Remboursement fraude bancaire : la CJUE protège les clients victimes de phishing
Une banque peut-elle refuser le remboursement d’une opération bancaire frauduleuse au motif que son client a commis une négligence grave ? Dans un arrêt du 15 octobre 2026, la Cour de justice de l’Union européenne (CJUE) apporte une réponse importante : la négligence grave du client ne permet pas à la banque de refuser immédiatement le remboursement d’une opération de paiement non autorisée.
Cette décision, rendue dans l’affaire C‑70/25, Tukowiecka, concerne une cliente victime d’une fraude par hameçonnage (phishing). Après avoir communiqué ses données bancaires à un fraudeur, elle s’est vu refuser le remboursement de l’argent prélevé sur son compte.
La CJUE distingue clairement deux questions : l’obligation de remboursement immédiat qui incombe à la banque et la responsabilité définitive du client dans les pertes subies.
1. L’affaire C‑70/25 : une cliente victime d’une fraude bancaire
Une arnaque au faux acheteur sur Internet
L’affaire concerne une cliente d’une banque polonaise qui avait mis un objet en vente sur une plateforme d’enchères en ligne. Un fraudeur, se faisant passer pour un acheteur potentiel, lui a transmis un lien présenté comme permettant de confirmer la vente.
En cliquant sur ce lien, la victime a été redirigée vers un faux site Internet reproduisant l’apparence de celui de sa banque. Elle y a communiqué ses identifiants de banque en ligne. Le fraudeur a ensuite utilisé les informations obtenues pour effectuer un virement de 3 000 zlotys polonais, soit environ 705 euros.
La transaction a été confirmée au moyen d’un code reçu par SMS que la victime avait communiqué sous l’effet de la tromperie. Le lendemain, elle a découvert la fraude et a immédiatement averti sa banque ainsi que la police.
Pourquoi la banque a-t-elle refusé le remboursement ?
La banque a refusé de restituer les fonds, estimant que sa cliente avait commis une négligence grave en ne protégeant pas suffisamment ses données de sécurité et en permettant à une personne non autorisée d’accéder à son compte.
La cliente a contesté cette décision devant la juridiction polonaise compétente. Le tribunal s’est interrogé sur l’articulation entre deux dispositions de la directive européenne 2015/2366, dite directive sur les services de paiement :
L’article 73, paragraphe 1, qui impose en principe le remboursement immédiat des opérations de paiement non autorisées.
L’article 74, paragraphe 1, qui prévoit notamment que le payeur peut supporter les pertes occasionnées par une opération non autorisée lorsque celles-ci résultent d’une fraude de sa part ou d’un manquement intentionnel ou d’une négligence grave à ses obligations.
La question posée à la CJUE était donc la suivante : une banque peut-elle invoquer la négligence grave de son client pour échapper à son obligation de remboursement immédiat ?
2. Remboursement fraude bancaire : ce que décide la CJUE
La banque doit rembourser immédiatement l’opération non autorisée
Dans son arrêt du 15 octobre 2026, la première chambre de la CJUE interprète conjointement les articles 73 et 74 de la directive 2015/2366.
La Cour considère que ces dispositions organisent deux étapes distinctes :
D’une part, l’article 73 impose au prestataire de services de paiement de rembourser immédiatement le montant de l’opération non autorisée, en principe au plus tard à la fin du premier jour ouvrable suivant celui où il a pris connaissance de l’opération ou en a été informé.
D’autre part, l’article 74 organise la répartition des pertes entre la banque et le client, notamment lorsque ce dernier a commis une négligence grave.
La banque ne peut donc pas confondre l’obligation de rembourser immédiatement et la question de savoir qui doit finalement supporter la perte financière.
La CJUE précise que la seule exception expressément prévue par l’article 73, paragraphe 1, concerne l’hypothèse dans laquelle la banque a de bonnes raisons de soupçonner une fraude et communique les raisons de ces soupçons par écrit à l’autorité nationale compétente. La simple suspicion d’une négligence grave du client ne constitue pas une exception supplémentaire à cette obligation.
Que dit exactement la Cour de justice de l’Union européenne ?
Le dispositif de l’arrêt C‑70/25 est sans ambiguïté : les articles 73, paragraphe 1, et 74, paragraphe 1, de la directive 2015/2366 doivent être interprétés en ce sens qu’un prestataire de services de paiement ne peut pas refuser de rembourser immédiatement une opération non autorisée au motif que le payeur l’aurait rendue possible par une négligence grave.
