Phishing : la CJUE exige le remboursement immédiat par la banque

Le contexte de l'affaire : une fraude en ligne classique

L'affaire C-70/25, tranchée récemment par la Cour de justice de l'Union européenne (CJUE), trouve son origine dans une situation malheureusement devenue courante. Une cliente d'une banque polonaise a été victime d'une fraude par hameçonnage, plus connue sous le nom de phishing.

Dans ce dossier, la victime vendait un objet sur une plateforme de vente en ligne. Un prétendu acheteur s'est montré intéressé par son annonce. Sous prétexte de confirmer la transaction, ce fraudeur lui a envoyé un lien. Ce dernier ressemblait à s'y méprendre à un outil légitime de la plateforme.

En cliquant sur ce lien, la vendeuse a été redirigée vers un site internet reproduisant l'exacte apparence du portail de sa banque. Sans se douter de la supercherie, elle y a introduit ses données personnelles de connexion. Muni de ces informations sécurisées, le cybercriminel a immédiatement effectué un transfert depuis le compte de la victime vers son propre compte. Le préjudice de cette opération s'est élevé à environ 3000 zlotys polonais, soit environ 700 EUR.

Le lendemain, constatant la disparition des fonds, la cliente a contacté sa banque pour signaler l'opération frauduleuse. L'établissement bancaire a refusé de lui restituer la somme. La banque a argué que la cliente avait commis une négligence grave. La directive européenne impose en effet aux titulaires de comptes de paiement de prendre toutes les mesures raisonnables pour préserver la confidentialité de leurs données de sécurité. C'est sur cette base que de nombreux établissements tentent de reporter la faute sur leurs clients. En l'espèce, la banque estimait que la cliente, en se laissant abuser par un faux site, avait violé cette obligation légale et ne méritait donc aucun dédommagement.

Face à ce blocage, la juridiction nationale saisie du litige a posé une question préjudicielle à la justice européenne. La question était claire : la banque est-elle tenue de restituer les fonds sur-le-champ, même si elle soupçonne son client d'avoir été négligent ?

La directive européenne et le remboursement immédiat

La réponse de la Cour s'appuie sur la Directive (UE) 2015/2366 concernant les services de paiement dans le marché intérieur. Ce texte européen encadre strictement les obligations des prestataires de services de paiement en cas d'opération non autorisée.

Il est essentiel de souligner une nuance vitale : l'arrêt de la CJUE et l'obligation de remboursement immédiat ne s'appliquent pas à toutes les fraudes bancaires, mais uniquement aux opérations de paiement non autorisées. Cela signifie que le régime protecteur s'applique lorsque le cybercriminel initie et exécute lui-même le transfert. Les fraudes où la victime autorise elle-même le paiement sous la manipulation d'un escroc ne bénéficient pas automatiquement de ce régime.

La règle fixée par la directive est stricte pour ces opérations non autorisées. En principe, la banque a l'obligation de rembourser le client immédiatement. La loi précise que cette restitution doit intervenir au plus tard à la fin du premier jour ouvrable suivant le moment où l'établissement prend connaissance de la fraude ou en est informé par la victime.

Le texte précise que le remboursement vise à remettre le compte de paiement dans l'état où il se serait trouvé si l'opération non autorisée n'avait pas eu lieu. La justice européenne affirme qu'invoquer un manquement du client à son obligation de prudence ne constitue pas une base légale valable pour geler cet argent. Le mécanisme d'indemnisation rapide est conçu pour protéger le portefeuille du particulier avant tout débat sur la culpabilité.

Bien que le signalement sans retard injustifié (et au maximum sous 13 mois) soit requis, la condition fondamentale est technique : l'opération doit avoir été effectuée sans le consentement du titulaire du compte. Dès que ces éléments sont réunis, le compte à rebours s'enclenche pour l'institution financière.

En dehors de cette exception très précise, la simple supposition d'une imprudence ou d'une négligence grave de la victime ne permet pas de bloquer la restitution des montants dérobés.

Distinguer la restitution des fonds de la responsabilité finale

Dans son arrêt, la juridiction précise qu'il faut séparer deux étapes distinctes de la procédure. D'un côté, la restitution immédiate de l'argent volé. De l'autre, la question de savoir qui assumera finalement la perte financière.

• La banque doit d'abord rendre l'argent. Elle agit ainsi comme un filet de sécurité pour le consommateur.
• Ensuite, l'établissement financier conserve le droit de mener ses investigations.

S'il estime que la victime a agi avec une négligence grave ou a volontairement compromis ses données de sécurité, il peut se retourner contre elle. La banque aura alors la possibilité de réclamer le remboursement des pertes occasionnées.

Cependant, dans cette seconde phase, c'est l'institution qui porte la charge de la preuve. Elle doit démontrer de manière tangible que le client a manqué à ses obligations de sécurité. La victime n'a pas à prouver son innocence pour récupérer son argent dans les premiers jours suivant le vol. Cette dissociation des étapes change radicalement la dynamique entre le consommateur et son établissement financier.

Un niveau élevé de protection pour les consommateurs en Belgique

Cette décision européenne s'applique directement dans le cadre des litiges en Belgique. Elle trouve un écho concret en droit belge puisque la Directive est transposée à l'article VII.43 du Code de droit économique (CDE). C'est cet article spécifique qui fonde légalement l'action des consommateurs devant les tribunaux belges et vient renforcer leur protection face à la prolifération des cyberattaques.

La justice européenne rappelle que l'objectif de la législation est de garantir une sécurité maximale aux usagers des services bancaires. Si les banques pouvaient refuser de rendre les fonds sous le simple prétexte d'une négligence, la loi perdrait toute son utilité.

Cette jurisprudence met fin aux pratiques d'usure de certains prestataires qui comptent sur le découragement des victimes. Le consommateur retrouve ainsi de la trésorerie rapidement, ce qui est particulièrement vital lorsque de grandes sommes sont en jeu. Les tribunaux belges devront appliquer strictement cette lecture du droit européen via le Code de droit économique. Les banques ne pourront plus utiliser la menace d'une procédure longue pour pousser leurs clients à abandonner leurs réclamations après une escroquerie en ligne impliquant des opérations non autorisées.

Sans cette restitution forcée, la victime serait contrainte d'entamer de son propre chef des démarches lourdes pour faire valoir ses droits. Elle devrait supporter les frais et les délais d'une procédure judiciaire alors même qu'elle vient de subir une perte financière. La Cour juge cette situation inacceptable.

Désormais, si votre établissement bloque le renvoi des fonds après un piratage non autorisé, un simple rappel de cette jurisprudence et de l'article VII.43 du CDE peut débloquer la situation. Si la résistance persiste, l'envoi d'une mise en demeure permet d'exiger le respect de la loi.

Face à une institution récalcitrante dans le domaine du droit commercial et bancaire, l'assistance d'un professionnel permet de faire appliquer le droit sans délai. N'hésitez pas à Créer un dossier sur notre plateforme pour entrer en contact avec un avocat compétent.