Remboursement immédiat en cas de fraude bancaire : la négligence grave ne permet pas le refus – CJUE, conclusions avocat général, 5 mars 2026, affaire C-70/25

Cour de justice de l’Union européenne, conclusions de l’avocat général, 5 mars 2026, affaire C-70/25

Nature et portée des conclusions de l’avocat général

Avant d’entrer dans le détail de l’analyse, il est essentiel de préciser la nature du document commenté ici. Les conclusions de l’avocat général ne constituent pas une décision de la Cour de justice de l’Union européenne. Il s’agit d’un avis juridique motivé, rédigé par un magistrat indépendant, dont le rôle est d’éclairer la Cour sur l’interprétation du droit de l’Union dans une affaire donnée.

L’avocat général examine les questions posées, analyse les textes applicables, la jurisprudence pertinente et les arguments des parties, puis propose à la Cour la solution qui lui paraît la plus conforme au droit. Toutefois, ses conclusions ne lient pas la Cour de justice. Celle-ci peut les suivre, s’en écarter partiellement, ou même adopter une position totalement différente.

Dans le cas présent, les conclusions rendues le 5 mars 2026 proposent une interprétation particulièrement favorable aux consommateurs victimes de fraude bancaire. Il conviendra d’attendre l’arrêt définitif de la Cour pour savoir si cette lecture sera confirmée, nuancée ou infirmée.

Le contexte juridique : directive européenne sur les services de paiement

La directive (UE) 2015/2366, dite directive DSP2 (deuxième directive sur les services de paiement), harmonise les règles applicables aux opérations de paiement dans l’ensemble de l’Union européenne. Son objectif est double : d’une part, elle vise à créer un marché intérieur des paiements efficace et sécurisé ; d’autre part, elle entend garantir un niveau élevé de protection des consommateurs face aux risques de fraude.

Le considérant 71 de cette directive exprime clairement l’équilibre recherché : « En cas d’opération de paiement non autorisée, le prestataire de services de paiement devrait immédiatement rembourser le montant de cette opération au payeur. » Il prévoit néanmoins une exception stricte : si le prestataire a « de bonnes raisons de soupçonner une fraude » de la part du client lui-même, et qu’il communique ces raisons aux autorités compétentes, il peut suspendre le remboursement le temps d’une enquête.

Deux articles sont au cœur du débat dans cette affaire : l’article 73, paragraphe 1, qui impose le remboursement immédiat par la banque, et l’article 74, paragraphe 1, qui définit la responsabilité du payeur. La question centrale posée à la Cour : ces deux dispositions s’articulent-elles de manière à permettre à la banque de refuser le remboursement immédiat si elle estime que le client a commis une négligence grave ?

L’affaire : une victime de phishing face au refus de sa banque

L’affaire à l’origine de cette question préjudicielle trouve son origine en Pologne. Une cliente (désignée sous le pseudonyme N.O.) de la banque PKO BP S.A. a été victime d’une fraude par hameçonnage particulièrement classique mais redoutablement efficace. Alors qu’elle mettait en vente un objet sur une plateforme en ligne, elle a reçu un message d’un prétendu acheteur. Ce dernier lui a transmis un lien frauduleux reproduisant fidèlement l’interface de la plateforme de vente, puis celle de sa banque.

Trompée par l’apparence authentique de ces pages, la cliente a saisi ses identifiants de connexion bancaire. Le fraudeur, ayant récupéré ces données, a immédiatement effectué une opération de paiement non autorisée depuis son compte bancaire. Dès le lendemain, la cliente a constaté la fraude et l’a immédiatement signalée à la fois à sa banque et à la police.

Malgré la rapidité de la réaction de la cliente, la banque a refusé de la rembourser. Son argumentation ? La cliente aurait commis une négligence grave en communiquant ses données de connexion, manquant ainsi à son obligation de préserver la sécurité de son instrument de paiement. Selon la banque, cette négligence grave justifiait le refus du remboursement immédiat prévu par la directive européenne.

Devant cette position intransigeante, la cliente a saisi le tribunal d’arrondissement de Koszalin pour réclamer le remboursement de la somme frauduleusement débitée : 3 000 zlotys polonais (environ 705 euros). C’est dans ce contexte que le juge polonais a décidé d’interroger la Cour de justice de l’Union européenne sur l’interprétation correcte de la directive.

