Fraudes en ligne et paiements non autorisés : le remboursement de la banque doit être immédiat, même en cas de prétendue négligence grave du client
La multiplication des fraudes en ligne a entraîné une augmentation des litiges concernant les virements, les retraits d’espèces et les paiements effectués au moyen d’identifiants obtenus par des techniques de phishing, de smishing ou de vishing.
Dans ce contexte, l’arrêt de la Cour de justice de l’Union européenne mentionné dans l’article examiné — affaire C-70/25 — apporte une précision importante : le prestataire de services de paiement ne peut pas refuser le remboursement immédiat d’une opération de paiement non autorisée au seul motif qu’il considère que le client a agi avec une négligence grave.
La négligence grave peut être pertinente, mais à un stade ultérieur et selon une logique distincte de celle qui régit le remboursement initial.
Le principe : le remboursement d’abord, la détermination définitive de la responsabilité ensuite
L’article 73 de la directive sur les services de paiement, ou PSD2, prévoit qu’en cas d’opération de paiement non autorisée, le prestataire de services de paiement doit rembourser au payeur le montant de l’opération « immédiatement et, en tout état de cause, au plus tard à la fin du premier jour ouvrable suivant » celui où il a constaté l’opération ou en a été informé.
Le droit de l’Union ne prévoit qu’une seule exception : le prestataire peut suspendre le remboursement lorsqu’il dispose de raisons valables de soupçonner une fraude commise par le client et qu’il communique ces raisons par écrit à l’autorité nationale compétente.
Le droit italien transpose cette règle à l’article 11 du décret législatif n° 11 de 2010. Le prestataire doit rembourser le montant de l’opération non autorisée « immédiatement et, en tout état de cause, au plus tard à la fin du jour ouvrable suivant » celui où il prend connaissance de l’opération ou reçoit la notification correspondante. Le compte doit également être rétabli dans l’état où il se serait trouvé si l’opération n’avait pas été exécutée.
La conséquence systémique est importante : la banque ne peut pas transformer la phase du remboursement en une appréciation préalable du comportement du client. L’allégation de négligence grave ne supprime pas, à elle seule, l’obligation de rembourser immédiatement.
Cela ne signifie toutefois pas que le client soit toujours et définitivement libéré de la perte. Le système distingue deux questions :
le droit du client à obtenir rapidement le remboursement ;
la détermination, à un stade ultérieur, de la partie qui devra finalement supporter la perte.
Le prestataire peut donc rembourser le client et demander ensuite la restitution de la somme s’il prouve que l’opération a été rendue possible par un comportement intentionnel ou gravement négligent de l’utilisateur.
Le remboursement immédiat ne constitue pas une détermination définitive de la responsabilité
La distinction entre remboursement et responsabilité définitive est déjà cohérente avec la structure du droit italien.
L’article 11, paragraphe 3, du décret législatif n° 11 de 2010 prévoit que le remboursement n’empêche pas le prestataire de démontrer ultérieurement que l’opération de paiement avait été autorisée. Dans ce cas, le prestataire peut demander directement à l’utilisateur la restitution du montant remboursé.
Le mécanisme ne fait donc pas peser automatiquement et définitivement la responsabilité sur la banque pour chaque opération contestée. Il empêche toutefois que le risque financier soit initialement transféré au client par un refus unilatéral de remboursement.
Cette solution répond à un objectif clair de protection : s’il suffisait à la banque d’affirmer qu’elle soupçonne une négligence grave, le client serait contraint d’engager une procédure judiciaire pour obtenir ce que la loi lui accorde immédiatement. L’obligation de remboursement perdrait ainsi une grande partie de son efficacité.
L’utilisation des identifiants ne prouve pas, à elle seule, l’autorisation
L’un des aspects les plus importants du cadre réglementaire concerne la charge de la preuve.
En vertu de l’article 10 du décret législatif n° 11 de 2010, lorsque l’utilisateur nie avoir autorisé une opération, le prestataire doit prouver que l’opération a été authentifiée, correctement enregistrée et comptabilisée, et qu’elle n’a pas été affectée par un dysfonctionnement ou une autre défaillance.
