait écarté la négligence grave au motif que le client, naïf et peu familier d’internet, n’avait pas perçu les indices de fraude. Elle a jugé que manque par négligence grave à son obligation l’utilisateur qui communique les données de son dispositif de sécurité en réponse à un courriel comportant des indices de nature à faire douter un utilisateur normalement attentif de sa provenance, peu important que cet utilisateur soit ou non averti des risques d’hameçonnage (même arrêt). La référence est donc celle d’un utilisateur normalement attentif, et non le profil personnel de la victime. Mais cette appréciation intervient désormais au second temps du raisonnement : elle peut fonder une demande reconventionnelle de la banque après remboursement, elle n’autorise plus un refus préalable de rembourser.
Sur le spoofing téléphonique, la cour d’appel de Douai a rendu le 6 mars 2025 une décision particulièrement instructive. Une cliente avait validé, à la demande d’un interlocuteur se présentant comme le service fraude de sa banque dont le numéro s’affichait sur son téléphone, un paiement de 2 095 euros qu’on lui présentait comme frauduleux et qu’il fallait contrer. La banque refusait le remboursement en soutenant que l’opération, validée au moyen de l’authentification forte, avait été autorisée et que la cliente avait commis une négligence grave. La cour a d’abord qualifié l’opération d’opération de paiement non autorisée : la validation d’un prélèvement correspondant à un achat que le payeur n’a pas réalisé, obtenue dans le cadre d’une mise en scène destinée à le convaincre de la nécessité d’y procéder, n’emporte pas autorisation du payeur (CA Douai, 3e ch., 6 mars 2025, RG 24/00410). La circonstance que le payeur a utilisé le dispositif d’authentification forte mis à sa disposition n’implique pas qu’il a autorisé l’opération frauduleuse : elle invite au contraire à examiner la négligence grave dans le cadre du régime des opérations non autorisées.
La cour a ensuite sanctionné l’insuffisance de preuve de la banque. Celle-ci se bornait à produire le descriptif général de ses moyens d’identification forte sans démontrer concrètement l’authentification de l’opération litigieuse ni l’absence de déficience de son dispositif. La cour a retenu que la seule production du descriptif général de ses moyens d’identification ne prouve pas la situation concrète de l’opération contestée, faute de listing informatique d’enregistrement des opérations par le système de sécurité de la banque (même décision). Enfin, sur la négligence grave, la cour a estimé qu’aucune négligence grave au sens de l’article L. 133-19 ne pouvait être imputée à la titulaire du compte : contactée par téléphone par une personne se faisant passer pour un préposé de sa banque, dont le numéro s’affichait sur son téléphone, elle avait utilisé à sa demande le dispositif de sécurité personnalisé pour valider le paiement, avait cru légitimement être en contact avec le service fraude et avait alerté sa banque très rapidement. La banque a été condamnée à rembourser les 2 095 euros avec intérêts au taux légal, la demande de préjudice moral étant rejetée faute de préjudice distinct établi.
Il faut noter les limites de cette indulgence. Lorsque le client valide des opérations à répétition malgré des alertes explicites de sa banque, ou communique ses données en réponse à des messages dont un utilisateur normalement attentif aurait douté, les juges retiennent la négligence grave et font supporter les pertes au payeur, en application du IV de l’article L. 133-19. Chaque dossier s’apprécie donc concrètement, au vu du mode opératoire, des alertes reçues et de la rapidité de la réaction. Un point technique mérite l’attention : si la banque n’a pas exigé une authentification forte du payeur, celui-ci « ne supporte aucune conséquence financière », sauf agissement frauduleux de sa part, en vertu du V du même article L. 133-19. L’absence d’authentification forte joue ainsi en faveur du client, tandis que sa présence ne vaut ni autorisation ni preuve de négligence à elle seule.
Devant le juge, la démonstration suit donc un ordre précis : établir d’abord l’existence d’une opération non autorisée et sa contestation dans les délais, exiger le remboursement immédiat assorti des intérêts majorés en cas de retard, puis répondre à l’argument de négligence grave en versant les preuves de la tromperie et en rappelant que la banque doit prouver celle-ci par des éléments concrets. Depuis le 15 octobre 2026, aucune de ces étapes ne peut être différée au motif qu’une négligence serait alléguée : le remboursement vient d’abord, la discussion ensuite.
Conclusion
L’arrêt rendu le 15 octobre 2026 par la Cour de justice dans l’affaire C-70/25 clarifie durablement le sort des victimes d’arnaques bancaires : face à une opération de paiement non autorisée, la banque rembourse immédiatement, au plus tard à la fin du premier jour ouvrable suivant le signalement, et la seule exception admise est le soupçon écrit de fraude du client transmis à l’autorité compétente. La négligence grave, même vraisemblable, ne suspend pas ce remboursement : elle se prouve après, par la banque, avec des éléments précis, et seule une négligence caractérisée, appréciée concrètement au regard du mode opératoire, peut finalement faire supporter les pertes au payeur. En France, les articles L. 133-18, L. 133-19, L. 133-23 et L. 133-24 du code monétaire et financier portent déjà cette architecture, et les juges français l’appliquent : la preuve pèse sur l’établissement, l’usage des codes ne suffit pas, et une validation extorquée par usurpation du numéro de la banque constitue une opération non autorisée. Pour la victime, la méthode tient en peu de mots : contester par écrit sans tarder et au plus tard dans les treize mois du débit, exiger le remboursement à un jour ouvrable en visant les textes, sécuriser le compte, conserver chaque trace de la tromperie, déposer plainte et, face à un refus, faire trancher le litige plutôt que d’accepter une fin de non-recevoir fondée sur une négligence supposée.