Cette interprétation repose notamment sur la volonté du législateur européen de garantir un niveau élevé de protection des consommateurs. La Cour souligne également qu’une solution contraire obligerait les victimes à engager elles-mêmes des procédures judiciaires pour obtenir le remboursement de leur argent, avec les frais et les difficultés que cela implique.
Référence : CJUE, 15 octobre 2026, Tukowiecka, C‑70/25, points 33 à 47 et dispositif.
3. La négligence grave du client n’empêche pas le remboursement immédiat
Qu’est-ce que la négligence grave en matière de fraude bancaire ?
La négligence grave désigne un manquement particulièrement sérieux aux obligations de prudence et de sécurité qui incombent à l’utilisateur d’un service de paiement.
L’article 69 de la directive 2015/2366 prévoit notamment que l’utilisateur doit utiliser son instrument de paiement conformément aux conditions applicables et prendre des mesures raisonnables pour préserver la sécurité de ses données de sécurité personnalisées.
En pratique, les banques peuvent invoquer différents comportements pour soutenir qu’un client a commis une négligence grave : la communication de données bancaires, la transmission d’un code de confirmation ou la validation d’une opération à la suite d’une sollicitation frauduleuse.
Toutefois, le fait qu’un client ait communiqué ses données ou un code de sécurité ne suffit pas, à lui seul, à régler toutes les questions de responsabilité. Il faut examiner les circonstances concrètes, les obligations applicables et les éléments de preuve disponibles.
L’arrêt Tukowiecka ne supprime pas les obligations de prudence des utilisateurs. Il précise plutôt les conséquences procédurales que la banque peut tirer d’un manquement allégué.
La banque doit-elle prouver la négligence grave ?
Oui. L’article 72, paragraphe 2, de la directive 2015/2366 prévoit que l’utilisation enregistrée d’un instrument de paiement ne suffit pas nécessairement à démontrer que l’opération a été autorisée par le client ou que celui-ci a agi frauduleusement ou commis une négligence grave.
Le prestataire de services de paiement doit fournir des éléments permettant d’établir la fraude ou la négligence grave qu’il invoque. Cette règle est essentielle : l’authentification technique d’une opération et son autorisation par le titulaire du compte ne sont pas nécessairement équivalentes.
Une banque ne peut donc pas se contenter de constater qu’une transaction a été confirmée par un code ou par une application pour considérer automatiquement que son client en est responsable. Il convient néanmoins de distinguer la preuve de l’authentification, la preuve de l’autorisation et celle d’un éventuel manquement du client.
La banque peut-elle encore opposer une négligence grave ?
Oui, mais pas pour refuser le remboursement immédiat dans les conditions examinées par la Cour. La négligence grave conserve une importance pour déterminer qui doit finalement supporter les pertes liées à l’opération frauduleuse.
La CJUE ne décide donc pas que toute victime de phishing doit nécessairement conserver définitivement les sommes remboursées, quelles que soient les circonstances. Elle distingue l’obligation immédiate de restitution de la détermination ultérieure de la responsabilité.
La banque peut-elle réclamer ensuite le remboursement au client ?
Le remboursement immédiat n’est pas nécessairement définitif
La CJUE précise expressément que son interprétation ne fait pas obstacle à ce que la banque réclame ultérieurement au client le remboursement des pertes liées aux opérations non autorisées, lorsque les conditions prévues à l’article 74, paragraphe 1, de la directive sont réunies.
Le mécanisme est donc le suivant :
Le client signale une opération de paiement non autorisée.
La banque procède au remboursement immédiat conformément à l’article 73, sauf exception légalement applicable.
La responsabilité définitive est examinée séparément.
Si les conditions légales sont remplies, la banque peut engager une démarche distincte pour obtenir du client le remboursement des pertes qu’il doit supporter.
Cette distinction évite que le consommateur soit contraint de financer lui-même, pendant une procédure parfois longue, la contestation de la décision de sa banque.
La banque peut-elle récupérer automatiquement les fonds remboursés ?
Non. L’arrêt ne consacre pas un droit général de la banque à reprendre automatiquement les sommes versées au client. Une éventuelle demande ultérieure doit respecter les règles applicables et être justifiée.
La banque doit notamment établir les éléments permettant de retenir la responsabilité du payeur dans les conditions prévues par le régime juridique pertinent. L’arrêt ne tranche pas toutes les questions relatives aux modalités d’un recours ultérieur, aux règles nationales de procédure ou aux conditions concrètes de récupération des fonds.
