À l’automne 2026, les cyberattaques font la une presque chaque semaine : après les frigos connectés d’enseignes de la grande distribution évoqués par la presse nationale le 17 octobre 2026, les alertes visant des comptes bancaires et des établissements de santé se multiplient, et les requêtes des internautes sur les réflexes à adopter explosent. Pour le client d’une banque, la situation est doublement angoissante : ses données personnelles circulent entre des mains inconnues, et des opérations qu’il n’a jamais autorisées peuvent apparaître sur ses relevés. Faut-il faire opposition immédiatement ? La banque doit-elle prévenir la CNIL et le client ? Dans quel délai le remboursement intervient-il, et que répondre quand la banque invoque une négligence du client pour refuser de payer ? Deux arrêts rendus en 2026, l’un par la cour d’appel de Paris au mois de juillet, l’autre par la cour d’appel de Riom au mois de janvier, apportent des réponses concrètes et contrastées qui éclairent l’ensemble du contentieux. Cet article décrit la méthode complète : comprendre ce que la banque vous doit, réagir dans les délais, puis contraindre au remboursement et à la réparation.

I. Ce que votre banque doit faire après une cyberattaque qui expose vos données

A. Vous prévenir et prévenir la CNIL : la violation de données bancaires ne se tait pas

Lorsqu’une cyberattaque vise un établissement bancaire, deux séries d’informations personnelles sont généralement exposées : d’une part les données d’identification et de contact des clients, d’autre part, dans les cas les plus graves, des données liées aux instruments de paiement. Le règlement général sur la protection des données qualifie cette situation de violation de données à caractère personnel et impose au responsable du traitement, ici la banque, une notification à l’autorité de contrôle. L’article 33, paragraphe 1, du règlement impose au responsable du traitement de notifier la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, au plus tard soixante-douze heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques (les règles de notification rappelées par la CNIL).

Ce délai de soixante-douze heures court à compter de la connaissance de la violation par la banque, et toute notification tardive doit être accompagnée des motifs du retard. La notification s’effectue auprès de la Commission nationale de l’informatique et des libertés par un téléservice sécurisé dédié, qui guide le déclarant dans sa démarche (téléservice de notification de la CNIL). La banque doit y décrire la nature de la violation, les catégories de personnes et d’enregistrements concernés, ainsi que les mesures prises pour y remédier. Le sous-traitant qui détecte la violation doit pour sa part la notifier au responsable du traitement dans les meilleurs délais après en avoir pris connaissance.

Lorsque la violation est susceptible d’engendrer un risque élevé pour vos droits et libertés, la banque doit en outre vous informer directement. L’article 34, paragraphe 1, du règlement prévoit que, lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement la communique à la personne concernée dans les meilleurs délais, en des termes clairs et simples (les règles de communication rappelées par la CNIL). Cette communication doit décrire en des termes clairs et simples la nature de la violation et les mesures à prendre. La Commission rappelle que le responsable du traitement doit notifier la violation à la CNIL au plus tôt et dans un délai maximal de soixante-douze heures, documenter la violation dans un registre interne et, en cas de risque élevé, la communiquer aux personnes concernées (règles de la CNIL sur les violations de données).

Concrètement, si vous recevez un courrier ou un courriel de votre banque vous annonçant que vos données ont été exposées lors d’une cyberattaque, conservez-le soigneusement : il constitue la preuve que l’établissement avait connaissance de la violation et fixe le point de départ des démarches. Vérifiez la nature exacte des données concernées, car tout le contentieux ultérieur en dépend. Une exposition de noms et d’adresses électroniques n’emporte pas les mêmes risques qu’une exposition de données de carte bancaire ou d’identifiants d’accès à la banque en ligne. Demandez par écrit à votre banque la liste précise des catégories de données vous concernant qui ont été affectées, ainsi que la copie des informations qu’elle a transmises à la CNIL. Ce droit d’accès à vos données personnelles s’exerce dans les conditions de l’article 15 du règlement, dont les modalités pratiques sont détaillées dans notre analyse du droit d’accès à vos données personnelles et de la copie que la banque doit vous remettre.

B. Rembourser les opérations non autorisées : le premier jour ouvré et le délai de treize mois

La cyberattaque contre la banque n’est souvent que le premier temps du préjudice. Le second temps survient quand des opérations de paiement que vous n’avez jamais autorisées apparaissent sur vos relevés : achats en ligne, virements vers des comptes inconnus, parfois à l’étranger ou vers des plateformes de crypto-actifs. Dès ce constat, trois réflexes s’imposent dans l’ordre : faire opposition, signaler les opérations à la banque, puis déposer plainte.

