Par un arrêt du 15 octobre 2026, la Cour de justice de l'Union européenne vient d'apporter une clarification importante concernant les droits des victimes de phishing.
Désormais, une banque ne peut plus refuser de rembourser immédiatement une opération bancaire non autorisée au seul motif que son client aurait commis une négligence grave. Une décision qui pourrait avoir des conséquences importantes sur le traitement des dossiers de fraude bancaire en Belgique.
Une fraude bancaire à l'origine de l'arrêt
L'affaire soumise à la Cour de justice de l'Union européenne (CJUE) trouve son origine en Pologne.
Une cliente d'une banque polonaise avait mis un objet en vente sur une plateforme en ligne. Un individu, se présentant comme un acheteur intéressé, lui avait transmis un lien censé permettre de confirmer la transaction.
En suivant ce lien, la victime avait été dirigée vers un faux site reproduisant l'apparence de celui de sa banque. Elle y avait introduit ses identifiants bancaires et, trompée par le fraudeur, avait également communiqué un code de confirmation reçu par SMS.
Ces informations avaient permis à l'escroc d'effectuer un virement de 3.000 zlotys polonais, soit environ 705 euros, depuis le compte de la victime.
Dès le lendemain, celle-ci avait signalé la fraude à sa banque et aux services de police.
L'établissement bancaire avait néanmoins refusé de la rembourser. Il considérait que la cliente avait commis une négligence grave en communiquant ses données de sécurité personnelles et qu'elle devait, par conséquent, supporter elle-même les conséquences financières de la fraude.
Saisie du litige, la juridiction polonaise a interrogé la CJUE sur la compatibilité de ce refus avec le droit européen.
Le principe : la banque doit rembourser immédiatement l'opération non autorisée
La question soumise à la Cour concernait l'interprétation des articles 73 et 74 de la directive européenne 2015/2366 relative aux services de paiement, communément appelée « directive DSP2 ».
L'article 73 de cette directive prévoit qu'en cas d'opération de paiement non autorisée, le prestataire de services de paiement doit rembourser le montant de l'opération immédiatement après en avoir pris connaissance ou en avoir été informé, et au plus tard à la fin du premier jour ouvrable suivant.
Il existe toutefois une exception : lorsque la banque dispose de bonnes raisons de soupçonner une fraude commise par le payeur lui-même et qu'elle communique ces raisons par écrit à l'autorité nationale compétente.
Dans son arrêt du 15 octobre 2026, la CJUE confirme que cette exception ne peut pas être étendue à la simple suspicion de négligence grave du client.
Autrement dit, une banque ne peut pas retenir les fonds d'une victime de phishing en invoquant unilatéralement le fait que celle-ci aurait été imprudente.
Cette interprétation repose notamment sur l'objectif de protection des utilisateurs de services de paiement poursuivi par le législateur européen.
La Cour relève qu'une solution contraire reviendrait à priver l'obligation de remboursement immédiat de son efficacité. Elle contraindrait, en effet, la victime à engager elle-même une procédure judiciaire pour obtenir la restitution de fonds qui, en principe, auraient déjà dû lui être remboursés.
La négligence grave du client reste néanmoins susceptible d'engager sa responsabilité
La portée de cet arrêt doit toutefois être correctement comprise.
La CJUE n'affirme pas qu'une victime de phishing doit, en toutes circonstances, être définitivement indemnisée par sa banque.
Elle opère une distinction fondamentale entre deux questions : d'une part, l'obligation de remboursement immédiat de l'opération non autorisée et, d'autre part, la détermination de la personne qui devra finalement supporter la perte financière.
La banque est donc, en principe, tenue de procéder au remboursement dans un premier temps.
Elle conserve néanmoins la possibilité de réclamer ultérieurement au client la restitution des sommes versées si elle établit que les pertes résultent d'un manquement intentionnel ou d'une négligence grave dans le respect de ses obligations de sécurité.
La charge de cette preuve incombe à la banque
Cette distinction présente une importance pratique considérable.
Jusqu'à présent, dans de nombreux litiges de fraude bancaire, les victimes se trouvaient confrontées à un refus de remboursement motivé par une prétendue négligence grave. Elles devaient alors entreprendre des démarches parfois longues et coûteuses pour contester la position de leur établissement bancaire.
L'arrêt du 15 octobre 2026 rappelle que ce n'est pas au client de supporter d'emblée les conséquences financières de cette contestation.
