Une carte bancaire volée dans le métro, perdue sur un quai de gare ou piratée après un faux SMS de votre banque : des milliers de clients découvrent chaque semaine des retraits ou des paiements qu’ils n’ont jamais autorisés. La question qui suit est toujours la même : la banque va-t-elle rembourser, et à quelles conditions. Le 15 octobre 2026, la Cour de justice de l’Union européenne a rendu un arrêt remarqué dans l’affaire C-70/25 : une cliente d’une banque polonaise, victime d’une fraude par hameçonnage pour un montant équivalant à environ 700 euros, s’était vu refuser tout remboursement au motif qu’elle avait commis une négligence grave ; la Cour a jugé que cette négligence grave alléguée ne dispensait pas la banque du remboursement immédiat. Cet arrêt, rendu le 15 octobre 2026 et relayé par la presse les 16 et 18 octobre 2026, éclaire d’un jour nouveau les droits des victimes. Encore faut-il réagir dans les formes et dans les délais : faire opposition sans tarder, signaler chaque opération non autorisée dans les treize mois du débit, puis discuter, preuves à l’appui, du partage des pertes avec sa banque. Voici, textes et décisions à l’appui, la marche à suivre quand votre carte a servi à votre insu.
I. Carte bancaire volée ou piratée : que faire pour être remboursé par sa banque
Le remboursement n’est jamais automatique : il dépend de deux gestes rapides du client, l’opposition puis la contestation écrite. Manquer l’un de ces gestes fragilise la demande, alors que les accomplir dans les règles place la banque face à ses obligations.
A. Faire opposition dès la perte, le vol ou l’usage non autorisé constaté
Dès que vous constatez la perte, le vol ou l’utilisation non autorisée de votre carte ou des données qui lui sont liées, la loi vous impose d’agir vite. L’article L133-17 du code monétaire et financier dispose : « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci. » (article L133-17 du code monétaire et financier). L’expression « sans tarder » n’accorde aucun répit : appeler dans l’heure qui suit la découverte du vol ou des premiers débits suspects, c’est se placer du bon côté du texte.
En pratique, trois canaux existent. Le numéro d’opposition de votre banque, indiqué dans votre convention de compte, sur son site et souvent au dos de vos relevés, reste la voie la plus directe. Votre agence, pendant ses heures d’ouverture, enregistre également l’opposition. Enfin, un serveur interbancaire dédié aux oppositions par carte bancaire fonctionne en dehors des horaires bancaires et redirige vers le bon établissement. Quel que soit le canal, notez avec soin la date, l’heure précise de votre appel et le numéro de référence d’opposition qui vous est communiqué : cette référence prouve que vous avez satisfait à votre obligation d’information « sans tarder ».
L’opposition bloque l’instrument : plus aucun paiement ni retrait ne peut ensuite être imputé sur votre compte avec cette carte. Conservez-en la preuve écrite en demandant une confirmation par courrier ou par message sécurisé. Si des opérations frauduleuses sont déjà passées, relevez-les une à une sur vos relevés en notant pour chacune la date, le montant et le libellé.
Dans le même temps, déposez plainte au commissariat, à la gendarmerie ou par courrier au procureur de la République. La plainte n’est pas une condition légale du remboursement, mais les juges la regardent de près : dans les affaires de retraits contestés, les tribunaux relèvent systématiquement si la victime a déposé plainte et ce qu’il en est advenu. Pour qualifier les faits dans votre plainte, deux textes sont utiles. L’article 313-1 du code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque », punie de cinq ans d’emprisonnement et de 375 000 euros d’amende (article 313-1 du code pénal). Quand le fraudeur s’est fait passer pour votre banque, par téléphone ou par SMS, en affichant parfois son véritable numéro, l’article 226-4-1 du code pénal punit « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende ». Ce texte vise y compris « sur un réseau de communication au public en ligne », d’un an d’emprisonnement et de 15 000 euros d’amende (article 226-4-1 du code pénal). Joignez à votre plainte une copie de vos relevés entourant les opérations litigieuses et de votre confirmation d’opposition.
