Fraude bancaire : la CJUE impose de rembourser d'abord, de discuter ensuite. Par Thomas Zamaron

Lorsqu’un virement est effectué sans autorisation depuis un compte bancaire, la victime demande souvent un remboursement immédiat à sa banque. Pourtant, les établissements bancaires refusent parfois ce remboursement en invoquant une négligence grave du client. Par exemple, la banque peut estimer que la victime a communiqué ses identifiants ou validé une notification, facilitant ainsi la fraude. Dans l’affaire polonaise citée, une cliente avait été victime de phishing (hameçonnage) : un escroc l’avait contactée en se faisant passer pour un acheteur, lui avait envoyé un faux lien de paiement, puis avait détourné 705 € (3 000 zlotys polonais) après qu’elle ait renseigné ses identifiants et un code reçu par SMS. La banque PKO BP avait refusé de rembourser, arguant que la cliente avait commis une négligence grave en communiquant ses données. Cette situation illustre un conflit récurrent entre les victimes de fraude et les banques, où ces dernières utilisent la négligence alléguée pour justifier un refus de remboursement.

La Cour de justice de l’Union européenne (CJUE) a tranché ce débat juridique le 15 octobre 2026 dans l’affaire C-70/25, dite affaire Tukowiecka. Elle a clarifié deux obligations distinctes pour les banques en cas de fraude : d’abord, elles doivent rembourser immédiatement les fonds détournés, puis, dans un second temps, elles peuvent rechercher la responsabilité du client si elles estiment que ce dernier a commis une négligence grave. La CJUE a rappelé que la directive (UE) 2015/2366, dite DSP2, impose aux banques de rembourser les opérations non autorisées dans un délai strict : immédiatement après en avoir été informée, ou au plus tard à la fin du premier jour ouvrable suivant. La négligence grave, bien que pouvant entraîner une responsabilité ultérieure, ne peut justifier un refus de remboursement immédiat.

La CJUE a précisé que la négligence grave (comme le fait de communiquer ses identifiants) ne doit pas être confondue avec une fraude avérée du client. Une banque peut refuser de rembourser immédiatement uniquement si elle soupçonne une fraude commise par le client lui-même, et non une simple négligence. Par exemple, si un client a sciemment participé à une escroquerie, la banque peut invoquer cette exception, à condition de motiver son refus par écrit et de le communiquer à la Banque de France (en France). En revanche, une victime de phishing ou d’hameçonnage, même imprudente, ne peut être assimilée à un fraudeur. La CJUE souligne que la victime doit être protégée, car elle n’a pas agi dans l’intention de nuire. La charge de la preuve de la négligence grave incombe à la banque, qui doit fournir des éléments concrets pour étayer ses allégations.

L’arrêt de la CJUE impose une distinction claire entre deux étapes dans le traitement des fraudes bancaires. Premièrement, la banque doit rembourser les fonds détournés sans délai, sans attendre que la responsabilité du client soit établie. Deuxièmement, si la banque estime que le client a commis une négligence grave, elle peut ultérieurement engager une procédure pour récupérer tout ou partie des fonds. Par exemple, dans l’affaire polonaise, la banque aurait dû rembourser les 705 € immédiatement, puis, si elle prouvait la négligence grave de la cliente, elle aurait pu lui réclamer cette somme. Cette approche évite que les victimes supportent les frais et les délais d’un procès pour obtenir un remboursement qui leur est légalement dû. La CJUE rappelle que cette interprétation est conforme à l’objectif de protection des consommateurs de la directive DSP2.

Pour contester un remboursement ou prouver une négligence grave, la banque doit apporter des preuves solides. Par exemple, elle ne peut se contenter de montrer que les identifiants ont été utilisés : il faut démontrer que le client a agi avec une intention frauduleuse ou une négligence grave. En France, l’article L133-23 du Code monétaire et financier encadre cette preuve. La CJUE insiste sur le fait que la simple utilisation d’un dispositif d’authentification (comme un code SMS) ne suffit pas à caractériser une négligence grave, surtout dans les cas de phishing, où les victimes sont manipulées par des techniques sophistiquées. Les victimes doivent conserver tous les éléments liés à la fraude : relevés bancaires, captures d’écran, échanges avec la banque, etc. Ces preuves sont essentielles pour contester un refus de remboursement ou pour établir leur bonne foi.

En France, les articles L133-18, L133-19 et L133-23 du Code monétaire et financier transposent la directive DSP2. L’arrêt de la CJUE s’applique donc directement aux litiges français. Désormais, une victime de fraude bancaire n’a plus à engager un procès pour obtenir un remboursement : la banque doit le verser immédiatement si l’opération est non autorisée. Si la banque refuse, elle doit motiver son refus par écrit et le justifier par des preuves. Cette décision réduit les contraintes pour les victimes, qui n’ont plus à avancer des frais de justice ou à attendre des mois pour récupérer leurs fonds. Par exemple, une victime de phishing en France peut désormais exiger le remboursement de 1 500 € détournés sous 24 heures, sans avoir à prouver sa non-négligence. La banque devra ensuite prouver la négligence grave si elle souhaite récupérer cette somme.

L’arrêt de la CJUE a des répercussions immédiates sur les procédures en cours en France. Les juridictions françaises doivent désormais interpréter les textes nationaux à la lumière de cette décision, y compris pour les litiges déjà engagés. Cela signifie que les banques ne peuvent plus refuser un remboursement en invoquant simplement une négligence grave : elles doivent d’abord restituer les fonds, puis engager une action en responsabilité si nécessaire. Cette clarification s’applique particulièrement aux fraudes par phishing, détournement d’identifiants ou escroqueries en ligne. Les victimes doivent cependant respecter les délais légaux pour contester une opération : signaler la fraude sans retard injustifié et fournir les preuves demandées. La CJUE rappelle que cette approche renforce la protection des consommateurs, conformément aux objectifs de la directive DSP2.