Ce que change l’arrêt Tukowiecka et les limites de sa portée

Une banque peut-elle refuser de rendre à son client l’argent prélevé à la suite d’une fraude, au motif que celui-ci aurait été gravement imprudent ? Le 15 octobre 2026, la Cour de justice de l’Union européenne a répondu à une question importante : lorsqu’une opération de paiement est non autorisée, le prestataire doit d’abord procéder au remboursement immédiat. La question de savoir qui supportera finalement la perte peut être examinée ensuite. Cette distinction, au cœur de l’arrêt Tukowiecka, intéresse directement les professionnels qui accompagnent les clients dans leurs démarches après une fraude.

Un arrêt européen rendu à la suite d’une affaire de phishing

L’affaire naît en Pologne. Une cliente met un objet en vente sur une plateforme en ligne. Un interlocuteur intéressé lui transmet un lien présenté comme nécessaire pour confirmer la vente. Le lien conduit vers un faux site reproduisant celui de sa banque. La cliente y saisit ses identifiants de banque à distance ; un tiers les utilise ensuite pour transférer environ 700 euros vers un compte qu’il détient. Le lendemain, la cliente signale l’opération à sa banque et en demande le remboursement. La banque refuse, considérant que la cliente a commis une négligence grave en ne protégeant pas suffisamment ses données de sécurité.

La juridiction polonaise saisit la CJUE d’une question précise : la banque peut-elle opposer cette négligence grave pour refuser immédiatement le remboursement prévu par la directive européenne sur les services de paiement ? La Cour répond non. Son arrêt du 15 octobre 2026, rendu dans l’affaire C-70/25, N.O. contre PKO BP, dite Tukowiecka, interprète les articles 73 et 74 de la directive 2015/2366 (DSP2). Il ne tranche pas le litige national lui-même ; il donne au juge polonais la règle d’interprétation à appliquer.

Rembourser d’abord, déterminer ensuite qui supporte la perte

La Cour sépare deux questions qui, dans les réclamations, sont souvent confondues. La première porte sur l’obligation du prestataire de rétablir rapidement le compte lorsqu’une opération n’a pas été autorisée par le payeur. La seconde porte sur la répartition définitive de la perte entre le prestataire et le payeur, notamment si le client a manqué intentionnellement ou par négligence grave à ses obligations de sécurité.

En droit français, l’article L. 133-18 du Code monétaire et financier prévoit, en principe, le remboursement immédiat d’une opération non autorisée et le rétablissement du compte dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu. Le délai ne peut dépasser la fin du premier jour ouvrable suivant le moment où le prestataire a connaissance de l’opération ou en est informé. L’arrêt européen confirme que la négligence grave alléguée contre le client ne constitue pas, à elle seule, un motif permettant de suspendre ou de refuser ce remboursement initial.

La Cour relève qu’une exception est prévue lorsque le prestataire a de bonnes raisons de soupçonner une fraude commise par le payeur lui-même et qu’il communique ces raisons par écrit à l’autorité nationale compétente. La seule affirmation selon laquelle le client aurait été imprudent, aurait communiqué un code ou aurait validé une notification ne suffit donc pas à entrer dans cette exception. Il faut distinguer le soupçon de fraude du client de l’allégation de négligence grave.

Le remboursement initial ne signifie toutefois pas nécessairement que le client conservera définitivement les fonds. La CJUE admet que le prestataire puisse, dans un second temps, réclamer au payeur les pertes qu’il estime résulter d’un manquement intentionnel ou d’une négligence grave. Il lui appartient alors d’établir ce manquement et son lien avec les pertes invoquées. L’arrêt n’efface donc pas le critère de négligence grave prévu par le régime des services de paiement ; il précise le moment auquel celui-ci intervient et la charge de la preuve qui l’accompagne.

Une portée importante, mais un champ précis

La décision concerne les opérations de paiement non autorisées. Elle ne permet pas de ranger automatiquement toute escroquerie bancaire dans cette catégorie. La qualification dépend des circonstances : le payeur a-t-il réellement consenti à l’opération et à son bénéficiaire, ou l’opération a-t-elle été exécutée sans son autorisation ? Le fait qu’un client ait été trompé n’apporte pas, à lui seul, une réponse uniforme à cette question.