La question préjudicielle posée à la CJUE

La juridiction polonaise a formulé une question précise à la Cour de justice : « Les dispositions combinées de l’article 73, paragraphe 1, et de l’article 74, paragraphe 1, de la directive 2015/2366 doivent-elles être comprises en ce sens qu’un prestataire de services de paiement peut refuser de rembourser immédiatement à un payeur le montant d’une opération de paiement non autorisée si ce dernier a subi une perte liée à une opération de paiement non autorisée du fait qu’il n’a pas satisfait, à la suite d’une négligence grave, aux obligations prévues à l’article 69 ? »

Cette question soulève un enjeu fondamental : l’articulation entre le principe du remboursement immédiat et le régime de responsabilité du client. Deux lectures opposées s’affrontent :

Position de la banque : L’article 74, paragraphe 1, de la directive prévoit que le payeur est responsable de toutes les pertes en cas de négligence grave. Cette disposition constituerait une exception au principe du remboursement immédiat énoncé à l’article 73, paragraphe 1. Dès lors, si la banque établit la négligence grave du client, elle serait dispensée de l’obligation de remboursement immédiat.

Position de la cliente : L’article 73, paragraphe 1, énumère de manière exhaustive et limitative les exceptions au remboursement immédiat : seule l’existence de « bonnes raisons de soupçonner une fraude » du client, signalée aux autorités, permet de suspendre le remboursement. La négligence grave ne figure pas dans cette liste. Par conséquent, la banque doit rembourser immédiatement, quitte à agir ensuite en justice contre le client pour obtenir la restitution si elle démontre sa négligence.

Le principe du remboursement immédiat : une règle stricte

L’avocat général commence son analyse par un examen approfondi du libellé de l’article 73, paragraphe 1, de la directive. Cette disposition impose aux États membres de veiller à ce que « en cas d’opération de paiement non autorisée, le prestataire de services de paiement du payeur rembourse au payeur le montant de cette opération immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant ».

Le terme « immédiatement » est assorti d’un délai impératif : un jour ouvrable maximum. Cette précision témoigne de la volonté du législateur européen d’instaurer un mécanisme de protection rapide et efficace au bénéfice du consommateur victime de fraude. Le remboursement n’est pas facultatif, ni différé : il doit intervenir sans délai.

L’exception : soupçons sérieux de fraude du client

L’article 73, paragraphe 1, prévoit une seule exception explicite à cette obligation : « sauf si le prestataire de services de paiement du payeur a de bonnes raisons de soupçonner une fraude et s’il communique ces raisons par écrit à l’autorité nationale concernée ». Cette exception repose sur deux conditions cumulatives et strictes :

• Condition matérielle : L’existence de « bonnes raisons » (forte présomption) de soupçonner que l’opération non autorisée résulte d’un comportement frauduleux de l’utilisateur lui-même. Il ne s’agit pas d’une simple suspicion, mais de soupçons fondés sur des éléments objectifs et sérieux.
• Condition formelle : La communication par écrit de ces raisons à l’autorité nationale compétente. Cette formalité garantit un contrôle externe de la décision de la banque et évite les abus.

L’avocat général souligne que cette exception vise les hypothèses où le client lui-même serait l’auteur ou le complice de la fraude. Elle ne couvre pas les cas où le client, bien que victime, aurait fait preuve de négligence dans la protection de ses données.

La négligence grave n’est pas une exception

L’analyse textuelle de l’article 73, paragraphe 1, révèle qu’il ne prévoit aucune autre exception que celle liée aux soupçons de fraude du client. La négligence grave, fût-elle établie, n’y figure pas. Selon l’avocat général, « à première vue, de l’interprétation littérale de l’article 73, paragraphe 1, de la directive 2015/2366, […] en énonçant expressément des dérogations à l’obligation de rembourser immédiatement le montant d’une opération non autorisée, celui-ci ne permet pas que la liste des dérogations soit étendue à d’autres cas de figure non prévus par celle-ci ».

Cette interprétation est d’autant plus convaincante que le législateur européen a expressément modifié cette disposition lors de l’adoption de la directive 2015/2366. L’ancienne directive de 2007 ne prévoyait aucune exception au remboursement immédiat. En introduisant l’exception liée aux soupçons de fraude, le législateur a manifesté sa volonté de délimiter précisément les hypothèses de suspension du remboursement. S’il avait souhaité y inclure la négligence grave, il l’aurait fait explicitement.

L’articulation des responsabilités : deux étapes distinctes

L’analyse se poursuit avec l’examen de l’article 74, paragraphe 1, de la directive, qui régit la responsabilité du payeur. Ce texte, intitulé « Responsabilité du payeur en cas d’opérations de paiement non autorisées », débute par l’incise : « Par dérogation à l’article 73 ». Cette formulation pourrait laisser penser qu’il s’agit d’une exception au remboursement immédiat.

