Négligence grave : pourquoi la banque refuse de rembourser

Article mis à jour le 2 novembre 2026 — arrêts de la Cour de cassation des 14 janvier, 1er juillet et 9 septembre 2026, fichier national des comptes signalés pour risque de fraude (7 mai 2026) et futur règlement européen sur les services de paiement, jugement du tribunal judiciaire de Toulouse du 3 septembre 2026 ; arrêt de la Cour de cassation du 9 septembre 2026 sur le spoofing, arrêt du 30 septembre 2026 sur la fraude du payeur, et portée de l'arrêt de la Cour de justice du 15 octobre 2026 ; jugement du tribunal judiciaire d'Albertville du 2 octobre 2026 (virements validés par la cliente jugés autorisés, banque condamnée pour défaut de vigilance) ; arrêt de la cour d'appel de Paris du 7 octobre 2026 (fuite de données par un ancien salarié de la banque, remboursement avec intérêts majorés, régime exclusif). Mise à jour du 11 novembre 2026 : jugement du tribunal judiciaire de Grenoble du 12 octobre 2026 (faux conseiller, plus de 33 000 euros remboursés par deux banques, intérêts majorés depuis la contestation). Mise à jour du 13 novembre 2026 : authentification forte et preuve à la charge de la banque (Cour de cassation, 22 octobre et 10 décembre 2025 ; cours d'appel de Paris, Douai et Aix-en-Provence, 2026) ; jugement du tribunal judiciaire de Caen du 15 octobre 2026 (appel depuis un portable, validation sous pression, pas de négligence grave). Précisions sur l'arrêt de la Cour de cassation du 9 septembre 2026 (n° 25-15.038, arrêt non publié, renvoi devant la cour d'appel de Montpellier).

Vous avez été victime d'une fraude bancaire et votre banque vous oppose un refus de remboursement en invoquant votre "négligence grave". Cette notion est l'argument favori des établissements bancaires pour se décharger de leur obligation légale de rembourser.

Mais derrière ce terme juridique se cache une réalité beaucoup plus nuancée et une position souvent juridiquement fragile.

Voici tout ce que vous devez savoir pour comprendre cet argument et le contester efficacement.

Qu'est-ce que la négligence grave en matière bancaire ?

La négligence grave est une notion juridique définie par le Code monétaire et financier. Elle désigne un manquement manifeste et délibéré aux obligations de sécurité, permettant à un tiers d'effectuer une opération frauduleuse. La loi ne la définit pas : elle se déduit des obligations de l'article L. 133-16 du code monétaire et financier, qui impose à l'utilisateur de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées.

En termes simples, la négligence grave suppose que la victime a commis une imprudence tellement évidente et flagrante qu'elle a elle-même rendu la fraude possible. Cette notion ne se limite pas à un simple oubli ou maladresse, elle désigne une imprudence majeure, par exemple le fait de laisser son code confidentiel accessible à des tiers ou de ne pas signaler rapidement une perte de carte bancaire, mettant ainsi délibérément en danger la sécurité de ses fonds.

La distinction est fondamentale : être trompé par un escroc sophistiqué n'est pas la même chose que laisser son carnet de codes sur son bureau. La première situation ne constitue pas une négligence grave, la seconde peut l'être.

Pourquoi la banque invoque-t-elle systématiquement la négligence grave ?

La réponse est simple : parce que c'est son seul moyen légal d'échapper à son obligation de remboursement.

La banque doit rembourser immédiatement son client en cas d'opération non autorisée, conformément à l'article L.133-18 du Code monétaire et financier. Le client perd ce droit uniquement s'il a agi de manière intentionnelle ou par négligence grave.

Cette stratégie du refus pour négligence grave vient d'être condamnée au niveau européen. Le 15 octobre 2026, la Cour de justice de l'Union européenne a jugé, dans l'affaire C-70/25, qu'une banque ne peut pas refuser le remboursement immédiat d'une opération non autorisée au motif d'une négligence grave : elle doit rembourser d'abord, puis réclamer les sommes si elle s'estime en mesure de prouver cette négligence, et c'est à elle de saisir le juge. Nous analysons cet arrêt, ses faits, son raisonnement et sa mise en œuvre dans Fraude bancaire : depuis l'arrêt de la CJUE du 15 octobre 2026, la banque peut-elle encore refuser de rembourser pour négligence grave ?.

