Faux IBAN et devoir de vigilance : le régime DSP2 est exclusif, l’article L. 133-5 ne rouvre pas le droit commun (Cass. com., 20 mai 2026, n° 25-14.005)

Cour de cassation, chambre commerciale, financière et économique, 20 mai 2026, pourvoi n° 25-14.005

Que s’est-il passé dans cette affaire de faux conseiller financier ?

Les 24 et 26 novembre 2020, deux cotitulaires d’un compte ouvert à la BRED Banque populaire adressent deux ordres de virement vers un compte prétendument ouvert à leur nom auprès de la banque espagnole Banco Bilbao Vizcaya Argentaria (BBVA). L’identifiant unique, c’est-à-dire l’IBAN, leur avait été fourni par une personne se présentant comme conseiller financier de cette banque.

Il s’agissait d’une escroquerie. Les IBAN communiqués ne correspondaient pas à des comptes BBVA : le premier comportait un code BIC renvoyant à la Deutsche Bank, le second un code BIC renvoyant à une société Nova Bank. Les fonds ont été détournés.

Les victimes assignent leur banque en réparation. Leur fondement est le manquement à l’obligation de vigilance : la BRED aurait dû déceler les anomalies apparentes affectant les ordres de virement, puisque les codes BIC ne correspondaient manifestement pas à la banque annoncée comme destinataire.

Comment la cour d’appel de Paris avait-elle contourné l’article L. 133-21 ?

Par un arrêt du 2 octobre 2024, la cour d’appel de Paris condamne la BRED à indemniser les victimes. Son raisonnement mérite d’être détaillé, car c’est lui qui est censuré.

La banque opposait l’article L. 133-21 du code monétaire et financier : un ordre exécuté conformément à l’identifiant unique fourni par l’utilisateur est réputé dûment exécuté, et si cet identifiant est inexact, le prestataire n’est pas responsable de la mauvaise exécution. La cour d’appel écarte ce texte par un double mouvement. D’une part, elle relève que l’article L. 133-21 figure dans une section consacrée à la responsabilité en cas d’opération mal exécutée, alors que les clients ne se plaignent pas d’une mauvaise exécution mais d’un manquement à l’obligation de surveillance de droit commun. D’autre part, elle s’appuie sur l’article L. 133-5 du même code, selon lequel la responsabilité prévue par le régime spécial ne s’applique pas « lorsque le prestataire de services de paiement est lié par d’autres obligations légales prévues par des législations nationales ou communautaires ». Elle en déduit que la banque, en sa qualité de teneur de compte, reste tenue d’une obligation de vigilance de droit commun, et retient que les IBAN comportaient des anomalies apparentes, les codes BIC ne correspondant pas à BBVA, ce qui aurait dû l’alerter.

Cette lecture avait l’immense mérite de donner un sens concret à l’anomalie apparente en matière de virement : lorsque l’IBAN fourni contredit, par son BIC, le bénéficiaire annoncé, la banque dispose sur l’ordre lui-même d’un signal d’alerte. C’est l’angle que nous avions relevé à propos de la cour d’appel de Pau et de l’anomalie du RIB.

Que juge la Cour de cassation le 20 mai 2026 ?

La chambre commerciale casse l’arrêt parisien en toutes ses dispositions, au visa des articles 1231-1 du code civil, L. 133-5 et L. 133-21 du code monétaire et financier. Sa motivation procède en quatre temps.

Le droit commun s’efface-t-il devant un régime exclusif ?

Premier temps, le principe : « La responsabilité contractuelle de droit commun résultant du premier de ces textes n’est pas applicable en présence d’un régime de responsabilité exclusif. » La formule est générale et vaut au-delà du droit bancaire.

Que dit la Cour de justice de l’Union européenne ?

