Fraude bancaire : la CJUE et la Cour de cassation retirent aux banques l’argument de la négligence grave

« Vous avez communiqué vos codes, c’est une négligence grave, nous ne rembourserons pas. » Des milliers de victimes de hameçonnage et de faux conseillers ont reçu cette réponse de leur banque. Entre le 8 et le 15 octobre 2026, deux arrêts l’ont rendue intenable : la banque doit rembourser d’abord et discuter ensuite, et elle ne peut pas reprocher une négligence sur un instrument de paiement qu’elle n’avait pas elle-même convenu.

Le texte français est pourtant limpide depuis la transposition de la deuxième directive sur les services de paiement. L’article L. 133-18 du Code monétaire et financier impose à la banque de rembourser une opération non autorisée « immédiatement après avoir pris connaissance de l’opération ou après en avoir été informée, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », sauf si elle a « de bonnes raisons de soupçonner une fraude de l’utilisateur » et qu’elle les communique par écrit à la Banque de France. L’article L. 133-23 ajoute que c’est à la banque de prouver que l’opération a été authentifiée, et que l’usage de l’instrument de paiement ne suffit pas, à lui seul, à établir la négligence grave du client.

En pratique, les services réclamations ont lu ces textes à l’envers. Le client signale, la banque « instruit », conclut à la négligence grave, et refuse. Au client d’assigner, d’avancer les frais, d’attendre dix-huit mois, en étant privé de son argent. L’exception est devenue la règle.

Ce que la Cour de justice a jugé le 15 octobre 2026

L’affaire C-70/25 vient de Pologne. Une cliente de PKO BP, qui vendait un objet sur une plateforme d’annonces, reçoit d’un prétendu acheteur un lien reproduisant le site de la plateforme, puis celui de sa banque. Elle saisit ses identifiants. Le fraudeur vire 3 000 zlotys, environ 700 euros, en validant l’opération avec un code SMS obtenu d’elle sous un faux prétexte. Le lendemain, elle signale la fraude à la banque et à la police. La banque refuse de rembourser : négligence grave dans la conservation de l’instrument de paiement. Le tribunal d’arrondissement de Koszalin interroge la Cour de justice.

La question était précise : l’article 74 de la directive, qui fait supporter au payeur les pertes résultant de sa négligence grave, permet-il à la banque de ne pas appliquer l’article 73, qui impose le remboursement immédiat ?

La réponse de la première chambre tient en une phrase, au dispositif : un prestataire de services de paiement « ne peut pas refuser de rembourser immédiatement à un payeur le montant d’une opération de paiement non autorisée, au motif que ce payeur aurait rendu possible cette opération par une négligence grave ».

Le raisonnement servira dans chaque dossier. La Cour relève d’abord que l’article 73 « ne prévoit qu’une seule exception à l’obligation de remboursement immédiat », le soupçon de fraude du client communiqué par écrit à l’autorité nationale, et donc « aucune exception » pour la négligence grave (points 33 et 34). Elle constate ensuite que les articles 73 et 74 organisent « une répartition du risque » en deux temps : le remboursement immédiat d’abord, puis, le cas échéant, une action de la banque contre le client « par les voies de droit prévues à cet effet » (points 37 et 38). Elle rappelle que la charge de la preuve de la négligence grave pèse sur la banque (point 40). Elle écarte enfin l’interprétation inverse parce qu’elle obligerait la victime « à faire valoir son droit, le cas échéant, devant les juridictions compétentes et à supporter les inconvénients qui en résultent, notamment les éventuels frais de procédure », ce qui est « difficilement conciliable » avec l’objectif de protection des consommateurs (point 45).

Autrement dit, la négligence grave n’a pas disparu. Elle a changé de place. Elle n’est plus un motif de refus, c’est un moyen que la banque devra soutenir, et prouver, dans une action en restitution engagée après avoir remboursé.

