Vol de carte bancaire à l’étranger : la trace informatique du code confidentiel ne suffit pas à établir une négligence grave – CA Paris, 16 avril 2026, n° 25/07690

Cour d’appel de Paris, Pôle 4 chambre 9-A, 16 avril 2026, n° RG 25/07690 (Inédit)

Quel est le contexte de l’arrêt du 16 avril 2026 ?

La fraude par carte bancaire dérobée à l’étranger constitue, depuis l’entrée en vigueur de la directive (UE) 2015/2366 (DSP2) et du règlement délégué (UE) 2018/389, l’un des contentieux les plus fréquents. Le schéma est devenu un classique : la carte disparaît dans des circonstances dont le titulaire n’a pas immédiatement conscience, plusieurs opérations sont exécutées en cascade pendant que le porteur est indisponible, et la banque oppose ensuite la régularité technique de l’authentification — code PIN saisi, lecture de la puce, parfois saisie d’un facteur supplémentaire — pour refuser tout remboursement.

L’arrêt du 16 avril 2026 reprend précisément ce schéma : carte dérobée pendant une hospitalisation en Turquie, vingt-sept opérations frauduleuses en quatre jours, et une banque qui invoque trois négligences distinctes du titulaire pour s’exonérer de toute responsabilité. La cour d’appel rejette cette argumentation et confirme le remboursement, en rappelant deux principes utiles pour l’ensemble du contentieux des cartes volées.

Quels étaient les faits soumis à la cour d’appel ?

La titulaire d’un compte bancaire ouvert dans les livres d’une grande banque française était hospitalisée en Turquie entre le 6 et le 10 janvier 2023. Pendant cette période, sa carte bancaire a disparu. Entre le 6 et le 10 janvier 2023, vingt-sept opérations ont été enregistrées sur son compte à partir de cette carte, pour un total de 6 785,26 euros : trois paiements sans contact, douze achats réalisés avec composition du code confidentiel et douze retraits au distributeur.

Dès sa sortie d’hospitalisation, le 10 janvier 2023, la titulaire a contacté son conseiller bancaire par SMS pour signaler le vol et opposer sa carte. À son retour en France, elle a déposé plainte le 16 janvier 2023 auprès du commissariat de son domicile, en y relatant le vol commis pendant son hospitalisation. Par acte du 20 septembre 2023, elle a assigné sa banque devant le tribunal judiciaire de Paris en remboursement des opérations litigieuses.

Par jugement du 2 avril 2025, le tribunal judiciaire de Paris a condamné la banque au remboursement de 6 785,26 euros, assortis d’intérêts au taux légal majoré de quinze points, et à 300 euros au titre de l’article 700 du code de procédure civile. La banque a interjeté appel.

Quelles positions opposaient la banque et la cliente ?

Devant la cour d’appel, la banque soutenait avoir respecté l’ensemble de ses obligations de sécurisation de l’instrument de paiement. Elle invoquait la dérogation à l’authentification forte prévue pour les paiements sans contact par l’article 11 du règlement délégué (UE) 2018/389. Pour les autres opérations, elle se prévalait de la saisie du code confidentiel comme preuve à la fois de l’authentification et de l’absence de défaillance technique. Elle imputait à la titulaire trois négligences cumulées : un défaut de garde de la carte laissée dans la chambre d’hôtel, un défaut de confidentialité du code confidentiel nécessairement communiqué à un tiers selon elle, et un défaut de réactivité dans la surveillance du compte.

La titulaire répondait que le tableau récapitulatif produit par la banque comme pièce n° 2 n’avait pas de force probante, n’étant qu’un document confectionné par la banque pour les besoins de sa défense. Elle contestait toute négligence dans la garde de la carte ou la confidentialité du code, rappelait son hospitalisation et l’impossibilité de surveiller son compte dans ce contexte, et soutenait que la seule utilisation du code confidentiel ne suffisait pas à caractériser une faute du porteur.

Que juge la cour d’appel de Paris ?