Il ne signifie donc ni que le client est systématiquement exonéré de toute responsabilité, ni que la banque peut récupérer librement les sommes remboursées.
Quelles conséquences pour les consommateurs en Belgique ?
Le droit belge prévoit déjà un mécanisme de remboursement
En Belgique, les opérations de paiement non autorisées sont notamment régies par le livre VII du Code de droit économique, qui transpose les règles européennes relatives aux services de paiement.
L’article VII.43 du Code de droit économique prévoit, en principe, le remboursement immédiat par le prestataire de services de paiement du montant d’une opération non autorisée, au plus tard à la fin du premier jour ouvrable suivant la prise de connaissance de l’opération ou la notification de celle-ci.
Le texte prévoit une exception lorsque le prestataire a de bonnes raisons de soupçonner une fraude et communique ces raisons par écrit au SPF Économie.
L’article VII.44 règle notamment la responsabilité du payeur en cas d’opérations de paiement non autorisées, en distinguant différentes hypothèses et les conséquences d’un comportement frauduleux ou d’un manquement aux obligations de sécurité.
Ces dispositions doivent être lues ensemble, en tenant compte de leur version applicable au moment des faits et de l’interprétation du droit européen donnée par la CJUE.
L’arrêt est-il applicable aux litiges bancaires belges ?
L’arrêt a été rendu à propos d’un litige polonais, mais il interprète une directive européenne qui encadre les droits et obligations des utilisateurs de services de paiement et des banques dans l’Union européenne.
Son interprétation est donc pertinente pour l’application des dispositions belges qui transposent les articles 73 et 74 de cette directive. Une banque belge ne devrait dès lors pas pouvoir justifier un refus de remboursement immédiat par la seule affirmation que le client a commis une négligence grave, lorsque la situation relève du régime interprété par la Cour.
Il reste toutefois nécessaire de vérifier les circonstances de chaque dossier, notamment la qualification de l’opération, les éventuels soupçons de fraude imputable au client, la notification à la banque et les règles nationales applicables.
Attention : toutes les opérations frauduleuses ne sont pas identiques
Pour déterminer les droits d’une victime, il faut notamment distinguer :
Une opération de paiement réellement non autorisée par le titulaire du compte.
Une opération que le client a lui-même autorisée, mais à la suite d’une tromperie.
Une opération exécutée après la notification à la banque d’une utilisation frauduleuse.
Une opération pour laquelle la banque invoque une fraude commise par le client.
Ces situations peuvent soulever des questions juridiques différentes. L’arrêt Tukowiecka concerne spécifiquement l’articulation entre l’obligation de remboursement immédiat d’une opération non autorisée et la négligence grave invoquée à l’encontre du payeur.
Il ne faut donc pas en déduire que toute somme perdue dans une arnaque, y compris lorsqu’un consommateur a lui-même autorisé le paiement, relève automatiquement de la même solution.
6. Que faire si la banque refuse de rembourser une fraude bancaire ?
Si vous êtes victime d’une fraude bancaire en Belgique et que votre banque refuse de vous rembourser, plusieurs démarches peuvent être utiles.
Étape 1 : signaler immédiatement la fraude
Contactez votre banque sans tarder afin de faire bloquer les moyens de paiement concernés et de signaler les opérations contestées. Conservez une preuve de votre notification, avec sa date et son contenu. Si nécessaire, faites également opposition aux instruments de paiement concernés.
Étape 2 : déposer plainte et conserver les preuves
Conservez notamment :
Les relevés bancaires faisant apparaître les opérations contestées.
Les messages, courriels et SMS reçus dans le cadre de la fraude.
Les captures d’écran des sites ou liens frauduleux.
Les échanges avec la banque.
La preuve de votre signalement et, le cas échéant, du dépôt de plainte.
Ces éléments pourront être utiles pour établir les circonstances de l’opération et contester les motifs avancés par la banque.
Étape 3 : demander à la banque de justifier son refus
Si la banque invoque une négligence grave, demandez-lui de préciser les faits reprochés, les obligations de sécurité prétendument méconnues et les éléments sur lesquels elle fonde sa position.
Vous pouvez également rappeler l’arrêt de la CJUE du 15 octobre 2026, C‑70/25, Tukowiecka, qui distingue le remboursement immédiat de la répartition définitive des pertes.
