Cour suprême de l'UE : les banques doivent rembourser les victimes de fraude en premier, même en cas de négligence

La Cour de Justice de l'Union Européenne (CJUE) a jugé le 15 octobre 2026 que les banques et autres prestataires de services de paiement ne peuvent pas retarder ou refuser de rembourser un client victime d'une transaction non autorisée simplement parce qu'ils soupçonnent que le client a été gravement négligent. Le jugement a été rendu dans l'affaire C-70/25, N.O. c/ PKO BP S.A., suite à une demande de décision préjudicielle d'un tribunal de district à Koszalin, en Pologne, déposée le 3 février 2025.

Ce qui s'est passé dans l'affaire sous-jacente

L'affaire a commencé avec un client d'une banque polonaise, identifié dans les documents de la Cour seulement comme N.O., qui a été la cible d'un arnaqueur se faisant passer pour un acheteur sur une plateforme de vente en ligne. L'arnaqueur a envoyé un lien de paiement frauduleux déguisé en message de la plateforme. Après que le client ait cliqué sur le lien et entré ses identifiants bancaires sur une fausse page de connexion, l'arnaqueur a transféré environ €700 de son compte. Sa banque, PKO BP, a refusé de le rembourser, arguant qu'il avait été gravement négligent en entrant ses identifiants sur la fausse page.

Ce que la Cour a décidé

La CJUE a jugé que la loi de l'UE sur les services de paiement — la Directive Services de Paiement (Directive 2015/2366, connue sous le nom de PSD2) — exige qu'une banque rembourse le montant d'une transaction non autorisée immédiatement, et au plus tard à la fin du jour ouvrable suivant le signalement du client, que la banque croie ou non que le client a agi avec grave négligence. La Cour a estimé que permettre aux banques de retenir le remboursement le temps qu'elles enquêtent sur les allégations de négligence viderait l'obligation de remboursement de son effet pratique et obligerait les victimes à saisir les tribunaux simplement pour récupérer leur propre argent.

Le jugement n'empêche pas les banques de tenter ultérieurement de récupérer le montant remboursé. Si une banque croit que le client, volontairement ou par grave négligence, n'a pas protégé ses identifiants de sécurité personnalisés, elle peut intenter une action contre le client ultérieurement — mais la charge de prouver cette négligence incombe à la banque, généralement devant un juge, plutôt qu'au client au moment de la fraude.

Pourquoi c'est important dans toute l'UE

Parce que la PSD2 est une directive de l'UE appliquée dans les 27 États membres, le jugement est une orientation contraignante pour les tribunaux nationaux et les régulateurs de tout le bloc, pas seulement en Pologne. Les organisations de consommateurs affirment que l'effet pratique est important car de nombreuses banques ont régulièrement inversé l'ordre que la loi avait prévu : enquêter sur la négligence soupçonnée d'abord et ne payer que par la suite, voire pas du tout. L'organisation de défense des consommateurs belge Test-Achats/Testaankoop a qualifié la décision de tournant. Son porte-parole, Julie Frère, a résumé l'obligation comme "Les banques doivent payer d'abord, discuter ensuite", affirmant qu'elle confirme une règle que les banques avaient contournée dans la pratique.

The Brussels Times a rapporté que le jugement remet directement en cause la pratique actuelle des banques belges, dont plusieurs ont refusé un remboursement immédiat alors qu'elles enquêtaient pour savoir si un client avait été négligent avec les détails de connexion ou les codes à usage unique. Les commentaires juridiques sur l'affaire, y compris l'analyse publiée par la source espagnole Ara, notent que la réponse de la Cour s'applique spécifiquement au délai de remboursement établi par la PSD2, que le jugement s'exprime en termes de « prestataires de services de paiement » de manière plus générale plutôt que de banques uniquement, et qu'il laisse les prestataires libres de contester la grave négligence séparément, après que l'argent ait déjà été restitué.

L'ampleur du problème

Le jugement intervient alors que les pertes liées à la fraude au paiement augmentent dans toute l'UE et l'Espace économique européen. Un rapport conjoint de l'Autorité bancaire européenne et de la Banque centrale européenne a constaté que les pertes totales dues à la fraude au paiement ont atteint €4,2 milliards en 2024, contre €3,5 milliards en 2023 et €3,4 milliards en 2022 — une augmentation d'environ 20% de 2023 à 2024. Dans ce total, la fraude liée aux virements a augmenté de 16% d'une année à l'autre à €2,2 milliards, et la fraude sur les cartes émises par l'UE et l'EEE a augmenté de 29% à environ €1,33 milliard. Pour la fraude aux virements spécifiquement, le même rapport a constaté que les utilisateurs de services de paiement ont supporté environ 85% des pertes résultantes, largement parce que les arnaques trompent les gens pour qu'ils autorisent eux-mêmes le virement.

Ce qui reste peu clair

Le jugement traite des transactions non autorisées — les cas où quelqu'un d'autre a accédé ou détourné l'argent du client, comme dans le phishing. Il ne modifie pas le traitement juridique séparé des situations où une banque a des motifs objectifs de soupçonner que le client a autorisé le paiement ou a été complice de la fraude, ce qui peut justifier la retenue d'un remboursement. La rapidité avec laquelle les banques individuelles dans toute l'UE modifieront leurs procédures internes de remboursement en réponse au jugement, et si les autorités de réglementation nationales l'appliqueront activement, restait à voir à partir du 16 octobre 2026.