Le 7 avril 2026, le Tribunal judiciaire de Paris (9ème chambre, 2ème section, n°24/15038) a statué sur la responsabilité d’un prestataire de services de paiement en cas d’opérations non autorisées issues d’une usurpation de numéro de téléphone de la banque. Un client avait été contacté par un fraudeur se faisant passer pour le service anti-fraude, ce qui l’avait conduit à valider plusieurs virements. Après avoir signalé ces opérations, il avait assigné sa banque en remboursement et en dommages-intérêts. En première instance, la banque avait refusé de rembourser en invoquant une négligence grave du client. Le tribunal était saisi de la question de savoir si le client avait consenti aux opérations et, à défaut, s’il avait commis une négligence grave excluant le remboursement. Le tribunal a retenu que les opérations étaient non autorisées faute de consentement du client sur le montant et le bénéficiaire, et a condamné la banque à rembourser la somme de 2 520,46 euros avec intérêts majorés, tout en rejetant les autres demandes fondées sur un devoir général de vigilance. La solution mérite d’être analysée sous l’angle de l’exclusivité du régime légal de responsabilité et de l’appréciation de la négligence grave.
I. Le caractère exclusif du régime des opérations non autorisées
A. La qualification d’opérations non autorisées par défaut de consentement
Le tribunal rappelle que, selon l’article L. 133-6 du code monétaire et financier, une opération de paiement n’est autorisée que si le payeur a donné son consentement à son exécution. Il précise, en s’appuyant sur la jurisprudence de la Cour de cassation, que ce consentement doit porter non seulement sur le principe de l’opération, mais aussi sur son montant et l’identité du bénéficiaire. En l’espèce, le client n’a jamais entendu virer les sommes litigieuses aux bénéficiaires désignés par le fraudeur. Dès lors, les opérations sont non autorisées. Cette analyse est conforme à la règle générale selon laquelle le consentement du payeur est la clé de voûte de la qualification d’opération autorisée. Ainsi, même si le client a matériellement validé des ordres dans son espace bancaire, la validité juridique de ces ordres est subordonnée à une volonté libre et éclairée, laquelle faisait défaut en raison du stratagème de spoofing.
B. Le rejet de tout fondement alternatif de responsabilité
Le tribunal écarte explicitement toute demande fondée sur un devoir de vigilance de la banque. Il se réfère à la jurisprudence de la Cour de justice de l’Union européenne (CJUE, 2 septembre 2021, C-337/20) selon laquelle les articles 58 et 60 de la directive 2007/64/CE s’opposent à ce qu’un utilisateur puisse engager la responsabilité du prestataire sur un autre fondement que celui prévu par ces dispositions. En droit interne, cela correspond aux articles L. 133-18 à L. 133-24 du code monétaire et financier. Le tribunal applique strictement cette exclusivité : le client ne peut réclamer des dommages-intérêts pour manquement au devoir de surveillance, car seul le remboursement des opérations non autorisées est prévu. Cette position sécurise le régime légal mais elle prive le client d’une réparation complète, par exemple pour le préjudice moral ou le temps perdu. La banque ne pouvait être condamnée que sur le terrain du paiement non autorisé, ce qui limite la portée de l’action du client.
II. L’appréciation circonstanciée de la négligence grave du client
A. La charge de la preuve pesant sur le prestataire de services de paiement
Le tribunal rappelle que, pour échapper au remboursement, la banque doit prouver que les pertes résultent d’une négligence grave du client au sens des articles L. 133-16 et L. 133-17 du code monétaire et financier. Il ne suffit pas d’établir une authentification forte ; encore faut-il démontrer que le client a intentionnellement ou par négligence grave violé ses obligations de conservation des données personnelles. La banque apportait la preuve de l’authentification forte, mais cela ne présume pas en soi une faute du client. Le tribunal souligne que l’utilisation de l’instrument de paiement telle qu’enregistrée ne prouve pas que l’opération a été autorisée par le payeur. Il incombe donc à la banque de caractériser une négligence grave, ce qui suppose d’examiner les circonstances concrètes de l’espèce.
B. L’absence de négligence grave en raison des manœuvres frauduleuses
Le tribunal écarte la qualification de négligence grave en s’appuyant sur les faits. Le client a été contacté par un numéro de téléphone qui correspondait au service d’opposition des cartes bancaires de la banque. Le fraudeur a usurpé ce numéro et a fourni des informations personnelles (nom, adresse), instaurant une confiance légitime. Le client a d’abord refusé de valider les opérations, puis n’a cédé qu’après une insistance agressive, et a finalement cessé toute validation et refusé les sollicitations ultérieures. Le tribunal compare cette situation à celle jugée par la Cour de cassation le 23 octobre 2024 (Com. 23-16.267), où le client avait été appelé par le numéro de sa conseillère, et en conclut que l’absence d’appel du conseiller habituel n’est pas déterminante. La vigilance du client a été légitimement altérée par l’usurpation du numéro officiel. Cette solution s’inscrit dans la ligne de la Cour d’appel de Toulouse (18 mars 2025, n°23/03180), selon laquelle la communication volontaire de codes sous l’emprise d’un spoofing ne constitue pas une négligence grave. Le tribunal retient donc que la banque n’a pas rapporté la preuve d’une négligence grave du client, si bien que le remboursement intégral est dû.
Jurisprudences utilisées pour enrichir le commentaire
Fondements juridiques
Article L. 2314-23 du Code du travail En vigueur
Pour les salariés mis à disposition qui remplissent les conditions mentionnées au 2° de l’article L. 1111-2, la condition de présence dans l’entreprise utilisatrice est de douze mois continus pour y être électeur. Les salariés mis à disposition ne sont pas éligibles dans l’entreprise utilisatrice.
Les salariés mis à disposition qui remplissent les conditions mentionnées au premier alinéa choisissent s’ils exercent leur droit de vote dans l’entreprise qui les emploie ou l’entreprise utilisatrice.
Article L. 133-16 du Code monétaire et financier En vigueur
Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées.
Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées.
Article L. 133-17 du Code monétaire et financier En vigueur
I. – Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci.
II. – Lorsque le paiement est effectué par une carte de paiement émise par un établissement de crédit, une institution ou un service mentionné à l’article L. 518-1 et permettant à son titulaire de retirer ou de transférer des fonds, il peut être fait opposition au paiement en cas de procédure de redressement ou de liquidation judiciaires du bénéficiaire tant que le compte du prestataire de services de paiement du bénéficiaire n’a pas été crédité du montant de l’opération de paiement.
Article L. 133-6 du Code monétaire et financier En vigueur
I. – Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution.
Toutefois, le payeur et son prestataire de services de paiement peuvent convenir que le payeur pourra donner son consentement à l’opération de paiement après l’exécution de cette dernière.
II. – Une série d’opérations de paiement est autorisée si le payeur a donné son consentement à l’exécution de la série d’opérations, notamment sous la forme d’un mandat de prélèvement.