La même disposition précise que la simple utilisation de l’instrument de paiement enregistrée par le prestataire ne suffit pas nécessairement, à elle seule, à démontrer que l’opération a été autorisée par l’utilisateur ou que celui-ci a agi frauduleusement, intentionnellement ou avec une négligence grave. La preuve de ces circonstances incombe également au prestataire.
La distinction est fondamentale :
l’authentification démontre que la procédure technique prévue par le système a été utilisée ;
l’autorisation concerne le consentement réel de l’utilisateur ;
la négligence grave consiste en une violation qualifiée des obligations de conservation et d’utilisation de l’instrument de paiement.
Un virement effectué après la saisie d’un nom d’utilisateur, d’un mot de passe et d’un mot de passe à usage unique peut être techniquement authentifié sans avoir été effectivement autorisé par le titulaire du compte. C’est précisément ce qui se produit dans les fraudes fondées sur la manipulation de l’utilisateur, lorsque le client est incité à communiquer ses données à une personne se présentant faussement comme une banque, une plateforme de vente en ligne ou un service antifraude.
Les obligations du client et la portée de la négligence grave
L’utilisateur doit utiliser l’instrument de paiement conformément aux conditions contractuelles et prendre toutes les mesures raisonnables pour protéger ses identifiants de sécurité personnalisés. Il doit également signaler sans délai au prestataire la perte, le vol, le détournement ou l’utilisation non autorisée de l’instrument.
Ces obligations sont prévues par l’article 7 du décret législatif n° 11 de 2010.
La violation intentionnelle ou gravement négligente de ces obligations peut conduire à faire supporter au client l’intégralité de la perte. L’article 12 du décret législatif n° 11 de 2010 prévoit en effet qu’en cas de fraude, d’intention ou de négligence grave, la limite ordinaire de responsabilité de l’utilisateur ne s’applique pas.
Dans les autres cas, la responsabilité du payeur peut être limitée à la perte résultant de l’utilisation non autorisée de l’instrument, dans la limite maximale prévue par la loi.
La négligence grave ne se confond toutefois pas avec toute erreur ou imprudence. Elle suppose un comportement qualifié, incompatible avec le niveau minimal de diligence raisonnablement exigible dans les circonstances. Elle ne peut pas être déduite automatiquement du seul fait que les fraudeurs ont obtenu les identifiants.
La position de la Cour de cassation italienne : le risque du phishing relève de l’activité bancaire
La jurisprudence de la Cour de cassation italienne considère depuis longtemps que le vol frauduleux des codes d’accès relève du risque professionnel de la banque.
Dans une décision de référence, la Cour de cassation italienne, chambre civile, arrêt n° 2950 de 2017, a jugé que la possibilité de soustraction des codes au moyen de techniques frauduleuses fait partie du risque d’entreprise de l’établissement. La banque doit donc adopter des mesures permettant de vérifier, avant l’exécution, que l’opération peut être attribuée à la volonté du client.
Il ne suffit donc pas de s’appuyer sur la possibilité abstraite que le titulaire du compte ait agi imprudemment. Il faut établir concrètement si l’opération peut être attribuée à la volonté du client et si son comportement constitue une intention frauduleuse ou une négligence grave.
Cette approche a été confirmée par la Cour de cassation italienne, chambre civile, ordonnance n° 32075 de 2021, qui a censuré une décision au fond ayant imposé au client la charge de prouver une violation du système informatique de la banque. Selon la Cour, la banque doit prouver que l’opération est imputable au client, au regard du niveau de diligence technique attendu d’un professionnel bancaire prudent.
Dans le même sens, la Cour de cassation italienne, chambre civile, ordonnance n° 13204 de 2023, a jugé que le client n’est pas tenu de démontrer qu’il a utilisé le système informatique avec diligence. Le prestataire doit prouver que l’opération est imputable à la volonté de l’utilisateur, sauf si l’utilisation des codes est imputable à un comportement intentionnel ou à un comportement si imprudent qu’il ne pouvait pas être empêché par les mesures normalement exigibles du prestataire.
