Fraude bancaire : vers le « rembourser d'abord, discuter ensuite » ?

À propos des conclusions de l'avocat général dans l'affaire C-70/25, Tukowiecka (5 mars 2026)

Votre banque refuse de vous rembourser après un phishing ou un spoofing, au motif que vous auriez été « gravement négligent » ? Vous pensez peut-être que c'est sans appel. Ce n'est pas le cas, et une affaire actuellement pendante devant la Cour de justice de l'Union européenne pourrait rendre ce raisonnement encore plus fragile, en posant un principe simple : la banque rembourse d'abord, et ne discute la négligence qu'ensuite.

Ce qu'il faut retenir

Depuis plusieurs années, le contentieux des opérations de paiement non autorisées est dominé par une question : une banque peut-elle refuser de rembourser immédiatement une victime de fraude en invoquant sa prétendue négligence grave ? Les conclusions présentées le 5 mars 2026 par l'avocat général Athanasios Rantos dans l'affaire C-70/25, Tukowiecka, pourraient bouleverser cette pratique. Si la Cour de justice les suit, elle consacrera un principe aux conséquences considérables : en présence d'une opération non autorisée, la banque doit rembourser immédiatement son client, quitte à engager ensuite une action pour récupérer les sommes si elle estime pouvoir démontrer une fraude ou une négligence grave. Autrement dit : rembourser d'abord, discuter ensuite. Pour les victimes cherchant à obtenir le remboursement d'une fraude bancaire, ce serait un renversement décisif du rapport de force.

Aujourd'hui, c'est la victime qui supporte tout le poids de la fraude

La question est loin d'être théorique. En pratique, de nombreux établissements opposent aux victimes de phishing, de spoofing téléphonique ou d'autres escroqueries numériques un refus de remboursement fondé sur l'idée que le client aurait commis une faute suffisamment grave pour perdre le bénéfice de la protection instaurée par la directive européenne sur les services de paiement (DSP2).

Les conséquences pour la victime sont lourdes, et c'est tout l'enjeu. Aujourd'hui, lorsqu'une banque refuse de rembourser, c'est au particulier, déjà floué, parfois de plusieurs dizaines de milliers d'euros, d'engager une procédure, d'avancer des frais, et d'attendre des mois, voire des années, qu'un juge tranche. Pendant tout ce temps, l'argent volé reste perdu pour lui. Le risque de la fraude, qui devrait peser sur le professionnel le mieux armé pour le prévenir, repose en réalité sur la personne la plus vulnérable. C'est précisément ce déséquilibre que l'affaire Tukowiecka pourrait corriger.

La confusion persistante entre les articles 73 et 74 de la DSP2

L'article 73 impose au prestataire de services de paiement de rembourser immédiatement une opération non autorisée. L'article 74 prévoit quant à lui que le payeur supporte les pertes lorsqu'elles résultent d'un comportement frauduleux ou d'une négligence grave de sa part.

Dans la pratique, ces deux mécanismes ont souvent été fusionnés. Les banques soutiennent fréquemment que la présence d'une négligence grave leur permet de refuser immédiatement tout remboursement, contraignant les victimes à engager une procédure judiciaire pour obtenir la restitution des fonds.

Les conclusions de l'avocat général Rantos rompent avec cette lecture. Selon lui, les deux textes poursuivent des fonctions distinctes : l'article 73 organise le remboursement immédiat, tandis que l'article 74 organise uniquement la répartition définitive des pertes. La conséquence est majeure : la négligence grave ne constituerait pas une exception au remboursement immédiat. Elle ne pourrait être discutée qu'après que la victime a retrouvé la disponibilité de ses fonds.

Une interprétation fidèle à l'objectif de protection de la DSP2

Cette analyse s'inscrit dans la logique protectrice qui irrigue l'ensemble de la réglementation européenne. L'objectif du législateur n'est pas seulement d'assurer une réparation théorique des victimes, mais de leur garantir une protection effective et rapide. Or permettre à une banque de suspendre le remboursement pendant plusieurs mois, voire plusieurs années, le temps qu'un juge statue sur une éventuelle négligence grave, reviendrait à priver le mécanisme de son efficacité. L'avocat général rappelle ainsi que l'effet utile de la directive suppose une restitution immédiate des fonds. Le débat relatif à la faute éventuelle du client n'est pas supprimé : il est simplement déplacé dans le temps.

