Opérations non autorisées : la banque doit prouver l’authentification (CA Angers, 29 sept. 2026, n° 21/02526)

Cour d’appel d’Angers, chambre commerciale, 29 septembre 2026, n° 21/02526

Quels sont les faits à l’origine du litige ?

La cliente était titulaire d’un compte de dépôt ouvert auprès de la Caisse régionale de Crédit agricole mutuel de l’Anjou et du Maine, sur lequel fonctionnait une carte bancaire de type Mastercard. Le 17 septembre 2018, elle a fait opposition sur cette carte. Entre le 26 avril et le 19 septembre 2018, 331 opérations de paiement avaient été enregistrées sur son compte, pour un préjudice qu’elle évaluait à 10 745,20 euros.

Elle a déposé plainte pour escroquerie. Elle y indiquait avoir été victime d’achats réalisés sur internet à partir des numéros de sa carte, sans avoir utilisé cette carte ni consulté ses comptes pendant un séjour en Turquie, du 9 mai au 13 septembre 2018. Elle déclarait par ailleurs être restée en possession de sa carte.

Une procédure pénale a suivi. Par jugement du 14 janvier 2019, le tribunal correctionnel d’Angers a reconnu un homme coupable d’avoir recelé les numéros de cartes bancaires de plusieurs victimes, dont celui de la cliente, et de lui avoir soustrait sa carte. Sur les intérêts civils, le jugement du 18 septembre 2020 l’a condamné à verser à la cliente 10 745,20 euros au titre de son préjudice matériel. La cliente a expliqué ne pas avoir pu recouvrer cette somme.

Dès 2019, elle a réclamé à la banque le remboursement de la totalité de son préjudice, en vain. Elle a alors assigné la banque devant le tribunal judiciaire d’Angers, sur le fondement des articles L. 133-18 et suivants du code monétaire et financier. Le tribunal l’a déboutée en 2021, en retenant qu’elle devait supporter les conséquences d’une négligence grave. Elle a interjeté appel.

La cour d’appel a infirmé ce jugement, sauf sur le rejet de la demande de dommages-intérêts pour résistance abusive. Elle a condamné la banque à payer 10 745,20 euros avec intérêts au taux légal à compter du 23 novembre 2018, ainsi que 3 000 euros au titre de l’article 700 du code de procédure civile, outre les dépens.

Une fraude par carte est-elle forcément une opération non autorisée ?

Pas nécessairement, mais la distinction est décisive. Le régime protecteur du titulaire de compte ne s’applique qu’aux opérations non autorisées, c’est-à-dire celles auxquelles il n’a pas consenti.

La cour rappelle que la cliente contestait être l’auteur des opérations. Or, les opérations ont été réalisées à partir des numéros de sa carte, par une personne qui avait été reconnue coupable de les avoir recelés. Le raisonnement de la cour est donc le suivant : les paiements ont été initiés par ce tiers, et non par la cliente, tant au regard de leurs bénéficiaires que de leurs montants. Ils constituent des opérations non autorisées.

Il existe toutefois une exception à cette qualification, et elle est instructive. Une opération d’achat de 28,50 euros effectuée auprès de la SNCF, le 26 avril 2018, a été retenue comme consentie. La cliente n’avait pas exclu d’en être l’auteur, précisant avoir pu effectuer cet achat avec sa fille avant son départ. La cour en a déduit qu’elle y avait consenti. Une seule incertitude de ce type suffit donc à faire sortir une opération du régime protecteur, et la cliente a perdu ces 28,50 euros.

Au total, la somme de 10 716,70 euros, soit 10 745,20 euros moins 28,50 euros, a été regardée comme relevant des opérations non autorisées.

Que doit rembourser la banque, et à partir de quelle date ?

L’article L. 133-18 du code monétaire et financier impose au prestataire de services de paiement du payeur de rembourser le montant d’une opération non autorisée signalée dans les conditions de l’article L. 133-24, et de rétablir le compte débité dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu. Le remboursement doit intervenir sans délai.

La question de la date de point de départ des intérêts est souvent débattue. La cliente soutenait que la banque aurait dû recréditer son compte dès le 17 septembre 2018, date de l’opposition, ou au plus tard à compter de sa réclamation circonstanciée. La cour retient la seconde hypothèse et fait courir les intérêts au taux légal à compter du 23 novembre 2018, date à laquelle la cliente a adressé à la banque la liste détaillée des opérations litigieuses.

Cette solution est importante pour la pratique : l’opposition sur la carte ne fait pas, à elle seule, naître la créance de restitution. C’est la réclamation détaillée, accompagnée des opérations contestées, qui fixe le point de départ des intérêts retenu par le juge.