Le phishing n’établit pas automatiquement la négligence grave
La jurisprudence récente montre que l’appréciation doit être effectuée au cas par cas.
La Cour de cassation italienne, chambre civile, arrêt n° 3780 de 2024, a qualifié le phishing de risque typique de l’activité bancaire et a exigé de la banque qu’elle démontre avoir adopté des solutions propres à prévenir ou à réduire l’utilisation frauduleuse du système.
Selon la Cour, la banque ne peut pas se limiter à prouver que les identifiants ont été utilisés correctement. Elle doit également démontrer que l’événement dommageable se situait au-delà des mesures de protection raisonnablement exigibles dans les circonstances et que le comportement du client atteignait le seuil de la négligence grave.
La Cour de cassation italienne, chambre civile, ordonnance n° 16417 de 2022, a en outre précisé qu’une simple allégation abstraite de violation des règles de prudence ne suffit pas. La banque doit prouver concrètement le comportement intentionnel ou gravement négligent du titulaire du compte.
La même logique ressort de la Cour de cassation italienne, chambre civile, ordonnance n° 9721 de 2020, qui a mis à la charge de la banque la preuve de l’exécution correcte de l’opération, de l’absence d’anomalies techniques et de l’imputabilité de l’ordre à la volonté du client.
La jurisprudence des juridictions du fond : le comportement concret est déterminant
Les décisions récentes des juridictions du fond confirment qu’il n’existe pas de réponse uniforme pour chaque cas de phishing.
Le tribunal de Venise, jugement n° 5581 de 2025, a exclu la négligence grave du client qui avait cliqué sur un lien frauduleux, alors que la banque n’avait pas démontré que le client avait également communiqué le mot de passe à usage unique nécessaire pour finaliser l’opération. Le simple accès au lien n’a pas été considéré comme suffisant pour mettre l’intégralité de la perte à la charge du client.
Une conclusion différente a été retenue par le tribunal de Santa Maria Capua Vetere, jugement n° 149 de 2026, qui a constaté une négligence grave dans la communication volontaire à des tiers des identifiants et des codes d’autorisation dynamiques, en tenant compte du comportement précis de l’utilisateur et de sa contribution causale à l’exécution du virement.
Le tribunal de Bologne, jugement n° 2540 de 2026, a également accordé de l’importance à l’adéquation des alertes envoyées par la banque. Selon cette décision, l’intermédiaire doit prouver non seulement que le système a fonctionné correctement, mais aussi que les communications de sécurité étaient suffisamment claires et efficaces pour permettre au client de comprendre le risque et de prendre rapidement des mesures de protection.
Il en résulte que l’appréciation de la négligence grave exige un examen global de plusieurs éléments :
le contenu du message frauduleux ;
le degré de sophistication de la fraude ;
le comportement du client avant et après l’opération ;
la communication éventuelle de mots de passe, de mots de passe à usage unique ou d’autres codes ;
le contenu des alertes envoyées par l’intermédiaire ;
le montant et la destination de l’opération ;
la présence d’anomalies par rapport au fonctionnement habituel du compte ;
le délai de notification à la banque ;
les mesures de sécurité effectivement adoptées par le prestataire.
La notification rapide demeure essentielle
Le droit au remboursement suppose que le client signale l’opération non autorisée sans délai indu et, en tout état de cause, dans le délai maximal de treize mois à compter du débit, conformément à l’article 9 du décret législatif n° 11 de 2010.
La Cour de justice a distingué l’exigence subjective de notification sans délai indu du délai objectif de treize mois. Dans son arrêt n° 598 de 2025, la Cour a précisé que le simple respect du délai de treize mois n’exclut pas toute appréciation du retard, mais que la perte du droit au remboursement en raison d’une notification tardive suppose un comportement intentionnel ou une négligence grave.
