Fraude bancaire en ligne : les banques doivent rembourser immédiatement, même en cas de négligence grave du client

La CJUE, dans un arrêt de la Première Chambre en date du 15 octobre 2026 – affaire C-70/25,  adresse un message clair aux banques : elle leur impose de rembourser immédiatement les opérations de paiement non autorisées, même si elles estiment qu’une négligence grave du client a pu contribuer à la fraude. 

Le débat sur l’éventuelle responsabilité du client ne pourra intervenir que dans un second temps. Et la charge de la preuve de la négligence grave de l’utilisateur pèsera alors sur la banque si elle entend obtenir le remboursement des sommes versées à son client.

Rappel des faits

Dans l’affaire soumise à la CJUE, une cliente d’une banque polonaise a été victime d’une fraude par hameçonnage / phishing (technique cybercriminelle où un fraudeur se fait passer pour un organisme de confiance via un message trompeur). Un escroc s’est présenté comme un acheteur intéressé par un objet qu’elle proposait sur une plateforme de vente en ligne. Il lui a adressé un lien frauduleux présenté comme émanant de la plateforme et nécessaire pour finaliser la vente.

Après avoir suivi ce lien, la cliente a été redirigée vers un faux site reproduisant l’apparence de celui de sa banque. Elle y a communiqué ses identifiants de banque en ligne ainsi qu’un code de confirmation reçu par SMS. L’escroc a ainsi pu virer la somme d’environ 700 €, depuis le compte de la victime vers un compte qu’il détenait. 

Dès le lendemain, la cliente a signalé la fraude à sa banque. La banque a cependant refusé de la rembourser, considérant qu’elle avait commis une négligence grave en communiquant ses données de sécurité. 

La cliente a initié une procédure judiciaire pour obtenir le remboursement des sommes indument transférées depuis son compte.

La question juridique posée à la Cour

Interrogée par la juridiction polonaise, la Cour devait déterminer si une banque peut refuser d’emblée le remboursement d’une opération de paiement non autorisée lorsqu’elle estime que le client a rendu cette opération possible par une négligence grave, notamment en communiquant ses identifiants ou un code de sécurité à la suite d’une fraude par hameçonnage. Ce qui est systématiquement la réponse apportée par la Banque pour échapper à son obligation de remboursement.

La question portait principalement sur l’articulation entre les articles 73 et 74 de la directive européenne 2015/2366 concernant les services de paiement dans le marché intérieur. L’article 73 impose le remboursement immédiat des opérations non autorisées, transposé à l’article L133-18 du Code monétaire et financier, tandis que l’article 74, transposé à l’article L133-19 du Code monétaire et financier, prévoit, en substance, que le client peut supporter les pertes lorsque celles-ci résultent d’une fraude ou d’un manquement intentionnel ou d’une négligence grave à ses obligations de sécurité. 

La question était donc : la faute de la victime dispense-t-elle la banque de son obligation de remboursement immédiat ?

La réponse de la Cour

La CJUE répond, sans détour : NON. Une banque ne peut pas refuser le remboursement immédiat au seul motif qu’elle estime que le client a commis une négligence grave.

Le principe est clair, et découle de l’article 73 de la directive (UE) 2015/2366 : la banque doit rembourser le montant de l’opération non autorisée immédiatement après en avoir eu connaissance ou après en avoir été informée, et au plus tard à la fin du premier jour ouvrable suivant. Le compte doit également être rétabli dans la situation dans laquelle il se trouvait avant la réalisation de la fraude.

La Cour rappelle que l’article 73 ne prévoit qu’une seule exception à cette obligation immédiate. La banque peut différer le remboursement uniquement si elle a de bonnes raisons de soupçonner une fraude commise par le client et qu’elle communique ces raisons par écrit à l’autorité nationale compétente. La simple invocation d’une négligence grave ne constitue donc pas une exception au remboursement immédiat. 

La CJUE distingue ainsi deux questions différentes posées par la directive. La première concerne le remboursement immédiat du client. La seconde concerne la répartition définitive des pertes entre la banque et le client. Cette seconde question peut être examinée ultérieurement, notamment dans le cadre d’une procédure judiciaire. 

L’apport de la décision

L’arrêt renforce très nettement la protection des victimes de fraudes bancaires, et ce, conformément à l’esprit de la directive (UE) 2015/2366. Une banque ne peut plus invoquer, comme elle le fait systématiquement, la négligence du client (clic sur un lien frauduleux, communication d’un code SMS, renseignement d’identifiants ou validation d’une opération par l’effet d’une manœuvre) pour faire échec à son obligation de remboursement. Elle doit immédiatement recréditer le compte, puis, si elle l’estime justifié, engager une démarche distincte afin de faire établir la responsabilité du client, le cas échéant devant la juridiction compétente.

La Cour justifie cette solution par l’objectif de garantir un niveau élevé de protection des consommateurs. La Banque, qui refuse immédiatement le remboursement en totale contradiction avec les textes précités, oblige en pratique le client à engager lui-même une procédure, à en supporter les frais et à assumer les difficultés liées à la preuve. 

Et c’est malheureusement le cas. Rares sont les clients qui n’ont pas été remboursés immédiatement et qui initient de telles démarches, notamment parce qu’ils sont souvent mal informés de leurs droits, et découragés d’avance par la perspective d’une bataille judiciaire longue et coûteuse, alors même qu’ils sont parfois exsangues du fait même de la fraude dont ils ont été victimes. 

La CJUE inverse la logique, et le principe est le suivant :

• Remboursement immédiat par la banque, 
• La seule exception au remboursement immédiat est la fraude du client et la dénonciation de cette fraude par la banque à l’autorité nationale compétente ;
• Ensuite, éventuelle discussion sur la responsabilité du client ;
• La preuve de la négligence grave doit être rapportée par la banque ;
• La banque doit prendre l’initiative de la contestation si elle souhaite récupérer les fonds remboursés.

L’arrêt ne signifie toutefois pas que toute victime sera définitivement indemnisée dans tous les cas. Il rappelle le principe de remboursement immédiat, et la seule exception à ce principe, qui ne réside pas dans la négligence grave du client. Il ne supprime pas le régime de responsabilité du client prévu par l’article 74 de la directive, et transposé à l’article L133-19 du Code monétaire et financier.

En pratique, il est recommandé au client victime d’une telle fraude de se prévaloir de la décision de la CJUE afin d’obtenir le remboursement immédiat des sommes détournées à son préjudice. À défaut de respect de cette obligation, les banques s’exposent au versement d’intérêts au taux particulièrement élevé, tels que fixés par l’article L133-18 du Code monétaire et financier. 

Le refus immédiat fondé sur la négligence fautive, et pourtant systématiquement opposé par la banque, est difficilement compatible avec l’interprétation des textes faite par la CJUE. Les établissements bancaires vont devoir modifier leur politique interne de gestion des réclamations, sauf à s’exposer à des recours initiés par les clients, en référé à en suivre l’arrêt de la CJUE.

La logique de l’arrêt est donc la suivante. La banque doit rembourser immédiatement, même si elle soupçonne une négligence grave. Elle peut ensuite engager une procédure distincte pour tenter d’obtenir le remboursement des sommes versées, mais elle devra alors apporter la preuve de la fraude ou de la négligence grave du client.

Cette solution protège le client contre un refus unilatéral et immédiat de la banque, tout en maintenant la possibilité d’une discussion judiciaire ultérieure sur la responsabilité définitive de chacun.

Le Cabinet AVODIRE se tient à votre disposition pour vous accompagner si vous êtes confronté à une telle situation.