Face à l'explosion des fraudes bancaires, les établissements ont adopté une stratégie systématique : la banque, si elle suspecte une négligence grave de son client, refuse de rembourser et laisse son client prendre l'initiative d'une action en justice, ce qui est dissuasif dans un très grand nombre de cas. Cette stratégie est très efficace car la victime d'une fraude, ayant déjà perdu de l'argent, doit encore prendre l'initiative de l'action en justice si elle veut être remboursée.

Un refus de remboursement après une fraude bancaire n'est pas une décision judiciaire. C'est une position unilatérale de la banque, une stratégie de dissuasion et, dans la très grande majorité des cas, une position juridiquement fragile.

Qui doit prouver la négligence grave : la victime ou la banque ?

C'est un point crucial que beaucoup de victimes ignorent et qui renverse complètement la charge de la preuve.

C'est à la banque d'apporter la preuve de la faute grave du client et non à la victime de prouver son absence de négligence. La négligence grave ne peut se déduire du seul fait que l'instrument de paiement a été utilisé par le fraudeur. La banque doit prouver techniquement la négligence grave, ce qui n'est pas si simple. Elle doit notamment prouver qu'au moment de l'opération, aucune défaillance de ses propres systèmes de sécurité n'était en cause.

La négligence grave s'apprécie en outre dans un cadre précis : l'utilisation de l'instrument de paiement que la banque a délivré, conformément aux conditions convenues, et la protection des données de sécurité personnalisées qui lui sont attachées. Par un arrêt du 8 octobre 2026 (chambre commerciale, pourvoi n° 25-17.510, publié au bulletin), la Cour de cassation a jugé qu'une banque qui avait accepté d'exécuter un ordre de virement reçu par télécopie, alors que ce moyen n'était plus l'instrument de paiement convenu avec sa cliente depuis l'adoption d'un système sécurisé de télétransmission, ne pouvait pas reprocher à celle-ci une négligence grave, même si l'ordre, revêtu d'une signature imitée, avait été envoyé par une salariée trompée par un faux avocat. Lorsque la banque a elle-même exécuté hors du cadre contractuel, elle ne peut pas chercher dans ce même cadre la faute de son client.

Le texte de l'arrêt mérite d'être cité, parce qu'il fixe la règle en une phrase. Au visa des articles L. 133-16 et L. 133-19, IV du code monétaire et financier, lus à la lumière des articles 69 et 74 de la directive du 25 novembre 2015 sur les services de paiement, la Cour énonce qu'« en cas d'opération de paiement non autorisée, le prestataire de services de paiement ne peut s'exonérer de sa responsabilité que lorsque l'utilisateur du service de paiement manque par négligence grave à ses obligations d'utiliser l'instrument de paiement qui lui a été délivré conformément aux conditions régissant sa délivrance et son utilisation ou ne prend pas toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées ». La cour d'appel avait pourtant relevé elle-même que le virement n'avait pas été passé au moyen de la clé numérique du dispositif sécurisé souscrit par la société, et en avait déduit que l'article L. 133-19, IV ne s'appliquait pas, avant d'admettre une négligence grave sur le seul fondement de l'article L. 133-16. C'est ce raccourci que la Cour de cassation censure : dès lors que la télécopie « n'était plus l'instrument de paiement convenu entre les parties », la banque, « qui avait accepté d'exécuter une opération de paiement au moyen d'un tel instrument, ne pouvait pas reprocher à la société une négligence grave ». L'arrêt est cassé en toutes ses dispositions et l'affaire renvoyée devant la cour d'appel de Paris autrement composée. Pour une entreprise, la conséquence pratique est nette : la négligence grave se mesure à l'aune du contrat, et un ordre reçu par un canal que la convention de compte n'autorise plus n'est pas une faute du client dans l'usage de son instrument de paiement, quelle qu'ait été l'imprudence du salarié trompé.

Avant même toute discussion sur la négligence, la banque doit établir que l'opération a été autorisée. Par un arrêt du 1er juillet 2026 (pourvoi n° 25-13.134, publié au bulletin), la Cour de cassation a jugé que le consentement ne peut pas être déduit du seul recours à la forme d'authentification convenue : la cour d'appel qui avait raisonné ainsi avait « inversé la charge de la preuve ». Le 9 septembre 2026 (pourvoi n° 25-15.225, publié au bulletin), elle a ajouté que la charge de la preuve de l'autorisation du paiement « repose sur le prestataire de services de paiement » : c'est à la banque de produire l'ordre de virement désignant le bénéficiaire.