Une charge de la preuve qui demeure entièrement supportée par la banque

Cette position s'articule parfaitement avec l'article 72 de la DSP2, transposé en droit français à l'article L. 133-23 du Code monétaire et financier. Ce texte impose au prestataire de démontrer que l'opération a été authentifiée, dûment enregistrée, et qu'elle n'a été affectée par aucune déficience technique. La charge de la preuve lui incombe intégralement. Plus important encore, l'utilisation des données de sécurité personnalisées ne suffit pas à établir que l'opération a été autorisée par le client, ni qu'il a agi avec négligence grave.

Depuis plusieurs années, la Cour de cassation rappelle régulièrement que la preuve de la négligence grave incombe à la banque. Les juridictions du fond suivent ce mouvement : récemment, le Tribunal judiciaire de Rennes a condamné BforBank en rappelant que la communication d'un code ne suffit pas à prouver la négligence grave, et le Tribunal judiciaire de Paris a condamné Louvre Banque Privée faute pour la banque de démontrer l'authentification forte. L'affaire Tukowiecka pousse cette logique jusqu'à son terme : si la négligence grave doit être prouvée par le prestataire, elle ne peut servir de motif préalable pour refuser le remboursement.

Concrètement, ce qui changerait pour vous, victime de fraude

C'est ici que la décision prend tout son sens pour vous. Si la CJUE consacre ce principe, votre situation en tant que victime serait transformée sur plusieurs points.

Le remboursement deviendrait la règle, et non l'exception arrachée au juge. Aujourd'hui, vous devez prouver, batailler, attendre. Demain, la banque devrait vous restituer les fonds d'abord. La charge de l'initiative judiciaire basculerait sur elle.

Le rapport de force s'inverserait. Ce ne serait plus à vous, victime déjà fragilisée, d'avancer les frais et le temps d'un procès pour récupérer votre propre argent. Ce serait à la banque, si elle s'y croit fondée, d'agir contre vous pour démontrer une véritable négligence grave, avec des preuves solides et non de simples affirmations.

Votre trésorerie serait préservée. Pour beaucoup de victimes, l'attente du remboursement est une double peine : la perte de l'argent, et l'impossibilité de faire face aux dépenses courantes pendant la procédure. Le remboursement immédiat mettrait fin à cette situation.

Attention toutefois : ce principe n'est pas encore le droit applicable. Il s'agit pour l'instant de conclusions d'un avocat général, qui ne lient pas la Cour. Cela ne signifie pas qu'il faut attendre : dès aujourd'hui, le droit positif vous protège déjà bien plus que ce que les banques laissent entendre. La charge de la preuve leur incombe déjà. De nombreuses victimes renoncent à tort, persuadées qu'un refus de leur banque est définitif. Il ne l'est pas.

Pourquoi il ne faut pas renoncer face à un refus

Beaucoup de victimes abandonnent dès le premier refus de la banque. C'est compréhensible : on se sent souvent honteux d'avoir été trompé, et l'idée d'affronter son établissement bancaire paraît décourageante. Pourtant, c'est précisément ce renoncement que les pratiques actuelles exploitent.

Le refus opposé par une banque n'est pas une décision de justice. C'est une position unilatérale, prise par une partie qui a tout intérêt à ne pas rembourser. Or cette position est de plus en plus fréquemment démentie par les tribunaux, qui rappellent que la charge de la preuve pèse sur la banque et que l'authentification technique ne vaut pas consentement. Les victimes qui font valoir leurs droits obtiennent, dans bien des cas, gain de cause.

Faire valoir ses droits, ce n'est pas un acte de défiance : c'est l'exercice normal d'une protection que le droit européen et français vous accorde. Et l'évolution en cours, illustrée par l'affaire Tukowiecka, ne fait que renforcer cette légitimité.

Des conséquences procédurales potentiellement considérables

Si la CJUE adopte cette solution, les moyens de défense habituellement invoqués par les banques dans les contentieux de phishing ou de spoofing perdraient une grande partie de leur efficacité au stade de la demande en remboursement. Le débat judiciaire se déplacerait vers une seconde phase : celle de l'éventuelle action récursoire exercée par le prestataire contre son client.

Cette évolution soulève déjà plusieurs interrogations, qui restent ouvertes :

• la banque pourra-t-elle former immédiatement une demande reconventionnelle fondée sur la négligence grave ?

