Arnaques en ligne : la CJUE impose le remboursement immédiat,
la banque peut encore contester
« Vous avez cliqué sur le lien, vous avez donné votre code : c’est une négligence grave, nous ne vous rembourserons pas. » Beaucoup de victimes d’hameçonnage ont entendu cette réponse. La justice européenne vient de rappeler l’ordre des choses : la banque rembourse d’abord, elle discute ensuite. Ce que dit exactement l’arrêt, ce qu’il ne dit pas, et comment s’en servir, que l’on soit particulier ou dirigeant d’entreprise.
Que dit l’arrêt de la CJUE du 15 octobre 2026 ?
Rembourser d’abord, discuter ensuite.
L’affaire, enregistrée sous le numéro C-70/25, vient de Pologne. Une cliente victime d’hameçonnage avait vu sa banque refuser de lui rembourser une opération qu’elle n’avait pas autorisée, au motif qu’elle aurait commis une négligence grave. Le tribunal polonais saisi a interrogé la Cour de justice sur l’interprétation de la directive européenne sur les services de paiement, dite DSP2.
La Cour a tranché : la négligence grave du client ne permet pas à la banque de refuser ou de retarder le remboursement d’une opération non autorisée. Le remboursement doit intervenir immédiatement, et au plus tard à la fin du premier jour ouvrable qui suit le signalement.
La question de la négligence ne disparaît pas pour autant. Elle intervient dans un second temps : une fois le client remboursé, la banque peut chercher à démontrer qu’il a manqué gravement à ses obligations, et lui demander de supporter la perte. Si le client conteste, c’est à la banque d’aller en justice et d’apporter la preuve.
En France, cette règle de remboursement est déjà inscrite à l’article L. 133-18 du Code monétaire et financier, qui transpose la directive. L’arrêt en précise la portée : la négligence alléguée n’est pas une raison pour ne pas rembourser d’abord.
Dans quel cas la banque peut-elle refuser de rembourser ?
Uniquement si elle soupçonne sérieusement une fraude du client lui-même.
La seule exception admise est étroite. La banque peut refuser ou différer le remboursement si elle a des motifs raisonnables de soupçonner une fraude de la part de son client, par exemple lorsqu’elle a des raisons de penser que celui-ci a lui-même organisé l’opération qu’il conteste.
Dans ce cas, elle doit communiquer ces motifs par écrit à l’autorité nationale compétente, en France la Banque de France.
Un soupçon d’imprudence ne suffit pas. Le cas classique d’un client trompé par un escroc, qui a cliqué sur un lien piégé ou communiqué un code, ne relève pas de cette exception : le client est une victime, pas un fraudeur.
L’avocat général de la Cour l’avait déjà résumé dans ses conclusions de mars 2026 : en dehors de ce soupçon de fraude signalé par écrit, aucune autre exception n’est prévue.
Quelle différence entre un paiement non autorisé et un paiement autorisé sous tromperie ?
Elle est décisive, et elle se joue au cas par cas.
L’arrêt porte sur les opérations non autorisées : celles que le titulaire du compte n’a pas consenties, par exemple un paiement réalisé par un escroc avec des identifiants volés.
Les choses sont plus délicates lorsque la victime a elle-même passé l’opération, en étant trompée. C’est le cas d’un virement ordonné à la demande d’un faux conseiller bancaire, d’un faux fournisseur qui a changé de RIB, ou d’un faux dirigeant qui réclame un paiement urgent. La banque soutiendra souvent que l’opération était autorisée, puisque le client l’a lui-même validée.
La jurisprudence française apporte des nuances. Selon les analyses d’avocats publiées après l’arrêt, la Cour de cassation a par exemple jugé en 2026 que l’authentification technique d’une opération ne suffit pas, à elle seule, à prouver le consentement du client. Dans les cas d’usurpation du numéro de la banque, les juges examinent aussi le contenu des messages de confirmation reçus.
Chaque dossier est donc différent. L’arrêt du 15 octobre s’applique pleinement lorsque l’opération est non autorisée ; il ne règle pas automatiquement tous les cas d’escroquerie.
Les banques appliquent-elles déjà cette décision ?
Pas toujours. Les refus restent fréquents.
Avant même cet arrêt, la loi française imposait déjà le remboursement des opérations non autorisées dans le délai d’un jour ouvrable. Pourtant, de nombreuses banques opposent encore la négligence grave dès la première réclamation, y compris aux victimes d’hameçonnage ou d’usurpation de numéro, et attendent d’être poursuivies.