Les banques s'appuient souvent sur la présomption d'autorisation liée à l'authentification forte des opérations. Cependant, cette présomption peut être renversée en cas de défaut de sécurité ou d'absence de mise en oeuvre effective de l'authentification forte.

Plusieurs décisions récentes précisent ce que la banque doit réellement établir :

pour un paiement à distance, la banque doit appliquer l'authentification forte ; à défaut, elle rembourse l'opération non autorisée, sauf agissement frauduleux du payeur, et la négligence grave n'est alors plus un moyen de défense (Cass. com., 22 octobre 2025, n° 24-19.749) ;
l'exigence vaut aussi pour les connexions à l'espace en ligne qui permettent, au-delà de la consultation du solde, d'afficher le code de la carte, de changer le mot de passe ou de relever les plafonds : la banque qui ne prouve pas l'avoir respectée doit restituer les fonds détournés (cour d'appel de Paris, 11 juin 2026, n° 25/09073) ;
le fait que les opérations soient passées par le service sécurisé de banque à distance ne prouve ni qu'elles ont été autorisées, ni que le client a été gravement négligent (cour d'appel de Paris, 25 février 2026, n° 24/00422) ;
l'absence de défaillance technique ne se présume que si la banque démontre que le client a lui-même validé chacune des étapes ayant permis le paiement (cour d'appel de Douai, 11 juin 2026, n° 25/02773) ;
le juge ne peut pas tenir trop vite une opération pour autorisée : il doit vérifier que la banque rapporte la preuve du consentement (Cass. com., 10 décembre 2025, n° 24-20.778).

En pratique, cela signifie que votre banque ne peut pas se contenter d'affirmer que vous avez été négligent. Elle doit le démontrer avec des éléments objectifs et techniques. Or, dans la grande majorité des cas d'arnaques sophistiquées, cette preuve est difficile à rapporter.

La seule exception au remboursement immédiat est le soupçon de fraude de l'utilisateur lui-même, que la banque doit signaler par écrit à la Banque de France. Un arrêt de la chambre commerciale du 30 septembre 2026 en montre les limites. Une cliente contestait un virement de près de 10 000 euros exécuté sur la foi d'un faux document fabriqué par son propre avocat, qui s'était ainsi payé ses honoraires ; la cour d'appel avait jugé sa demande de remboursement frauduleuse, parce qu'elle avait accepté par message le principe d'un virement. La Cour de cassation a cassé : la cliente avait validé un virement destiné à exécuter une condamnation civile, non à payer des honoraires, ce qui excluait toute fraude de sa part dans sa demande. Deux enseignements. Une opération peut être non autorisée alors même que le client avait accepté le montant et le bénéficiaire, dès lors que l'ordre exécuté est un faux. Et la fraude qui dispense la banque de rembourser est celle du client, par exemple une contestation mensongère, non une imprudence : la banque qui confond les deux s'expose à être condamnée.

Ce qui constitue une négligence grave et ce qui n'en constitue pas

La jurisprudence récente dessine progressivement les contours de cette notion. Voici les situations dans lesquelles les tribunaux ont dit oui ou non à la négligence grave.

Ce qui peut constituer une négligence grave

Écrire son code PIN sur sa carte bancaire ou sur un papier rangé dans son portefeuille.
Communiquer volontairement et sans contrainte ses identifiants et mots de passe à un tiers.
Ne pas signaler rapidement la perte ou le vol de sa carte bancaire alors qu'on en a connaissance.
Un signalement tardif, quand bien même il intervient dans les treize mois légaux, peut priver le payeur de son droit au remboursement s'il résulte d'une négligence grave dans la surveillance de ses comptes.

La Cour de cassation l'a confirmé à deux reprises au début de l'année 2026. Le 14 janvier 2026 (pourvoi n° 22-14.822, publié au bulletin), elle a jugé que l'obligation de signaler une opération non autorisée sans tarder naît au moment où l'utilisateur en a connaissance, et que le retard ne lui fait perdre son droit que s'il est délibéré ou dû à une négligence grave ; elle a d'ailleurs cassé l'arrêt qui avait retenu une négligence grave par des motifs insuffisants, sans expliquer comment le fraudeur avait obtenu les identifiants. Le 4 février 2026 (pourvoi n° 22-22.609, publié au bulletin), elle a approuvé le rejet de la demande de clients qui ne pouvaient pas établir la date à laquelle ils avaient alerté leur banque. Conséquence pratique : signalez par écrit, immédiatement, et conservez la preuve de la date.

