La Cour de justice a tranché : la négligence grave du client ne dispense pas le prestataire de services de paiement du remboursement immédiat du montant d’une opération de paiement non autorisée. Le prestataire de services de paiement peut toutefois réclamer ultérieurement au client le remboursement des pertes résultant d’une négligence grave de sa part
Les faits : une victime de phishing à qui sa banque refuse le remboursement
Une cliente d’une banque polonaise a été victime d’une fraude par hameçonnage : un tiers s’est présenté comme étant intéressé par l’achat d’un objet qu’elle vendait sur une plateforme de vente en ligne. Il lui a transmis un lien frauduleux présenté comme provenant de cette plateforme et destiné à confirmer la vente. Trompée, elle a suivi ce lien vers un site Internet reproduisant l’apparence de celui de sa banque et y a introduit ses données de connexion au service de banque en ligne. À l’aide de ces données, ce tiers a pu transférer depuis le compte bancaire de la cliente vers un compte qu’il détenait un montant équivalant à environ 700 euros.
Le lendemain, la cliente a signalé l’opération frauduleuse à sa banque. Celle-ci a néanmoins refusé de rembourser le montant de l’opération de paiement non autorisée, estimant que la cliente avait, par négligence grave, rendu cette opération possible en manquant à son obligation de préserver ses données de sécurité personnalisées.
La question posée à la Cour de justice de l’Union européenne : rembourser d’abord ? ou attendre ?
À la suite de ce refus, la cliente a saisi une juridiction polonaise, qui demande à la Cour de justice si, au regard du droit de l’Union, la banque, en tant que prestataire de services de paiement, est obligée de rembourser immédiatement le montant d’une opération non autorisée, même si elle considère que le client a commis une négligence grave.
Dans son arrêt, la Cour répond par l’affirmative.
Point 52 de l’arrêt : « Eu regard à l’ensemble des considérations qui précèdent, il convient de répondre à la question préjudicielle que l’article 73, paragraphe 1, et l’article 74, paragraphe 1, de la directive 2015/2366 doivent être interprétés en ce sens qu’un prestataire de services de paiement ne peut pas refuser de rembourser immédiatement à un payeur le montant d’une opération de paiement non autorisée, au motif que ce payeur aurait rendu possible cette opération par une négligence grave, en violation des obligations qui lui incombent en vertu de l’article 69 de cette directive. »
Opération de paiement non autorisée : le principe du remboursement immédiat
En cas d’opération de paiement non autorisée, le prestataire de services de paiement est, en principe, tenu de rembourser immédiatement le montant de cette opération, et au plus tard à la fin du premier jour ouvrable suivant celui où il en a pris connaissance ou en a été informé, à condition que le client en informe sans retard injustifié ce prestataire de services de paiement. Une seule exception est prévue ⁴ à cette obligation de remboursement immédiat : lorsque le prestataire de services de paiement a de bonnes raisons de soupçonner une fraude commise par le client et communique ces raisons par écrit à l’autorité nationale compétente.
Point 31 de l’arrêt : « Ainsi, il ressort, premièrement, du libellé de l’article 73, paragraphe 1, de cette directive que, en principe, le prestataire de services de paiement du payeur rembourse à celui-ci le montant d’une opération de paiement non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant. »
Point 32 : « Cette obligation de remboursement s’applique « sans préjudice de l’article 71 » de ladite directive, dont le paragraphe 1 prévoit que l’utilisateur de services de paiement n’obtient du prestataire de services de paiement la correction d’une opération de paiement non autorisée ou mal exécutée que si celui-ci en informe sans retard injustifié le prestataire de services de paiement. »
Point 33 : « En outre, il importe de souligner que le libellé de l’article 73, paragraphe 1, de la même directive ne prévoit qu’une seule exception à l’obligation de remboursement immédiat, à savoir l’hypothèse selon laquelle le prestataire de services de paiement a de bonnes raisons de soupçonner une fraude et s’il communique ces raisons par écrit à l’autorité nationale concernée. »
Point 39 : « S’agissant, en deuxième lieu, du contexte dans lequel s’inscrivent les articles 73 et 74 de la directive 2015/2366, il y a lieu, d’une part, de souligner que le considérant 71 de celle-ci vise l’hypothèse dans laquelle le prestataire de services de paiement a des motifs raisonnables de soupçonner l’existence d’une fraude commise par l’utilisateur des services de paiement et communique, par écrit, les raisons objectives fondant ces soupçons à l’autorité nationale compétente. Ce considérant 71 semble conforter l’interprétation selon laquelle la seule exception à l’obligation du remboursement immédiat est celle expressément prévue à l’article 73, paragraphe 1, de cette directive. »
La négligence grave du client ne permet pas à la banque de refuser le remboursement
Le fait que le prestataire de services de paiement estime que le client a rendu possible l’opération non autorisée en raison d’une négligence grave – notamment en ne prenant pas les mesures nécessaires pour protéger ses données de sécurité personnalisées – ne lui permet pas de refuser le remboursement immédiat.
