Le 20 octobre 2026, plusieurs services d’informatique en nuage ont connu des « taux d’erreurs élevés » et des « pannes réseau intermittentes » depuis le centre de données européen basé à Londres, à partir de 6h08 GMT, à la suite d’un « événement électrique » selon le fournisseur lui-même ; le site de recensement des pannes a enregistré des centaines de signalements visant des services bancaires en ligne (20 Minutes avec AFP, 20/10/2026). Pour les clients concernés, la scène est la même : application qui ne s’ouvre plus, solde qui ne s’affiche pas, virement urgent impossible à émettre, carte refusée en caisse, parfois même un portefeuille d’actifs affiché vide alors qu’aucune opération n’a été passée. La source citée ne fait état d’aucune cyberattaque et d’aucune fuite de données : elle décrit un incident électrique du fournisseur. Aucune intrusion ni aucun dommage n’a été constaté par une source officielle à la date de rédaction, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge décide.
Pour les clients concernés, la scène est la même : application qui ne s’ouvre plus, solde qui ne s’affiche pas, virement urgent impossible à émettre, carte refusée en caisse, parfois même un portefeuille d’actifs affiché vide alors qu’aucune opération n’a été passée. La source citée ne fait état d’aucune cyberattaque et d’aucune fuite de données : elle décrit un incident d’alimentation électrique du fournisseur. Aucune intrusion ni aucun dommage n’a été constaté par une source officielle à la date de rédaction, aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge décide.
Cet article décrit les vérifications utiles dans toute situation comparable : comment prouver l’indisponibilité et ses conséquences, sur quels textes exiger l’accès à ses fonds et à ses données, contre qui agir quand la banque renvoie la faute à son prestataire de cloud, et par quelles voies concrètes demander réparation. Il ne décrit la situation d’aucun établissement en particulier et ne formule aucun constat à l’encontre d’une entreprise nommée.
I. Se retrouver sans accès à son argent : constater la panne et exiger le rétablissement
A. Prouver l’indisponibilité, les opérations manquées et le préjudice subi
La première bataille d’un dossier de panne bancaire se joue sur la preuve. Celui qui réclame l’exécution d’une obligation doit la prouver, et réciproquement celui qui se prétend libéré doit justifier le fait qui a produit l’extinction de son obligation (article 1353 du code civil). Concrètement, c’est au client de démontrer qu’il n’a pas pu accéder à son compte, qu’une opération a été rejetée ou retardée, et que ce dysfonctionnement lui a causé un dommage. La banque, de son côté, devra justifier les diligences accomplies et, si elle invoque la force majeure, en réunir toutes les conditions. Dès les premières minutes de la panne, il faut donc constituer un dossier de preuves : captures d’écran datées des messages d’erreur de l’application, photographies de l’écran du distributeur ou du terminal de paiement en cas de refus, enregistrement des horaires des tentatives de connexion, copies des échanges avec le service client (conversations, courriels, numéros de ticket d’incident), et relevés de compte montrant les opérations rejetées, les frais prélevés ou les agios facturés après la panne.
Il faut également conserver la trace des conséquences concrètes : échéance de loyer ou de crédit prélevée en retard, pénalités du bailleur ou de l’organisme prêteur, commande professionnelle impossible à payer, déplacement inutile à l’agence, journées de travail perdues à tenter de joindre un conseiller. Chaque poste de préjudice devra être chiffré pièce par pièce : un juge n’indemnise pas une gêne alléguée sans facture, sans relevé et sans lien démontré avec l’indisponibilité. Les clients qui ont vu leur portefeuille d’actifs affiché à zéro pendant la panne doivent conserver la capture de cet affichage, puis le relevé ultérieur montrant que les actifs n’avaient pas été cédés : l’écart entre l’affichage erroné et la réalité des avoirs est une pièce maîtresse, car il établit à la fois l’anomalie et l’angoisse patrimoniale qu’elle a provoquée. Il ne faut ni réinstaller l’application en effaçant les journaux, ni réinitialiser ses identifiants dans la précipitation si cela détruit des traces utiles ; mieux vaut noter par écrit, heure par heure, ce qui fonctionne et ce qui ne fonctionne pas.