La cour d’appel confirme le jugement entrepris en toutes ses dispositions, à une exception près : elle supprime la majoration de quinze points des intérêts légaux retenue par le tribunal et y substitue le taux légal simple, à compter du seul arrêt d’appel. La banque est en outre condamnée à 500 euros au titre de l’article 700 du code de procédure civile pour l’instance d’appel, et aux dépens.

Pourquoi la cour confirme-t-elle le remboursement ?

Au visa des articles L. 133-3, L. 133-4, L. 133-6, L. 133-7, L. 133-16, L. 133-17, L. 133-18 et L. 133-19 du code monétaire et financier, la cour d’appel applique la grille de répartition classique des obligations entre la banque, qui doit s’assurer de l’inaccessibilité des données de sécurité personnalisées et empêcher toute utilisation après notification, et l’utilisateur, qui doit préserver la sécurité de ses données et prévenir sa banque dès qu’il a connaissance d’une perte, d’un vol ou d’une utilisation non autorisée.

La cour rejette successivement chacun des trois moyens de négligence invoqués par la banque. Elle relève d’abord qu’aucun élément ne permet de douter de la réalité du vol commis en Turquie, attesté par le SMS du 10 janvier 2023 au conseiller bancaire et par le dépôt de plainte du 16 janvier 2023. Elle juge ensuite que la seule trace informatique d’utilisation du code confidentiel, produite par la banque, ne suffit pas à établir que la titulaire avait autorisé les opérations ni qu’elle avait commis une négligence grave. Elle rappelle enfin que les circonstances de la disparition de la carte — hospitalisation à l’étranger — ne caractérisent pas un manquement grave aux obligations de conservation, et que la titulaire ne peut se voir reprocher de n’avoir pas conservé sa carte sur son lieu d’hospitalisation, dont le niveau de sécurité ne dépassait pas celui de la chambre d’hôtel.

Sur ces motifs, la cour confirme la condamnation à 6 785,26 euros.

Pourquoi la cour infirme-t-elle la majoration des intérêts ?

Le tribunal avait assorti la condamnation principale d’intérêts au taux légal majoré de quinze points. La cour infirme ce point et retient le taux légal simple, à compter du seul arrêt d’appel, sans plus de précision dans la motivation.

Cette infirmation appelle une critique mesurée. L’article L. 133-18 du code monétaire et financier impose à la banque, en cas d’opération de paiement non autorisée signalée par le titulaire, un remboursement immédiat des sommes débitées. La méconnaissance de cette obligation de remboursement immédiat ouvre droit à une majoration légale, calibrée par l’article L. 133-18 sur le modèle des sanctions de retard de paiement applicables aux établissements de crédit. Lorsque le retard se prolonge, comme dans le présent dossier, l’addition des majorations peut atteindre des seuils significatifs : c’est précisément ce qu’avait retenu le tribunal en appliquant un taux majoré de quinze points.

En infirmant ce point et en retenant le taux légal simple à compter de son seul arrêt — c’est-à-dire en privant la titulaire des intérêts pour la période antérieure et en supprimant la majoration légale —, la cour d’appel se prive de la sanction prévue par le législateur pour le retard de remboursement. On peut s’interroger sur le fondement juridique précis de cette infirmation, dès lors que la condamnation principale est confirmée et que les conditions d’application de la majoration légale paraissaient remplies en première instance. La motivation, sur ce point, mériterait d’être éclaircie. La doctrine relèvera sans doute le caractère discutable de cette ablation partielle de la sanction.

Quel apport sur la preuve et la négligence grave ?

L’apport central de l’arrêt — et celui qui le rend utile bien au-delà du cas d’espèce — réside dans la motivation portant sur la preuve de la négligence grave. La cour expose, de manière limpide, trois propositions qui méritent d’être retenues pour tous les dossiers de fraude par carte volée.

Pourquoi la trace informatique du code ne suffit pas ?