En pratique, le client devrait donc :
bloquer immédiatement l’instrument de paiement ;
contester formellement chaque opération ;
conserver les messages, courriels, numéros de téléphone et captures d’écran ;
déposer plainte auprès de la police ou de l’autorité compétente ;
demander à la banque la documentation technique relative à l’authentification et aux alertes de sécurité ;
éviter de se limiter à une notification téléphonique non documentée.
La rapidité de la réaction ne suffit pas, à elle seule, à résoudre le litige, mais elle évite que le comportement du client après la découverte de la fraude constitue un élément supplémentaire à sa charge.
L’approche européenne renforce, sans l’éliminer, la responsabilité du client
La principale portée de l’arrêt européen ne consiste pas à exclure la pertinence de la négligence grave. La PSD2 et le décret législatif n° 11 de 2010 continuent de prévoir que le client peut être tenu de supporter l’intégralité de la perte lorsqu’il a agi frauduleusement ou qu’il a violé intentionnellement ou avec une négligence grave ses obligations de sécurité.
La portée de l’arrêt concerne le moment auquel cette question doit être examinée.
La banque ne peut pas refuser le remboursement immédiat sur le fondement d’une appréciation unilatérale et encore non démontrée. Elle doit d’abord exécuter son obligation de restitution, sauf en présence d’un soupçon justifié de fraude du client communiqué par écrit à l’autorité compétente. Elle peut ensuite invoquer la responsabilité de l’utilisateur en démontrant son comportement et le lien de causalité avec la perte.
Ce principe rééquilibre les rapports entre les parties : la banque conserve la possibilité de se défendre et d’exercer une action en restitution, mais le client n’est pas contraint de supporter les coûts et les délais d’une procédure pour obtenir le remboursement d’une somme que la loi lui accorde immédiatement.
Conséquences pratiques pour les banques et les clients
Pour les intermédiaires, l’arrêt impose de prêter davantage attention à la distinction entre :
l’authentification technique correcte ;
l’autorisation effective de l’opération ;
l’existence éventuelle d’une négligence grave de l’utilisateur ;
la preuve de la fraude commise par le client.
Une procédure interne qui se limite à constater l’utilisation correcte des identifiants ne paraît pas suffisante pour justifier un refus de remboursement. Le contexte de l’opération doit être examiné et les éléments fondant toute contestation du comportement du client doivent être documentés.
Pour les utilisateurs, l’arrêt n’autorise pas pour autant les comportements imprudents. La protection renforcée concerne principalement le stade du remboursement initial, tandis que la preuve d’une communication volontaire des codes de paiement, d’un retard injustifié dans la notification ou d’un autre comportement gravement imprudent peut conduire, à un stade ultérieur, à leur imputer la perte.
Conclusion
Le cadre résultant du droit de l’Union, de la législation italienne et de la jurisprudence nationale peut être résumé en trois principes.
Premièrement, une opération non autorisée doit être remboursée immédiatement, dans le délai légal, sauf si le prestataire nourrit un soupçon justifié de fraude du client et l’a communiqué à l’autorité compétente.
Deuxièmement, l’utilisation des identifiants et l’authentification technique correcte ne prouvent pas automatiquement que l’opération a été autorisée ou que l’utilisateur a agi avec une négligence grave.
Troisièmement, la négligence grave peut influencer la répartition définitive de la perte, mais elle doit être prouvée par le prestataire au moyen d’éléments concrets et non de présomptions fondées uniquement sur la survenance de la fraude.
La nouvelle interprétation européenne renforce ainsi la protection procédurale du client sans la transformer en une exonération générale de responsabilité. L’équilibre demeure celui tracé par la législation italienne et la Cour de cassation : la banque assume le risque professionnel des fraudes prévisibles et techniquement évitables, tandis que le client répond de la perte lorsque son comportement a, dans les circonstances de l’espèce, franchi le seuil de la négligence grave.
© Avv. Gabriele Lanzi
Commentaires