La Cour de justice de l’Union européenne renforce considérablement les droits des clients bancaires après des attaques de phishing. Par arrêt du 15 octobre 2026 (aff. C-70/25), elle a précisé que les banques ou autres prestataires de services de paiement ne peuvent pas refuser le remboursement d’opérations de paiement non autorisées au motif que le client aurait rendu possible la fraude par négligence grave.
Pour les personnes concernées, cela signifie une amélioration déterminante de leur position juridique : la banque doit en principe d’abord rembourser. La question de savoir si le client doit finalement supporter lui-même le préjudice subi est une question distincte.
Phishing via une fausse page bancaire
La décision de la CJUE dans l’affaire C-70/25 reposait sur un cas typique de phishing.
Une cliente d’une banque polonaise proposait un article à la vente sur une plateforme de vente en ligne. Une personne se présentant comme un acheteur potentiel lui a transmis un lien donnant l’impression de provenir de la plateforme de vente et de servir à confirmer la vente. En réalité, ce lien menait vers un site Internet frauduleux imitant le site de sa banque.
La cliente a saisi sur le site frauduleux ses identifiants d’accès à la banque en ligne. Les fraudeurs ont ensuite pu utiliser ces données pour transférer de l’argent du compte de la cliente vers leur propre compte.
La banque refuse le remboursement
La cliente a signalé l’incident à sa banque dès le lendemain. Celle-ci a toutefois refusé le remboursement au motif que la cliente aurait rendu possible l’opération de paiement non autorisée par négligence grave, en ne protégeant pas suffisamment ses dispositifs de sécurité personnalisés.
La banque pouvait-elle refuser le remboursement immédiat ?
La juridiction polonaise de renvoi souhaitait savoir de la CJUE si un prestataire de services de paiement pouvait refuser le remboursement d’une opération de paiement non autorisée pour ce motif.
La CJUE a répondu par la négative. La négligence grave du client n’autorise pas la banque à refuser le remboursement dû en principe sans délai en vertu du droit de l’Union. La question de savoir qui doit supporter définitivement la perte financière doit plutôt être appréciée séparément.
La portée de la décision ne se limite pas à la Pologne, dès lors que la CJUE interprète de manière contraignante, pour tous les États membres, la directive (UE) 2015/2366 concernant les services de paiement. L’arrêt revêt donc également une importance en Allemagne.
Obligation de remboursement de la banque
Selon l’art. 73, par. 1, de la directive (UE) 2015/2366 concernant les services de paiement, le prestataire de services de paiement est en principe tenu, en cas d’opération de paiement non autorisée, de rembourser immédiatement au payeur le montant de cette opération. Le remboursement doit intervenir au plus tard à la fin du jour ouvrable suivant la prise de connaissance ou la notification de l’opération de paiement. Une exception s’applique notamment lorsque le prestataire de services de paiement a des motifs raisonnables de soupçonner que le payeur a lui-même commis une fraude et qu’il communique ces motifs par écrit à l’autorité nationale compétente.
Négligence grave
En revanche, la banque ne peut pas refuser le remboursement au seul motif qu’elle reproche au client une violation par négligence grave de ses obligations découlant de l’art. 69 de la directive.
Cette disposition impose notamment aux utilisateurs de services de paiement de protéger de manière appropriée leurs dispositifs de sécurité personnalisés. Une violation de ces obligations peut avoir des conséquences en matière de responsabilité. Elle ne supprime toutefois pas l’obligation préalable de remboursement du prestataire de services de paiement.
La CJUE distingue deux questions juridiquement différentes
La CJUE distingue ainsi deux questions juridiquement différentes :
-
Obligation de remboursement : La banque doit-elle, dans un premier temps, rembourser le montant de l’opération de paiement non autorisée ?
-
Imputation définitive de la perte : La banque peut-elle ensuite exiger que le client restitue le montant remboursé en raison d’une violation intentionnelle ou gravement négligente de ses obligations ?
L’innovation déterminante réside dans la séparation contraignante de ces deux étapes d’examen. La banque ne peut pas simplement rejeter une demande de remboursement en faisant valoir que le client aurait agi avec négligence grave dans la gestion de ses données d’accès.
Conséquences de l’arrêt de la CJUE pour les clients bancaires
En pratique, les banques refusent fréquemment le remboursement après des attaques de phishing au motif que le client aurait agi avec négligence grave en transmettant des données d’accès, en saisissant un TAN sur un faux site Internet ou en confirmant une transaction prétendument légitime.
Selon l’arrêt de la CJUE, cette argumentation ne suffit pas pour refuser le remboursement immédiat.
Pour les clients bancaires concernés, cela revêt une importance considérable. Même lorsqu’un soupçon de violation gravement négligente des obligations existe, la banque doit d’abord satisfaire à son obligation de remboursement. Elle ne peut pas anticiper l’examen de la répartition définitive de la responsabilité afin d’empêcher la restitution de l’argent.
§ 675u BGB pertinent
Pour le droit allemand, le § 675u BGB (Bürgerliches Gesetzbuch, Code civil allemand) est particulièrement pertinent. Selon cette disposition, en cas d’opération de paiement non autorisée, le prestataire de services de paiement est en principe tenu de rembourser immédiatement le montant du paiement et, le cas échéant, de rétablir le compte de paiement débité dans l’état où il se serait trouvé si le débit n’avait pas eu lieu.
