Fraude bancaire : la banque rembourse d’abord, même si elle invoque une négligence grave

Cour de justice de l’Union européenne, première chambre, 15 octobre 2026, affaire C-70/25 [Tukowiecka], N.O. c. PKO BP S.A., ECLI:EU:C:2026:852. Le nom « Tukowiecka » est fictif.

La Cour était saisie d’un renvoi préjudiciel du tribunal d’arrondissement de Koszalin (Pologne), par une décision du 23 janvier 2025. L’arrêt interprète l’article 73, § 1, et l’article 74, § 1, de la directive (UE) 2015/2366 du 25 novembre 2015 concernant les services de paiement dans le marché intérieur.

La question était de savoir si la banque peut refuser le remboursement immédiat lorsque le client a, par négligence grave, méconnu ses obligations de l’article 69 de la directive, notamment celle de préserver la sécurité de ses données de sécurité personnalisées. La Cour répond par la négative.

Une seule exception au remboursement immédiat. L’article 73, § 1, impose au prestataire du payeur de rembourser le montant de l’opération non autorisée immédiatement après en avoir pris connaissance ou en avoir été informé, et au plus tard à la fin du premier jour ouvrable suivant, à condition que le client l’ait prévenu sans retard injustifié (article 71). Le texte ne prévoit qu’une exception : le prestataire a de bonnes raisons de soupçonner une fraude et communique ces raisons par écrit à l’autorité nationale concernée. Aucune n’est prévue pour la négligence grave (points 31 à 34).

Rembourser, puis répartir les pertes. L’article 74, § 1, fait supporter au payeur toutes les pertes lorsqu’elles résultent d’un agissement frauduleux de sa part ou d’un manquement, intentionnel ou par négligence grave, à ses obligations (point 35). Pour la Cour, cette règle ne touche pas au remboursement immédiat : elle organise la répartition de la responsabilité entre le prestataire et le payeur « à un stade ultérieur » (point 42). La charge de la preuve de la négligence grave incombe au prestataire (article 72, § 2 ; point 40).

Protéger le consommateur. Admettre un refus d’emblée priverait d’effet utile l’obligation de remboursement immédiat et contraindrait le client à faire valoir lui-même son droit, le cas échéant en justice, et à en supporter les inconvénients, notamment les éventuels frais de procédure (points 44 et 45). La genèse du texte va dans le même sens : ni l’ancienne directive 2007/64/CE ni la proposition initiale de la Commission ne prévoyaient d’exception explicite ; celle tirée d’un soupçon de fraude n’a été introduite qu’au cours de la procédure législative (points 48 et 49).

• Signaler l’opération à sa banque sans tarder, et au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion (art. L. 133-24) ; pour un particulier agissant pour des besoins non professionnels, un contrat ne peut pas modifier ce délai. Demander en même temps le blocage de l’instrument de paiement (art. L. 133-17) : la banque doit fournir, sur demande, les moyens de prouver cette information (art. L. 133-15, II).
• Réclamer le remboursement en visant l’article L. 133-18 : seules de bonnes raisons de soupçonner une fraude de l’utilisateur, communiquées par écrit à la Banque de France, en dispensent la banque.
• Si la banque réclame ensuite les sommes, c’est à elle de prouver la négligence grave : l’utilisation de l’instrument telle qu’elle l’a enregistrée ne suffit pas nécessairement (art. L. 133-23). Sauf agissement frauduleux, le payeur ne supporte aucune conséquence financière si l’opération a été effectuée sans que sa banque exige une authentification forte (art. L. 133-19, V). Pour un utilisateur autre qu’une personne physique agissant pour des besoins non professionnels, le contrat peut écarter ces deux règles, mais non le remboursement immédiat de l’article L. 133-18 (art. L. 133-2).

Voir aussi la page Droit civil et contrats.