Le 14 avril 2026, le Tribunal judiciaire de Paris (TJ Paris, 9ᵉ ch., 2ᵉ section, 14 avril 2026, n° 25/03556) a condamné BNP Paribas à rembourser intégralement un client victime d’une fraude au faux conseiller bancaire, malgré l’authentification des opérations litigieuses via la clé digitale.

 

Cette décision illustre une nouvelle fois la rigueur probatoire imposée aux établissements bancaires en matière de négligence grave – et l’application stricte des pénalités prévues par l’article L133-18 du Code monétaire et financier.

Les faits : trois virements frauduleux pour 25 360 € après l’enrôlement de la clé digitale d’un tiers.

Le client avait été contacté par un individu se présentant comme un conseiller de BNP Paribas, prétendant avoir détecté des opérations suspectes sur son compte. Persuadé de s’adresser à un interlocuteur légitime, il s’était conformé aux instructions reçues.

Précision importante : dans cette affaire, le numéro appelant du fraudeur commençait par 09 mais ne correspondait pas au numéro officiel de la banque.

Après avoir découvert les détournements, le client a déposé plainte, contesté formellement les opérations auprès de sa banque et engagé une action en justice. BNP Paribas a refusé tout remboursement, invoquant une négligence grave de son client.

L’authentification forte ne suffit pas à exonérer la banque.

Le tribunal a relevé que les journaux techniques produits par la banque démontraient bien que les opérations litigieuses avaient été validées via la clé digitale du client – clé qui avait été préalablement transférée sur l’appareil du fraudeur.

Cette authenticité technique n’était toutefois pas suffisante, à elle seule, pour établir une autorisation du client au sens du Code monétaire et financier.

Une jurisprudence constante de la Cour de cassation.

Le jugement cite expressément l’arrêt de la Cour de cassation du 5 mars 2025, qui réaffirme un principe fondamental : la simple utilisation de l’instrument de paiement ne prouve pas la volonté du payeur. L’usage de données de sécurité compromises ne suffit pas à caractériser une négligence grave.

Autrement dit, BNP Paribas rapportait la preuve technique de l’authentification, mais pas celle du comportement fautif du client justifiant un refus de remboursement. Or, c’est cette seconde preuve – et elle seule – qui peut exonérer la banque de son obligation de rembourser.

L’échec de BNP Paribas à démontrer la négligence grave.

L’enjeu central du litige résidait dans la démonstration d’un manquement du client à ses obligations de sécurité au sens des articles L133-16 et L133-17 du Code monétaire et financier.

BNP Paribas soutenait trois arguments :

  • le client aurait validé le changement de numéro de téléphone associé à son espace client ;
  • il aurait également validé l’enrôlement de la clé digitale sur un nouvel appareil ;
  • il aurait reçu plusieurs notifications et messages d’alerte sans réagir.

Le tribunal a écarté chacun de ces arguments pour trois raisons déterminantes.

1. Aucune preuve de communication de données confidentielles.

Le tribunal a constaté qu’aucune pièce ne démontrait que le client aurait effectivement communiqué ses identifiants ou ses données de sécurité au fraudeur.

L’hypothèse d’un phishing antérieur, avancée par BNP Paribas, n’était corroborée par aucun élément, malgré une connexion depuis une adresse IP inhabituelle relevée plusieurs semaines auparavant.

2. Aucune preuve de l’envoi des notifications d’alerte.

C’est probablement le point le plus instructif pour les futurs contentieux : BNP Paribas n’a produit aucune trace technique établissant l’envoi effectif des notifications censées prévenir le client. Ni SMS d’activation, ni email de confirmation d’enrôlement, ni message d’alerte sur l’application bancaire.

Or, l’information du client constitue un élément déterminant pour évaluer sa diligence. Une banque qui invoque le défaut de réaction de son client doit d’abord prouver qu’elle l’a effectivement alerté.

3. Des déclarations cohérentes du client.

Le tribunal a enfin relevé que les déclarations du client étaient cohérentes et n’indiquaient pas qu’il aurait validé sciemment des opérations dont il n’était pas à l’origine. La manipulation par ingénierie sociale était suffisamment sophistiquée pour tromper une personne raisonnablement prudente.

