Arnaques bancaires : la CJUE oblige les banques à rembourser d’abord

L’affaire part d’un scénario que beaucoup d’utilisateurs de smartphones reconnaîtront. Une cliente d’une banque polonaise met en vente un objet sur une plateforme en ligne. Un prétendu acheteur lui envoie un lien, présenté comme venant de la plateforme, pour « confirmer la vente ». Le lien mène en réalité vers une copie du site de sa banque, où elle saisit ses identifiants. L’escroc s’en sert aussitôt pour virer l’équivalent d’environ 700 euros vers son propre compte.

La victime signale l’opération dès le lendemain. Sa banque refuse pourtant de la rembourser : selon elle, la cliente a rendu la fraude possible par une négligence grave, en ne protégeant pas ses données de sécurité personnalisées. Saisie du litige, une juridiction polonaise a demandé à la Cour de justice de l’Union européenne (CJUE) si ce motif suffisait à écarter le remboursement prévu par la directive européenne sur les services de paiement (2015/2366, dite DSP2).

La réponse de la Cour, rendue dans l’affaire C-70/25, est claire : non. En cas d’opération de paiement non autorisée, la banque doit rembourser immédiatement, et au plus tard à la fin du premier jour ouvrable suivant celui où elle en a été informée, à condition que le client l’ait prévenue sans retard injustifié.

Le texte européen ne prévoit qu’une seule exception à ce remboursement immédiat : lorsque la banque a de bonnes raisons de soupçonner une fraude commise par le client lui-même, et qu’elle communique ces raisons par écrit à l’autorité nationale compétente. Estimer que le client a été imprudent, par exemple en livrant ses codes sur un faux site, ne permet pas de bloquer le remboursement.

La Cour distingue en effet deux questions : le remboursement de la somme, d’un côté, et la répartition finale des pertes, de l’autre. Dans un premier temps, la banque rembourse. Dans un second temps, elle peut réclamer au client les pertes subies si elle établit que celui-ci a manqué à ses obligations, intentionnellement ou par négligence grave. La charge de la preuve lui revient.

Pour les juges, laisser la banque refuser d’emblée le remboursement « priverait d’effet utile » cette obligation et contraindrait le client à engager lui-même une procédure, « avec les coûts et les inconvénients que cela peut entraîner ». L’arrêt s’inscrit dans l’objectif d’un niveau élevé de protection des consommateurs.

La décision ne tranche pas le litige polonais, qui revient à la juridiction nationale, mais elle lie de la même manière les autres tribunaux de l’Union saisis d’un cas similaire. En France, où la directive a été transposée dans le Code monétaire et financier, les victimes disposent désormais d’un argument de poids face à une banque qui oppose la négligence grave pour ne pas rembourser.

Le sujet concerne directement le mobile. Liens piégés reçus par SMS ou par messagerie, faux acheteurs sur les sites de petites annonces, détournement de ligne par SIM swapping : le smartphone est au cœur de nombreuses fraudes bancaires. Selon 01net, BNP Paribas a ainsi refusé de rembourser une cliente victime de SIM swapping, au motif que les opérations avaient été validées avec sa clé digitale.

Deux limites demeurent. D’abord, l’arrêt ne définit pas ce qu’est une négligence grave : ce débat se déplace simplement après le remboursement. Ensuite, il vise les opérations « non autorisées ». Les virements effectués par la victime elle-même, sous la pression d’un faux conseiller bancaire par exemple, relèvent d’un autre cadre. Pour les banques, le message est néanmoins net : rembourser d’abord, discuter ensuite.