B. Contester chaque opération non autorisée dans les treize mois et exiger le remboursement immédiat
L’opposition bloque l’avenir ; la contestation règle le passé. Chaque débit que vous n’avez pas autorisé doit être signalé à votre banque par écrit, en listant précisément les opérations litigieuses et en demandant leur remboursement. Ce signalement obéit à un délai couperet que pose l’article L133-24 du code monétaire et financier : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. » (article L133-24 du code monétaire et financier). Passé treize mois après la date de débit, la demande est forclose : le juge ne l’examinera plus. Le point de départ court donc de chaque débit pris isolément, ce qui compte quand une fraude s’étale sur plusieurs mois avec des débits successifs.
Une précision importante pour les comptes professionnels : le même article ajoute que « Sauf dans les cas où l’utilisateur est une personne physique agissant pour des besoins non professionnels, les parties peuvent convenir d’un délai distinct de celui prévu au présent article. » (article L133-24 du code monétaire et financier). Autrement dit, les conventions de compte des entreprises et des indépendants peuvent prévoir un délai de contestation différent, parfois plus court. Dirigeants et trésoriers ont donc intérêt à vérifier ce que stipule leur convention de compte, car le délai de treize mois n’est garanti tel quel qu’aux particuliers agissant pour leurs besoins personnels.
Une fois l’opération non autorisée signalée dans les conditions de l’article L133-24, la banque ne peut pas se contenter d’ouvrir une enquête au long cours avant de rendre l’argent. L’article L133-18 du code monétaire et financier impose : « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » (article L133-18 du code monétaire et financier). Le remboursement est donc dû au plus tard à la fin du premier jour ouvrable qui suit le signalement, et le texte ajoute que « Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu. »
La seule échappatoire laissée à la banque pour différer ce remboursement immédiat suppose deux conditions cumulatives : des raisons sérieuses de soupçonner une fraude commise par le client lui-même, et la communication écrite de ces raisons à la Banque de France. Une simple suspicion vague ou un dossier d’enquête interne ne suffit pas. Et si la banque tarde au-delà du délai légal, le même article L133-18 prévoit des pénalités : les sommes dues produisent intérêt au taux légal majoré de cinq points, de dix points au-delà de sept jours de retard, et de quinze points au-delà de trente jours de retard.
En pratique, adressez votre contestation par lettre recommandée avec accusé de réception ou par la messagerie sécurisée de votre espace client, en visant expressément les articles L133-24 et L133-18 et en exigeant le remboursement au plus tard à la fin du premier jour ouvrable suivant. Conservez une copie de cet envoi et de tous les échanges : en cas de litige, c’est la date de votre signalement qui fera foi.
II. Fraude bancaire et négligence grave : qui supporte les pertes
Rembourser d’abord, discuter ensuite : tel est l’ordre imposé par les textes. La discussion porte alors sur le partage définitif des pertes entre la banque et le client, autour d’un plafond chiffré et de la notion de négligence grave que les juges encadrent strictement.
A. Plafond de 50 euros avant opposition : quand la banque doit tout rembourser
Lorsque la fraude fait suite à la perte ou au vol de la carte, la loi plafonne ce qui peut rester à votre charge avant l’opposition. L’article L133-19 du code monétaire et financier prévoit : « En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17 , les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 €. » (article L133-19 du code monétaire et financier). Concrètement, si 900 euros ont été retirés avec votre carte volée avant que vous fassiez opposition, 850 euros au moins doivent vous revenir, et seuls 50 euros au plus peuvent rester à votre charge.
Ce plafond de 50 euros ne s’applique d’ailleurs pas dans plusieurs situations où le client ne doit rien du tout. D’abord, quand l’opération a été effectuée sans utilisation de vos données de sécurité personnalisées, par exemple un paiement sans contact ou en ligne réalisé sans votre code ni validation. Ensuite, quand la perte ou le vol ne pouvait pas être détecté par vous avant le paiement. Enfin, quand la perte résulte d’actes ou d’une carence d’un salarié, d’un agent ou d’une succursale de la banque elle-même.
