CJUE : les banques doivent rembourser un paiement non autorisé, même après négligence grave

La Cour de justice de l'Union européenne (CJUE) a jugé le 15 octobre 2026 qu'une banque ne peut pas refuser de rembourser immédiatement un paiement non autorisé au motif que son client a commis une négligence grave, une décision qui concerne potentiellement les victimes d'hameçonnage dans toute l'Union.

Que dit exactement l'arrêt de la CJUE ?

Selon 01net, qui cite l'arrêt, « un prestataire de services de paiement ne peut pas refuser de rembourser immédiatement à un payeur le montant d'une opération de paiement non autorisée, au motif que ce payeur aurait rendu possible cette opération par une négligence grave ». La banque doit rembourser au plus tard à la fin du premier jour ouvrable suivant celui où elle a été informée.

D'où vient cette affaire ?

L'arrêt répond à la situation d'une Polonaise tombée dans un hameçonnage : elle avait saisi ses identifiants bancaires sur un faux site et perdu environ 700 euros. Sa banque avait refusé de la rembourser en invoquant une négligence grave. La Cour a été amenée à préciser les obligations des banques dans ce type de cas.

Quelles sont les deux exceptions ?

• La banque peut refuser le remboursement si elle a « des motifs raisonnables de soupçonner une fraude de la part du client lui-même ».

• La banque peut réclamer la somme après coup si une négligence grave est avérée. C'est à elle d'étayer ses soupçons ou de prouver cette négligence.

Autrement dit, la banque rembourse d'abord et discute ensuite, au lieu de faire attendre la victime.

Ce que l'arrêt ne règle pas

Plusieurs points restent ouverts. D'abord, l'arrêt ne vise pas explicitement les arnaques : il porte sur les paiements « non autorisés », et c'est en l'appliquant à l'hameçonnage qu'il intéresse les victimes. Ensuite, la frontière de la négligence grave n'est pas tracée, puisque 01net note qu'il reste à définir à partir de quel moment elle est constituée. Enfin, nous n'avons pas de donnée sur la façon dont les banques françaises appliqueront la décision, ni sur le calendrier.

Les refus fondés sur la négligence grave existent en France : 01net cite le cas de BNP Paribas, qui a refusé de rembourser une cliente victime de SIM swapping (détournement de sa ligne mobile), estimant que les opérations avaient été authentifiées par une clé digitale. Pour comprendre les kits qui alimentent ces fraudes, voir notre article sur le démantèlement de kits de phishing par Microsoft.

Source

01net : Arnaques en ligne, les banques devront désormais rembourser les victimes, même en cas de négligence grave, 18 octobre 2026. Source primaire citée : l'arrêt de la Cour de justice de l'Union européenne du 15 octobre 2026.