Ce que la Cour de cassation a jugé le 8 octobre 2026

Une semaine plus tôt, la chambre commerciale avait rendu un arrêt publié au Bulletin qui s’attaque à l’autre pilier du refus bancaire : le contenu même de la négligence grave (Cass. com., 8 octobre 2026, n° 25-17.510). Une société est victime d’une fraude au président. Son assistante, contactée par un prétendu avocat, transmet à HSBC par télécopie un ordre de virement vers la Hongrie, revêtu d’une signature imitée. La cour d’appel de Paris rejette la demande de remboursement : négligence grave de la société.

La Cour de cassation casse l’arrêt, au visa des articles L. 133-16 et L. 133-19, IV du Code monétaire et financier, interprétés à la lumière des articles 69 et 74 de la directive (UE) 2015/2366. La cour d’appel avait elle-même relevé que, depuis 2017, la télécopie n’était plus l’instrument de paiement convenu entre les parties, remplacée par une clé de sécurité numérique. Dès lors, « la banque, qui avait accepté d’exécuter une opération de paiement au moyen d’un tel instrument, ne pouvait pas reprocher à la société une négligence grave ». On ne peut pas reprocher au client de mal utiliser un instrument que la banque n’avait pas à accepter.

Ce que ces deux arrêts changent, concrètement

Pour la victime d’une opération non autorisée, hameçonnage, faux conseiller, carte utilisée à distance, virement initié avec des codes dérobés, trois conséquences immédiates.

La première concerne la lettre à la banque. Elle ne doit plus demander un remboursement, elle doit constater que le délai de l’article L. 133-18 est expiré, citer l’arrêt du 15 octobre 2026, et rappeler que le seul motif de refus admis est un soupçon de fraude du client déclaré par écrit à la Banque de France. Une banque qui refuse pour négligence grave sans avoir fait cette déclaration méconnaît le texte tel que la Cour de justice l’interprète.

La deuxième concerne le contentieux. Devant le juge, la demande principale devient simple : exécution de l’obligation de remboursement, intérêts au taux légal depuis le lendemain du signalement, et dommages et intérêts pour résistance abusive. C’est à la banque, si elle veut conserver les fonds, de former une demande reconventionnelle en restitution et d’établir la négligence grave avec des éléments précis, pas avec le seul constat que le code a été saisi.

La troisième concerne les entreprises. L’arrêt du 8 octobre 2026 rappelle que la négligence grave s’apprécie par rapport à l’instrument de paiement convenu. Une banque qui exécute un ordre reçu par un canal abandonné, télécopie, courriel, appel téléphonique, sans l’authentification prévue au contrat, ne peut pas ensuite reprocher au client d’avoir été trompé. Dans les fraudes au président et au faux RIB, la question à poser est désormais : par quel canal, et était-ce celui du contrat ?

Ce que les banques vont répondre

Il faut s’attendre à deux parades. La première consistera à requalifier l’opération en opération autorisée : si c’est le client lui-même qui a validé le virement, trompé par un faux conseiller, l’article L. 133-18 ne s’applique pas et la discussion se déplace sur le devoir de vigilance et, depuis le 9 octobre 2025, sur la vérification du bénéficiaire imposée par le règlement (UE) 2024/886. La frontière entre opération autorisée et non autorisée devient le vrai champ de bataille. La seconde parade consistera à multiplier les déclarations de soupçon de fraude du client à la Banque de France pour s’ouvrir l’exception. Une déclaration de pure complaisance, sans élément objectif, exposera la banque à une responsabilité accrue, mais il faudra la contester.

Dans les deux cas, le rapport de force a changé de sens. Pendant dix ans, la victime a dû prouver qu’elle n’avait pas été négligente pour récupérer son argent. Désormais, elle récupère son argent, et la banque doit prouver qu’elle avait le droit de le reprendre. Les droits de la victime, étape par étape, sont détaillés sur la page consacrée à la fraude bancaire et au remboursement par la banque, et le cas particulier du virement validé par la victime dans l’article sur la fraude au faux RIB.

Références : CJUE, 1re ch., 15 octobre 2026, N.O. c/ PKO BP S.A., aff. C-70/25 (texte sur EUR-Lex) ; Cass. com., 8 octobre 2026, n° 25-17.510, FS-B (texte sur Judilibre).

Une version de cet article a été publiée sur le Village de la Justice.