La banque ne peut pas se faire des preuves à elle-même : virement frauduleux de 5 000 € remboursé (CA Douai, 22 octobre 2026, n° 24/02350)

CA Douai, chambre 8 section 1, 22 octobre 2026, n° RG 24/02350

Que s’est-il passé dans cette affaire de virement frauduleux ?

Quelle a été la chronologie des faits ?

Le titulaire de trois comptes à la Caisse d’Épargne et de Prévoyance Hauts-de-France a constaté, le 11 novembre 2021, un débit de 5 000 euros de son compte de dépôt vers un compte externe qu’il ne connaissait pas. Le débit faisait suite à un appel téléphonique frauduleux reçu le même jour, au cours duquel, selon ses explications constantes, il avait refusé de changer son mot de passe.

Qu’avait décidé le tribunal judiciaire de Béthune ?

Par jugement du 23 février 2024, le tribunal judiciaire de Béthune a condamné la Caisse d’Épargne Hauts-de-France à payer au client la somme de 5 000 euros, outre 1 000 euros au titre de l’article 700 du code de procédure civile et les dépens.

La banque a interjeté appel le 15 mai 2024. Devant la cour, elle contestait l’existence même d’une fraude : selon elle, le premier juge avait confondu le caractère « manifestement autorisé » de l’opération, réalisée dans les formes prévues par la loi et la convention des parties, avec les explications qu’elle qualifiait de subjectives de son client. Elle invoquait également son obligation de non-immixtion dans les affaires de sa clientèle, qui la dispenserait de vérifier les anomalies dès lors que l’auteur du paiement serait le titulaire du compte. L’arrêt du 22 octobre 2026, rendu en dernier ressort, confirme le jugement en toutes ses dispositions et ajoute 1 500 euros au titre des frais exposés en appel.

Qui doit prouver qu’un virement a été autorisé ?

La cour rappelle les trois textes qui structurent le contentieux. L’article L. 133-16 du code monétaire et financier impose à l’utilisateur de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. L’article L. 133-17 lui impose de signaler sans tarder à sa banque toute utilisation non autorisée de son instrument de paiement, aux fins de blocage. Et l’article L. 133-23 règle la charge de la preuve en cas de contestation.

L’article L. 133-23 ajoute une précision capitale : l’utilisation de l’instrument de paiement telle qu’enregistrée par la banque « ne suffit pas nécessairement en tant que telle » à prouver que l’opération a été autorisée, ni que le client a commis une négligence grave. C’est à la banque de fournir des éléments établissant la fraude ou la négligence grave de l’utilisateur. Ce régime, d’ordre public, est au cœur d’une jurisprudence abondante que nous avons déjà commentée, notamment à propos d’une décision parisienne jugeant que la charge de la preuve du virement non autorisé repose intégralement sur la banque.

Pourquoi les preuves de la banque n’avaient-elles aucune valeur ?

En quoi la banque inversait-elle la charge de la preuve ?

Le raisonnement de la banque consistait à affirmer que le virement était autorisé, puis à reprocher au client de ne pas démontrer le contraire. La cour y voit une inversion pure et simple du mécanisme légal : la Caisse d’Épargne « tente d’inverser purement et simplement la charge de la preuve du caractère prétendument autorisé de l’opération litigieuse qui repose sur la banque ».

Ce rappel est précieux, car l’argument de la banque est fréquent : l’opération aurait été passée « dans les formes convenues », donc elle serait autorisée. C’est confondre deux choses distinctes, l’utilisation apparente de l’instrument de paiement et le consentement du titulaire. Or le code monétaire et financier dit exactement l’inverse : l’utilisation enregistrée ne suffit pas, à elle seule, à établir l’autorisation. La cour d’appel de Douai avait déjà statué dans le même sens en condamnant une banque sur le fondement de la preuve technique défaillante dans une affaire de virements frauduleux par phishing.

Quel rôle a joué l’attestation d’un proche ?

La cour relève ensuite que la banque « procède par simples affirmations en produisant des preuves pour elle même qui n’ont aucune valeur probante » lorsqu’elle invoque la négligence du client, prétendument caractérisée par la communication de ses données personnelles. Le principe est classique : nul ne peut se constituer de preuve à soi-même. Des captures internes, des mentions unilatérales ou des affirmations tirées de ses propres systèmes, sans élément objectif vérifiable, ne démontrent rien contre le client qui conteste.

Face à cela, le dossier de la victime contenait un élément que la cour juge « symptomatique » de relever : l’attestation claire et circonstanciée de sa compagne, présente au moment de l’appel frauduleux, certifiant qu’il n’avait « jamais communiqué son mot de passe bancaire au téléphone ni n’a validé l’ajout d’un IBAN via son application », et qu’il n’avait réalisé aucune opération de transfert ni d’ajout de bénéficiaire après cette conversation. Rien ne permettait objectivement de remettre en cause la sincérité et l’exactitude de ce témoignage.

L’enseignement pratique est double : d’un côté, les pièces auto-produites de la banque sont fragiles ; de l’autre, le témoignage d’un proche présent au moment des faits, rédigé dans les formes de l’attestation en justice, peut utilement corroborer le récit de la victime. Les victimes ne doivent pas négliger cette piste probatoire, trop souvent oubliée au profit des seules pièces bancaires.

