Fraude bancaire : la CJUE impose aux banques de rembourser avant de plaider la négligence grave

Une banque qui reproche à son client une négligence grave doit quand même lui rembourser une opération frauduleuse, au plus tard à la fin du premier jour ouvrable qui suit le signalement. La Cour de justice de l'Union européenne (CJUE, juridiction qui interprète le droit européen pour les tribunaux nationaux) l'a jugé le 15 octobre 2026. Le débat sur la faute du client vient dans un second temps : la banque garde le droit de lui réclamer la somme, à condition de prouver cette négligence. En France, la fraude aux moyens de paiement a atteint 1,241 milliard d'euros en 2025, dont 516 millions d'euros obtenus en manipulant les victimes.

L'arrêt Tukowiecka du 15 octobre 2026

L'affaire C-70/25 part d'une fraude par hameçonnage en Pologne. Une cliente qui vendait un objet sur une plateforme en ligne a reçu d'un prétendu acheteur un lien censé confirmer la vente. Ce lien menait vers une copie du site de sa banque, où elle a saisi ses identifiants de banque en ligne. Le fraudeur a ensuite viré environ 700 euros de son compte vers le sien. La cliente a signalé l'opération dès le lendemain. Sa banque a refusé de la rembourser en lui reprochant une négligence grave, c'est-à-dire un manquement caractérisé à son obligation de protéger ses identifiants et ses codes personnels.

La juridiction polonaise saisie du litige a interrogé la Cour sur la directive DSP2 (directive (UE) 2015/2366 sur les services de paiement, transposée en France dans le code monétaire et financier). Son article 73 impose de rembourser une opération non autorisée immédiatement, et au plus tard à la fin du premier jour ouvrable suivant celui où la banque en a connaissance. Son article 74 fait supporter les pertes au client qui a agi par négligence grave. La Cour sépare ces deux questions. La banque rembourse d'abord. La répartition définitive de la perte se règle ensuite.

« Permettre au prestataire de services de paiement de refuser d'emblée le remboursement en invoquant une négligence grave du client priverait d'effet utile l'obligation de remboursement immédiat et contraindrait le client à prendre lui-même l'initiative d'une procédure pour faire valoir son droit, avec les coûts et les inconvénients que cela peut entraîner. »

Cour de justice de l'Union européenne, 15 octobre 2026

L'avocat général Athanasios Rantos avait proposé cette lecture dans ses conclusions du 5 mars 2026. La Cour l'a retenue. La charge de la preuve pèse sur la banque. Si le client refuse de rendre la somme, la banque doit engager elle-même une action en justice et y démontrer la faute de son client.

L'unique exception au remboursement immédiat

La directive ne prévoit qu'un cas où la banque échappe au remboursement immédiat : elle a de bonnes raisons de soupçonner une fraude commise par le client lui-même et communique ces raisons par écrit à l'autorité nationale compétente. En France, les banques adressent ces motifs à la Banque de France.

Cette exception vise la seule fraude du client. La négligence grave, même établie, n'en relève pas. La banque rembourse puis décide d'engager ou non une procédure pour récupérer les fonds. La décision de la Cour lie les juridictions des 27 États membres saisies d'un litige similaire.

Le droit français et les recommandations de l'Observatoire

Le code monétaire et financier reprend l'obligation de remboursement immédiat à son article L. 133-18 et la responsabilité du client négligent à l'article L. 133-19. L'Observatoire de la sécurité des moyens de paiement (OSMP, instance présidée par Denis Beau, premier sous-gouverneur de la Banque de France) a publié le 16 mai 2023 treize recommandations sur le remboursement des fraudes. Son rapport annuel 2025, paru en septembre 2026, les reproduit.

Pour une opération sans authentification forte (validation qui combine deux éléments distincts, comme un code et le téléphone du client), la recommandation n° 4 exclut déjà ce motif de refus. Pour une opération authentifiée de manière forte, la recommandation n° 6 autorise la banque à refuser le remboursement après une première analyse d'un jour ouvré, si elle dispose d'assez d'éléments pour considérer que le client a été « gravement négligent ». L'arrêt du 15 octobre retient une règle générale : la négligence grave ne permet pas de refuser le remboursement immédiat.

« Dans la pratique, beaucoup de banques opposent encore la négligence grave comme motif de refus initial, y compris à des victimes de spoofing ou de phishing, et attendent d'être assignées. »

Thomas Gauriat, avocat au barreau de Paris

Le spoofing désigne l'usurpation du numéro de téléphone d'une banque par un fraudeur. Le phishing, ou hameçonnage, consiste à attirer la victime vers un faux site pour lui soutirer ses identifiants. Pour ces victimes, l'arrêt déplace l'initiative du procès : la banque qui conteste le remboursement doit saisir le juge. La qualification d'opération non autorisée, condition de ce droit, s'examine au cas par cas lorsque la victime a validé elle-même le paiement sous la manipulation.

La négligence grave devant la Cour de cassation

Après l'arrêt européen, la négligence grave reste un moyen de défense de la banque, examiné dans un second temps par les juges français. Le 4 mars 2026, la chambre commerciale de la Cour de cassation a cassé un jugement du tribunal de proximité de Morlaix favorable à un client de la Banque CIC Ouest. Ce client avait reçu un appel depuis le numéro officiel de son agence, pendant ses heures d'ouverture, et validé des paiements sur les instructions d'un faux conseiller.