Pourtant, l’avocat général propose une lecture différente. Selon lui, l’article 74 ne porte pas sur les conditions du remboursement immédiat, mais sur la répartition ultérieure des responsabilités entre le client et la banque. Il définit qui, in fine, devra supporter le coût de la fraude.

Étape 1 : le remboursement immédiat obligatoire

Dans un premier temps, dès que la banque est informée d’une opération non autorisée, elle devrait procéder au remboursement du client sans délai (dans le jour ouvrable suivant au maximum), sauf dans le seul cas où elle dispose de bonnes raisons de soupçonner une fraude du client et en informe les autorités.

Ce remboursement immédiat ne préjugerait en rien de la responsabilité finale. Il s’agirait d’une mesure de protection provisoire du consommateur, destinée à éviter qu’il ne subisse un préjudice financier prolongé pendant l’enquête sur les circonstances de la fraude.

Étape 2 : la répartition ultérieure de la responsabilité

Dans un second temps, postérieurement au remboursement, interviendrait la question de la responsabilité définitive. C’est ici qu’entrerait en jeu l’article 74, paragraphe 1, de la directive. Ce texte distingue trois situations :

a) Responsabilité limitée du payeur (cas général) : Le payeur ne supporte qu’une perte maximale de 50 euros en cas d’utilisation d’un instrument de paiement perdu, volé ou détourné, sauf s’il a agi frauduleusement ou si la perte résulte d’actes imputables à la banque.

b) Responsabilité illimitée pour fraude ou intention : Le payeur supporte toutes les pertes s’il a agi frauduleusement ou s’il a manqué intentionnellement à ses obligations.

c) Responsabilité illimitée pour négligence grave : Le payeur supporte également toutes les pertes s’il a manqué à ses obligations « à la suite d’une négligence grave ». C’est cette hypothèse qui fait débat dans l’affaire.

L’avocat général considère que l’article 74 « ne porte pas sur le remboursement immédiat du montant d’une opération de paiement non autorisée, mais se concentre sur la répartition de la responsabilité entre le payeur et le prestataire de services de paiement, afin de déterminer qui doit être tenu responsable ultérieurement, dans le cadre de la procédure, et, en conséquence, supporter les pertes occasionnées par de telles opérations. »

Ainsi, selon cette lecture proposée par l’avocat général, l’article 73 et l’article 74 régiraient deux moments procéduraux distincts. Le premier imposerait un remboursement immédiat et provisoire. Le second organiserait le règlement définitif du litige, qui pourrait conduire, si la banque parvient à démontrer la négligence grave du client, à une obligation de restitution pesant sur ce dernier.

Les obligations du client et la négligence grave

Pour bien comprendre l’enjeu, il convient de rappeler les obligations qui pèsent sur le client et les conséquences de leur violation.

Obligations prévues à l’article 69 de la directive

L’article 69 de la directive, intitulé « Obligations de l’utilisateur de services de paiement liées aux instruments de paiement et aux données de sécurité personnalisées », impose au client deux types d’obligations principales :

a) Utilisation conforme de l’instrument de paiement : Le client doit utiliser l’instrument de paiement (carte bancaire, identifiants de connexion, etc.) conformément aux conditions régissant son émission et son utilisation. Ces conditions doivent être objectives, non discriminatoires et proportionnées.

b) Mesures de sécurité et notification : Le client doit prendre toutes les « mesures raisonnables » pour préserver la sécurité de ses données de sécurité personnalisées (codes, mots de passe, etc.). En outre, dès qu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement, il doit en informer « sans tarder » son prestataire.

Le manquement à ces obligations peut revêtir différents degrés de gravité : simple négligence, négligence grave, ou intention (voire fraude). Seuls les deux derniers degrés (négligence grave et intention/fraude) entraînent une responsabilité illimitée du client au titre de l’article 74, paragraphe 1.

Charge de la preuve : à la banque d’établir la faute

L’article 72, paragraphe 2, de la directive énonce une règle essentielle en matière de preuve : « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, l’utilisation d’un instrument de paiement, telle qu’enregistrée par le prestataire de services de paiement […], ne suffit pas nécessairement en tant que telle à prouver que l’opération de paiement a été autorisée par le payeur ou que celui-ci a agi frauduleusement ou n’a pas satisfait, intentionnellement ou à la suite d’une négligence grave, à une ou à plusieurs des obligations qui lui incombent en vertu de l’article 69. »

En d’autres termes, la simple traçabilité technique de l’opération (enregistrement de l’utilisation des identifiants, par exemple) ne suffit pas à renverser la charge de la preuve. C’est à la banque qu’il appartient de fournir des éléments probants démontrant la fraude ou la négligence grave du client. Cette règle vise à protéger le consommateur, qui se trouve généralement dans une position d’infériorité informationnelle et probatoire face à l’institution financière.