Le titulaire du compte n’est pas exclu par principe de toute responsabilité
L’arrêt de la CJUE ne signifie pas que les clients sont, après chaque attaque de phishing et en toutes circonstances, définitivement libérés de toute responsabilité financière.
L’art. 74, par. 1, de la directive prévoit, sous certaines conditions, une responsabilité du payeur pour les opérations de paiement non autorisées lorsque celui-ci a violé certaines obligations intentionnellement ou par négligence grave.
La banque peut donc, après avoir procédé au remboursement, tenter en principe de réclamer au client la restitution de la perte subie. Elle doit toutefois exposer et prouver les conditions d’une telle prétention.
Responsabilité du client bancaire selon le § 675v BGB
En droit allemand, il convient à cet égard de tenir compte en particulier du § 675v BGB (Bürgerliches Gesetzbuch, Code civil allemand). Cette disposition régit la responsabilité du payeur en cas d’utilisation abusive d’un instrument de paiement et opère notamment une distinction selon le degré de faute.
Selon cette disposition, la responsabilité du payeur pour l’intégralité du préjudice subi peut être envisagée lorsqu’il a rendu possible l’opération de paiement non autorisée dans une intention frauduleuse ou lorsqu’il a violé ses obligations intentionnellement ou par négligence grave. La CJUE a précisé que le prestataire de services de paiement peut ultérieurement demander au client le remboursement des pertes imputables à sa négligence grave. L’argent initialement remboursé peut donc être réclamé à nouveau par voie de recours, les conditions de cette prétention devant être exposées séparément.
La demande de restitution constitue ainsi une étape procédurale autonome, postérieure dans le temps : la banque doit d’abord rembourser le préjudice et ne peut réclamer le montant qu’ensuite, par une voie distincte. Pour cela, elle doit toutefois prouver au client un comportement fautif. La charge de la preuve de l’intention ou de la négligence grave incombe donc, lors de cette seconde étape, à la banque, tandis que le client dispose entre-temps du montant remboursé.
Pour la pratique, cela signifie que la question de savoir si un client a effectivement agi avec négligence grave demeure pertinente. Elle ne détermine toutefois plus si la banque peut refuser le remboursement initialement dû, mais peut être déterminante pour la répartition ultérieure du préjudice.
Examen nécessaire au cas par cas
Il convient toujours d’examiner les circonstances concrètes. Toute saisie de données d’accès sur un faux site Internet ne constitue pas automatiquement une négligence grave. Il faut notamment tenir compte de la présentation du site Internet frauduleux, du mode de prise de contact, d’éventuels avertissements, de la validation concrète de la transaction et du caractère reconnaissable de la tromperie.
Un arrêt également intéressant pour les anciens cas de phishing
L’arrêt présente également un intérêt pour les clients bancaires dont la demande de remboursement a déjà été rejetée avant le 15 octobre 2026.
Les personnes qui ont reçu, après une attaque de phishing, un refus fondé essentiellement sur le grief de négligence grave devraient faire vérifier si des droits peuvent encore être invoqués.
Dans sa décision, la CJUE n’a pas ordonné de limitation dans le temps des effets de l’arrêt. Cela plaide en principe en faveur de la prise en compte de l’interprétation du droit de l’Union également dans les litiges encore pendants.
Tous les dossiers ne peuvent pas être rouverts
Il n’en résulte toutefois pas que tous les dossiers clôturés puissent automatiquement être rouverts. La possibilité de faire valoir à nouveau une demande dépend notamment de la prescription, de l’autorité de la chose jugée des décisions judiciaires, d’éventuelles transactions et des autres circonstances du cas d’espèce.
Pour les dossiers plus anciens, il convient donc notamment d’examiner si la créance demeure exécutoire et quelles démarches juridiques ont déjà été entreprises.
Cela vaut particulièrement pour les anciens cas de phishing qui ont été rejetés uniquement en invoquant la négligence grave, tant qu’ils ne sont ni prescrits ni définitivement tranchés par une décision passée en force de chose jugée. Une nouvelle demande complémentaire auprès du prestataire de services de paiement peut alors notamment être envisagée lorsque le refus reposait exclusivement sur le reproche de faute et que l’opération était incontestablement non autorisée.
Une étape importante en faveur des victimes de phishing
Par son arrêt du 15 octobre 2026 dans l’affaire C-70/25, la CJUE renforce la position des clients bancaires victimes d’opérations de paiement non autorisées.
Le message central est le suivant : la banque ne peut pas refuser le remboursement immédiat au seul motif que le client aurait rendu possible la fraude par négligence grave.
Il est ainsi évité que le remboursement dépende d’abord d’un examen de la faute souvent complexe et litigieux.
L’arrêt ne signifie toutefois pas que chaque remboursement doit rester définitivement acquis au client. Une violation intentionnelle ou gravement négligente des obligations peut, dans les conditions prévues par la loi, continuer à entraîner la responsabilité du client. Cette question doit toutefois être examinée séparément de l’obligation de remboursement initiale.
Analyse par MTR Legal
Les attaques numériques contre des comptes bancaires soulèvent régulièrement des questions relevant du droit bancaire et du droit des services de paiement, souvent liées à des délimitations délicates concernant l’autorisation et la répartition des risques. MTR Legal Rechtsanwälte accompagne les clients lorsque des questions juridiques se posent en lien avec des débits de compte inexpliqués, des incidents d’accès ou des accès à la banque en ligne bloqués, et propose des conseils juridiques en droit bancaire.