• son action sera-t-elle recevable avant même d'avoir exécuté son obligation de remboursement ?

• pourra-t-elle invoquer la compensation légale entre sa créance alléguée et sa dette de remboursement ?

Ces questions témoignent du bouleversement procédural que pourrait provoquer l'arrêt à intervenir.

Une évolution cohérente avec la future réforme DSP3/PSR

L'intérêt de ces conclusions est renforcé par le contexte européen. L'accord politique intervenu sur la future DSP3 et sur le règlement relatif aux services de paiement (PSR) révèle une volonté claire de renforcer la protection des victimes. Le futur cadre étendra les mécanismes d'indemnisation, renforcera les obligations de prévention pesant sur les établissements, développera la responsabilité des prestataires recevant les fonds frauduleux et imposera de nouveaux dispositifs de vérification des bénéficiaires. L'ensemble traduit un déplacement progressif du débat : l'accent n'est plus mis sur la recherche systématique d'une faute du client, mais sur la capacité des professionnels à prévenir, détecter et bloquer les opérations frauduleuses.

Vers la fin du contentieux de la négligence grave ?

Il serait excessif d'affirmer que la notion de négligence grave est appelée à disparaître. Elle conservera un rôle essentiel dans la répartition finale des pertes entre la banque et son client. Mais elle pourrait cesser d'être utilisée comme un instrument permettant de refuser immédiatement et systématiquement toute indemnisation.

Si la CJUE suit les conclusions de l'avocat général Rantos, une étape décisive sera franchie en faveur de la protection des victimes. Le contentieux ne portera plus prioritairement sur la question de savoir si la banque doit rembourser : cette obligation deviendra la règle. Le débat se concentrera ensuite sur une autre question : la banque est-elle en mesure de démontrer, avec des preuves suffisamment solides, que son client a effectivement commis une fraude ou une négligence grave justifiant qu'il supporte finalement la perte ? Pour les victimes de phishing et de spoofing comme pour les praticiens, l'arrêt attendu dans l'affaire Tukowiecka pourrait marquer l'émergence d'un nouveau principe directeur : le remboursement immédiat comme préalable incontournable à toute discussion sur la responsabilité du payeur.

Questions fréquentes

Qu'est-ce que le principe « rembourser d'abord, discuter ensuite » ?C'est l'idée, défendue par l'avocat général dans l'affaire Tukowiecka, selon laquelle la banque doit d'abord rembourser une opération non autorisée, et ne peut discuter d'une éventuelle négligence grave du client qu'après cette restitution. La négligence ne serait plus un motif pour refuser le remboursement initial.

Cette décision est-elle déjà applicable ?Non. À ce stade, il s'agit des conclusions d'un avocat général, présentées le 5 mars 2026. Elles ne lient pas la Cour de justice de l'Union européenne, qui rendra son arrêt ultérieurement. La CJUE suit toutefois fréquemment les conclusions de ses avocats généraux. En attendant, le droit actuel protège déjà les victimes : la charge de la preuve de la négligence grave pèse sur la banque.

Mon refus de remboursement est-il définitif ?Non. Le refus d'une banque n'est pas une décision de justice, mais une position unilatérale. De nombreuses victimes obtiennent gain de cause en la contestant, car les tribunaux rappellent régulièrement que c'est à la banque de prouver la négligence grave.

Sur qui pèse la charge de la preuve de la négligence grave ?Sur la banque, exclusivement (article L. 133-23 du Code monétaire et financier). L'utilisation des données de sécurité personnalisées ne suffit pas à prouver que le client a autorisé l'opération ou commis une négligence grave.

Qu'est-ce que la DSP3 va changer ?La future directive DSP3 et le règlement PSR visent à renforcer la protection des victimes : extension des mécanismes d'indemnisation, obligations de prévention accrues pour les banques, responsabilité des prestataires recevant les fonds frauduleux et vérification des bénéficiaires.

Victime d'un refus de remboursement après une fraude ?

Un refus fondé sur la « négligence grave » n'est ni automatique ni définitif, et l'évolution du droit européen ne fait que renforcer votre position. Si votre banque refuse de vous rembourser après un phishing ou un spoofing, découvrez comment contester ce refus. Nos avocats analysent votre dossier et vous exposent vos recours lors d'une première consultation.

Contactez gratuitement le Cabinet