L’arrêt est trop récent pour mesurer un changement des pratiques. Il donne en revanche aux victimes un argument de poids, tiré d’une décision de la plus haute juridiction de l’Union européenne, à citer dans une réclamation ou devant un tribunal.
La forme de la réclamation compte. Une demande confuse, qui reconnaît par exemple une imprudence sans le vouloir, peut être utilisée contre la victime. Pour des montants importants, se faire accompagner par un professionnel du droit permet de formuler la demande correctement.
Ces éléments sont une information générale et ne remplacent pas un conseil juridique adapté à chaque situation.
Que faire si vous êtes victime d’une fraude bancaire ?
Agir vite, et garder une trace de tout.
Faire opposition immédiatement. Bloquez la carte ou l’accès en ligne dès que vous constatez l’opération suspecte.
Signaler par écrit à la banque. Demandez le remboursement de l’opération non autorisée, en citant l’article L. 133-18 du Code monétaire et financier et l’arrêt de la CJUE du 15 octobre 2026, affaire C-70/25. Le délai de remboursement court à partir du signalement.
Rester factuel. Décrivez ce qui s’est passé, sans vous accuser ni qualifier vous-même votre comportement.
Conserver les preuves. SMS, e-mails, captures d’écran, relevés, numéros d’appel, dates et heures.
Porter plainte. Auprès de la police ou de la gendarmerie, ou en ligne selon les cas.
En cas de refus. Saisissez le service réclamations, puis le médiateur de la banque. Si le refus persiste, la voie judiciaire reste ouverte.
L’arrêt s’applique-t-il aux comptes professionnels ?
Oui, le cadre concerne les services de paiement, mais les dossiers sont souvent plus complexes.
Les règles sur les opérations non autorisées s’appliquent aussi aux comptes des entreprises, même si les contrats professionnels peuvent prévoir certains aménagements. Les montants en jeu sont souvent plus élevés, et les fraudes plus élaborées.
Distinguer les cas. Un compte pro piraté avec des identifiants volés relève des opérations non autorisées. Un virement validé par un salarié à la demande d’un faux fournisseur ou d’un faux dirigeant sera plus difficile à faire rembourser.
Signaler sans attendre. Dès qu’une opération suspecte apparaît, prévenez la banque par écrit et documentez la chronologie.
Prévenir en amont. Double validation des virements, vérification par téléphone de tout changement de RIB fournisseur sur un numéro déjà connu, habilitations limitées, formation des équipes aux techniques de manipulation.
L’arrêt est un point d’appui en cas d’incident. Il ne remplace ni la prévention, ni une réaction rapide. Et le remboursement ne doit pas être considéré comme acquis tant qu’il n’est pas intervenu.
Questions fréquentes
La banque doit-elle rembourser même si j’ai été négligent ?
Pour un paiement non autorisé, oui, immédiatement. Elle peut ensuite tenter de prouver une négligence grave pour récupérer la somme, en justice si besoin.
Quel est le délai de remboursement ?
Au plus tard à la fin du premier jour ouvrable suivant le signalement de l’opération non autorisée.
Dans quel cas la banque peut-elle refuser ?
Si elle a des motifs raisonnables de soupçonner une fraude de votre part, et qu’elle les communique par écrit à la Banque de France.
Et si j’ai validé moi-même le virement ?
Le cas est plus délicat : la banque peut le considérer comme autorisé. Tout dépend des circonstances, appréciées au cas par cas.
Cela vaut-il pour un compte professionnel ?
Oui, le cadre des services de paiement s’applique, mais les contrats et les montants rendent souvent les dossiers plus complexes.
Les banques appliquent-elles déjà l’arrêt ?
L’arrêt date du 15 octobre 2026. De nombreux refus sont encore observés, mais les victimes disposent désormais d’un argument de poids.
- Cour de justice de l’Union européenne — Communiqué sur les conclusions de l’avocat général dans l’affaire C-70/25, 5 mars 2026.
- Me Thomas Gauriat, Avocat.fr — Phishing : la CJUE impose à la banque de rembourser d’abord, 15 octobre 2026.
- 01net — Arnaques en ligne : malgré la loi, votre banque peut encore refuser de vous rembourser, 21 octobre 2026.
WY-Créations accompagne depuis 2018 les artisans, les TPE, les PME et les professions libérales dans leur référencement sur Google, leur présence dans les réponses des IA et leur e-réputation.
Mieux vaut prévenir que contester.
Outils numériques, sensibilisation, présence en ligne : WY-Créations aide les entreprises à réduire leur exposition aux arnaques et à protéger leur réputation.