La Cour de cassation reproche au tribunal de ne pas avoir recherché si le message de confirmation reçu sur le téléphone du client devait l'alerter. Ce message, cité par la banque, indiquait : « vous allez confirmer un paiement. Il ne s'agit ni d'un remboursement, ni d'une annulation ». La banque soutenait que le payeur « supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d'une négligence grave de sa part ». Le même arrêt écarte un autre fondement : la victime d'une fraude ne peut invoquer l'obligation de vigilance des banques en matière de lutte contre le blanchiment pour réclamer des dommages et intérêts.

Le 1er juillet 2026, la même chambre a rappelé les exigences de preuve qui pèsent sur la banque. Dans un litige entre la société Lincotek Tarbes et le Crédit lyonnais, elle a jugé que l'utilisation de l'instrument de paiement enregistrée par la banque « ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ». La cour d'appel de Paris avait déduit le consentement de l'entreprise de l'usage de ses identifiants et d'un boîtier d'authentification. Elle avait inversé la charge de la preuve.

Combien coûte la fraude par manipulation ?

La fraude aux moyens de paiement a atteint 1,241 milliard d'euros en France en 2025, en hausse de 3,8 % sur un an, pour 7,2 millions d'opérations frauduleuses. Le virement est le premier moyen de paiement fraudé en valeur : 485 millions d'euros, soit 39,1 % du total, contre 34,9 % pour le paiement par carte. La fraude au virement a progressé de 37 % en un an.

La fraude par manipulation (faux conseiller bancaire, faux service antifraude, fraude au président, substitution d'IBAN) a augmenté de 34 % en 2025, à 516 millions d'euros. Elle représente 41,6 % du montant total de la fraude, contre 32,1 % en 2024. Dans ces escroqueries, la victime transmet elle-même ses codes ou valide l'opération sur son application bancaire.

Depuis octobre 2025, les banques disposent d'un service de vérification du bénéficiaire avant un virement. Un fichier national des comptes signalés pour risque de fraude fonctionne depuis mai 2026.

Le règlement européen sur les services de paiement en préparation

Le Parlement européen et le Conseil ont conclu le 27 novembre 2025 un accord politique sur le règlement sur les services de paiement (PSR, pour Payment Services Regulation). Ce règlement remplacera la DSP2 avec une troisième directive, la DSP3. Le Conseil a publié les textes de compromis définitifs le 23 avril 2026. Le PSR prévoit un droit au remboursement, sous conditions, pour le consommateur manipulé par un fraudeur qui usurpe l'identité de sa banque.

Jusqu'à l'application de ce règlement, la DSP2 reste le texte de référence. Les juges nationaux l'appliquent dans l'interprétation fixée par la Cour le 15 octobre 2026.

Que faire après une opération frauduleuse ?

• Signaler l'opération par écrit à sa banque dès sa découverte : le droit au remboursement immédiat suppose que le client informe sa banque sans retard injustifié.
• Demander le remboursement au plus tard à la fin du premier jour ouvrable qui suit le signalement, en citant l'arrêt de la CJUE du 15 octobre 2026 (affaire C-70/25).
• Fournir tous les éléments de la fraude : messages et appels reçus, liens ouverts, actions réalisées sous la manipulation, récépissé de signalement sur Perceval (fraude à la carte bancaire) ou de plainte en ligne sur Thésée (certaines escroqueries).
• Surveiller une éventuelle reprise des fonds : l'OSMP recommande à la banque d'informer le client de cette possibilité au moment du remboursement et de ne pas reprendre les fonds plus de 30 jours après, sauf situation exceptionnelle.

En cas de refus, l'OSMP recommande à la banque d'en communiquer le motif au client et d'y joindre les éléments qui le justifient, comme la preuve de la négligence grave invoquée. Le client conteste ensuite ce refus devant le médiateur de sa banque ou devant le juge.

Sources

• Cour de justice de l'Union européenne, communiqué de presse n° 147/26, « Services de paiement : la négligence grave du client ne dispense pas le prestataire de services de paiement du remboursement immédiat », arrêt C-70/25, 15 octobre 2026. curia.europa.eu
• Court of Justice of the European Union, press release No 147/26, Judgment in Case C-70/25, 15 October 2026. curia.europa.eu
• Cour de justice de l'Union européenne, communiqué de presse n° 31/26, conclusions de l'avocat général Rantos dans l'affaire C-70/25, 5 mars 2026. curia.europa.eu
• Cour de cassation, chambre commerciale, financière et économique, arrêt n° 94 FS-B du 4 mars 2026, pourvoi n° 24-19.588. courdecassation.fr
• Cour de cassation, chambre commerciale, financière et économique, arrêt n° 369 F-B du 1er juillet 2026, pourvoi n° 25-13.134. courdecassation.fr
• Observatoire de la sécurité des moyens de paiement, Rapport annuel 2025, septembre 2026. banque-france.fr
• Thomas Gauriat, « Phishing : la CJUE impose à la banque de rembourser d'abord, et de discuter ensuite », blog des avocats, octobre 2026. avocat.fr
• Arthur Cox, « PSD3 and PSR: Final compromise texts published », 30 avril 2026. arthurcox.com
• European Funds Recovery Initiative, « CJEU Case C-70/25: Advocate General Says Banks Must Refund Phishing Victims Immediately », mars 2026. efri.io