Point 34 de l’arrêt : « Il s’ensuit que l’article 73, paragraphe 1, de la directive 2015/2366 ne prévoit aucune exception à l’obligation de remboursement immédiat en cas de suspicion que le payeur a rendu possible une opération de paiement non autorisée par une négligence grave, en violation des obligations qui lui incombent en vertu de l’article 69 de cette directive. »
Point 47 : « Il s’ensuit que les objectifs poursuivis par la directive 2015/2366 corroborent l’interprétation selon laquelle la circonstance que le prestataire de services de paiement estime que le payeur a manqué, à la suite d’une négligence grave, aux obligations qui lui incombent en vertu de l’article 69 de cette directive ne saurait avoir pour effet de le dispenser de l’obligation de remboursement immédiat prévue à l’article 73, paragraphe 1, de celle-ci. »
Remboursement et responsabilité : deux questions distinctes
Le droit de l’Union permet en effet de distinguer la question du remboursement du montant de l’opération de paiement non autorisée de celle de savoir qui doit, en définitive, supporter les pertes liées à une telle opération.
Point 37 de l’arrêt : « En définissant leurs droits et obligations respectifs, les articles 73 et 74 de ladite directive procèdent ainsi à une répartition du risque entre le prestataire de services de paiement et le payeur. »
Point 38 : « En ce qui concerne l’articulation entre les obligations prévues, respectivement, aux articles 73 et 74 de la directive 2015/2366, il convient de constater que le libellé de l’article 74, paragraphe 1, de cette directive ne permet pas de déterminer de manière univoque la portée de la dérogation y prévue. Selon une première interprétation, elle affecte l’obligation de remboursement immédiat, prévue à l’article 73, paragraphe 1, de ladite directive, au cas où le payeur a manqué, à la suite d’une négligence grave, aux obligations qui lui incombent en vertu de l’article 69 de celle-ci. Selon une seconde interprétation, cette dérogation ne porte que sur le caractère définitif du remboursement, le prestataire de services de paiement étant tenu de procéder, dans un premier temps, à ce remboursement immédiat avant de pouvoir, le cas échéant, dans un second temps, réclamer au payeur le remboursement des pertes liées à des opérations non autorisées par les voies de droit prévues à cet effet. »
Point 42 : « Il résulte ainsi des considérations exposées aux points 39 à 41 du présent arrêt que l’examen du contexte dans lequel s’inscrivent les articles 73 et 74 de cette directive corrobore l’interprétation selon laquelle ces articles 73 et 74 régissent des aspects distincts de la procédure de remboursement du montant d’opérations de paiement non autorisées en ce sens que l’article 73 de ladite directive impose au prestataire de services de paiement une obligation de remboursement immédiat de ce montant, alors que l’article 74 de celle-ci encadre la répartition de la responsabilité entre ce prestataire et le payeur à un stade ultérieur, tel que cela ressort du mécanisme décrit au point 38 du présent arrêt. »
Rembourser d’abord, réclamer ensuite : la preuve de la négligence grave pèse sur la banque
Ainsi, dans un premier temps, le prestataire de services de paiement est tenu de procéder au remboursement immédiat. Dans un second temps, il peut, le cas échéant, réclamer au client le remboursement des pertes occasionnées s’il établit que celles-ci résultent du fait que le client a, intentionnellement ou par négligence grave, manqué aux obligations qui lui incombent, notamment celle de préserver la sécurité de ses données de sécurité personnalisées. Il appartient au prestataire de services de paiement de prouver l’existence d’une telle négligence grave du client.
Point 35 de l’arrêt : « S’agissant, deuxièmement, de l’article 74, paragraphe 1, de la directive 2015/2366, ses deux premiers alinéas permettent aux États membres, par dérogation, de faire supporter au payeur, jusqu’à concurrence de 50 euros, les pertes liées à toute opération non autorisée consécutive à la perte, au vol ou au détournement d’un instrument de paiement, sauf si ces agissements ne pouvaient être détectés par le payeur avant le paiement. Son troisième alinéa prévoit que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou du fait qu’il n’a pas satisfait, intentionnellement ou à la suite d’une négligence grave, à une ou à plusieurs des obligations qui lui incombent en vertu de l’article 69 de cette directive. Parmi ces obligations figure, notamment, celle, visée au paragraphe 2 de cet article 69, consistant à prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. »
Point 46 : « En revanche, une interprétation de l’article 74, paragraphe 1, de la directive 2015/2366 en ce sens qu’il n’exonère pas le prestataire de services de paiement de son obligation de procéder au remboursement immédiat est conforme à l’objectif de garantir un niveau élevé de protection des consommateurs. Cette interprétation ne fait pas obstacle à ce que le prestataire de services de paiement réclame ultérieurement au payeur, dans les conditions prévues à l’article 74, paragraphe 1, de cette directive, le remboursement des pertes liées à des opérations de paiement non autorisées lorsque celles-ci résultent d’un manquement, à la suite d’une négligence grave du payeur, aux obligations qui incombent au payeur en vertu de l’article 69 de ladite directive. »
Point 40 : « D’autre part, il importe de rappeler que, dans le cadre de la répartition de la charge de la preuve, l’article 72, paragraphe 2, de ladite directive met à la charge du prestataire de services de paiement la preuve de la négligence grave du payeur. Cette répartition de la charge de la preuve reflète l’économie générale du régime instauré par les articles 73 et 74 de la même directive, qui consiste à renforcer la protection conférée au payeur en cas d’opérations de paiement non autorisées. »
Un niveau élevé de protection des consommateurs
Cette approche est conforme à l’objectif visant à garantir un niveau élevé de protection des consommateurs. Permettre au prestataire de services de paiement de refuser d’emblée le remboursement en invoquant une négligence grave du client priverait d’effet utile l’obligation de remboursement immédiat et contraindrait le client à prendre lui-même l’initiative d’une procédure pour faire valoir son droit, avec les coûts et les inconvénients que cela peut entraîner.