L’opposition sur la carte bancaire se fait immédiatement auprès de votre banque ou, si vous ne parvenez pas à la joindre, auprès du serveur interbancaire d’opposition au 0 892 705 705, ouvert sept jours sur sept et vingt-quatre heures sur vingt-quatre, qui vous remet un numéro d’enregistrement valant trace datée de votre demande (faire opposition sur service-public.fr). Conservez ce numéro : il prouve la date à laquelle vous avez réagi. Cette information rapide correspond d’ailleurs à votre propre obligation légale, car «Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci» (article L. 133-17 du code monétaire et financier). Signalez ensuite chaque opération contestée à votre banque par écrit, en distinguant les opérations que vous reconnaissez de celles que vous contestez, et demandez le remboursement.

Le principe posé par le code monétaire et financier est favorable au client. L’article L. 133-18 de ce code, en vigueur à la date du 19 octobre 2026, dispose que «En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France.» (article L. 133-18 du code monétaire et financier) Le compte débité doit être rétabli dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu.

Ce droit au remboursement est enfermé dans un délai de rigueur. L’article L. 133-24 du même code prévoit que «L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion» (article L. 133-24 du code monétaire et financier). Passé ce délai de treize mois à compter du débit, la contestation est forclose, sauf si la banque ne vous a pas fourni les informations relatives à l’opération. Signalez donc sans tarder, et en tout état de cause bien avant l’expiration de ces treize mois, chaque opération litigieuse par un écrit dont vous gardez la preuve d’envoi et de réception.

Le signalement en ligne dit Perceval, accessible via FranceConnect sur service-public.fr, permet de déclarer la fraude à la carte bancaire aux forces de l’ordre et d’obtenir un récépissé qui facilitera vos démarches auprès de la banque (signaler une fraude à la carte bancaire). Ce récépissé ne remplace pas le dépôt de plainte, mais il matérialise votre diligence. Un paiement frauduleux datant de plus de treize mois ne peut plus être remboursé, ce qui confirme l’importance d’une réaction dans les premiers jours.

II. Quand la banque refuse de vous rembourser : prouver, poursuivre, réparer

A. La négligence grave ne se présume pas : ce que jugent les tribunaux en 2026

Face à une demande de remboursement, les banques opposent de plus en plus souvent la négligence grave du client : vous auriez validé vous-même les opérations, communiqué vos codes ou cliqué sur un lien frauduleux. Cette défense est encadrée par des règles de preuve strictes, que deux décisions rendues en 2026 illustrent de manière complémentaire.

Le point de départ est l’article L. 133-23 du code monétaire et financier, qui dispose qu’«il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre» et que «L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière» (article L. 133-23 du code monétaire et financier). Autrement dit, le seul fait que les opérations aient été validées avec votre téléphone ou votre boîtier ne prouve ni votre consentement ni votre faute. C’est à la banque de rapporter la preuve de votre négligence grave, et cette preuve ne résulte pas de la seule utilisation de l’instrument de paiement.

La cour d’appel de Paris, par arrêt du 8 juillet 2026 (pôle 5, chambre 6, RG 24/10687), a confirmé le rejet des demandes d’un client qui réclamait à sa banque le remboursement de onze opérations d’achat validées par clé digitale pour un montant total de 22 500 euros. La cour a relevé que le client reconnaissait dans sa plainte avoir suivi les instructions d’une personne inconnue se présentant comme le service fraude de la banque, et avoir validé chacune des opérations alors que leur détail s’affichait sur son téléphone avec la possibilité de les annuler. Elle en a déduit un manquement à l’obligation de préserver la sécurité des données de sécurité personnalisées, rappelant, au visa de l’arrêt de la chambre commerciale du 1er juillet 2020 (n° 18-21.487), que la négligence grave du payeur s’apprécie sans égard à sa bonne foi. La cour a également jugé que, la responsabilité du prestataire étant recherchée pour des opérations non autorisées, seul le régime des articles L. 133-18 à L. 133-24 du code monétaire et financier s’applique, à l’exclusion de tout autre fondement tiré du droit commun (visa de Cass. com., 27 mars 2024, n° 22-21.200 et Cass. com., 2 mai 2024, n° 22-18074). Le client, qui validait onze fois de suite des achats présentés comme des annulations, a donc été débouté.