Les objectifs de protection des consommateurs

L’avocat général consacre une partie importante de son analyse à l’examen des objectifs poursuivis par la directive 2015/2366. Cet examen téléologique soutient l’interprétation qu’il propose.

Une harmonisation totale au niveau européen

L’article 107 de la directive prévoit une harmonisation totale (ou « maximale ») dans les domaines qu’elle couvre, dont le régime de responsabilité en cas d’opérations non autorisées. Les États membres ne peuvent donc adopter de dispositions nationales plus strictes ou plus souples que celles fixées par le texte européen. Cette harmonisation vise à garantir un niveau de protection uniforme dans toute l’Union et à éviter les distorsions de concurrence.

Par conséquent, les banques ne pourraient se prévaloir de clauses contractuelles ou de dispositions nationales qui viendraient restreindre l’obligation de remboursement immédiat au-delà des exceptions expressément prévues par l’article 73, paragraphe 1, de la directive. Toute dérogation au détriment du consommateur serait interdite, sauf si elle est expressément autorisée par le texte européen.

Le transfert de la charge procédurale vers la banque

L’un des arguments majeurs développés par l’avocat général tient à l’objectif de rééquilibrage procédural entre le consommateur et la banque. Avant l’adoption de la directive 2015/2366, une pratique répandue consistait, pour les établissements bancaires, à refuser systématiquement le remboursement en invoquant la faute du client, obligeant ce dernier à saisir la justice pour obtenir réparation.

Cette situation plaçait le consommateur dans une position doublement désavantageuse : d’une part, il subissait immédiatement le préjudice financier lié à la fraude ; d’autre part, il devait supporter les coûts, délais et incertitudes d’une action en justice. L’avocat général estime que « c’est précisément pour prévenir de telles pratiques que le législateur de l’Union a, par la modification apportée à l’article 73, paragraphe 1, de la directive 2015/2366, entendu renforcer la protection des consommateurs. »

En imposant le remboursement immédiat, la directive transférerait la charge de l’action en justice du consommateur vers la banque. Ce serait désormais à cette dernière, professionnelle disposant de moyens juridiques et techniques importants, d’engager une procédure si elle estime que le client a commis une faute grave justifiant la restitution des sommes remboursées. Ce renversement procédural constituerait une garantie essentielle de protection effective du consommateur.

Les conséquences pratiques si la Cour suit ces conclusions

Pour les victimes de fraude

Si la Cour de justice suit les conclusions de l’avocat général dans son arrêt définitif, les conséquences pour les victimes de fraude bancaire seraient considérables et positives :

Remboursement systématique et rapide : Dès signalement de l’opération non autorisée, la banque devrait procéder au remboursement dans le jour ouvrable suivant, sans pouvoir invoquer une éventuelle négligence du client pour différer ou refuser le paiement. Le client récupérerait immédiatement les fonds perdus.

Pas de contentieux à engager (sauf refus illégal) : Le client n’aurait plus à saisir la justice pour obtenir le remboursement. S’il devait néanmoins le faire (parce que la banque refuse illégalement), il serait dans une position procédurale très forte, puisque la directive imposerait clairement cette obligation.

Risque limité de devoir restituer : Certes, la banque pourrait ultérieurement agir en restitution si elle démontre une négligence grave. Mais dans cette hypothèse, ce serait elle qui devrait engager la procédure, supporter les frais et la charge de la preuve. En pratique, beaucoup de banques renonceraient probablement à cette action si le montant en jeu est modeste ou si la preuve de la négligence grave est incertaine.

Protection renforcée face aux fraudes sophistiquées : Les techniques de phishing et d’ingénierie sociale sont de plus en plus élaborées. Il serait souvent difficile pour la banque de caractériser une « négligence grave » lorsque le client a été trompé par un dispositif frauduleux particulièrement crédible.

Pour les banques

Pour les établissements bancaires, cette interprétation, si elle était confirmée par la Cour, impliquerait des contraintes nouvelles :

Obligation de trésorerie immédiate : Les banques devraient systématiquement provisionner le remboursement des opérations non autorisées signalées par leurs clients, sous peine de violer la directive. Cela pourrait représenter, dans certains cas, des montants importants, notamment en cas de fraudes de masse.

Nécessité d’enquêtes rapides : Pour pouvoir invoquer l’exception liée aux soupçons de fraude du client (et ainsi différer le remboursement), la banque devrait réunir rapidement des éléments objectifs et les communiquer aux autorités. Le délai d’un jour ouvrable laisserait très peu de temps pour mener une investigation approfondie.