La cour énonce expressément que la circonstance que les opérations aient été effectuées à l’aide de la carte avec utilisation du code confidentiel, dont la banque justifie au vu des traces informatiques qu’elle produit, ne suffit pas, à elle seule, à établir que le titulaire a autorisé ces opérations ni qu’il a commis une négligence grave. Cette formule est essentielle : elle interdit à la banque de se contenter de produire les logs techniques de la transaction pour clore le débat.

La logique est implacable. L’article L. 133-23 du code monétaire et financier place la charge de la preuve de l’authentification et de l’absence de défaillance technique sur la banque. Mais cette preuve technique n’épuise pas la discussion : il faut encore que la banque démontre, pour faire échec au remboursement, soit l’agissement frauduleux du titulaire, soit sa négligence grave caractérisée. La trace de la saisie du code n’est qu’un indice ; elle ne dispense pas de la démonstration de la faute du porteur.

Comment le code peut-il être capté à l’insu d’un porteur prudent ?

La cour va plus loin et énonce un principe technique d’une grande utilité : il est parfaitement possible de capter, à l’insu du titulaire, le code confidentiel d’une carte bancaire lors d’une utilisation ordinaire et non fautive de celle-ci, et quand bien même il aurait pris toutes précautions utiles, puis de parvenir à voler cette carte. C’est, ajoute la cour, ce qui explique précisément la rédaction des articles susvisés du code monétaire et financier.

Ce considérant a une portée considérable. Il fait disparaître l’argument, longtemps avancé par les banques, selon lequel la concomitance d’une utilisation de la carte et du code emporterait nécessairement présomption de divulgation par le porteur. La cour affirme au contraire que cette concomitance est compatible avec une utilisation normale et prudente : caméra dissimulée au-dessus d’un distributeur, dispositif de skimming, observation à l’épaule, ou compromission ultérieure de la carte par un tiers qui en a auparavant observé le code.

L’hospitalisation à l’étranger justifie-t-elle un défaut de conservation ?

La cour examine ensuite les circonstances précises de la disparition de la carte. Elle relève que ces circonstances — hospitalisation à l’étranger — ne permettent pas, en l’absence d’éléments complémentaires, de caractériser un manquement grave aux obligations de conservation pesant sur la titulaire. La cour ajoute que le vol n’a pas pu être détecté avant le paiement, et qu’il ne peut être reproché à la titulaire de n’avoir pas conservé sa carte sur son lieu d’hospitalisation, dont le niveau de sécurité ne dépassait pas celui de la chambre d’hôtel.

Sur la prétendue inertie, la cour relève que la titulaire a contacté son établissement bancaire le jour même de la découverte de la disparition, ce qui ne révèle pas une inertie fautive, et qu’il ne peut lui être reproché de n’avoir pas consulté le solde de son compte alors qu’elle était hospitalisée. Cette appréciation in concreto est précieuse : elle reconnaît que la diligence attendue du porteur doit être appréciée au regard de sa situation effective, et non d’un standard abstrait de surveillance permanente du compte.

Quelle critique adresser à l’infirmation des intérêts majorés ?

S’il faut saluer la rigueur de la motivation sur la négligence grave, l’infirmation portant sur les intérêts majorés mérite, on l’a dit, une critique mesurée. Trois éléments soulèvent une difficulté.

Premier élément – le fondement légal de la majoration. L’article L. 133-18 du code monétaire et financier ne se contente pas d’imposer le remboursement immédiat des opérations non autorisées : il assortit cette obligation d’une sanction de retard, par référence aux mécanismes de majoration légale qui s’appliquent en cas de défaut de remboursement spontané. Cette sanction n’est pas optionnelle : elle est de droit, dès lors que la banque méconnaît son obligation de remboursement immédiat.

Deuxième élément – la cohérence interne de la décision. La cour confirme intégralement la condamnation au remboursement et reconnaît, par là même, que la banque aurait dû rembourser sans tarder à la suite du signalement du vol en janvier 2023. Or, le remboursement n’est intervenu ni à l’amiable, ni en première instance dans des délais brefs, ni a fortiori en appel. La sanction du retard paraissait donc devoir s’appliquer pleinement.