La charge de la preuve, qui pèse intégralement sur la banque au titre de l’article L133-19 du Code monétaire et financier, n’était donc pas satisfaite.

L’application des pénalités majorées de l’article L133-18 du CMF.

Le second apport majeur du jugement concerne le point de départ des pénalités majorées de quinze points prévues par l’article L133-18 du Code monétaire et financier.

BNP Paribas soutenait que ces intérêts ne devaient courir qu’à compter de la décision judiciaire, et non depuis la demande initiale du client. Le tribunal a fermement écarté cette interprétation, qui aurait vidé le texte de toute portée incitative.

La logique du remboursement immédiat.

Le Code monétaire et financier impose à la banque un remboursement immédiat des opérations contestées, sauf soupçon de fraude dûment notifié à la Banque de France.

Lorsque la banque choisit de refuser le remboursement en invoquant la négligence grave, elle assume seule le risque que cette analyse soit ultérieurement censurée par le juge.

Si la négligence grave n’est finalement pas retenue, les pénalités s’appliquent automatiquement, et leur point de départ correspond à l’expiration du délai de remboursement immédiat – soit trente jours après la demande du client.

Le point de départ fixé au 16 mai 2023.

Dans cette affaire, le tribunal a fixé le point de départ des intérêts majorés au 16 mai 2023, soit trente jours après la demande de remboursement initiale. Cette interprétation donne sa pleine portée au mécanisme incitatif voulu par le législateur : responsabiliser les prestataires de services de paiement et accélérer le remboursement effectif des victimes.

C’est un signal fort envoyé aux banques qui choisissent la stratégie du refus systématique en pariant sur le découragement des victimes : ce pari coûte cher lorsque le juge tranche.

Le rejet du préjudice moral : l’exclusivité du régime spécial.

La demande de dommages et intérêts pour préjudice moral formulée par le client a en revanche été rejetée – point qui reste discutable et fait débat en doctrine.

Le tribunal a considéré que le régime spécifique des opérations de paiement non autorisées s’appliquait à titre exclusif.

Cette position laisse les victimes sans indemnisation pour les conséquences psychologiques et matérielles indirectes de la fraude, alors même que le législateur européen visait à renforcer leur protection. Une évolution jurisprudentielle reste possible sur ce point.

Une décision s’inscrivant dans une jurisprudence établie envers les banques.

Ce jugement s’inscrit dans une ligne jurisprudentielle désormais bien établie, que les juridictions du fond appliquent avec une constance remarquable. Les principes dégagés sont les suivants :

  • la charge de la preuve de la négligence grave pèse intégralement sur la banque ;
  • cette preuve doit être positive, directe et précise, et non déduite de simples traces informatiques ;
  • le défaut de démonstration prive la banque de tout droit de refuser le remboursement ;
  • les pénalités de l’article L133-18 jouent alors automatiquement, à compter de l’expiration du délai de remboursement immédiat.

Face à la recrudescence des fraudes sophistiquées – spoofing, ingénierie sociale, prise de contrôle à distance – les juridictions renforcent leur exigence probatoire. Elles considèrent que le client moyen ne peut être présumé capable de déjouer des stratagèmes toujours plus complexes, conçus précisément pour tromper des personnes raisonnablement prudentes.

Pour les clients de BNP Paribas – et plus largement pour toutes les victimes de fraude au faux conseiller – ce jugement apporte trois enseignements pratiques essentiels.

1. L’authentification par clé digitale ne ferme pas la porte au remboursement. De nombreuses victimes pensent que le fait d’avoir validé une opération via leur application bancaire les met juridiquement en faute. C’est faux. La validation technique ne vaut pas autorisation au sens du droit des paiements.

2. La banque doit prouver, et prouver précisément. Les arguments génériques (« le client a forcément communiqué ses identifiants », « il a reçu des alertes ») ne suffisent plus. Le juge exige des pièces : journaux techniques d’envoi de notifications, preuves de communication de données, traces concrètes du comportement fautif.

3. Le refus initial de la banque est juridiquement contestable. Dans la majorité des cas de spoofing et de fraude au faux conseiller, un recours bien construit aboutit à un remboursement intégral, assorti des pénalités de l’article L133-18.

Virginie Audinot, Avocat
Barreau de Paris
Audinot Avocat
www.fraude-bancaire.fr