Deux autres cas méritent l’attention car ils couvrent les fraudes les plus courantes. Si l’opération a été effectuée « en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées », la responsabilité du client n’est pas engagée : c’est le cas typique du piratage de données de carte utilisées à distance alors que vous détenez toujours votre carte en main. De même, en cas de contrefaçon de la carte, vous ne devez rien si vous étiez en possession de votre carte au moment de l’opération frauduleuse. Ces deux règles figurent au II de l’article L133-19 du même article (article L133-19 du code monétaire et financier).
La loi protège aussi le client quand c’est la banque qui a failli. « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire de services de paiement ne fournit pas de moyens appropriés permettant l’information aux fins de blocage de l’instrument de paiement prévue à l’article L. 133-17. » (article L133-19 du code monétaire et financier) : un numéro d’opposition injoignable ou un service de blocage indisponible au moment où vous appelez prive la banque du droit de vous faire supporter les pertes. Dans le même esprit, le texte prévoit que « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 . » (article L133-19 du code monétaire et financier) : les paiements en ligne validés sans la double vérification prévue par les textes restent à la charge de la banque.
Cette authentification forte n’est pas une option : l’article L133-44 du code monétaire et financier impose à la banque de l’appliquer « lorsque le payeur : 1° Accède à son compte de paiement en ligne ; 2° Initie une opération de paiement électronique ; 3° Exécute une opération par le biais d’un moyen de communication à distance, susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse » (article L133-44 du code monétaire et financier). Pour les opérations à distance, cette vérification doit établir un lien dynamique entre l’opération, son montant et son bénéficiaire. Un achat en ligne débité sans cette double vérification alors que vous n’avez rien validé doit donc être intégralement remboursé.
B. Négligence grave et preuve : ce que la banque doit démontrer pour refuser
Reste l’argument favori des banques pour refuser : le client aurait été négligent en communiquant son code ou ses identifiants. La loi prévoit ce cas au IV de l’article L133-19 : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » (article L133-19 du code monétaire et financier). L’obligation visée est notamment celle de l’article L133-16 : « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. » (article L133-16 du code monétaire et financier).
Mais affirmer la négligence ne suffit pas : c’est à la banque de la prouver, et les juges sont exigeants. L’article L133-23 du code monétaire et financier dispose : « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. » Le même article ajoute que la banque « fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement » (article L133-23 du code monétaire et financier). Le simple fait que le code secret ait été composé ne prouve donc ni que vous avez autorisé l’opération, ni que vous avez divulgué votre code.
La Cour de cassation l’a rappelé avec constance. Le 26 mars 2025, dans un dossier où le compte d’une cliente avait été débité de 3 290 euros de retraits contestés effectués avec quatre cartes successives et le code confidentiel composé à chaque fois, la chambre commerciale a cassé le jugement qui donnait raison à la banque : « Il résulte de la combinaison de ces textes qu’il appartient au prestataire de services de paiement de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à son obligation de prendre toute mesure raisonnable pour préserver la sécurité des données de sécurité personnalisées. La négligence grave ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés. » (Cass. com., 26 mars 2025, n° 23-21.299, arrêt n° 23-21.299 sur courdecassation.fr). Ni les certificats d’authentification des cartes, ni des retraits contestés mêlés à des retraits reconnus sur les mêmes distributeurs, ni des plaintes restées sans poursuite n’avaient suffi à établir que la cliente avait transmis ses codes.
Le même raisonnement protège les entreprises piratées. Le 9 mars 2022, une société victime d’un virus ayant permis la prise en main à distance de son ordinateur et un virement frauduleux de 64 850 euros s’était vu reprocher d’avoir laissé sa clé de sécurité branchée et son poste sans surveillance. La Cour de cassation a cassé l’arrêt d’appel : « c’est au prestataire de services de paiement qu’il incombe de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations. Cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés. » (Cass. com., 9 mars 2022, n° 20-12.376, arrêt n° 20-12.376 sur courdecassation.fr). Subir un piratage sophistiqué ne vaut pas négligence grave.
