Cour de justice de l'UE : après un hameçonnage, la banque rembourse d'abord et discute ensuite de la « négligence grave » du client. Que faire en France si de l'argent quitte la carte ou le compte, et les délais qui s'appliquent

Ce qui s'est passé

Le 2 novembre 2026, Service-public.gouv.fr a publié une explication d'un arrêt de la Cour de justice de l'Union européenne (CJUE) du 15 octobre 2026 sur le remboursement des victimes d'hameçonnage.

L'affaire vient de Pologne. Une femme vendait un objet sur une place de marché en ligne. Un faux acheteur lui a envoyé un lien qui ressemblait à celui de la place de marché et qui menait à une fausse copie du site de sa banque, où elle a saisi son identifiant de banque en ligne. Le fraudeur a transféré environ 700 € (3 000 zlotys) vers son propre compte, en obtenant le code de confirmation par SMS via la même fausse page. Elle a signalé la fraude à sa banque et à la police le lendemain. La banque a refusé de la rembourser, en invoquant une négligence grave de sa part et un manquement à l'obligation de garder en sécurité son instrument de paiement.

Ce que la Cour a décidé

Selon Service-public, la Cour s'est appuyée sur la directive européenne sur les services de paiement (2015/2366) :

• la banque doit rembourser une opération non autorisée dès qu'elle en a connaissance, et au plus tard à la fin du jour ouvrable suivant. La négligence grave du client ne figure pas parmi les motifs de refus ;
• la banque peut faire supporter la perte au client, mais seulement après avoir remboursé. L'exception est un soupçon sérieux que le client est lui-même le fraudeur, que la banque doit justifier par écrit auprès de l'autorité de contrôle nationale ;
• c'est à la banque de prouver la négligence grave, devant un tribunal, si elle décide de réclamer l'argent.

En bref : rembourser d'abord, discuter ensuite. En droit français, le remboursement immédiat d'une opération non autorisée est prévu à l'article L133-18 du Code monétaire et financier, que cite l'Institut national de la consommation (INC).

La réserve essentielle : les opérations « non autorisées »

L'arrêt couvre les opérations auxquelles le payeur n'a pas consenti : un fraudeur a eu accès à la carte ou au compte et a pris l'argent. Il ne couvre pas la fraude dite « autorisée », où la victime effectue elle-même le virement sous la pression, par exemple d'un faux « conseiller bancaire ». Il faut garder cette distinction à l'esprit dès la première minute : elle détermine les règles sur lesquelles on peut s'appuyer.

Que faire si de l'argent est parti

Les étapes ci-dessous suivent la page F34800 de Service-public et l'INC :

1. Faire opposition immédiatement : par le numéro de la banque ou par le serveur interbancaire 0892 705 705 (0,35 € par minute plus le prix de l'appel). L'INC recommande ensuite de confirmer l'opposition par lettre recommandée avec accusé de réception, en indiquant le numéro de référence de l'opposition.
2. Contester les opérations auprès de la banque et demander le remboursement. Conserver le numéro de référence.
3. Conserver les preuves : le message lui-même, une capture d'écran du faux site, le numéro de téléphone, l'adresse de la page.
4. Signaler sur la plateforme Perceval (via service-public.fr, en se connectant avec FranceConnect) si les coordonnées de la carte ont été utilisées à l'insu du titulaire. La plateforme délivre un récépissé à joindre à la demande de remboursement adressée à la banque. Perceval ne traite pas le vol de la carte physique.
5. Déposer plainte dans un commissariat ou une gendarmerie, ou par écrit auprès du procureur de la République.
6. Vérifier les autres comptes en ligne, changer les mots de passe et activer l'authentification à deux facteurs.

Les tentatives d'hameçonnage par SMS ou par appel sur un téléphone mobile peuvent être signalées au 33 700 ; les courriels suspects à Signal Spam ; les liens suspects à Phishing Initiative.

Les délais en France

Selon l'INC (articles L133-18, L133-23 et L133-24 du Code monétaire et financier) :

• il faut agir « sans tarder » dès la découverte de l'opération, et au plus tard 13 mois après le débit pour les paiements au sein de l'Espace économique européen. Pour un paiement hors de cet espace, la limite est de 70 jours, qu'un contrat peut porter à 120 ;
• la banque doit rembourser non seulement le montant, mais aussi les frais liés, y compris les intérêts débiteurs et les frais d'incident de paiement ;
• si le client, volontairement ou par négligence grave, n'a pas respecté ses obligations, il peut n'y avoir aucun remboursement, mais c'est à la banque de le prouver. L'INC donne un exemple : en 2020, la Cour de cassation a jugé que répondre à un courriel présentant des signes évidents de falsification constituait une négligence grave ;

Une erreur courante consiste à attendre que la banque « règle le problème », ou à ne pas contester du tout une opération en supposant que sa propre faute exclut un remboursement. L'arrêt européen dit précisément qu'une telle faute ne permet pas, à elle seule, à la banque de retenir le remboursement. Ce sont des règles générales, et non une appréciation d'une situation individuelle ; en cas de litige, un avocat ou une association de consommateurs peut aider.

Contexte

Pour les personnes arrivées récemment, le risque est plus élevé : les messages sur un « remboursement », un « paiement urgent », un « problème de livraison de colis » ou une « alerte de sécurité du compte » arrivent dans une langue qu'elles sont encore en train de découvrir, ce qui rend les faux plus difficiles à repérer. Le conseil de Service-public est simple : ne pas cliquer sur les liens, et ne pas communiquer d'informations personnelles ou bancaires en réponse à un message inattendu.