Deuxième temps, le fondement européen. La Cour reproduit deux points de l’arrêt Beobank du 16 mars 2023 (C-351/21) : le régime de responsabilité des prestataires de services de paiement « a fait l’objet d’une harmonisation totale », ce qui rend incompatibles avec la directive « tant un régime de responsabilité parallèle au titre d’un même fait générateur qu’un régime de responsabilité concurrent qui permettrait à l’utilisateur de services de paiement d’engager cette responsabilité sur le fondement d’autres faits générateurs ». Le régime harmonisé ne peut être concurrencé par un régime national « reposant sur les mêmes faits et le même fondement qu’à condition de ne pas porter préjudice au régime ainsi harmonisé ».

Que disent les articles L. 133-5 et L. 133-21 ?

Troisième temps, la lecture des textes. L’article L. 133-5 prévoit que la responsabilité du prestataire « ne s’applique pas aux cas de force majeure, ni lorsque celui-ci est lié par d’autres obligations légales prévues par des législations nationales ou communautaires ». L’article L. 133-21, qui transpose l’article 88 de la directive (UE) 2015/2366, répute dûment exécuté l’ordre conforme à l’identifiant unique fourni et exonère le prestataire si cet identifiant est inexact.

Où est l’erreur de la cour d’appel ?

Quatrième temps, la censure : « En statuant ainsi, alors que l’article L. 133-21 du code monétaire et financier est exclusif de toute application des règles de droit commun et que l’article L. 133-5 du même code n’a ni pour objet, ni pour effet de permettre d’engager la responsabilité du prestataire de services de paiement sur le fondement du droit commun national en cas d’opération non autorisée ou mal exécutée, la cour d’appel a violé les textes susvisés. »

L’affaire est renvoyée devant la cour d’appel de Paris autrement composée. Les victimes sont condamnées aux dépens et à payer 3 000 euros à la banque au titre de l’article 700 du code de procédure civile.

À quoi sert réellement l’article L. 133-5 du code monétaire et financier ?

C’est l’apport le plus technique de l’arrêt, et il faut le comprendre pour ne plus commettre l’erreur de la cour d’appel de Paris.

La cour d’appel de Paris avait lu l’article L. 133-5 comme une passerelle : puisque la banque est tenue « d’autres obligations légales », dont son obligation de vigilance de droit commun, le régime spécial s’efface et le droit commun s’applique. La Cour de cassation répond que le texte fonctionne dans un seul sens. Il permet au prestataire d’échapper à la responsabilité du régime spécial lorsqu’une autre obligation légale l’a contraint ; il ne permet pas au client de lui imposer une responsabilité que le régime spécial exclut. Le texte est un bouclier pour la banque, pas une épée pour le client.

Cette lecture est conforme à la logique de l’article 93 de la directive. On peut néanmoins relever que la formule « lorsque le prestataire est lié par d’autres obligations légales » est suffisamment ambiguë pour que des juges expérimentés y aient vu autre chose, et que la Cour de cassation aurait pu, pour un arrêt aussi structurant, envisager une publication au Bulletin.

Pourquoi le régime DSP2 est-il « exclusif » et jusqu’où ?

L’exclusivité du régime DSP2 est acquise depuis les arrêts CRCAM (CJUE, 2 septembre 2021, C-337/20) et Beobank. La Cour de cassation l’applique de façon constante, par exemple dans un arrêt du 4 février 2026, et les juridictions du fond s’y conforment. Ce qui est nouveau dans l’arrêt du 20 mai 2026, c’est l’application de cette exclusivité à une hypothèse où le client ne se plaçait pas sur le terrain de l’opération mal exécutée, mais sur celui du devoir de vigilance.

La Cour raisonne en deux étapes implicites. D’abord, elle qualifie les faits : les victimes ont ordonné des virements vers un compte qu’elles croyaient ouvert à leur nom chez BBVA, et les fonds sont allés ailleurs ; c’est une hypothèse d’identifiant unique inexact, donc d’opération mal exécutée au sens large, régie par l’article L. 133-21. Ensuite, elle en tire la conséquence : dès lors que les faits relèvent du champ du régime spécial, le client ne peut pas les requalifier en manquement au devoir de vigilance pour échapper à l’exonération de l’article L. 133-21. Le fondement juridique ne se choisit pas librement ; il est dicté par les faits.

Cette solution est-elle cohérente et satisfaisante ?