Enfin, il faut distinguer deux situations que le droit ne traite pas de la même manière. Si des opérations ont été passées par un tiers pendant la confusion (messages frauduleux invitant à « débloquer » le compte, faux conseiller qui appelle pendant la panne), il s’agit d’opérations non autorisées, qui relèvent du régime protecteur des articles L. 133-18 et suivants du code monétaire et financier. Si, au contraire, les ordres légitimes du client n’ont pas été exécutés du fait de l’indisponibilité du service, il s’agit d’une inexécution ou d’une mauvaise exécution, qui relève à la fois du contrat conclu avec la banque et, pour les opérations de paiement, du même régime spécial. Dans les deux cas, le signalement doit être fait sans tarder auprès de l’établissement : l’utilisateur de services de paiement signale sans tarder à son prestataire une opération non autorisée ou mal exécutée, et au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion, sauf si le prestataire ne lui a pas fourni les informations relatives à l’opération (article L. 133-24 du code monétaire et financier). Ce délai de treize mois est un délai de forclusion, pas un simple délai de prescription : passé ce délai, la contestation n’est plus recevable, sauf défaut d’information de la banque. Il ne faut donc pas attendre l’issue des discussions amiables pour adresser une contestation écrite et conservée.
B. Exiger l’accès à ses fonds et à ses données personnelles
La banque est tenue d’exécuter la convention de compte et les services de paiement souscrits : les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits (article 1103 du code civil), et ils doivent être exécutés de bonne foi, disposition d’ordre public (article 1104 du code civil). La partie envers laquelle l’engagement n’a pas été exécuté peut refuser de payer ou suspendre sa propre obligation, poursuivre l’exécution forcée et demander réparation (article 1217 du code civil). Face à une application muette, le client peut donc mettre en demeure l’établissement, par écrit, de rétablir l’accès au compte, d’exécuter les ordres en attente et de fournir les relevés et informations sur les opérations de la période. Cette mise en demeure, adressée au service réclamation puis, à défaut de réponse, au médiateur, fait courir la démonstration de la persistance du manquement et servira devant le juge.
Le droit des données personnelles renforce cette exigence d’accès. La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données la concernant sont traitées et, dans ce cas, l’accès à ces données ainsi qu’une série d’informations sur les finalités, les catégories de données, les destinataires et la durée de conservation (article 15 du règlement (UE) 2016/679). Pendant une panne d’accès, ce droit prend un relief concret : relevés de compte, historique des opérations, journal des connexions et traces d’authentification sont des données personnelles, et le client peut en exiger une copie pour vérifier qu’aucune opération n’a été passée à son insu. Les données doivent en outre être traitées de manière à garantir une sécurité appropriée, y compris pour les protéger contre la perte et l’inaccessibilité (article 5 du règlement (UE) 2016/679), et le responsable du traitement comme son sous-traitant doivent mettre en œuvre des moyens permettant de garantir la disponibilité constante des systèmes et de rétablir la disponibilité des données dans des délais appropriés en cas d’incident physique ou technique (article 32 du règlement (UE) 2016/679). Une indisponibilité de plusieurs heures suivie d’un rétablissement complet ne constitue pas automatiquement une violation du règlement ; mais une perte de données, une altération des soldes ou une absence durable de plan de reprise posent la question d’un manquement à cette obligation de sécurité.
Lorsque l’établissement tarde à répondre, le signalement public devient un levier utile. Sur la plateforme officielle SignalConso, toute personne peut signaler un blocage de compte ou un accès refusé : le signalement est transmis à l’entreprise, visible par les agents de la direction générale de la concurrence, de la consommation et de la répression des fraudes, et un agent peut recontacter l’auteur pour l’orienter (SignalConso, blocage de compte bancaire injustifié). Ce signalement ne remplace ni la contestation écrite adressée à la banque dans le délai de treize mois, ni la réclamation préalable au médiateur, mais il crée une trace datée supplémentaire et alimente les contrôles de l’administration. En parallèle, les clients qui estiment que le traitement de leurs données a violé le règlement peuvent introduire une réclamation auprès de l’autorité de contrôle, en particulier dans l’État de leur résidence : l’autorité informe l’auteur de l’état d’avancement et de l’issue de la réclamation (article 77 du règlement (UE) 2016/679).
II. Faire reconnaître la responsabilité et obtenir réparation : la banque, son fournisseur de cloud et le juge
A. Une chaîne de responsabilités où la panne du sous-traitant n’excuse pas tout
Le réflexe le plus fréquent des établissements après une panne de place consiste à désigner le fournisseur de cloud : l’incident viendrait d’un tiers, la banque n’y serait pour rien. En droit français des contrats, cet argument est encadré de près. Le débiteur n’est libéré que s’il justifie que l’exécution a été empêchée par la force majeure (article 1231-1 du code civil), et il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution (article 1218 du code civil). Trois conditions cumulatives, donc : extériorité, imprévisibilité, irrésistibilité. Or une panne du propre prestataire informatique de la banque, même brutale, n’est ni extérieure à la sphère d’activité de l’établissement qui l’a choisi, ni nécessairement irrésistible lorsqu’un plan de secours, une redondance des systèmes ou un basculement vers un site de repli auraient permis de maintenir l’essentiel du service. La jurisprudence récente sur les grandes pannes de cloud va dans ce sens : dans l’affaire de l’incendie d’un centre de données d’un hébergeur, la cour d’appel de Douai a rejeté la qualification de force majeure invoquée par le prestataire, tout en rappelant que le client doit prouver la faute alléguée et que l’obligation de rétablir la disponibilité des données dans des délais appropriés est une obligation de moyens, le sous-traitant devant seulement mettre en œuvre des moyens permettant ce rétablissement (cour d’appel de Douai, chambre 2 section 2, 4 juin 2026, n° 24/00967). Autrement dit, la banque ne peut pas se contenter de dire « c’est la faute du cloud » : elle doit démontrer que l’événement remplissait les trois critères légaux et que toutes les mesures appropriées avaient été prises.
