Vous ouvrez votre application et le solde a fondu. Un faux site bancaire, un SMS piégé, et des pirates se sont servis. Face à ce scénario, certaines banques évoquent la négligence du client pour gagner du temps. Le 15 octobre 2026, la Cour de justice de l’Union européenne (CJUE) a fermé cette porte.
La banque doit rembourser d’abord : ce que tranche la CJUE
Dans un arrêt rendu par sa première chambre, la CJUE examinait le cas d’une cliente de la banque polonaise PKO BP, victime d’hameçonnage via un faux site bancaire. La question : une banque peut-elle repousser le remboursement d’une opération non autorisée en invoquant la négligence grave de son client ?
La réponse est non. La négligence grave ne permet pas à la banque de différer le remboursement. Elle doit d’abord recréditer le compte. Elle règle la discussion sur les responsabilités ensuite.
Le client n’a donc plus à attendre l’issue d’un bras de fer pour retrouver son argent. Ce point renverse le rapport de force : c’est la banque qui avance les fonds, pas la victime.
Ce que la banque peut encore faire : prouver la négligence devant un juge
Rembourser ne veut pas dire renoncer. Une fois le client remboursé, la banque garde la possibilité d’agir en justice contre lui. Elle estime que vous avez été imprudent, par exemple en saisissant vos identifiants sur une fausse page ? Libre à elle de le soutenir.
Mais elle devra alors apporter la preuve de cette négligence devant un juge. Une simple affirmation ne suffit pas, et la charge de convaincre pèse sur l’établissement, pas sur vous. Entre une victime qui attend des semaines un geste commercial et une banque obligée de documenter son dossier, la situation n’a plus rien de comparable.
Le seul refus possible : un soupçon sérieux de fraude signalé par écrit
L’arrêt laisse une exception, et elle est étroite. La banque peut refuser de rembourser immédiatement si elle a un soupçon sérieux de fraude commise par le client. Elle doit alors le signaler par écrit à l’autorité compétente.
Un doute vague ou une impression ne suffisent donc pas. Le simple fait que vous ayez communiqué vos données ne constitue pas, en soi, un soupçon de fraude de votre part. C’est une nuance décisive : on parle ici d’un client qui chercherait à tromper sa banque, pas d’une victime piégée par des escrocs.
Ce qui change et ce qui existait déjà
Attention à ne pas tout mélanger. Plusieurs règles citées dans l’actualité figurent déjà dans le Code monétaire et financier. L’apport de la CJUE porte sur un point précis : la négligence grave ne sert plus de prétexte pour retarder le remboursement.
| Point | Situation |
|---|---|
| Signalement à la banque | Règle française existante : sans tarder, au plus tard 13 mois après le débit |
| Délai de remboursement | Règle française existante : immédiat, au plus tard à la fin du premier jour ouvrable suivant le signalement |
| Franchise | Règle française existante : 50 € maximum en cas de perte ou de vol de carte |
| Négligence grave du client | Précision de la CJUE : elle ne permet pas de différer le remboursement |
| Preuve de la négligence | Précision de la CJUE : la banque doit la démontrer devant un juge |
Ce que l’arrêt ne couvre pas : les fraudes autorisées
Voici la limite que beaucoup de titres passent sous silence. L’arrêt concerne les opérations non autorisées, c’est-à-dire celles que vous n’avez pas validées. Les fraudes dites « autorisées » restent en dehors de son champ.
Si vous avez vous-même validé le virement
Un faux conseiller vous appelle, vous met sous pression et vous pousse à ordonner un virement. Vous l’avez confirmé vous-même : la décision de la CJUE ne vise pas ce cas. Signalez-le quand même à votre banque sans attendre, mais ne comptez pas sur le mécanisme de remboursement immédiat décrit plus haut.
Réclamer son remboursement : délais, franchise et démarches en France
En France, le point de départ reste le signalement (voir aussi le délai pour un prélèvement jamais autorisé). Prévenez votre banque dès que vous constatez l’opération non autorisée. La loi vous laisse jusqu’à 13 mois après la date du débit, mais attendre ne vous sert à rien.
Voici les réflexes à adopter :
- Contactez votre banque dès la découverte du débit et décrivez l’opération contestée.
- Demandez le remboursement en rappelant qu’il doit intervenir immédiatement, et au plus tard à la fin du premier jour ouvrable suivant votre signalement.
- Conservez les SMS, courriels, captures d’écran et l’adresse du faux site. Ces éléments pèseront si la banque porte l’affaire devant un juge.
- Si la banque oppose un refus, demandez-lui de le motiver par écrit, notamment s’il repose sur un soupçon de fraude.
Côté franchise, en cas de perte ou de vol de la carte, jusqu’à 50 € peuvent rester à votre charge. Cette franchise ne s’applique pas si l’opération a été réalisée sans utiliser les données de sécurité personnalisées.
Cyberattaque chez Arkéa : ce qu’on ne peut pas dire
Début novembre, la presse a relayé une cyberattaque visant le Crédit Mutuel Arkéa. Aucun chiffre ni nombre de clients concernés ne peut être avancé ici. Dans tous les cas, surveillez vos relevés et signalez toute opération que vous ne reconnaissez pas.
Ce qu’il faut retenir de la décision de la CJUE
Pour une victime de phishing, la logique est désormais claire : la banque rembourse, puis discute. Elle ne peut s’y soustraire qu’en cas de soupçon sérieux de fraude du client, signalé par écrit à l’autorité compétente. Et si elle veut démontrer votre négligence grave, elle devra le faire devant un juge, preuves à l’appui.
Gardez en tête la frontière : une opération que vous n’avez pas validée est couverte, un virement que vous avez ordonné sous pression ne l’est pas. Dans le doute, le plus sûr est de signaler les faits sans délai.
