Arnaque sur votre carte bancaire : la Cour de justice de l'UE a tranché ce que votre banque doit faire avant de vous accuser de négligence grave

Un débit inconnu sur votre relevé, un appel à votre agence, et la même réponse depuis des années : vous avez fait preuve de négligence grave, la banque ne rembourse pas. Cette formule, brandie comme un bouclier, a longtemps suffi à clore le dossier. Une décision rendue le 15 octobre dernier par la Cour de justice de l'Union européenne (CJUE) déplace le curseur. Elle ne supprime pas la notion de négligence — elle oblige la banque à la démontrer, et dans les formes.

Ce que la directive dit, et ce que les banques faisaient

Le cadre juridique n'est pas nouveau. La directive européenne sur les services de paiement — transposée en droit français dans le Code monétaire et financier — pose un principe clair : lorsqu'une opération de paiement n'a pas été autorisée par le titulaire, l'établissement est tenu de rembourser. La charge de la preuve repose sur lui. C'est à la banque de démontrer que l'opération a bien été authentifiée, correctement enregistrée, et qu'aucun dysfonctionnement technique ne l'a affectée.

Mais la même directive prévoit une exception : si le client a commis une négligence grave, la banque peut refuser le remboursement, voire lui imputer l'intégralité de la perte. C'est sur cette exception que beaucoup d'établissements s'appuyaient — parfois de façon quasi automatique, sans étayer leur position autrement que par le constat que le code PIN avait été utilisé lors de la transaction frauduleuse.

L'argument semblait imparable : si le code a été composé, c'est que vous l'avez communiqué. Et si vous l'avez communiqué, vous avez été négligent. CQFD. La CJUE vient de dire que ce raisonnement est insuffisant.

Ce que la Cour a tranché

La décision du 15 octobre précise qu'une banque ne peut pas se contenter de constater que l'authentification a fonctionné pour en déduire automatiquement la négligence grave du client. Ces deux éléments — l'authentification réussie et la faute du titulaire — sont distincts. Le premier ne prouve pas le second.

En d'autres termes : ce que le système a enregistré (un code valide, un dispositif reconnu) ne dit rien sur les circonstances dans lesquelles ces éléments ont été obtenus. Une fraude sophistiquée — hameçonnage ciblé, faux conseiller bancaire, logiciel malveillant — peut parfaitement contourner les dispositifs d'authentification sans que le client ait commis la moindre imprudence caractérisée.

La Cour rappelle que la négligence grave est une notion juridique précise. Elle suppose un comportement manifestement contraire aux obligations du titulaire — noter son code PIN sur sa carte, le dicter à un tiers de sa propre initiative, répondre à un message dont le caractère frauduleux était évident. Elle ne se présume pas. Elle se prouve, au cas par cas, par la banque.

La seule utilisation d'un instrument de paiement ne saurait suffire à établir que le payeur a agi frauduleusement ou commis une négligence grave.

Pourquoi cela change quelque chose en pratique

La décision s'applique dans l'ensemble de l'Union européenne, donc en France. Elle ne crée pas un droit au remboursement automatique dans tous les cas de fraude — la négligence grave reste une cause légitime de refus. Mais elle impose à la banque de construire un dossier, pas de se retrancher derrière un log d'authentification.

Pour un client qui conteste un refus de remboursement, cela ouvre des voies concrètes. En cas de litige, le médiateur bancaire — dont la saisine est gratuite et obligatoire avant tout recours judiciaire — peut désormais s'appuyer sur cette jurisprudence pour apprécier si la banque a bien rempli son obligation de preuve. Les tribunaux de proximité, compétents pour les litiges jusqu'à dix mille euros, peuvent faire de même.

La fraude au faux conseiller bancaire, en particulier, illustre bien l'enjeu. Dans ce scénario désormais bien documenté, un escroc se fait passer pour un employé de la banque, signale une opération suspecte, et guide sa victime — avec une précision troublante, souvent parce qu'il dispose déjà de certaines données personnelles — vers la communication de ses identifiants ou la validation d'une opération. Le client croit agir pour se protéger. La banque, elle, voit une authentification réussie et invoque la négligence. C'est exactement ce type de situation que la décision de la CJUE entend corriger.

Ce qu'il reste à faire de son côté

La jurisprudence ne dispense pas de réflexes élémentaires. Signaler l'opération frauduleuse sans délai — idéalement le jour même, par écrit — reste déterminant. Conserver une trace de toutes les communications avec la banque aussi. Déposer une plainte auprès des services de police ou de gendarmerie constitue un élément de dossier utile, même si elle n'est pas juridiquement obligatoire pour obtenir remboursement.

Si la banque maintient son refus après contestation écrite, la saisine du médiateur de la banque concernée s'impose avant tout recours judiciaire. Les coordonnées du médiateur figurent sur les relevés de compte et sur le site de chaque établissement — c'est une obligation réglementaire.

Ce que la CJUE a rendu, au fond, c'est une décision de méthode : elle rappelle que la présomption de bonne foi du client existe, qu'elle a une valeur juridique, et qu'il appartient à celui qui veut l'écarter de le démontrer. Pas de l'affirmer.

Source : Senioractu.com.