Par un arrêt du 15 octobre 2026 (affaire C-70/25), la Cour de justice de l'Union européenne juge qu'une banque ne peut pas refuser le remboursement immédiat d'une opération de paiement non autorisée au motif que son client aurait commis une négligence grave. Elle rembourse d'abord, au plus tard à la fin du premier jour ouvrable suivant le signalement ; elle discute ensuite de la négligence, preuve à l'appui. Pour les victimes de phishing, de spoofing ou d'arnaque au faux conseiller bancaire, la décision change le rapport de force dès le premier jour.

L'essentiel

  1. Une opération de paiement non autorisée doit être remboursée immédiatement, au plus tard à la fin du premier jour ouvrable suivant son signalement (article 73 de la directive (UE) 2015/2366, dite DSP2 ; article L. 133-18 du Code monétaire et financier).
  2. La négligence grave alléguée du client ne permet pas à la banque de refuser ou de différer ce remboursement.
  3. Seule exception : la banque a de bonnes raisons de soupçonner une fraude du client lui-même et les communique par écrit à l'autorité nationale compétente, en France la Banque de France.
  4. Le remboursement n'est pas forcément définitif : la banque peut ensuite réclamer les sommes, à condition de prouver la négligence grave, et en justice si le client refuse.
  5. En droit français, tout retard fait courir des intérêts au taux légal majoré de 5, 10 puis 15 points.

I. Les faits : une victime de phishing face au refus de sa banque

L'affaire vient de Pologne. Une cliente de la banque PKO BP met un objet en vente sur une plateforme en ligne. Un faux acheteur lui adresse un lien vers un site qui imite celui de sa banque. Elle y saisit ses identifiants, et l'escroc obtient un code de validation reçu par SMS. Un virement d'environ 3 000 zlotys, soit près de 705 euros, part vers le compte du fraudeur.

Dès le lendemain, la cliente prévient sa banque et dépose plainte. La banque refuse de rembourser : selon elle, en communiquant ses données de sécurité personnalisées, sa cliente a commis une négligence grave.

Saisie du litige, la juridiction polonaise interroge la Cour de justice : une banque peut-elle refuser le remboursement immédiat prévu par l'article 73 de la DSP2 en invoquant la négligence grave de son client ? L'avocat général Athanasios Rantos avait conclu par la négative le 5 mars 2026.

II. Ce que juge la CJUE : rembourser d'abord, discuter ensuite

La Cour distingue deux temps, qui correspondent à deux articles de la directive.

Premier temps : le remboursement immédiat (article 73 DSP2). Dès qu'une opération non autorisée lui est signalée, la banque doit en restituer le montant au plus tard à la fin du premier jour ouvrable suivant. La négligence grave du payeur, même si elle était établie, ne fait pas obstacle à cette obligation. Une enquête interne ou une procédure de médiation ne permet pas davantage de la retarder.

La seule exception. La banque peut différer le remboursement si elle a de bonnes raisons de soupçonner une fraude commise par l'utilisateur lui-même. Elle doit alors communiquer ces raisons par écrit à l'autorité nationale compétente. Être victime d'un escroc ne constitue évidemment pas une fraude du client.

Second temps : la répartition définitive des pertes (article 74 DSP2). Une fois le compte rétabli, la banque peut demander au client de supporter la perte si elle prouve qu'il a manqué, intentionnellement ou par négligence grave, à ses obligations de sécurité. La charge de cette preuve pèse sur la banque, qui ne peut pas se contenter de constater que les identifiants ont été utilisés. Si le client conteste, c'est à la banque d'agir en justice.

La Cour ne dit pas que la cliente polonaise n'a commis aucune négligence grave. Elle fixe l'ordre des opérations : le risque du temps et de la procédure passe du consommateur à la banque.

III. Quelle portée en droit français ?

La directive a été transposée aux articles L. 133-18 et suivants du Code monétaire et financier. Le juge français doit les interpréter à la lumière de l'arrêt.

Une pratique bancaire condamnée. Dans les dossiers de spoofing et de faux conseiller, de nombreux établissements refusent le remboursement dès la réclamation, en opposant la négligence grave : code SMS communiqué, opération validée dans l'application, authentification forte. Ce refus de principe n'est plus tenable. La banque doit rembourser, puis, si elle l'estime fondé, engager elle-même l'action et prouver la négligence.

Des intérêts de retard dissuasifs. Depuis la loi n° 2022-1158 du 16 août 2022, l'article L. 133-18 prévoit que les sommes non remboursées dans le délai portent intérêt au taux légal majoré de 5 points, de 10 points au-delà de 7 jours de retard et de 15 points au-delà de 30 jours. Pour un particulier, le taux légal est de 6,84 % au second semestre 2026 : la majoration porte le taux à 21,84 % après un mois.

Une continuité avec la Cour de cassation. Sur le fond, la Cour de cassation exige déjà que la banque prouve la négligence grave, sans pouvoir la déduire de la seule utilisation du dispositif d'authentification (art. L. 133-19 IV et L. 133-23 CMF). Elle a écarté la négligence grave d'un client trompé par un appel affichant le numéro de sa banque (Cass. com., 23 oct. 2024, n° 23-16.267, publié au Bulletin), y compris pour une société (Cass. com., 12 juin 2025, n° 24-13.777). L'arrêt du 15 octobre 2026 ajoute la dimension temporelle : même quand la négligence se discute, la victime récupère d'abord son argent.

Les clients professionnels. Lorsque l'utilisateur n'est pas un consommateur, l'article 61 de la DSP2 autorise les parties à écarter par contrat certaines règles, notamment celles sur la preuve (article 72) et sur la répartition des pertes (article 74). L'article 73, qui impose le remboursement immédiat, ne figure pas dans cette liste. Une société victime d'un faux conseiller peut donc, a priori, exiger le remboursement immédiat, même si sa convention de compte aménage le débat sur la négligence.