Point 44 de l’arrêt : « Ainsi, cette directive vise, comme l’énonce son considérant 6, à garantir un niveau élevé de protection des consommateurs (voir, en ce sens, arrêts du 11 novembre 2020, DenizBank, C-287/19, EU:C:2020:897, point 102, et du 11 juillet 2024, Eurobank Bulgaria, C-409/22, EU:C:2024:600, point 79 ainsi que jurisprudence citée). »
Point 45 : « Or, une interprétation de l’article 74, paragraphe 1, de la directive 2015/2366 en ce sens qu’il exonère le prestataire de services de paiement de son obligation de procéder au remboursement immédiat, telle que prévue à l’article 73, paragraphe 1, de cette directive, lorsque le payeur a manqué, à la suite d’une négligence grave, aux obligations qui lui incombent en vertu de l’article 69 de celle-ci, aurait pour conséquence non seulement de priver d’effet utile l’obligation de remboursement immédiat au payeur, mais également de contraindre l’utilisateur à prendre l’initiative de faire valoir son droit, le cas échéant, devant les juridictions compétentes et à supporter les inconvénients qui en résultent, notamment les éventuels frais de procédure. Or, une telle répartition des responsabilités et des risques au détriment du payeur s’avère difficilement conciliable avec l’objectif consistant à garantir un niveau élevé de protection des consommateurs, tel que rappelé au point précédent du présent arrêt. »
Ce que ça change concrètement : une révolution
Jusqu’ici, les banques avaient une lecture erronée de la loi. : pour elles, la négligence grave du client les autorisait à refuser le remboursement.
Concrètement, cela signifie que le client, victime d’hameçonnage, signalait l’opération, et la banque lui répondait qu’il avait été gravement négligent et qu’elle ne le rembourserait pas. La victime, déjà dépouillée, devait alors choisir entre renoncer … ou attaquer sa banque en justice, à ses frais et à ses risques. Le plus souvent, la victime renonçait et cela permettait à la banque de s’en sortir sans rien débourser.
C’est terminé. La Cour, qui suit l’avis l’avocat général Rantos (voir notre analyse de son avis), fait clairement une distinction nette :
- La banque soupçonne son client de fraude La banque peut refuser le remboursement immédiat, à condition de communiquer par écrit le dossier à l’autorité nationale. Elle ne peut pas invoquer la fraude à la légère : il lui faut désormais assumer cette accusation devant une autorité.
- La banque soupçonne son client de négligence grave La banque doit rembourser d’abord, au plus tard à la fin du premier jour ouvrable suivant. Elle peut agir ensuite, si elle le souhaite, pour réclamer les pertes à son client, à charge pour elle – en tant que demandeur en justice – de démontrer la négligence grave.
C’est un renversement complet du rapport de force.
Les conséquences sont considérables. Chaque dossier que la banque voudra récupérer lui coûtera une démarche, des frais et une preuve à rapporter. Elle devra trier, choisir, et renoncer à poursuivre les dossiers où la négligence grave n’est pas solidement établie. La stratégie du refus systématique, dissuasive et redoutablement efficace, vole en éclats.
Ce qui ne change pas : le client gravement négligent reste responsable de ses pertes, et la question de savoir ce qu’est une négligence grave reste entière. Mais cette question se posera désormais après le remboursement, et non plus avant, et c’est à la banque, demanderesse, d’établir la négligence alléguée. Autre chose ne change pas : l’obligation du client d’avertir sa banque sans retard injustifié (voir notre guide pratique).
On attend maintenant la réaction des banques …
Annexes
arret de la cour
file_download Télécharger l'annexe
Vous avez besoin d'un avis personnalisé
ou d'une aide juridique ?