Qui doit prouver que le client a bien donné son accord ?

La réponse est claire : la banque. C’est le cœur de l’arrêt, et c’est ce qui le distingue de nombreux litiges où l’établissement financier se contente de produire les relevés.

L’article L. 133-23 du code monétaire et financier pose deux principes. D’abord, lorsque l’utilisateur nie avoir autorisé une opération exécutée, il incombe au prestataire de prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée par une déficience technique ou autre. Ensuite, l’utilisation de l’instrument de paiement telle qu’enregistrée ne suffit pas nécessairement à prouver que l’opération a été autorisée par le payeur ou que celui-ci a commis une négligence grave. Le prestataire doit fournir des éléments afin de prouver la fraude ou la négligence grave.

La cour applique ces textes avec rigueur. Lorsqu’un instrument de paiement est doté de données de sécurité personnalisées, comme le code confidentiel ou un code à usage unique envoyé par SMS, l’article L. 133-19 IV exige que la banque établisse préalablement que l’opération a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée d’une déficience technique. Sans cette preuve, la banque ne peut pas faire supporter la perte au client.

En l’espèce, la banque ne s’expliquait pas sur le mode d’authentification applicable aux opérations litigieuses. Elle ne montrait ni la façon dont les paiements avaient été authentifiés, ni si leur nature imposait une authentification renforcée. Les conditions générales qu’elle produisait prévoyaient que les procédures varient selon les accepteurs et les types de paiement, sans que la banque établisse celle qui avait été suivie pour chaque opération.

Pour approfondir la question de la preuve de l’authentification et de la validation des opérations, la jurisprudence récente de la Cour de cassation offre plusieurs repères, notamment sur la question du consentement au paiement par carte.

Authentifier une opération, est-ce l’autoriser ?

Non, et la cour le dit expressément. Le point mérite d’être souligné, car les établissements bancaires raisonnent souvent comme si la validation d’une opération par un code suffisait à établir le consentement du titulaire.

La cour pose deux affirmations qui se complètent. La seule communication du mot de passe permet au bénéficiaire d’initier un ordre de paiement, mais elle ne suffit pas à caractériser le consentement du payeur. Par ailleurs, authentifier une opération ne peut être assimilé à son autorisation.

Les conséquences pratiques sont considérables. Un système de validation renforcée, qu’il s’agisse d’un code reçu par SMS ou d’une validation sur application, ne fait pas gagner le procès à la banque par principe. Elle doit démontrer que le procédé a fonctionné pour l’opération précise, que le code ou la validation ont bien été utilisés, et qu’aucune défaillance technique n’est intervenue. Un simple relevé ou une liste générique de transactions ne suffit pas à établir ces points.

Sur la façon dont l’authentification forte est appréciée dans les litiges de fraude, on peut aussi consulter un arrêt de la Cour de cassation consacré à l’authentification forte, qui illustre cette même exigence de preuve.

La banque pouvait-elle invoquer la négligence grave de sa cliente ?

La banque soutenait que la cliente avait commis une négligence grave à l’origine de son propre préjudice, ce qui aurait dû la priver de tout remboursement. La cour écarte cet argument pour une raison simple : la banque ne démontrait pas préalablement l’authentification des opérations. Sans cette preuve, elle ne pouvait pas bénéficier de l’exonération pour négligence grave et devait supporter l’application stricte du régime protecteur.

La cour va plus loin dans son analyse, et ses observations sont intéressantes. Elle relève que la banque n’établissait pas que la cliente avait communiqué à quiconque son code confidentiel. Le procès-verbal d’audition du fraudeur, qui se bornait à évoquer des commandes passées sur internet, ne décrivait pas non plus le procédé de paiement utilisé pour l’ensemble des achats. Le jugement correctionnel n’apportait pas davantage de précision sur ce point.

La seule utilisation du code, lorsqu’elle est établie, ne suffit d’ailleurs pas toujours à caractériser la négligence : la Cour de cassation a déjà jugé que l’usage du code ne saurait, à lui seul, emporter cette qualification, comme le montre son arrêt du 26 mars 2025 sur la négligence grave en matière de carte bancaire.

Le seul élément précis concernait l’achat SNCF de 28,50 euros, pour lequel la banque affirmait que le code confidentiel avait été frappé. La cour relève que l’établissement ne versait aucun élément de nature à corroborer cette affirmation, notamment quant à la connaissance du code par le fraudeur. L’affirmation n’était donc pas établie.