Le cabinet défend des victimes de fraudes au virement. L’arrêt leur est défavorable, et sa critique doit être précise.

Le paradoxe de la victime qui en dit trop

Rapprochons cet arrêt de celui du 1er juillet 2026 (n° 25-15.593), que nous avons commenté sous le titre rejet, réémission et banque étrangère ne sont pas des anomalies apparentes. Dans cette dernière affaire, la Cour a jugé que l’article L. 133-21 n’était pas applicable parce que le client n’avait « pas contesté avoir autorisé les virements litigieux ni allégué que les comptes bénéficiaires des virements n’étaient pas ceux figurant sur les identifiants uniques ». Le terrain du devoir de vigilance de droit commun lui était donc ouvert.

Dans l’affaire du 20 mai 2026, les victimes ont au contraire expliqué que les IBAN ne correspondaient pas au compte BBVA qu’elles visaient. Résultat : elles tombent dans le champ de l’article L. 133-21, et le droit commun leur est fermé. Autrement dit, la victime qui démontre l’incohérence de l’IBAN se trouve dans une situation juridique plus défavorable que celle qui ne dit rien de la destination des fonds. Ce paradoxe est difficile à justifier. Il conduit à une stratégie procédurale contre-intuitive, où l’on gagne à ne pas qualifier l’IBAN d’inexact, et il révèle que la frontière entre « opération mal exécutée » et « virement autorisé mal surveillé » est tracée de façon trop mécanique.

L’incohérence BIC/bénéficiaire n’est-elle vraiment pas une anomalie apparente ?

La cour d’appel de Paris avait identifié une anomalie visible sur l’ordre lui-même : un IBAN présenté comme BBVA avec un BIC Deutsche Bank. C’est exactement le type d’irrégularité « aisément décelable par un professionnel normalement diligent » que la Cour de cassation exige par ailleurs, et que les tribunaux ont parfois retenue, comme le tribunal judiciaire de Vannes dans une décision du 12 mars 2026 sur le défaut de vérification IBAN/nom. La Cour de cassation ne dit pas que ce n’est pas une anomalie ; elle dit que la question ne se pose pas, parce que le régime exclusif l’absorbe. C’est là que la solution devient contestable : l’exclusivité du régime harmonisé, conçue pour empêcher le cumul de régimes sur les mêmes faits, aboutit ici à neutraliser un manquement que le régime spécial lui-même ne sanctionne pas. Il n’y a plus de régime concurrent, il n’y a plus de régime du tout.

L’harmonisation totale impose-t-elle vraiment ce résultat ?

L’arrêt Beobank réserve expressément le cas d’un régime national qui ne porterait pas « préjudice au régime ainsi harmonisé » ni « atteinte aux objectifs et à l’effet utile » de la directive. Or, l’objectif de la directive est un niveau élevé de protection des utilisateurs. Sanctionner une banque qui a laissé passer un IBAN manifestement incohérent avec le bénéficiaire annoncé ne porte aucune atteinte à cet objectif ; cela le sert. On peut donc soutenir que l’harmonisation totale n’imposait pas la solution retenue, et qu’une question préjudicielle sur l’articulation entre l’article 88 de la directive et un devoir national de vigilance fondé sur une anomalie visible aurait été justifiée.

Une solution déjà dépassée par les textes ?

Les faits datent de novembre 2020. Depuis le 9 octobre 2025, le règlement (UE) 2024/886 impose aux prestataires un service de vérification du bénéficiaire : avant d’exécuter un virement, la banque doit contrôler la correspondance entre le nom du bénéficiaire saisi et le titulaire du compte désigné par l’IBAN, et avertir le client en cas de discordance. Un IBAN annoncé comme BBVA mais renvoyant à une autre banque déclencherait aujourd’hui une alerte. La solution de l’arrêt du 20 mai 2026 concerne donc un monde en voie de disparition, et il faut se garder de la transposer aux virements récents. Nous avons présenté ce mécanisme dans notre article sur l’obligation de vérifier l’IBAN.

Quelles voies restent ouvertes après cet arrêt ?