La solution peut concerner des opérations issues d’un hameçonnage, d’une usurpation d’identité ou d’un faux conseiller, lorsque l’opération contestée est bien non autorisée au sens du régime applicable. En revanche, dans une fraude au président ou une fraude au faux ordre de virement, le client a parfois lui-même donné l’ordre de transférer les fonds, même s’il a été manipulé. Ces situations peuvent relever d’une autre analyse. Le professeur Jérôme Lasserre Capdeville a d’ailleurs souligné dans la presse que la solution vise les contestations d’opérations non autorisées, mais ne s’étend pas automatiquement aux virements que la victime a elle-même autorisés, comme certaines fraudes au président ou au faux ordre.

Cette frontière apparaît aussi dans un arrêt distinct de la chambre commerciale de la Cour de cassation du 30 septembre 2026, n° 25-16.944. L’affaire concernait des virements exécutés conformément aux IBAN communiqués par les clientes, alors que les faux relevés d’identité bancaire associaient l’en-tête Barclays à un IBAN renvoyant à Revolut. La Cour a censuré l’arrêt d’appel, qui avait retenu la responsabilité de la banque pour anomalie apparente, faute d’avoir recherché si l’article L. 133-21 du Code monétaire et financier excluait cette responsabilité dès lors que les ordres avaient été exécutés selon l’identifiant unique fourni. Cette décision non publiée porte sur un autre mécanisme : le virement autorisé mais exécuté conformément à l’IBAN erroné fourni par le payeur. Elle ne contredit pas l’arrêt Tukowiecka, qui traite du remboursement d’une opération non autorisée.

La distinction est pratique. Dans un dossier de fraude, il faut identifier précisément l’opération contestée, reconstituer qui a établi ou modifié l’ordre, examiner le bénéficiaire réellement désigné et vérifier quel identifiant a été transmis à la banque. Les mots « virement frauduleux » ne suffisent pas à déterminer le régime juridique.

Ce que l’arrêt change dans le traitement des réclamations

L’arrêt Tukowiecka donne un point d’appui clair lorsque la banque oppose d’emblée la négligence grave pour ne pas recréditer le compte. Le client peut rappeler que l’obligation de remboursement immédiat et l’examen de sa responsabilité relèvent de deux étapes différentes. Le prestataire doit d’abord établir que l’opération était autorisée ou, s’il estime ensuite que le client doit supporter la perte, prouver les éléments nécessaires à cette demande.

La décision ne supprime pas les exigences de signalement. L’article L. 133-24 du Code monétaire et financier impose à l’utilisateur de signaler sans tarder l’opération non autorisée après en avoir pris connaissance, et au plus tard dans les treize mois suivant le débit. Le respect de ce délai et la preuve de la date d’alerte demeurent donc essentiels. Le 8 octobre 2026, la Cour de cassation a encore rejeté une demande de remboursement de débits frauduleux par carte parce que les demandeurs ne justifiaient pas de la date à laquelle ils avaient signalé l’utilisation frauduleuse à la banque (Cass. com., 8 oct. 2026, n° 25-17.510). Cette décision porte sur la preuve du signalement ; elle rappelle une condition distincte de la séquence dégagée par la CJUE.

Dans la pratique, il est utile de conserver la contestation écrite, les dates d’appel et de message, les références de dossier, les relevés bancaires, les notifications reçues et les échanges avec le prestataire. Il faut décrire les faits sans reconnaître trop vite une autorisation qui n’a pas été donnée, mais aussi sans qualifier juridiquement les événements au-delà de ce que les éléments permettent d’établir. Les données d’authentification peuvent être pertinentes pour l’enquête, mais leur seule utilisation ne suffit pas nécessairement à démontrer que le payeur a autorisé l’opération ; la banque doit également satisfaire aux exigences de preuve posées par le Code monétaire et financier.

Le professionnel du crédit peut aider à orienter, sans se substituer au conseil juridique

Pour un IOBSP, un courtier ou un professionnel qui accompagne régulièrement des emprunteurs, l’intérêt de l’arrêt est d’abord pédagogique. Un client confronté à une fraude peut croire que la banque dispose d’un pouvoir discrétionnaire pour attendre la fin de son enquête avant de lui rendre les sommes contestées. L’arrêt Tukowiecka rappelle que, sous réserve des conditions et de l’exception prévues par les textes, le remboursement immédiat ne peut être paralysé par la seule invocation d’une négligence grave.

Marc MILESI 

Juriste à l’iepb