Le droit des données personnelles organise la même chaîne de responsabilités entre la banque et son hébergeur. La banque qui détermine les finalités et les moyens du traitement est responsable du traitement ; le fournisseur de cloud qui héberge les comptes n’agit que comme sous-traitant, et la banque ne doit faire appel qu’à des sous-traitants présentant des garanties suffisantes (article 28 du règlement (UE) 2016/679). Si le traitement viole le règlement et cause un dommage, toute personne ayant subi un dommage matériel ou moral du fait de cette violation a le droit d’obtenir réparation du responsable du traitement ou du sous-traitant (article 82 du règlement (UE) 2016/679), et lorsque plusieurs acteurs participent au même traitement, chacun est tenu pour le tout afin de garantir une réparation effective, quitte à se retourner ensuite les uns contre les autres selon leur part respective. Concrètement, le client peut agir directement contre sa banque sans avoir à poursuivre le fournisseur de cloud, et c’est à la banque de se retourner contre son prestataire. La Cour de justice a précisé trois points décisifs pour les victimes : la simple violation du règlement ne suffit pas, il faut démontrer un dommage ; mais aucun seuil de gravité n’est exigé pour le dommage moral, une contrariété ou une angoisse avérée pouvant suffire ; et le montant de la réparation se fixe selon les règles internes de chaque État membre, dans le respect de l’effectivité du droit de l’Union (Cour de justice de l’Union européenne, 4 mai 2023, C-300/21, Österreichische Post, points 1 à 3 du dispositif, texte intégral sur CURIA). Un solde affiché à zéro pendant des heures, avec la crainte de avoir perdu ses économies, constitue typiquement le dommage moral indemnisable, à condition de le prouver par les captures et les attestations conservées.
Pour les opérations de paiement proprement dites, le régime applicable est exclusif et écarte le droit commun de la responsabilité contractuelle. En cas d’opération non autorisée signalée par l’utilisateur, le prestataire rembourse le montant au plus tard à la fin du premier jour ouvrable suivant, sauf soupçon caractérisé de fraude communiqué par écrit à la Banque de France, et rétablit le compte dans l’état où il se serait trouvé sans l’opération (article L. 133-18 du code monétaire et financier). Avant toute information à la banque, le payeur supporte les pertes liées à la perte ou au vol de son instrument dans la limite d’un plafond de 50 euros, sauf exceptions protectrices prévues par la loi (article L. 133-19 du code monétaire et financier). Surtout, dès lors que la responsabilité du prestataire est recherchée en raison d’une opération non autorisée ou mal exécutée, seul ce régime spécial s’applique, à l’exclusion de tout régime alternatif de droit national : la Cour de cassation l’a jugé en censurant une cour d’appel qui avait condamné une banque sur le fondement du droit commun pour des paiements frauduleux, au visa des arrêts de la Cour de justice Beobank du 16 mars 2023 (C-351/21) et CRCAM du 2 septembre 2021 (C-337/20) sur l’harmonisation totale du régime (Cour de cassation, chambre commerciale, 15 janvier 2025, n° 23-13.579). Le client n’a donc pas à choisir entre plusieurs fondements : pour une opération contestée, il invoque le code monétaire et financier ; pour l’indisponibilité du service et la perte d’accès à ses données, il invoque le contrat et, le cas échéant, le règlement européen sur les données personnelles.
