Par un arrêt rendu le 16 juin 2026, la Cour d’appel de Toulouse (2ème chambre, n°24/00134) a eu à se prononcer sur le régime applicable aux opérations de paiement non autorisées réalisées par » spoofing téléphonique « . En l’espèce, un client a été contacté par une personne se faisant passer pour un employé de sa banque. Durant un appel d’une heure dix, à la demande de l’interlocuteur, le client a effectué plusieurs manipulations et validations, notamment la création d’un virement de 7 350,08 €, en utilisant le système d’authentification forte mis à disposition par sa banque. Se présentant comme la victime d’une fraude, le client a assigné la banque sur deux fondements : principalement le régime des opérations de paiement non autorisées prévu aux articles L. 133-18 et suivants du code monétaire et financier, et subsidiairement la responsabilité contractuelle de la banque pour manquement à son obligation de vigilance et à ses devoirs en matière de lutte contre le blanchiment. Le tribunal de première instance a rejeté l’ensemble de ses demandes. Le client a relevé appel. La cour d’appel confirme le jugement. Elle rappelle, en premier lieu, que la responsabilité d’un prestataire de services de paiement, lorsqu’elle est recherchée en raison d’une opération de paiement non autorisée, relève exclusivement du régime spécial des articles L. 133-18 à L. 133-24 du code monétaire et financier, à l’exclusion de tout autre fondement du droit national. En second lieu, elle estime que la banque rapporte la preuve de l’authentification forte de l’opération litigieuse et, surtout, de la négligence grave du client, qui a validé plusieurs opérations sans procéder à aucune vérification malgré des indices propres à alerter un utilisateur normalement attentif. En conséquence, le client ne peut obtenir le remboursement de la somme. La question de droit centrale est de savoir, dans le cadre d’opérations de paiement non autorisées, si la banque peut valablement refuser le remboursement en démontrant que l’utilisateur a commis une négligence grave, et si l’exclusivité du régime spécial prohibe le recours à tout autre fondement. L’arrêt répond par l’affirmative dans l’interprétation qu’il donne du droit positif. Il convient d’examiner successivement l’affirmation par la cour de l’exclusivité du régime légal des opérations de paiement non autorisées (I) et la caractérisation de la négligence grave de l’utilisateur comme cause d’exonération du prestataire (II).
I. L’affirmation de l’exclusivité du régime légal des opérations de paiement non autorisées
A. Le rappel de l’irrecevabilité des fondements alternatifs de responsabilité
La cour d’appel écarte d’emblée le moyen subsidiaire tiré de la responsabilité contractuelle de la banque pour manquement à son obligation de vigilance. Elle énonce que » seul le régime du code monétaire et financier s’applique, à l’exclusion de tout autre régime de responsabilité « . Cette solution s’inscrit dans le droit fil de la jurisprudence de la Cour de cassation, qui retient que » dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier « , et ce » à l’exclusion de tout régime alternatif de responsabilité résultant du droit national « (Cass. com., 15 janvier 2025, n°23-15.437). La cour rappelle également que l’obligation de vigilance imposée aux organismes financiers par les articles L. 561-4-1 à L. 561-14-2 du code monétaire et financier » a pour seule finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme « , de sorte que la victime d’agissements frauduleux » ne peut se prévaloir de leur inobservation pour réclamer des dommages et intérêts à l’organisme financier « . Cette exclusivité est conforme à la directive (UE) 2015/2366, comme l’a déjà relevé la Cour d’appel de Toulouse dans une autre affaire : » l’article 58 et l’article 60, paragraphe 1, de la directive 2007/64/CE […] s’opposent à ce qu’un utilisateur de services de paiement puisse engager la responsabilité du prestataire sur le fondement d’un régime de responsabilité autre que celui prévu par ces dispositions « (CA Toulouse, 29 avril 2025, n°24/02560). Ainsi, en écartant toute action fondée sur le droit commun de la responsabilité contractuelle, la cour affirme la prééminence du régime spécial instauré par le législateur.