Choisir le bon terrain dès la réclamation

L’arrêt confirme que la qualification des faits commande le régime. Trois questions doivent être posées avant toute réclamation : le client a-t-il consenti à l’opération ? Les fonds sont-ils arrivés sur le compte désigné par l’IBAN fourni ? Qui a matériellement rédigé l’ordre ? Selon les réponses, on se trouve sur le terrain de l’opération non autorisée, de l’opération mal exécutée, du devoir de vigilance de droit commun ou de la rédaction de l’ordre par la banque. Les premiers écrits adressés à la banque et la plainte fixent souvent ce terrain de façon irréversible : notre guide Fraude bancaire : que dire et ne pas dire à sa banque et dans sa plainte détaille les précautions à prendre.

La banque a-t-elle rédigé l’ordre ?

La chambre commerciale a admis, dans un arrêt publié au Bulletin du 4 mars 2026, que le droit commun s’applique lorsque la banque « ne se borne pas à exécuter l’ordre de paiement mais le rédige elle-même » (Cass. com., 4 mars 2026, n° 25-11.959). C’est l’exception la plus solide à l’exclusivité de l’article L. 133-21. Tout virement passé au guichet, par téléphone ou par courriel avec saisie par un conseiller doit être examiné sous cet angle.

L’opération était-elle vraiment autorisée ?

Lorsqu’un faux conseiller obtient la validation d’un virement par manipulation, la question du consentement se pose. La Cour de cassation exige de la banque qu’elle prouve positivement le consentement au montant et au bénéficiaire, et refuse de le déduire de l’usage des dispositifs d’authentification (Cass. com., 1er juillet 2026, n° 25-13.134). Si l’opération est non autorisée, on quitte le terrain de l’article L. 133-21 pour celui, bien plus favorable, de l’article L. 133-18.

Et la banque réceptrice ?

L’exclusivité du régime DSP2 vise la relation entre le payeur et son propre prestataire. La banque qui a ouvert le compte de l’escroc et l’a laissé fonctionner de façon anormale peut être recherchée sur le terrain délictuel, y compris à l’étranger, comme l’a admis la première chambre civile dans son arrêt du 6 mai 2026 sur la loi applicable à la banque réceptrice. Attention : les obligations de lutte contre le blanchiment ne peuvent pas servir de fondement, la Cour de cassation ayant jugé qu’elles ont pour seule finalité la lutte contre le blanchiment et le financement du terrorisme ; le terrain utile est celui du règlement technique RTS complétant la DSP2 et du droit commun.

Pour les virements postérieurs au 9 octobre 2025

Le service de vérification du bénéficiaire change la donne. Si la banque ne l’a pas proposé, s’il a défailli ou si l’alerte n’a pas été affichée, sa responsabilité est engagée sur le fondement du règlement 2024/886, qui prévoit expressément l’indemnisation du client. L’incohérence BIC/bénéficiaire, sans effet dans l’arrêt du 20 mai 2026, devient alors précisément le manquement à sanctionner.

Conclusion : le fondement conditionne tout

L’arrêt du 20 mai 2026 est un arrêt de technique juridique pure. Il ne se prononce ni sur la gravité de la fraude ni sur ce que la banque aurait dû voir ; il dit seulement que, dès lors que les faits relèvent de l’article L. 133-21, le droit commun ne peut pas être convoqué, et que l’article L. 133-5 ne permet pas de le réintroduire. Sa cohérence avec la jurisprudence européenne est réelle ; sa cohérence avec l’objectif de protection des utilisateurs l’est moins, et le paradoxe qu’il crée avec l’arrêt du 1er juillet 2026 sur les virements autorisés mérite d’être souligné.

Pour les victimes, la leçon est claire : le choix du fondement n’est pas une question d’habillage, c’est la question. Il doit être arrêté avant le premier courrier à la banque, à partir d’une analyse précise du consentement, de la destination des fonds et du mode de passation de l’ordre. Et pour les virements récents, le service de vérification du bénéficiaire ouvre un terrain que cet arrêt ne ferme pas.

FAQ — Régime exclusif DSP2, article L. 133-5 et fraude au faux IBAN