Troisième élément – l’effet pratique. En substituant le taux légal simple à compter du seul arrêt d’appel à la majoration de quinze points retenue par le tribunal, la cour prive la victime de la quasi-totalité des intérêts qui auraient compensé l’immobilisation des fonds pendant plus de trois ans. La sanction du non-remboursement immédiat est ainsi vidée d’une grande partie de sa substance.

On peut s’interroger sur la généralisation de cette approche dans le contentieux des cartes volées. Si la pratique se confirme, elle aboutirait à un déséquilibre : la banque est sanctionnée sur le principal mais récupère, en pratique, la sanction de son propre retard. Une telle évolution mériterait, à tout le moins, une motivation explicite, qui fait défaut dans le présent arrêt.

Quelles conséquences pratiques pour les victimes ?

Sous réserve des nuances qui précèdent, l’arrêt du 16 avril 2026 reste, en majorité, favorable aux victimes de fraude par carte volée. Il consolide deux principes utilisables au quotidien dans la construction d’une demande de remboursement contre la banque.

Comment structurer la demande devant le juge ?

La défense d’une victime de fraude par carte volée gagne à s’organiser autour de trois axes hiérarchisés.

Au-delà du strict mécanisme de l’article L. 133-19, le contentieux des cartes volées peut également mobiliser les obligations techniques imposées à la banque par le règlement délégué (UE) 2018/389 dans son ensemble — monitoring des transactions, détection des anomalies de schéma, indépendance des éléments d’authentification. Une banque qui n’aurait pas détecté la cascade de vingt-sept opérations en quatre jours sur un compte aux habitudes radicalement différentes s’expose à voir engagée, sur ce fondement complémentaire, sa responsabilité civile. Cet angle reste sous-utilisé et mérite d’être systématiquement exploré. La plainte pénale et la déclaration au procureur conservent leur utilité probatoire et pour le recouvrement, sans constituer un fondement civil d’indemnisation.

Quelles démarches urgentes après le vol d’une carte ?

L’arrêt rappelle, en filigrane, que la diligence du titulaire dans la réaction au vol est appréciée concrètement. Trois démarches doivent être effectuées sans tarder, dès la découverte du vol ou de la disparition de la carte.

La traçabilité de chacune de ces démarches est essentielle : c’est elle qui permettra, devant le juge, d’écarter les allégations d’inertie ou de négligence par lesquelles la banque tente régulièrement de se dégager.

Conclusion : un arrêt utile à l’usage de tous les dossiers de cartes volées

L’arrêt du 16 avril 2026 de la cour d’appel de Paris ne crée pas un droit nouveau. Il applique, avec rigueur, les principes du code monétaire et financier issus de la transposition de la DSP2. Mais son intérêt pratique tient à la limpidité de sa motivation sur deux points fréquemment occultés dans le contentieux des cartes volées : la trace informatique du code confidentiel ne vaut pas, à elle seule, démonstration de la négligence grave, et la captation discrète du code reste compatible avec une utilisation normale et prudente de la carte. Ces deux énoncés sont directement transposables à l’ensemble des dossiers de fraude par carte volée et nourriront utilement les conclusions des victimes.

L’arrêt comporte cependant une limite réelle : l’infirmation, sans motivation circonstanciée, de la majoration légale des intérêts. Sur ce point précis, la doctrine et les juridictions de cassation pourront utilement préciser le régime applicable. En attendant, les victimes ont intérêt à formuler leurs demandes d’intérêts majorés avec précision, à demander expressément le maintien de cette majoration en cas d’appel, et à contester toute infirmation insuffisamment motivée.

Au cabinet LE BOT Avocat, ce type d’arrêt nourrit directement la défense des particuliers victimes de fraude par carte volée à l’étranger. La motivation sur la charge de la preuve et la portée limitée des traces informatiques entre désormais, systématiquement, dans l’architecture des conclusions adressées aux juridictions du fond.

FAQ — Questions fréquentes