IV. Ce que l'arrêt change en pratique : regard d'une avocate de victimes

J'exerce en droit bancaire à Paris et je défends depuis plus de dix ans des victimes de spoofing et de faux conseiller. J'ai notamment obtenu la condamnation de plusieurs banques. Ces dossiers éclairent la portée concrète de l'arrêt sur trois points.

Le temps jouait contre la victime. Dans la plupart des dossiers qui arrivent au cabinet, la banque a refusé de rembourser dès la première réclamation, en invoquant la négligence grave sans autre démonstration. La victime devait alors saisir le médiateur ou le juge et attendre la décision pour récupérer ses fonds. L'arrêt renverse cette charge : c'est désormais la banque qui attend, et chaque jour de retard lui coûte des intérêts majorés.

L'authentification forte ne suffit pas devant le juge. Dans les dossiers que j'ai gagnés, l'argument tiré de la validation dans l'application ou du code SMS a été écarté dès lors que le client démontrait le scénario de l'escroquerie : numéro de la banque usurpé, informations personnelles détenues par l'escroc, urgence créée de toutes pièces. L'arrêt de la CJUE confirme ce raisonnement en exigeant de la banque une preuve qui va au-delà de l'usage des identifiants.

Néobanques et comptes professionnels ne sont pas hors champ. Les dossier gagnés contre des banques dédiées aux professionnels montrent qu’elles peuvent être condamnées sur le même fondement. Les entreprises victimes d'un faux conseiller ont tout intérêt à invoquer l'arrêt dès leur réclamation.

En pratique, j'adresse désormais dès le lendemain du signalement une mise en demeure qui vise l'arrêt C-70/25, rappelle l'article L. 133-18 du Code monétaire et financier et chiffre les intérêts majorés jour par jour. Cette demande écrite et datée fixe le point de départ du retard et prépare, si nécessaire, le procès.

V. Victime de spoofing ou de faux conseiller bancaire : que faire maintenant ?

  1. Signaler sans attendre l'opération à la banque, par écrit, et faire opposition sur la carte si elle est concernée. Le délai légal de contestation est de 13 mois à compter du débit (art. L. 133-24 CMF), mais chaque jour compte pour les intérêts.
  2. Exiger le remboursement immédiat en citant l'article L. 133-18 du Code monétaire et financier et l'arrêt CJUE du 15 octobre 2026, C-70/25. Un refus fondé sur la négligence grave n'est pas un motif valable.
  3. Demander à la banque si elle a déclaré un soupçon de fraude. Sans cette déclaration écrite, elle n'a aucune raison de retarder.
  4. Conserver les preuves : captures des SMS et notifications, journal d'appels, numéro affiché, récépissé de plainte, échanges avec la banque.
  5. Déposer plainte et signaler l'escroquerie sur les plateformes publiques (Perceval pour la carte bancaire, Pharos pour les contenus en ligne).
  6. Chiffrer la demande : principal, plus intérêts au taux légal majoré à compter du lendemain du premier jour ouvrable suivant le signalement.
  7. En cas de refus persistant, saisir le médiateur bancaire ou le tribunal judiciaire. Un avocat en droit bancaire peut chiffrer les intérêts et conduire la procédure.

VI. Questions fréquentes

Ma banque refuse de me rembourser après une arnaque au faux conseiller : en a-t-elle le droit ?

Non, pas d'emblée. Depuis l'arrêt de la CJUE du 15 octobre 2026, la banque doit rembourser une opération non autorisée au plus tard le premier jour ouvrable suivant le signalement, même si elle vous reproche une négligence grave.

Que veut dire « négligence grave » en matière de fraude bancaire ?

C'est un manquement caractérisé à l'obligation de protéger ses données de sécurité. La banque doit le prouver. Avoir été trompé par un appel qui affichait le numéro de la banque n'est en général pas une négligence grave selon la Cour de cassation.

J'ai validé l'opération dans mon application : suis-je remboursé ?

La validation par authentification forte ne suffit pas à prouver que vous avez consenti au paiement (art. L. 133-23 CMF). Si vous pensiez annuler ou bloquer une opération, le paiement reste non autorisé.

La banque peut-elle reprendre l'argent après m'avoir remboursé ?

Oui, mais seulement si elle prouve votre négligence grave ou votre fraude, et, si vous contestez, en saisissant elle-même le juge.

Quel délai pour contester un virement frauduleux ?

13 mois à compter de la date de débit (art. L. 133-24 CMF). Agissez sans attendre : le remboursement est dû dès le signalement.

L'arrêt s'applique-t-il aux comptes professionnels ?

Le remboursement immédiat de l'article 73 de la DSP2 ne fait pas partie des règles que le contrat peut écarter pour un professionnel. La convention de compte peut toutefois aménager la preuve et la répartition des pertes.

Quels intérêts réclamer en cas de retard ?

Le taux légal majoré de 5 points, puis 10 points au-delà de 7 jours de retard et 15 points au-delà de 30 jours (art. L. 133-18 CMF).

Maître Maude Hupinavocat-hupin.fr

Références. CJUE, 1re ch., 15 oct. 2026, aff. C-70/25, N.O. c/ PKO BP S.A., ECLI:EU:C:2026:852 ; concl. av. gén. A. Rantos, 5 mars 2026 ; directive (UE) 2015/2366, art. 61, 72, 73 et 74 ; C. mon. fin., art. L. 133-18, L. 133-19, L. 133-23 et L. 133-24 ; Cass. com., 23 oct. 2024, n° 23-16.267 ; Cass. com., 12 juin 2025, n° 24-13.777.