Opérations non autorisées sur un compte pro Qonto : la banque condamnée à rembourser 27 782 € (CA Paris, 23 septembre 2026, n° 25/09274)

CA Paris, pôle 5, chambre 6, 23 septembre 2026, n° RG 25/09274

Que s’est-il passé dans cette affaire de compte professionnel ?

Quelles opérations ont été contestées ?

Une société exerçant une activité de restauration rapide à Paris avait ouvert un compte bancaire professionnel auprès de l’établissement exploitant la plateforme Qonto, assorti d’une carte de paiement. À son retour de congés d’été, son gérant découvre que des achats irréguliers, dont il affirme ne pas être à l’origine, ont été effectués sur le compte de la société entre le 3 et le 29 août 2022, pour un montant total initialement évalué à 30 951 euros.

Le gérant avise la banque par courriel dès le 1er septembre 2022. La réponse est un refus pur et simple de remboursement, au motif de la « tardiveté » de la déclaration. Une plainte est déposée le 22 septembre 2022. Par lettre recommandée du 10 novembre 2022, le conseil de la société met la banque en demeure de rembourser 27 293,51 euros au titre des opérations frauduleuses de la période. La mise en demeure reste vaine, et la société ainsi que son gérant assignent la banque et son assureur en mai 2023.

Le montant finalement réclamé et obtenu devant la cour s’établit à 27 782,60 euros, correspondant aux opérations litigieuses de la période du 3 au 29 août 2022.

Pourquoi la société avait-elle perdu en première instance ?

Par jugement du 28 mars 2025, le tribunal des activités économiques de Paris avait tout rejeté : le gérant déclaré irrecevable en ses demandes, la société déboutée de l’ensemble des siennes, et les deux condamnés in solidum à payer 3 500 euros à la banque et 1 500 euros à l’assureur au titre de l’article 700 du code de procédure civile, outre les dépens.

La raison de cet échec tenait largement au terrain choisi : en première instance, la demande était fondée sur la responsabilité contractuelle de droit commun (article 1231-1 du code civil) et sur le manquement de la banque à son obligation de vigilance. Or ce fondement est précisément celui que la jurisprudence écarte en matière d’opérations de paiement non autorisées : depuis l’arrêt de la chambre commerciale du 27 mars 2024 (n° 22-21.200), invoqué par les appelants, il est acquis que ces opérations relèvent exclusivement du régime spécial des articles L. 133-18 et suivants du code monétaire et financier. Nous avions analysé cette logique du régime exclusif à propos de la décision jugeant que le régime DSP2 est exclusif et écarte le droit commun.

En appel, la société change donc de fondement et demande le remboursement sur la base de l’article L. 133-18. Toute la question était de savoir si ce revirement stratégique était procéduralement possible.

Peut-on invoquer l’article L. 133-18 pour la première fois en appel ?

Pourquoi la demande n’était-elle pas nouvelle ?

La banque soutenait que la demande de remboursement fondée sur l’article L. 133-18 était une prétention nouvelle, irrecevable en appel en application de l’article 564 du code de procédure civile : en première instance, la demande était de nature indemnitaire (responsabilité pour faute), tandis qu’en appel elle devenait une demande de remboursement reposant sur un régime de responsabilité sans faute.

La cour rejette la fin de non-recevoir par une application limpide de l’article 565 : si le fondement juridique est différent en appel, « les sommes réclamées, les opérations litigieuses, la période concernée et l’identité des parties sont identiques » et la demande tend, quel que soit le fondement textuel invoqué, à recouvrer la même somme correspondant aux mêmes opérations, donc aux mêmes fins. La demande n’est pas nouvelle, elle est recevable.

L’enseignement pratique est considérable : une victime qui a plaidé, à tort, sur le terrain du devoir de vigilance en première instance n’est pas prisonnière de cette erreur de qualification. Elle peut rectifier le tir en appel et invoquer le régime spécial des opérations non autorisées, dès lors qu’elle réclame la même somme au titre des mêmes opérations. Les appelants faisaient d’ailleurs valoir, à titre complémentaire, que le juge doit en toute hypothèse restituer aux faits leur exacte qualification juridique en application de l’article 12 du code de procédure civile.

À noter également un point de procédure d’appel : la banque, qui avait saisi le conseiller de la mise en état d’un incident de caducité avant de s’en désister, n’était plus recevable à soulever devant la cour l’irrecevabilité des conclusions et la caducité de l’appel (article 913-5 du code de procédure civile). Un désistement d’incident se paie au prix fort.

Pourquoi le gérant a-t-il été jugé irrecevable ?

Sur un point, la banque obtient gain de cause : l’irrecevabilité du gérant, confirmée par la cour. Les opérations litigieuses avaient été effectuées sur le compte de la société. Si le demandeur était bien le dirigeant et associé unique de celle-ci, aucune demande ne le concernait « ni à titre personnel, ni au titre de l’exercice de ses fonctions de gérant », de sorte qu’il était dépourvu d’intérêt à agir. Il a d’ailleurs été condamné aux dépens exposés par la banque à son égard.