La cour d’appel de Riom, par arrêt du 28 janvier 2026 (3e chambre civile et commerciale, RG 25/00560), est parvenue à la solution inverse dans une affaire de hameçonnage. Une cliente avait créé un compte de paiement en ligne à la demande d’un prétendu acheteur, puis un tiers avait enrôlé un dispositif d’authentification forte sur son propre téléphone et réalisé des virements dans la nuit. La cour a certes retenu une négligence grave de la cliente dans la communication de ses identifiants et du code d’activation, mais elle a constaté que l’enrôlement était intervenu sur un autre téléphone que l’appareil déclaré, que la banque avait elle-même détecté une anomalie en mettant la carte en opposition le lendemain matin, puis avait néanmoins laissé passer les virements sans avertir la cliente. La cour en a déduit l’existence d’une défaillance du système informatique au stade de l’authentification, de l’enregistrement et de la comptabilisation des opérations, a infirmé le jugement et a condamné la banque à payer 12 100 euros à la cliente, en rappelant que la seule production des justificatifs d’authentification forte ne suffit pas à exonérer la banque.

La leçon commune de ces deux arrêts tient en trois règles. Premièrement, valider soi-même, à plusieurs reprises et en connaissance du détail affiché, des opérations dictées par un inconnu au téléphone caractérise une négligence grave qui fait échec au remboursement, en application de l’article L. 133-19, IV, du code monétaire et financier, selon lequel «Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17» (article L. 133-19 du code monétaire et financier). Deuxièmement, la banque qui se borne à produire ses journaux d’authentification ne prouve rien : elle doit démontrer l’absence de défaillance de son système et la faute précise du client. Troisièmement, une anomalie détectée par la banque elle-même, comme l’enrôlement d’un dispositif de sécurité sur un appareil inconnu, lui impose d’agir ; à défaut, la défaillance de son système fait obstacle au refus de remboursement, même en présence d’une négligence du client. L’article L. 133-16 impose au demeurant à l’utilisateur de prendre «toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées» (article L. 133-16 du code monétaire et financier), ce qui fixe la mesure exacte de vos obligations : ni héroïsme, ni légèreté.

En pratique, si votre banque refuse le remboursement en invoquant votre négligence, exigez par écrit les éléments sur lesquels elle fonde ce refus : traces d’authentification complètes, preuve de l’absence de défaillance, description précise du comportement fautif allégué. Saisissez le médiateur bancaire, dont l’avis éclairera la suite, et conservez tous les messages reçus des fraudeurs, les captures d’écran des notifications validées et le récépissé de votre dépôt de plainte. À Paris et en Île-de-France, les litiges de ce type relèvent du tribunal judiciaire de Paris, dont la neuvième chambre traite un contentieux nourri des opérations de paiement contestées, ce qui rend d’autant plus utile un dossier chronologique complet dès le premier courrier.

B. Porter plainte, saisir la CNIL et demander réparation au juge

La cyberattaque contre votre banque ouvre trois voies complémentaires, qui ne s’excluent pas : la voie pénale contre les auteurs de la fraude, la voie administrative devant la CNIL contre la banque qui aurait manqué à ses obligations de sécurité, et la voie civile pour obtenir réparation de vos préjudices.

Sur le plan pénal, l’accès frauduleux aux systèmes et la captation de vos données caractérisent plusieurs infractions. L’article 323-1 du code pénal punit de trois ans d’emprisonnement et de 100 000 euros d’amende «Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données» (article 323-1 du code pénal). L’escroquerie, définie comme «le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds» (article 313-1 du code pénal), le faux et l’usage de faux, voire le blanchiment lorsque les fonds transitent par des comptes rebonds ou des plateformes de crypto-actifs, complètent l’arsenal répressif. Déposez plainte au commissariat ou à la gendarmerie en apportant vos relevés annotés, le numéro d’opposition, le récépissé Perceval et le courrier de notification de la banque. La plainte n’assure pas à elle seule le remboursement, mais elle établit votre bonne foi, interrompt toute suspicion de fraude de votre part et alimente l’enquête qui identifiera éventuellement les auteurs et les failles exploitées.