Pourquoi aucune négligence grave n’a-t-elle été retenue ?

La banque soutenait que le client avait communiqué ses données personnelles au fraudeur. Mais le client soutenait au contraire avoir refusé de changer son mot de passe lors de l’appel téléphonique frauduleux, et l’attestation produite le confirmait. La cour conclut qu’il ne ressort « d’aucun élément objectif du dossier » que le client ait autorisé l’opération de quelque manière que ce soit, « ni commis une négligence grave de nature à la rendre possible ».

Le point mérite d’être souligné : être contacté par un escroc n’est pas une faute. Ce qui compte, c’est le comportement de la victime pendant et après le contact. Ici, le client avait résisté à la demande de modification de son mot de passe, signalé les opérations dès le lendemain aux forces de l’ordre, alerté sa banque dans la foulée et déposé plainte dans les jours suivants : un comportement exemplaire, aux antipodes de la négligence grave. La solution rejoint celle retenue pour un client victime d’un faux questionnaire de sécurité, où aucune négligence grave n’avait non plus été retenue.

Que faire quand le recall échoue ?

Un détail de l’affaire éclaire une situation que vivent beaucoup de victimes : dès le signalement, la banque avait sollicité le retour des fonds auprès de l’établissement bénéficiaire du virement, qui l’a refusé. Ce mécanisme interbancaire, dit recall, est utile mais aléatoire : il suppose que les fonds soient encore disponibles et que la banque réceptrice accepte de les restituer.

L’arrêt le montre bien : l’échec du recall n’a aucune incidence sur l’obligation de remboursement de la banque du payeur au titre des opérations non autorisées. Les deux voies sont indépendantes. Pour comprendre le fonctionnement et les limites de ce mécanisme, voir notre guide consacré à la procédure de recall et la protection contre la fraude.

Quelle est la portée pratique de cet arrêt pour les victimes ?

Cette décision, rendue dans une affaire au préjudice modeste, a une portée qui dépasse son montant :

D’abord, elle verrouille la méthode : l’affirmation par la banque que l’opération est « autorisée » n’est pas une preuve. La banque doit produire des éléments objectifs et vérifiables (journaux techniques exploitables, identification du canal et du terminal, démonstration de l’absence de déficience). Ses documents internes, produits pour elle-même, sont dépourvus de valeur probante. Dans le même esprit, un tribunal a déjà jugé qu’un dispositif d’authentification forte ne prouve pas, à lui seul, l’autorisation de l’opération.

Ensuite, elle valorise le dossier factuel de la victime : réactivité du signalement, plainte rapide, cohérence du récit, témoignage circonstancié d’un proche. Chacun de ces éléments pèse lorsque la banque tente de plaider la négligence grave.

Enfin, sur le terrain des obligations techniques des banques, les normes techniques de réglementation (RTS) complétant la DSP2 imposent des standards précis d’authentification forte et de surveillance des opérations : un levier complémentaire encore sous-utilisé, présenté dans notre analyse de l’argument tiré des RTS et de la DSP2 pour obtenir un remboursement.

Comment contester efficacement un virement frauduleux ?

La conduite tenue par la victime dans cette affaire est un modèle du genre : signalement à la banque dès la découverte, par un canal laissant une trace écrite ; demande de retour des fonds ; puis lettre de réclamation fondée sur les articles L. 133-18 et suivants du code monétaire et financier ; et enfin assignation devant le tribunal judiciaire face au refus persistant. Le signalement doit intervenir sans tarder et au plus tard dans les treize mois suivant la date de débit (article L. 133-24 du code monétaire et financier).

Précision importante : le dépôt d’une plainte pénale n’est pas une condition du remboursement. Le régime des opérations non autorisées s’applique indépendamment de toute procédure pénale, et la banque ne peut pas exiger une plainte pour instruire ou accepter la contestation. Si la victime choisit de porter plainte, comme ici, elle doit en dire le moins possible : s’en tenir aux faits bruts (dates, montants, opérations contestées), sans hypothèses sur le mode opératoire ni commentaires sur son propre comportement, que la banque pourrait ensuite retourner contre elle. Nous détaillons ces précautions dans notre article Fraude bancaire : que dire et ne pas dire à sa banque et dans sa plainte.

Que retenir de l’arrêt du 22 octobre 2026 ?

La cour d’appel de Douai livre une leçon de méthode probatoire : face à un client qui nie avoir autorisé un virement, la banque ne peut ni se retrancher derrière le caractère apparemment régulier de l’opération, ni opposer ses propres documents internes, ni spéculer sur une communication des codes qu’aucun élément objectif n’établit. La charge de la preuve lui incombe à chaque étape, de l’authentification à la négligence grave, et son échec emporte remboursement.

L’arrêt rappelle aussi qu’une victime bien organisée (signalement sans délai, plainte mesurée, attestation d’un témoin, réclamation écrite) met toutes les chances de son côté. À l’inverse des idées reçues, le montant du litige importe peu : 5 000 euros méritent la même rigueur juridique que des centaines de milliers.

Le cabinet LE BOT Avocat, avocat en droit bancaire à Paris, accompagne les particuliers et les entreprises victimes de virements frauduleux dans leurs démarches contre les banques, de la réclamation écrite à la procédure judiciaire.

FAQ — Questions fréquentes