Arrêt de la Cour de justice des Communautés européennes du 15 octobre 2026 – C-70/25, Tukowiecka
Les banques et autres prestataires de services de paiement ne peuvent refuser ou retarder le remboursement d'opérations de paiement non autorisées uniquement parce qu'ils accusent le client de négligence grave. La Cour de justice des Communautés européennes (CJCE) a estimé que: Tukowiecka C'est clair. La décision est pertinente en particulier pour la gestion des plaintes, la prévention de la fraude et les processus de conformité des fournisseurs de services de paiement.
Cas : phishing et transfert non autorisé
Au principal, un client était devenu victime d'une attaque à l'hameçonnage. Les auteurs ont obtenu leurs données d'accès par de faux liens en lien avec un marché en ligne ou l'accès supposé à leur compte bancaire. Un transfert de plus de 3 000 Zloty polonais (PLN) a été effectué sans leur autorisation effective.
Le lendemain, le client a informé sa banque et la police. Toutefois, la banque a refusé un remboursement. Elle s'est fiée au client pour agir par négligence.
Au cœur de la procédure se trouvait la question de savoir si un prestataire de services de paiement peut initialement refuser de rembourser une opération de paiement non autorisée s'il suppose que le client a rendu la fraude possible par négligence grave.
Nous sommes avocats pour Compliace. Utilisez une première consultation.
Décision de la CJCE: remboursement en principe immédiat
La CJCE s'est fondée sur l'obligation de remboursement prévue à l'article 73, paragraphe 1, de la directive sur les services de paiement (DSP2, directive (UE) 2015/2366). Par la suite, le prestataire de services de paiement doit rembourser sans délai une opération de paiement non autorisée. Le remboursement doit être effectué au plus tard à la fin du jour ouvrable suivant la détermination ou la notification de l'opération de paiement.
La directive prévoit une exception très limitée: si le prestataire de services de paiement a des motifs légitimes de soupçonner une fraude, il doit en informer par écrit l'autorité nationale compétente. La simple affirmation selon laquelle le client a agi par négligence n'est pas suffisante pour suspendre l'obligation de remboursement sans plus tarder.
La CJCE renforce ainsi la protection des clients dont les comptes ont été chargés par des opérations de paiement non autorisées. Le remboursement ne peut être effectué que si le prestataire de services de paiement accuse déjà le client d'inconduite.
Le remboursement et la responsabilité sont examinés séparément.
Pour l'évaluation juridique et organisationnelle, la distinction entre l'obligation de remboursement initialement existante et la question de la responsabilité ultérieure est déterminante.
Conformément au paragraphe 2 de l'article 74 1 PSD2, un utilisateur de services de paiement peut, sous certaines conditions, être responsable de toutes les pertes résultant d'une opération de paiement non autorisée s'il a délibérément ou grossièrement violé certaines obligations. Toutefois, il convient d'examiner séparément si cette responsabilité existe effectivement.
L'accusation de négligence grave ne permet pas automatiquement à la banque de refuser le remboursement initialement prévu. Il convient donc de distinguer l'une de l'autre, en droit, de la restitution et du recouvrement ultérieur éventuel.
Pour les prestataires de services de paiement, cela signifie que vous ne devriez pas refuser un remboursement uniquement sur la base d'une évaluation interne du comportement du client. Ils doivent plutôt évaluer séparément les conditions légales de remboursement et d'utilisation ultérieure éventuelle du client.
Obligations de fournir des éléments de preuve
Les obligations des prestataires de services de paiement jouent également un rôle important. En vertu de l'article 72, paragraphe 2, du DSP2, la simple inscription de l'utilisation d'un instrument de paiement n'est en aucun cas suffisante pour prouver que l'opération de paiement a été autorisée ou que l'utilisateur du paiement a agi de manière frauduleuse ou par négligence grossière.
Le prestataire de services de paiement fournit les circonstances pertinentes sur la base des éléments de preuve appropriés. Une référence forfaitaire à l'utilisation de données d'accès correctes ou d'une transaction enregistrée techniquement correctement ne doit pas remplacer cette vérification.
Pour ce qui est de la pratique en matière de conformité, il s'ensuit que les décisions de refus de remboursement doivent être documentées d'une manière compréhensible et fondée sur des faits concrets.
Conséquences pour la conformité et la gestion des plaintes
La décision a un impact pratique sur les banques et les autres prestataires de services de paiement. Il convient de vérifier les procédures en vigueur pour le traitement des cas d'hameçonnage et des opérations de paiement non autorisées afin de déterminer si elles séparent suffisamment l'obligation de remboursement et la vérification ultérieure de la responsabilité.
Les mesures suivantes sont particulièrement pertinentes:
- Révision des processus de remboursement : Les délais légaux et les exigences en matière de remboursement des opérations de paiement non autorisées doivent être respectés de manière fiable.
- Motifs de refus : La simple accusation de négligence grave ne devrait pas servir de justification forfaitaire pour un remboursement refusé ou retardé.
- Examinez légalement les cas exceptionnels : Lorsque le prestataire de services de paiement se fonde sur une suspicion de fraude, les exigences légales, y compris la notification écrite nécessaire à l'autorité nationale compétente, sont respectées.
- Preuves sûres : Les procédures de communication, les protocoles techniques et autres circonstances pertinentes devraient être documentés de manière à permettre un examen juridique.
- Adapter la gestion des plaintes : Les plaintes relatives à l'hameçonnage et aux opérations de paiement non autorisées doivent être traitées selon une procédure claire qui ne combine pas l'obligation de remboursement avec l'évaluation finale de la responsabilité.
- Formation du personnel : Les salariés responsables doivent pouvoir faire la distinction entre la question de savoir si une opération de paiement a été autorisée, l'obligation légale de remboursement et une éventuelle responsabilité du client.
Ces mesures contribuent à réduire les risques juridiques et à rendre compréhensibles les décisions à l'égard des clients et des autorités de surveillance.
Par décision dans l'affaire Tukowiecka La Cour de justice précise que le remboursement d'opérations de paiement non autorisées ne peut être refusé sans qu'il soit fait davantage référence à une éventuelle négligence grave du client. Les obligations de remboursement prévues par la loi PSD2 doivent d'abord être remplies; une éventuelle responsabilité du client doit être évaluée séparément.
Il est donc important que les banques et les prestataires de services de paiement délimitent clairement les décisions de remboursement, les contrôles de fraude présumés et les procédures ultérieures de responsabilité ou de recouvrement. Nous sommes des experts et nous vous aidons avec cela.
Référence: C-70/25 CJCE, arrêt du 15 octobre 2026, affaire C-70/25 Tukowiecka.
Note: Cet article est destiné à l'information générale et ne remplace pas l'avis juridique dans les cas individuels.