La leçon est simple mais essentielle pour les dirigeants de société : quand la fraude frappe le compte de la personne morale, c’est la société, titulaire du compte, qui doit agir, par l’intermédiaire de son représentant légal. Le dirigeant qui s’associe à l’action en son nom propre n’y gagne rien et s’expose à supporter des frais de procédure.

Que dit le code monétaire et financier sur les opérations non autorisées ?

Le dispositif repose sur trois piliers, que la cour rappelle textes à l’appui :

Premier pilier, le remboursement de plein droit de l’article L. 133-18, assorti de pénalités dissuasives en cas de retard : les sommes dues produisent intérêt au taux légal majoré de cinq points, puis de dix points au-delà de sept jours de retard, et de quinze points au-delà de trente jours.

Deuxième pilier, la charge de la preuve de l’article L. 133-23 : lorsque l’utilisateur nie avoir autorisé une opération, c’est à la banque de prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. Le même texte précise que l’utilisation de l’instrument de paiement telle qu’enregistrée « ne suffit pas nécessairement en tant que telle » à prouver l’autorisation ou la négligence grave du payeur.

Troisième pilier, le délai de signalement de l’article L. 133-24 : l’utilisateur doit signaler l’opération sans tarder et au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion.

Pourquoi la banque a-t-elle été condamnée à rembourser ?

Que manquait-il à la preuve de la banque ?

Tout, ou presque. La cour constate qu’il résulte de l’ensemble des pièces fournies par la banque qu’elle « n’apporte pas la preuve de l’utilisation d’un système de paiement sécurisé avec authentification forte pour la réalisation des opérations en cause », pas plus qu’elle n’établit que ces opérations étaient authentifiées, dûment enregistrées et comptabilisées et qu’elles n’ont pas été affectées par une déficience technique ou autre.

La banque avait préféré plaider sur d’autres terrains : le contexte frauduleux ne serait pas démontré, rien ne prouverait que la carte avait été perdue ou volée, la plainte aurait été déposée près d’un mois après la découverte des faits, et le gérant aurait tardé à surveiller les comptes de la société. Autant d’arguments qui inversent la logique du régime légal : ce n’est pas à la victime de démontrer le mécanisme de la fraude, c’est à la banque d’établir la régularité technique des opérations qu’elle a exécutées. Sur cette exigence première, on relira nos analyses de l’arrêt de la cour d’appel d’Angers jugeant que la banque doit prouver l’authentification des opérations non autorisées et de la décision du tribunal des activités économiques de Paris sur la charge de la preuve du virement non autorisé.

Le refus initial opposé au client illustre un travers répandu : la banque avait invoqué la « tardiveté » du signalement, alors que le courriel du 1er septembre 2022 suivait de quelques jours les derniers débits d’août et précédait de très loin l’expiration du délai légal de treize mois. La cour balaie l’argument : la société a signalé les opérations conformément aux prescriptions de l’article L. 133-24, « de sorte qu’elle n’est pas forclose en son action ».

Pourquoi la négligence grave ne pouvait-elle pas être invoquée ?

La banque reprochait au gérant un comportement négligent : il lui incombait de surveiller les comptes de la société et il aurait tardé à signaler les opérations contestées. L’argument était voué à l’échec pour une raison de méthode, désormais constante dans la jurisprudence : la preuve de l’authentification régulière est un préalable. Faute pour la banque de l’avoir rapportée, elle « n’est fondée ni à prétendre que les opérations litigieuses étaient des opérations autorisées, ni à exciper de la négligence grave du titulaire du compte ».

L’ordre des preuves de l’article L. 133-23 est séquentiel : d’abord la démonstration technique (authentification, enregistrement, comptabilisation, absence de déficience), ensuite seulement le débat sur l’éventuelle faute du client. La cour d’appel de Paris applique ici la même grille que dans ses décisions récentes en matière de fraude aux particuliers, comme celle où la banque a été condamnée à rembourser 32 580 euros de virements frauduleux, rendue le même jour par la même chambre.

Au surplus, un délai de quelques jours entre la découverte d’opérations au retour de congés et leur signalement ne caractérise en rien une négligence grave : l’obligation de signalement de l’article L. 133-24 court à compter de la connaissance des opérations, et le texte laisse treize mois au titulaire du compte.

Les professionnels sont-ils protégés comme les particuliers ?

Oui, et c’est l’un des intérêts majeurs de cet arrêt. Le régime des articles L. 133-18 et suivants du code monétaire et financier protège l’« utilisateur de services de paiement », notion qui englobe les personnes morales titulaires d’un compte : une SARL de restauration rapide en bénéficie au même titre qu’un particulier. Ni la qualité de professionnel du titulaire, ni la nature du compte n’autorisent la banque à s’affranchir de la charge de la preuve que lui impose l’article L. 133-23.