Que change le fait que la cliente ait gardé sa carte ?

La cliente affirmait être restée en possession de sa carte pendant toute la période. Ce point aurait pu être utilisé par la banque pour soutenir une négligence dans la conservation de l’instrument de paiement. La banque ne l’a pas fait valoir, et le raisonnement de la cour ne repose pas sur cette question.

Le juge relève que les opérations ont été réalisées au moyen, sinon matériellement de la carte, de données associées à cet instrument de paiement. Il constate que la banque ne démontre pas le procédé qui a permis chacune des opérations. En d’autres termes, la preuve qui manque à la banque n’est pas celle de la possession de la carte, mais celle de l’authentification et de l’utilisation de données de sécurité personnalisées.

Cette approche évite un piège fréquent : le débat sur la conservation de la carte ne doit pas occulter la question centrale, celle de la preuve du procédé de paiement. Le client n’a pas à démontrer qu’il n’a rien fait de mal ; la banque doit démontrer ce qu’elle affirme.

Que disent les paiements sans contact et à distance ?

La cour examine avec précision les modalités des opérations. Elle rappelle que, selon la fiche d’information précontractuelle de la carte, la fonctionnalité sans contact est disponible sans utilisation des données de sécurité personnalisées pour les paiements d’un montant inférieur ou égal à 30 euros. Les conditions générales prévoient en outre un montant cumulé maximal, au-delà duquel une saisie du code confidentiel est nécessaire pour réinitialiser la limite.

Les montants des opérations litigieuses, compris entre 1,07 et 219,98 euros, montrent que le fraudeur a pu procéder à des paiements sans contact de faible montant, mais aussi à des paiements à distance sur des sites internet, au moyen des données figurant sur la carte. La cour relève également des paiements dits récurrents auprès des mêmes accepteurs, qui supposent une première opération à distance validée par la communication des données de la carte.

Ces observations ne suffisent toutefois pas à décharger la banque de sa propre obligation de preuve. Pour les paiements à distance, les conditions générales renvoient aux procédures des accepteurs, qui peuvent imposer des exigences supplémentaires au-delà du contrôle des données figurant sur la carte. La banque n’indiquait pas si ces exigences s’appliquaient aux opérations en cause, ni comment elles avaient été satisfaites. Faute de cette explication, la preuve de l’authentification n’était pas rapportée.

Pour le praticien, la leçon est double. D’une part, les paiements sans contact de faible montant peuvent être effectués sans code, ce qui rend plus difficile l’argument d’une négligence grave tenant au code. D’autre part, les paiements à distance exigent une analyse opération par opération, qui ne peut pas être remplacée par une généralisation.

Le signalement de la cliente était-il tardif ?

Non. L’article L. 133-24 impose à l’utilisateur de signaler sans tarder à son prestataire une opération non autorisée, et au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion. La cour constate que la cliente a satisfait à cette obligation en temps utile, en renseignant une fiche de réclamation détaillant les opérations litigieuses.

Le calcul du délai est un point à surveiller. Il court à partir de la date de débit de chaque opération, et non à partir de la découverte globale de la fraude. Pour les opérations les plus anciennes, datant de fin avril 2018, le délai de treize mois expirait à la fin du mois de mai 2019. La réclamation de novembre 2018 était donc largement dans les délais.

Ce point est toutefois secondaire dans l’économie de l’arrêt. Il a été tranché rapidement, car la banque ne le contestait pas sérieusement. Les victimes doivent néanmoins garder à l’esprit qu’un signalement tardif peut être opposé et qu’une réclamation précise et datée constitue la meilleure preuve du respect du délai.

Pourquoi la demande pour résistance abusive a-t-elle échoué ?

La cliente demandait 4 000 euros de dommages-intérêts pour résistance abusive, estimant que la banque savait depuis novembre 2018 que les opérations étaient frauduleuses et qu’elle avait opposé des refus injustifiés, la contraignant à agir en justice. La cour rejette cette demande.

Le raisonnement est classique. Il n’est pas démontré que l’opposition de la banque au remboursement était constitutive d’une faute caractérisée, distincte du simple refus de restitution. La banque justifiait son refus par la négligence grave qu’elle imputait à sa cliente, et la cour ne retient pas que ce refus ait été abusif. La cliente ne justifiait en outre pas de sa situation financière, ce qui rendait impossible l’évaluation d’un préjudice distinct.

La leçon pour les victimes est nette : obtenir gain de cause sur le fond, c’est-à-dire sur le remboursement, ne donne pas automatiquement droit à des dommages-intérêts. Il faut démontrer une faute autonome de la banque et un préjudice distinct, souvent lié à des conditions de refus particulièrement dilatoires ou à des pressions injustifiées.