Étape 4 : contester formellement la décision
Adressez une réclamation écrite au service compétent de la banque, en exposant les faits, les opérations contestées, les démarches déjà accomplies et les raisons pour lesquelles vous estimez que le remboursement est dû.
Si le désaccord persiste, vous pouvez examiner les possibilités de médiation ou les voies judiciaires appropriées. En Belgique, le Service de médiation des services financiers (Ombudsfin) constitue notamment une voie extrajudiciaire à envisager selon les conditions de recevabilité applicables.
La pertinence de chaque démarche dépend du dossier, des délais applicables et de la réponse de l’établissement financier.
7. Questions fréquentes sur le remboursement d’une fraude bancaire
Une banque peut-elle refuser un remboursement si j’ai communiqué mon code SMS ?
La communication d’un code SMS peut être invoquée par la banque pour soutenir que le client a manqué à ses obligations de sécurité. Toutefois, selon l’arrêt C‑70/25, la seule allégation de négligence grave ne permet pas de refuser le remboursement immédiat d’une opération non autorisée relevant du régime examiné par la CJUE. La responsabilité définitive doit être appréciée séparément.
Combien de temps la banque a-t-elle pour rembourser une opération non autorisée ?
En principe, l’article 73, paragraphe 1, de la directive 2015/2366 impose un remboursement immédiat et, au plus tard, à la fin du premier jour ouvrable suivant celui où la banque a pris connaissance de l’opération ou en a été informée. Une exception est prévue lorsque la banque dispose de bonnes raisons de soupçonner une fraude et communique les raisons de ses soupçons par écrit à l’autorité nationale compétente.
La banque doit-elle prouver ma négligence grave ?
Le prestataire de services de paiement doit fournir des éléments permettant d’établir la fraude ou la négligence grave qu’il invoque, conformément à l’article 72, paragraphe 2, de la directive 2015/2366. L’enregistrement technique d’une opération ne suffit pas nécessairement à prouver qu’elle a été autorisée ou que le client a commis une négligence grave.
Puis-je obtenir un remboursement si j’ai été victime de phishing en Belgique ?
Vous pouvez demander le remboursement d’une opération de paiement non autorisée en invoquant les dispositions applicables du Code de droit économique. L’issue dépend notamment de la nature de l’opération, de la notification à la banque et des circonstances de la fraude. L’arrêt Tukowiecka renforce l’argument selon lequel une négligence grave alléguée ne suffit pas, à elle seule, à écarter le remboursement immédiat.
La banque peut-elle me réclamer l’argent après m’avoir remboursé ?
Oui, dans certaines circonstances. La CJUE précise que la banque peut ultérieurement réclamer au client les pertes liées aux opérations non autorisées lorsque les conditions légales sont réunies. Cela suppose toutefois de respecter les règles applicables : l’arrêt ne permet pas une récupération automatique et inconditionnelle des sommes remboursées.
Quel est l’apport principal de l’arrêt C‑70/25 du 15 octobre 2026 ?
La CJUE distingue clairement deux questions : le remboursement immédiat d’une opération non autorisée et la détermination de la personne qui doit finalement supporter la perte. Une négligence grave alléguée du client ne dispense pas la banque de son obligation de remboursement immédiat dans le cadre juridique interprété par la Cour.
Conclusion : une protection renforcée pour les victimes de fraude bancaire
L’arrêt Tukowiecka du 15 octobre 2026 apporte une clarification importante du régime européen des paiements non autorisés. Il empêche les banques de confondre l’obligation de rembourser immédiatement le client et la question de sa responsabilité définitive.
Même lorsqu’une négligence grave est alléguée, la banque doit respecter le mécanisme de remboursement prévu par la directive, sous réserve de l’exception expressément prévue en cas de soupçon de fraude communiqué à l’autorité compétente.
Pour les consommateurs belges, cette décision constitue un argument juridique important lorsqu’une banque refuse de rembourser une opération non autorisée en se fondant uniquement sur le comportement du client. Chaque dossier doit néanmoins être examiné au regard des circonstances concrètes, des dispositions belges applicables et des preuves disponibles.
Vous êtes victime d’une fraude bancaire et votre banque refuse de vous rembourser ?
MonPetitJuriste vous aide à mieux comprendre vos droits et les règles juridiques applicables à votre situation. Découvrez nos ressources consacrées au droit de la consommation et aux litiges avec les professionnels, ou prenez contact avec MonPetitJuriste pour obtenir des informations sur les solutions envisageables.
MonPetitJuriste — Le droit expliqué simplement pour vous aider à défendre vos droits.