B. Les voies de recours : réclamation, médiateur, autorité de contrôle et juge
La première démarche est une réclamation écrite adressée à l’établissement, service réclamation puis, en cas de réponse insatisfaisante, direction dédiée : exposer les faits datés, joindre les preuves, chiffrer chaque préjudice et formuler des demandes précises (remboursement des frais et agios, exécution des ordres en attente, copie des données d’accès, indemnisation du préjudice matériel et moral). Cette réclamation ouvre la voie de la médiation : l’article L. 316-1 du code monétaire et financier ouvre à tout consommateur le droit de recourir à un médiateur pour un litige relatif aux services fournis et à l’exécution des contrats conclus avec un établissement de crédit, un établissement de monnaie électronique ou un établissement de paiement (article L. 316-1 du code monétaire et financier). Les coordonnées du médiateur désigné par l’établissement figurent dans la convention de compte et sur les relevés ; son avis intervient dans des délais brefs et, s’il ne satisfait pas, la voie judiciaire reste ouverte. Le signalement sur SignalConso complète utilement ce parcours, sans le remplacer.
Du côté des données personnelles, deux obligations pèsent sur l’établissement. En cas de violation de données présentant un risque pour les droits et libertés, le responsable du traitement notifie l’autorité de contrôle dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un tel risque (article 33 du règlement (UE) 2016/679) ; la Commission nationale de l’informatique et des libertés précise que la notification initiale doit intervenir dans ce délai de 72 heures si possible, qu’un dépassement doit être motivé et qu’une notification complémentaire suit dès que les informations sont disponibles (CNIL, notifier une violation de données personnelles). Lorsque la violation est susceptible d’engendrer un risque élevé, le responsable la communique aussi à la personne concernée dans les meilleurs délais, en termes clairs et simples (article 34 du règlement (UE) 2016/679). Une simple indisponibilité temporaire sans perte ni altération de données ne déclenche pas nécessairement ces notifications ; mais si des soldes ont été corrompus, des opérations attribuées à tort ou des données exposées, le client est en droit d’interroger par écrit l’établissement sur les notifications effectuées et d’en tirer les conséquences devant la Commission ou le juge. Parallèlement, la plainte individuelle pour violation du règlement peut être portée devant l’autorité de contrôle, qui en suit l’instruction et informe son auteur (article 77 du règlement (UE) 2016/679).
Devant le juge, l’articulation des demandes doit être rigoureuse : remboursement et rétablissement du compte sur le fondement du code monétaire et financier pour les opérations contestées, dommages et intérêts contractuels pour l’inexécution du service et les frais subis, réparation du préjudice matériel et moral sur le fondement de l’article 82 du règlement pour la violation des données personnelles, en démontrant chaque fois le fait générateur, le dommage et le lien entre les deux. La simple violation du règlement ne suffit pas, comme l’a jugé la Cour de justice, mais aucun seuil de gravité n’est requis pour le dommage moral (Cour de justice de l’Union européenne, 4 mai 2023, C-300/21, dispositif précité). Les postes indemnisables, pièces à l’appui, comprennent les frais bancaires et agios indus, les pénalités payées aux créanciers du fait des rejets, les frais d’urgence exposés pour payer autrement, la perte de chance d’une opération manquée lorsqu’elle est caractérisée, et le préjudice moral lié à l’angoisse patrimoniale et aux heures perdues. Le juge appréciera aussi la part de responsabilité du client : des identifiants communiqués à un faux conseiller pendant la panne, ou une contestation adressée après l’expiration du délai de treize mois, affaibliront la demande. À l’inverse, la banque qui se retranche derrière son fournisseur sans démontrer une véritable force majeure, qui n’a ni plan de secours ni redondance et qui laisse ses clients sans information pendant des heures, s’expose à une condamnation pleine et entière, quitte pour elle à se retourner contre son prestataire de cloud.
Les clients franciliens ne disposent d’aucune juridiction d’exception pour ce contentieux : les litiges relèvent des juridictions judiciaires de droit commun du lieu du domicile ou du siège de l’établissement, et les réclamations préalables s’adressent aux mêmes services nationaux que pour tout client. La spécificité parisienne tient au volume des agences et des pôles financiers, qui rend les déplacements et les constats plus aisés, sans changer ni les textes ni les délais applicables.
Conclusion
Une panne du fournisseur de cloud de sa banque ne laisse pas le client démuni : prouver vite et par écrit l’indisponibilité et ses conséquences, contester toute opération litigieuse dans le délai de forclusion de treize mois prévu à l’article L. 133-24 du code monétaire et financier (texte en vigueur), exiger l’accès à ses fonds et à ses données, saisir le médiateur bancaire puis, si nécessaire, l’autorité de contrôle et le juge, en visant la banque plutôt que son sous-traitant. La banque ne s’exonère qu’en prouvant une véritable force majeure, et la simple désignation du prestataire défaillant n’y suffit pas. Aucune intrusion ni aucun dommage n’ayant été constaté par une source officielle à la date de rédaction, chaque dossier doit être apprécié sur ses propres pièces : les contrats signés priment sur toute analyse générale, et seul le juge tranche les responsabilités et les montants.