Une décision majeure du Tribunal de l’Union européenne renforce la protection des victimes de fraude bancaire. Les établissements financiers doivent désormais rembourser les paiements non autorisés sans délai, même si une négligence grave du client est alléguée. Une protection initiale qui change la donne.
Le Tribunal de justice de l’Union européenne (TJUE) a statué que les banques ne peuvent pas refuser le remboursement immédiat d’opérations de paiement non autorisées simplement parce qu’elles estiment que le client a fait preuve d’une négligence grave.
Une victime de phishing perd 700 euros
L’affaire concerne une cliente d’une banque polonaise qui avait mis un article en vente sur une plateforme en ligne. Un prétendu acheteur l’a contactée et lui a envoyé un lien frauduleux, présenté comme provenant de la plateforme, pour confirmer la transaction.
En cliquant sur ce lien, la victime a été redirigée vers une page imitant le site de sa banque. Persuadée d’être sur un portail légitime, elle y a saisi ses identifiants de connexion pour son service bancaire en ligne.
Ces données ont été utilisées par un tiers pour transférer environ 700 euros du compte de la victime vers un compte contrôlé par l’escroc.
La cliente a signalé l’opération à sa banque le lendemain. L’institution a toutefois refusé le remboursement, arguant que la victime avait elle-même facilité la fraude en ne protégeant pas correctement ses données de sécurité.
Les banques doivent rembourser les opérations non autorisées
Le litige est remonté devant les tribunaux et a conduit le TJUE à préciser l’interprétation des règles européennes applicables aux services de paiement.
Dans son arrêt, le Tribunal a conclu qu’en principe, la banque doit rembourser immédiatement le montant d’une opération non autorisée, au plus tard à la fin du premier jour ouvrable suivant celui où elle en a pris connaissance ou en a été informée, à condition que le client la signale sans retard injustifié.
La simple allégation d’une négligence grave du client ne permet pas à la banque de s’exonérer de cette obligation.
Une exception existe néanmoins : le prestataire de services de paiement peut suspendre le remboursement immédiat lorsqu’il existe des raisons valables de soupçonner une fraude commise par le client lui-même, à condition d’en communiquer les motifs par écrit à l’autorité nationale compétente.
La banque peut réclamer l’argent
Cette décision ne signifie pas que le client est systématiquement exonéré de toute responsabilité pour les pertes liées à une escroquerie.
Le TJUE distingue deux aspects : l’obligation initiale de rembourser une opération non autorisée et la responsabilité finale pour les pertes causées par la fraude.
Par conséquent, après avoir procédé au remboursement, la banque peut demander au client la restitution des sommes perdues si elle parvient à démontrer que ce dernier a manqué, intentionnellement ou par négligence grave, aux obligations de sécurité qui lui incombaient.
C’est à l’établissement bancaire de prouver l’existence de cette négligence grave. Il ne suffit donc pas d’invoquer de manière générale le fait que le client a été trompé ou a saisi ses données sur une page falsifiée.
Source : Tribunal de justice de l’Union européenne, communiqué de presse n° 147/26, du 15 octobre 2026, affaire C-70/25.