Quelles conséquences pour les victimes de phishing en Belgique ?
La décision de la CJUE présente un intérêt direct pour les consommateurs belges.
La directive DSP2 a notamment été transposée dans notre droit par les dispositions du Livre VII du Code de droit économique.
L'article VII.43, § 1er, prévoit expressément l'obligation, pour le prestataire de services de paiement, de rembourser immédiatement une opération de paiement non autorisée, sous réserve des conditions et exceptions légales.
L'article VII.44 organise, quant à lui, la répartition des pertes entre la banque et son client, notamment lorsque ce dernier aurait commis une négligence grave.
Plus particulièrement, l'article VII.44, § 4, fait peser sur le prestataire de services de paiement la charge de prouver la fraude, l'intention ou la négligence grave du client. Il précise également que la simple utilisation d'un instrument de paiement avec un code personnel ne constitue pas, à elle seule, une présomption suffisante de négligence.
Ces dispositions doivent être interprétées à la lumière de l'arrêt rendu par la CJUE.
En pratique, lorsqu'un consommateur belge conteste un virement réalisé à son insu à la suite d'un phishing, la banque ne peut donc pas se contenter de lui reprocher d'avoir communiqué ses codes ou d'avoir cliqué sur un lien frauduleux pour écarter son obligation de remboursement immédiat.
Il conviendra ensuite, le cas échéant, de déterminer si le comportement de la victime constitue réellement une négligence grave au sens de la législation applicable.
Cette appréciation reste tributaire des circonstances concrètes de chaque dossier : sophistication du procédé frauduleux, apparence des communications reçues, informations communiquées par la victime, mécanismes d'authentification utilisés ou encore rapidité du signalement à la banque.
Une imprudence ne constitue pas nécessairement une négligence grave.
Victime de phishing : que faire si votre banque refuse de vous rembourser ?
Lorsqu'une personne constate qu'un virement frauduleux a été effectué depuis son compte bancaire, plusieurs démarches doivent être entreprises rapidement.
Il convient, en premier lieu, de signaler immédiatement les faits à l'établissement bancaire, de faire bloquer les moyens de paiement compromis et de contester formellement les opérations litigieuses.
Il est également recommandé de déposer plainte auprès des services de police et de conserver l'ensemble des éléments utiles : messages frauduleux, captures d'écran, extraits de compte, échanges avec la banque et éventuels documents relatifs à l'authentification des opérations.
Si la banque refuse de procéder au remboursement, il importe d'obtenir une motivation écrite de sa décision.
Dans le cadre de cette contestation, les articles VII.43 et VII.44 du Code de droit économique, interprétés à la lumière de l'arrêt Tukowiecka du 15 octobre 2026, constituent désormais des fondements juridiques particulièrement importants.
En l'absence de solution amiable, le consommateur peut notamment saisir Ombudsfin, le service de médiation des services financiers, ou envisager une procédure judiciaire contre son établissement bancaire.
L'intervention d'un avocat peut alors permettre d'examiner la qualification des opérations litigieuses, la réalité d'une éventuelle négligence grave et les obligations légales qui incombaient à la banque.
Un arrêt important pour le contentieux de la fraude bancaire
Par cet arrêt, la Cour de justice de l'Union européenne rappelle que la protection des utilisateurs de services de paiement ne peut dépendre de la seule appréciation de leur comportement par les établissements bancaires.
La négligence grave demeure une question juridiquement pertinente, mais elle ne saurait servir de justification à un refus immédiat de remboursement lorsqu'une opération de paiement non autorisée est dénoncée.
La distinction entre l'obligation de remboursement et la répartition définitive des pertes devrait désormais occuper une place centrale dans les litiges opposant les victimes de phishing à leurs banques.
Pour les victimes, cette décision constitue un argument juridique supplémentaire de premier ordre. Pour les établissements bancaires, elle impose de respecter la chronologie des obligations définies par le droit européen.
Vous avez été victime d'une fraude bancaire ou d'un phishing et votre banque refuse de vous rembourser ?
Le cabinet JPlex Avocat, établi en région liégeoise et intervenant notamment en matière de cybercriminalité et de droit des nouvelles technologies, peut vous accompagner dans l'analyse de votre situation, la contestation d'un refus de remboursement et les démarches judiciaires éventuellement nécessaires.