B. La confirmation de la charge probatoire pesant sur le prestataire
L’exclusivité du régime spécial n’exonère pas pour autant la banque de rapporter la preuve que l’opération a été authentifiée et que l’utilisateur a commis une négligence grave. La cour rappelle les règles de répartition de la charge de la preuve issues de l’article L. 133-23 du code monétaire et financier. Il incombe d’abord au prestataire de prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée. La banque verse aux débats des relevés démontrant la connexion à l’application mobile et la validation des opérations par un système d’authentification forte (Secur’pass). La cour constate que » la validation de l’opération de paiement a bien été réalisée grâce aux codes adressés au client, et donc au moyen d’une authentification forte « . Ce faisant, le prestataire satisfait à son obligation initiale. Il appartient ensuite à la banque, conformément à l’article L. 133-19 IV du même code, de prouver que l’utilisateur a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations. La cour précise que cette preuve » ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés « . La banque doit donc démontrer un comportement fautif de l’utilisateur. En l’espèce, la cour examine les circonstances concrètes pour établir l’existence d’une négligence grave.
II. La caractérisation de la négligence grave de l’utilisateur de services de paiement
A. L’appréciation in concreto du comportement de l’utilisateur
La cour d’appel opère une analyse minutieuse des faits pour déterminer si le client a commis une négligence grave au sens de l’article L. 133-19 IV. Elle relève plusieurs éléments : le client a été contacté par un numéro inconnu, qu’il n’a pas identifié comme étant celui de sa banque. L’appel a duré une heure dix, ce qui » était de nature à attirer l’attention d’un utilisateur normalement attentif « . Surtout, la cour souligne que le prétexte invoqué (bloquer des paiements frauduleux) est une opération que la banque peut effectuer seule, sans l’aide du client. Or, Madame D, dans sa plainte, indique avoir » procédé à plusieurs validations sans procéder à une quelconque vérification, et sans s’interroger sur la nature de ces opérations « . La cour note également qu’au moment de valider, » la nature de l’opération est indiquée sur le message adressé par la banque pour procéder à l’authentification « . Malgré cela, le client n’a pas vérifié la teneur des mails reçus. Il n’est pas établi que l’interlocuteur ait fait état d’informations confidentielles propres à endormir la méfiance. La banque justifie en outre avoir adressé des messages d’alerte sur les fraudes. Ainsi, la cour estime que le client a fait preuve d’une » négligence grave « en ne procédant à aucune vérification » alors qu’il n’identifiait pas le numéro d’appel comme celui de sa banque « et en validant des opérations sans s’interroger sur leur nature.
B. Les conséquences sur le droit à remboursement
La caractérisation d’une négligence grave emporte pour le client la perte du droit au remboursement. En application de l’article L. 133-19 IV, le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’une négligence grave de sa part. La cour confirme en conséquence le rejet de la demande en remboursement de la somme de 7 350,08 €. Elle relève que la banque a, par ailleurs, procédé au remboursement de deux autres opérations frauduleuses et bloqué deux autres, ce qui démontre qu’elle a agit de manière raisonnable. Aucune résistance abusive n’est caractérisée. Le client est donc débouté de l’intégralité de ses demandes. Cette solution est cohérente avec la jurisprudence antérieure de la Cour de cassation qui considère qu’un utilisateur qui communique ses données de sécurité en réponse à un courriel suspect manque à ses obligations par négligence grave. Elle se distingue des hypothèses où l’interlocuteur usurpe le numéro de la banque, créant une confiance légitime. En l’espèce, l’absence d’usurpation du numéro et le nombre de manipulations exigées justifient la qualification de négligence grave. Ainsi, la cour d’appel de Toulouse, tout en rappelant l’exclusivité du régime spécial, fait une application rigoureuse des règles de preuve et consacre la responsabilité de l’utilisateur dans la protection de ses données personnalisées.
Jurisprudences utilisées pour enrichir le commentaire
Fondements juridiques
Article 625 du Code de procédure civile En vigueur
Sur les points qu’elle atteint, la cassation replace les parties dans l’état où elles se trouvaient avant le jugement cassé.
Elle entraîne, sans qu’il y ait lieu à une nouvelle décision, l’annulation par voie de conséquence de toute décision qui est la suite, l’application ou l’exécution du jugement cassé ou qui s’y rattache par un lien de dépendance nécessaire.
Si elle en est requise, la Cour peut dans le dispositif de l’arrêt de cassation prononcer la mise hors de cause des parties dont la présence devant la cour de renvoi n’est plus nécessaire à la solution du litige.
Article L. 133-23 du Code monétaire et financier En vigueur
Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre.
L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. Le prestataire de services de paiement, y compris, le cas échéant, le prestataire de services de paiement fournissant un service d’initiation de paiement, fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement.
Transmettez les pièces de votre dossier au cabinet. Maître Hassan KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.
