En cas d’arnaque par phishing, la banque doit rembourser d’abord, selon la justice européenne

La Cour de justice de l’Union européenne a jugé  qu’une banque ne peut plus refuser de rembourser une victime de phishing en invoquant sa négligence grave. Elle rembourse d’abord.

La Cour de justice de l’Union européenne a tranché le 15 octobre 2026, dans l’affaire C-70/25 dite Tukowiecka. Une banque ne peut plus refuser de rembourser une victime de phishing au motif qu’elle aurait commis une négligence grave. Elle doit d’abord rendre l’argent, puis, si elle l’estime, en discuter ensuite. Pour les victimes d’hameçonnage, la décision renverse une pratique bien installée.

Une affaire banale à l’origine de la décision

Le litige venait de Pologne, mais il aurait pu se produire n’importe où en Europe. Une femme met un objet en vente sur un site d’enchères. Un prétendu acheteur lui transmet un lien censé confirmer la vente. Elle atterrit sur une page identique à celle de sa banque, y saisit ses codes, puis valide le code reçu par SMS. Le fraudeur vide alors environ 700 euros de son compte. Le lendemain, elle prévient sa banque et la police, qui refusent de la rembourser en invoquant une négligence grave.

La juridiction polonaise a alors interrogé la Cour de justice : une banque peut-elle trancher elle-même, et refuser le remboursement immédiat prévu par l’article 73 de la directive sur les services de paiement, en se fondant sur la négligence de son client ?

La réponse de la Cour est non.

VOIR AUSSI : 6 arnaques à l’IA que tout le monde devrait connaître

Rembourser d’abord, discuter ensuite

Le raisonnement suivi est simple. Lorsqu’une somme quitte un compte sans l’accord de son titulaire, la banque doit la restituer immédiatement, au plus tard à la fin du jour ouvrable qui suit le signalement. Estimer que la victime a été trop crédule ne suffit pas à bloquer ce remboursement.

Il n’existe qu’une seule exception. Si la banque soupçonne sérieusement le client d’être lui-même le fraudeur, elle peut suspendre le paiement, à condition d’en informer les autorités par écrit. En dehors de ce cas, la négligence grave ne disparaît pas, mais elle change de place dans la procédure. Elle ne sert plus à refuser le remboursement, elle se discute après. Si la banque juge que son client a réellement manqué de prudence, elle peut lui réclamer la somme, à condition d’en prendre l’initiative et d’apporter la preuve.

La Cour justifie ce renversement en expliquant pourquoi la solution inverse serait inacceptable. Laisser la banque décider seule priverait la règle de tout effet, car la victime serait contrainte d’engager un procès, d’en avancer les frais et d’en supporter les aléas. Jusque-là, ce n’étaient jamais les banques qui poursuivaient leurs clients pour négligence grave, mais toujours les clients qui devaient poursuivre leur banque. La Cour précise aussi que les services de médiation restent utiles sans constituer un passage obligé avant de récupérer son argent.

Ce qui change pour les victimes et les banques

Pour une victime, la marche à suivre devient encore plus claire. Dès qu’une opération non autorisée apparaît sur le compte, il faut bloquer ses accès et prévenir sa banque par écrit sans attendre, déposer plainte, et conserver toutes les traces, messages, liens et captures d’écran. Si la banque refuse de rembourser en invoquant l’imprudence du client, elle se place à l’encontre de la plus haute juridiction européenne, dont la décision s’impose à tous les juges nationaux. Un courrier le rappelant devrait souvent suffire, à défaut de quoi un juge peut être saisi en urgence.

Pour les banques, le calcul change également. Jusqu’ici, refuser ne coûtait presque rien, puisque la plupart des victimes renonçaient. Désormais, l’établissement doit payer d’abord, puis plaider s’il pense avoir de bons arguments. Le coût et la durée du procès pèsent ainsi sur la partie la mieux armée pour les assumer.

Cependant, ceci ne concerne que les opérations effectuées par le fraudeur lui-même à l’aide de codes dérobés. Un autre cas n’entre pas dans ce cadre : celui où la victime exécute elle-même un virement, convaincue au téléphone par un faux conseiller ou un faux policier.