Engagement d’actions en restitution : Si la banque souhaite récupérer les sommes remboursées en cas de négligence grave du client, elle devrait engager une action en justice, avec les coûts et aléas que cela comporte. Cela pourrait se révéler dissuasif pour les petits montants.

Renforcement de la prévention : Face à cette nouvelle donne, les banques seraient incitées à investir davantage dans la prévention de la fraude (systèmes d’authentification forte, alertes en temps réel, détection comportementale) et dans l’information des clients sur les risques.

Distinction avec la jurisprudence antérieure (affaire Veracash)

L’avocat général prend soin de distinguer la présente affaire d’une jurisprudence antérieure qui pourrait sembler contradictoire : l’arrêt Veracash du 1er août 2025. Dans cette affaire, la Cour avait jugé que l’obligation du prestataire de services de paiement de rembourser immédiatement le montant d’une opération non autorisée était « soumise aux exceptions prévues » par la directive, notamment celles relatives à la responsabilité du payeur en cas de négligence grave.

Toutefois, l’avocat général souligne que l’affaire Veracash portait sur une situation très différente : le client avait omis d’informer la banque dans les délais prévus de l’existence de l’opération non autorisée. Or, l’article 71 de la directive prévoit expressément que le droit au remboursement est conditionné à la notification « sans retard injustifié » de l’opération litigieuse. Il s’agissait donc d’une violation d’une condition préalable à l’exercice du droit au remboursement.

Dans la présente affaire, au contraire, il n’est pas contesté que la cliente a immédiatement informé sa banque dès la découverte de la fraude (le lendemain). La question porte exclusivement sur la possibilité pour la banque de refuser le remboursement en invoquant une négligence antérieure du client (divulgation des identifiants). Les deux situations ne seraient donc pas comparables.

L’avocat général en conclut que « si l’article 60, paragraphe 1, de la directive 2007/64 ne prévoyait aucune exception à l’obligation de remboursement immédiat d’une opération de paiement non autorisée, le législateur de l’Union a estimé nécessaire de modifier cette disposition en introduisant à l’article 73, paragraphe 1, de la directive 2015/2366 une exception expresse à l’obligation de remboursement immédiat, limitée à l’hypothèse selon laquelle le prestataire de services de paiement dispose de motifs raisonnables de soupçonner une fraude. »

Conclusion : une argumentation solide en attente de confirmation

Au terme de son analyse minutieuse, l’avocat général propose à la Cour de justice de répondre que l’article 73, paragraphe 1, et l’article 74, paragraphe 1, de la directive 2015/2366 « s’opposent à ce qu’un prestataire de services de paiement puisse refuser le remboursement immédiat au payeur du montant d’une opération de paiement non autorisée en faisant valoir que le payeur a subi une perte liée à cette opération de paiement du fait qu’il n’a pas satisfait, à la suite d’une négligence grave, aux obligations qui lui incombent en vertu de l’article 69 de cette directive. »

Cette proposition d’interprétation marquerait un renversement majeur de la pratique bancaire traditionnelle. Elle affirmerait avec force que la négligence grave du client, même établie, ne dispenserait pas la banque de son obligation de remboursement immédiat. Cette obligation ne connaîtrait qu’une seule exception : les soupçons sérieux de fraude du client lui-même, signalés aux autorités.

Toutefois, il convient de rappeler qu’il ne s’agit, à ce stade, que de conclusions de l’avocat général. Bien que l’argumentation développée soit particulièrement étayée et convaincante, elle ne lie pas la Cour de justice. L’arrêt définitif, attendu dans les mois à venir, pourra confirmer, nuancer ou écarter cette analyse.

Cette affaire illustre parfaitement la tension entre, d’une part, la nécessité de protéger efficacement les consommateurs dans l’univers complexe et risqué des paiements électroniques et, d’autre part, le souci de responsabiliser les utilisateurs en les incitant à respecter les règles de sécurité. L’avocat général propose de trancher résolument en faveur de la première préoccupation, considérant que la protection du consommateur passerait par un remboursement immédiat et inconditionnel, quitte à laisser à la banque la possibilité de récupérer ultérieurement les sommes si elle démontre une faute grave.

Il reste désormais à attendre l’arrêt définitif de la Cour de justice, qui sera scruté avec attention par l’ensemble des acteurs du secteur bancaire et par les millions de consommateurs européens qui utilisent quotidiennement des services de paiement en ligne. Cet arrêt déterminera si l’argumentation proposée par l’avocat général sera consacrée en règle de droit contraignante pour tous les États membres de l’Union.

FAQ