Le 15 janvier 2025, la Cour de cassation a ajouté que le juge ne peut pas se contenter de douter : dans une affaire de retrait de 900 euros contesté après une agression au distributeur, elle a jugé « qu’en cas d’opération de paiement non autorisée, réalisée au moyen d’un instrument de paiement doté de données de sécurité personnalisées, et signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 du code monétaire et financier, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée, sauf si la responsabilité du payeur est engagée en application de l’article L. 133-19 » (Cass. com., 15 janvier 2025, n° 23-18.906, arrêt n° 23-18.906 sur courdecassation.fr). Le tribunal qui se déclare incapable de trancher doit rechercher si l’opération a été autorisée et, sinon, constater précisément sur quel fondement la responsabilité du client serait engagée.
L’arrêt de la Cour de justice de l’Union européenne du 15 octobre 2026 prolonge cette logique au stade du remboursement immédiat. Dans l’affaire C-70/25, une cliente trompée par un faux lien de plateforme de vente avait saisi ses identifiants bancaires sur un site imitant celui de sa banque, permettant un transfert d’environ 700 euros ; la banque refusait de rembourser en invoquant sa négligence grave. Selon le communiqué officiel de la Cour : le fait que la banque estime que le client a rendu l’opération possible par négligence grave ne l’autorise pas à refuser le remboursement immédiat. La Cour organise la suite en deux temps : la Cour distingue deux temps : remboursement immédiat par la banque d’abord, puis possibilité pour elle de réclamer au client les pertes si elle établit qu’elles résultent d’un manquement intentionnel ou d’une négligence grave de sa part, à charge pour elle de prouver cette négligence grave (communiqué n° 147/26 de la Cour de justice, affaire C-70/25). Concrètement, depuis cet arrêt, une banque ne peut plus faire de la négligence grave un motif de refus immédiat : elle rembourse d’abord, puis elle prouve, devant le juge si nécessaire, que le client a gravement failli. Pour une analyse détaillée de cet arrêt et de ses suites, lire aussi notre éclairage sur la négligence grave et le remboursement après l’arrêt CJUE du 15 octobre 2026.
Face à un refus fondé sur votre prétendue négligence, répondez donc point par point : rappelez que la composition du code ne prouve rien à elle seule, exigez les « éléments » de preuve qu’impose l’article L133-23, et produisez vos propres pièces, référence d’opposition, dépôt de plainte, relevés, captures des messages frauduleux. Et retenez la règle d’hygiène qui évite la plupart des litiges : ne communiquez jamais vos codes, mots de passe ou identifiants, même à un interlocuteur qui affiche le numéro de votre banque et connaît vos nom et adresse, car les fraudeurs usurpent ces numéros et collectent ces informations dans les fuites de données.
Conclusion
Carte volée, perdue ou piratée : le droit français et européen protège le client qui réagit vite et conteste dans les formes. Opposition sans tarder dès la découverte des faits, signalement écrit de chaque opération non autorisée au plus tard dans les treize mois du débit, exigence d’un remboursement au plus tard à la fin du premier jour ouvrable : ces trois réflexes conditionnent tout le reste. Sur le fond, le plafond de 50 euros avant opposition, les cas où le client ne doit rien et l’interdiction faite à la banque de déduire la négligence grave du seul usage de la carte dessinent un régime favorable aux victimes. Depuis l’arrêt de la Cour de justice du 15 octobre 2026, la séquence est plus claire encore : la banque rembourse d’abord, et c’est ensuite à elle de prouver, si elle l’entend, que le client a intentionnellement ou par négligence grave manqué à ses obligations. Conservez chaque preuve de vos démarches, de la référence d’opposition au dépôt de plainte, car un dossier complet reste la meilleure réponse à un refus de remboursement.