Sur le plan administratif, vous pouvez saisir la CNIL d’une plainte contre la banque si vous estimez que vos données n’ont pas été suffisamment protégées ou que vos droits n’ont pas été respectés. La plainte s’adresse en ligne à la Commission et doit décrire les faits, les démarches déjà accomplies auprès de la banque et les manquements allégués. Les modalités et les suites de cette plainte, notamment lorsque la Commission tarde à répondre, sont exposées dans notre guide de la plainte à la CNIL sans réponse et des recours disponibles. La CNIL peut contrôler l’établissement, le mettre en demeure et prononcer des sanctions, dont le montant tient compte de la gravité de la violation et du nombre de personnes affectées. Une sanction de la Commission, lorsqu’elle intervient, éclaire puissamment le juge civil sur la réalité du manquement.

Sur le plan civil, l’article 82, paragraphe 1, du règlement ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’obtenir du responsable du traitement ou du sous-traitant la réparation de son préjudice (le chapitre du RGPD sur les voies de recours présenté par la CNIL). La Cour de justice de l’Union européenne, par son arrêt du 4 mai 2023 dans l’affaire C-300/21, a précisé les conditions de ce droit à réparation : la simple violation du règlement ne suffit pas, un dommage causé par cette violation doit être démontré, mais ce dommage peut être purement moral et aucun seuil de gravité ne peut être exigé par le droit national (arrêt du 4 mai 2023, affaire C-300/21). Concrètement, la perte de contrôle de vos données bancaires, l’angoisse liée à une usurpation d’identité possible, le temps passé à faire opposition, à contester et à surveiller vos comptes constituent des préjudices moraux réparables dès lors qu’ils sont établis et liés à la violation, en plus du préjudice matériel des sommes détournées.

Distinguez donc soigneusement les deux objets de votre action devant le juge. Le remboursement des opérations non autorisées relève du régime spécial du code monétaire et financier, avec sa logique propre : remboursement au plus tard à la fin du premier jour ouvré, sauf négligence grave prouvée par la banque. La réparation des préjudices nés de la violation de vos données personnelles relève de l’article 82 du règlement, qui suppose de démontrer un manquement de la banque à ses obligations de sécurité et un dommage en lien avec ce manquement. Les deux demandes peuvent être présentées ensemble, mais elles obéissent à des conditions différentes, et la Cour de cassation veille à ce que le régime spécial des paiements ne soit pas contourné par un fondement de droit commun. Chiffrez chaque poste : sommes détournées non remboursées, frais d’opposition et de recommandés, perte de revenus liée au blocage du compte, troubles dans vos conditions d’existence pendant la période de fraude.

La vague de cyberattaques de l’automne 2026, qui a touché aussi bien des enseignes commerciales que des comptes bancaires et des établissements de santé selon la presse nationale des 17 et 18 octobre 2026, rappelle qu’aucun client n’est à l’abri d’une exposition de ses données. Face à une banque qui minimise l’incident ou refuse le remboursement, la méthode reste la même : opposition immédiate et tracée, contestation écrite avant l’expiration du délai de treize mois, plainte pénale, exercice du droit d’accès pour connaître l’étendue exacte de la violation, saisine de la CNIL en cas de manquement persistant, puis action en remboursement et en réparation devant le juge. Chaque étape documentée renforce la suivante, et c’est cette chaîne de preuves, plus que l’indignation, qui fait aboutir les dossiers.

Conclusion

Une cyberattaque contre votre banque ne vous laisse pas sans armes, mais chaque arme a son délai et son mode d’emploi. La banque doit notifier la violation à la CNIL dans les soixante-douze heures et vous informer directement en cas de risque élevé ; elle doit rembourser les opérations non autorisées au plus tard à la fin du premier jour ouvré, sauf fraude de votre part signalée à la Banque de France. Vous devez faire opposition immédiatement, contester par écrit sans tarder et avant treize mois, déposer plainte et exercer votre droit d’accès pour mesurer l’étendue de la violation. Si la banque refuse le remboursement en invoquant votre négligence, rappelez-lui qu’elle doit prouver à la fois l’authentification, l’absence de défaillance de son système et votre faute précise : les journaux d’authentification seuls ne suffisent pas, comme l’a jugé la cour d’appel de Riom en janvier 2026, tandis que la cour d’appel de Paris a confirmé en juillet 2026 que valider à onze reprises des opérations dictées par un inconnu caractérise une négligence grave. Enfin, le préjudice né de la violation de vos données, y compris moral, ouvre un droit propre à réparation sur le fondement de l’article 82 du règlement. Documentez chaque étape : c’est la chaîne des preuves qui fait aboutir ces dossiers.