Le point mérite d’être souligné pour les clients des établissements de paiement et néobanques professionnelles, dont les parcours sont entièrement dématérialisés : la sophistication annoncée des interfaces ne dispense pas l’établissement de produire, en cas de contestation, les justificatifs techniques de l’authentification forte de chaque opération. La jurisprudence l’exige pour les cartes comme pour les virements, ainsi que nous l’expliquions à propos de la décision jugeant que la banque doit prouver l’authentification forte avant tout refus de remboursement.

Rappelons toutefois une limite propre aux professionnels : l’article L. 133-2 du code monétaire et financier permet d’aménager contractuellement certaines règles avec les utilisateurs non consommateurs. Encore faut-il qu’une telle dérogation ait été stipulée et que la banque s’en prévale ; rien de tel n’apparaît dans la présente affaire, où le régime légal s’est appliqué pleinement.

Quelle est la portée pratique de cet arrêt ?

Trois enseignements se dégagent pour les victimes, particuliers comme entreprises :

D’abord, le choix du fondement juridique est déterminant, mais une erreur n’est pas irréversible. Le terrain du devoir de vigilance et de la responsabilité contractuelle de droit commun est une impasse pour les opérations non autorisées, qui relèvent exclusivement des articles L. 133-18 et suivants ; l’article 565 du code de procédure civile permet de rectifier ce choix en appel dès lors que la demande tend aux mêmes fins.

Ensuite, le refus de remboursement fondé sur une prétendue tardiveté du signalement doit être systématiquement vérifié à l’aune de l’article L. 133-24 : treize mois à compter du débit, c’est le seul couperet légal. Un signalement adressé quelques jours après la découverte des opérations, fût-ce au retour de congés, est largement dans les délais.

Enfin, l’absence de production des journaux d’authentification est fatale à la banque. Les établissements qui, comme ici, ne versent aucun élément technique probant s’exposent à une condamnation avec intérêts majorés et capitalisation. Sur le terrain voisin des obligations techniques, les normes techniques de réglementation (RTS) complétant la DSP2 imposent aux prestataires des standards précis d’authentification forte et de surveillance des opérations : un levier complémentaire encore sous-utilisé, présenté dans notre analyse de l’argument tiré des RTS et de la DSP2 pour obtenir un remboursement.

Comment contester efficacement des opérations non autorisées ?

La marche à suivre ressort de l’affaire elle-même : signaler les opérations à la banque par écrit dès leur découverte (ici, un courriel circonstancié), puis, en cas de refus, adresser une mise en demeure par lettre recommandée chiffrant précisément les opérations contestées : c’est elle qui fait courir les intérêts, comme en l’espèce à compter du 10 novembre 2022. Demander la capitalisation des intérêts (article 1343-2 du code civil) dans l’assignation permet en outre que les intérêts échus pour une année entière produisent eux-mêmes intérêt.

Le dépôt d’une plainte pénale n’est pas une condition du remboursement : le régime des articles L. 133-18 et suivants s’applique indépendamment de toute procédure pénale, et une banque ne peut pas exiger une plainte pour instruire la contestation. Si la victime choisit de porter plainte, comme l’a fait le gérant dans cette affaire, elle doit s’en tenir aux faits bruts (dates, montants, opérations contestées), sans hypothèses sur le mode opératoire ni commentaires sur sa propre organisation, que la banque pourrait ensuite exploiter. Nous détaillons ces précautions dans notre article Fraude bancaire : que dire et ne pas dire à sa banque et dans sa plainte.

Pour une société, enfin, l’action doit être engagée au nom de la personne morale titulaire du compte, représentée par son dirigeant, et non par le dirigeant en son nom personnel.

Que retenir de l’arrêt du 23 septembre 2026 ?

Cet arrêt combine une leçon de procédure et une leçon de fond. Sur la procédure : le passage du droit commun au régime spécial des opérations non autorisées entre la première instance et l’appel est possible, car la demande tend aux mêmes fins ; et le dirigeant doit laisser la société, titulaire du compte, porter l’action. Sur le fond : la banque qui ne produit aucune preuve d’authentification forte, d’enregistrement et de comptabilisation réguliers des opérations contestées doit rembourser, sans pouvoir se retrancher derrière une prétendue tardiveté du signalement ni derrière la négligence supposée de son client.

Pour les entreprises clientes des néobanques et établissements de paiement, la décision confirme que la protection légale joue à plein : le compte professionnel n’est pas un angle mort du droit des services de paiement.

Le cabinet LE BOT Avocat, avocat en droit bancaire à Paris, accompagne les particuliers et les entreprises victimes d’opérations de paiement non autorisées dans leurs démarches contre les banques et établissements de paiement, de la contestation écrite à la procédure judiciaire.

FAQ — Questions fréquentes