Quelle portée pour les victimes de fraude ?

Cet arrêt doit être lu avec prudence. Il émane d’une cour d’appel, n’a pas de valeur normative pour les autres juridictions, et il est classé comme inédit. Il ne modifie pas le droit positif et ne crée aucune règle nouvelle. Il applique les textes de l’ordonnance du 9 août 2017, qui a transposé en droit français la directive 2015/2366/UE dite DSP2, aux opérations réalisées entre avril et septembre 2018.

Son apport tient à la méthode. La cour applique de manière exigeante les règles de preuve posées par le code monétaire et financier. Elle refuse de présumer l’authentification à partir de la seule utilisation de la carte, et elle refuse de présumer la négligence à partir de la seule absence de preuve d’un vol. La banque doit démontrer ce qu’elle affirme, opération par opération.

Cette décision reste fondée sur les pièces du dossier. Une banque qui produit des journaux d’authentification détaillés, opération par opération, et qui établit le mode d’authentification applicable à chaque paiement, pourrait obtenir une autre issue. La portée de l’arrêt dépend donc de la qualité de la preuve rapportée, qui doit être examinée dans chaque dossier.

Une décision inédite : quelle utilisation en pratique ?

Un arrêt inédit peut être cité dans une argumentation, à condition de présenter exactement ses motifs et de ne pas lui prêter une portée générale qu’il n’a pas. Il est utile pour rappeler la structure de la charge de la preuve, la distinction entre authentification et autorisation, et l’exigence d’une explication concrète du mode d’authentification. Il est moins utile pour établir une règle générale sur le montant ou les modalités des paiements sans contact.

Il convient aussi de surveiller la suite. Un pourvoi en cassation reste possible dans les délais légaux, et l’évolution éventuelle de la position de la Cour de cassation sur ces questions doit être suivie. Sur les délais à respecter, on peut aussi lire l’arrêt de la Cour de cassation du 2 juillet 2025 relatif au délai de signalement de treize mois et au délai d’action.

Que faire concrètement si l’on est dans la même situation ?

Plusieurs enseignements pratiques se dégagent de cette affaire. Le premier concerne le signalement : il doit être écrit, daté et détaillé, avec la liste précise des opérations contestées, leurs dates, leurs montants et leurs bénéficiaires. C’est cette réclamation qui fixe, en pratique, le point de départ des intérêts et qui prouve le respect du délai de treize mois.

Le deuxième concerne la demande d’explication. La victime peut demander à sa banque, par écrit, de préciser le mode d’authentification appliqué à chaque opération, et de produire les éléments qui le démontrent. Une réponse évasive, ou une simple référence aux conditions générales, est un indice à exploiter.

Le troisième concerne les déclarations. Les propos tenus à la banque comme dans une plainte doivent être exacts, cohérents et complets, car ils seront confrontés aux pièces du dossier. Pour la manière de présenter les faits à son établissement et dans une plainte, sans se nuire, le cabinet a publié un guide consacré à la fraude bancaire : que dire et ne pas dire à sa banque et dans sa plainte.

Enfin, la plainte pénale est utile pour identifier l’auteur des faits, mais elle ne dispense pas de prouver le procédé de paiement devant le juge civil. Le jugement correctionnel, ici, ne précisait pas la manière dont les paiements avaient été effectués. Il faut donc distinguer la reconnaissance pénale du fraudeur de la preuve civile de l’authentification.

Que retenir de cet arrêt ?

L’arrêt de la cour d’appel d’Angers du 29 septembre 2026 rappelle que la protection des titulaires de comptes contre les opérations non autorisées repose sur une répartition précise de la charge de la preuve. La banque doit établir l’authentification, l’enregistrement et l’absence de déficience technique. Elle doit aussi démontrer la fraude ou la négligence grave qu’elle oppose au client, et elle ne peut pas le faire par simple affirmation.

Pour les victimes, l’arrêt offre un argument solide, à condition de bien documenter la réclamation et de demander à la banque la preuve précise du mode d’authentification. Pour les établissements, il rappelle qu’un système de sécurité performant ne suffit pas s’il ne peut pas être démontré, opération par opération, devant le juge.

Au-delà de la solution d’espèce, c’est une leçon de méthode : en matière de fraude bancaire, la question n’est jamais seulement de savoir qui a eu accès à la carte, mais de savoir comment chaque paiement a été validé, et qui doit en apporter la preuve.

FAQ — Opérations non autorisées par carte bancaire