Ce qui ne constitue pas une négligence grave selon la jurisprudence

recevoir un appel dont le numéro affiché est celui de votre banque : l'usurpation du numéro d'appel, ou spoofing, est techniquement indétectable pour un particulier ;
être trompé par un interlocuteur connaissant vos opérations récentes, votre agence ou le nom de votre conseiller ;
communiquer des informations sous l'effet d'une manipulation construite, exploitant l'urgence et l'autorité ;
commettre une erreur d'appréciation face à un scénario dont la sophistication dépasse ce que l'on peut attendre d'un client ordinaire.

La cour d'appel d'Aix-en-Provence a ajouté le 14 octobre 2026 (n° 24/06840) que le client qui pouvait légitimement croire, au vu des messages de sa banque, que sa carte était déjà en opposition n'est pas gravement négligent pour ne pas avoir fait opposition lui-même immédiatement.

La limite posée depuis mars 2026

Ces éléments ne suffisent plus, à eux seuls, à écarter la négligence grave. Depuis un arrêt du 4 mars 2026, le juge doit examiner ce que disaient précisément les messages de confirmation reçus au moment de l'opération. Si un message affichait sans ambiguïté qu'il s'agissait de valider un paiement, alors que l'escroc affirmait qu'il s'agissait de l'annuler, le fait de ne pas l'avoir lu peut être qualifié de négligence grave.

Le spoofing reste un argument central de la défense, mais il ne dispense plus d'analyser le contenu exact de chaque notification.

Et depuis un arrêt du 9 septembre 2026, le juge doit aussi se prononcer sur ce que le client a fait lui-même : communiquer son identifiant et son code d'accès, valider des opérations qu'il n'avait pas initiées. Un message venant du vrai numéro de la banque ne suffit plus à écarter la négligence grave ; il faut démontrer pourquoi, dans la situation précise, une personne normalement attentive aurait fait de même.

Le tribunal judiciaire de Paris a jugé le 11 janvier 2024 qu'une transaction validée sous la pression d'un fraudeur se présentant comme un conseiller n'est pas imputable à la victime.

La Cour d'appel de Poitiers a jugé que des erreurs mineures dans un email frauduleux, comme l'absence d'un mot dans le nom de la banque, n'étaient pas suffisantes pour conclure à une négligence grave.

La jurisprudence est-elle toujours favorable aux victimes ?

Elle l'a été très nettement entre 2023 et 2025. Elle s'est infléchie en 2026, et il faut le savoir avant d'engager une réclamation.

La phase protectrice (2023-2025)

Par un arrêt du 23 octobre 2024 (pourvoi n° 23-16.267), la chambre commerciale de la Cour de cassation a jugé que la sophistication de la fraude constituait un facteur déterminant, et que la victime d'un spoofing bien construit ne pouvait se voir opposer mécaniquement une négligence grave. Plusieurs décisions de cours d'appel ont prolongé cette orientation, dont un arrêt de la cour d'appel de Versailles du 29 janvier 2026 exigeant la réunion de trois éléments cumulatifs avant toute qualification de négligence grave.

L'inflexion du 4 mars 2026

Par un arrêt du 4 mars 2026 (pourvoi n° 24-19.588), publié au bulletin, la Cour de cassation a censuré une décision favorable à un client, en reprochant aux juges du fond de ne pas avoir recherché si celui-ci avait lu le message de confirmation avant de valider l'opération sur son application bancaire. Les messages mentionnaient explicitement un paiement, là où le faux conseiller affirmait qu'il s'agissait d'annuler une opération frauduleuse.

Un arrêt de la chambre commerciale du 9 septembre 2026 (n° 25-15.038, arrêt non publié) marque une nouvelle étape, et il concerne directement Toulouse. Un client avait reçu l'appel d'un prétendu conseiller l'alertant d'un retrait frauduleux ; il avait confirmé à son interlocuteur son adresse et son numéro de carte, reçu un message en provenance du numéro enregistré au nom de sa banque confirmant la mise en opposition de sa carte, puis validé, à titre de prétendu test, un virement de 9 000 euros avant de réinitialiser ses identifiants et de les communiquer. La cour d'appel de Toulouse avait condamné la banque à rembourser 10 200 euros, en retenant qu'aucune négligence grave ne pouvait être reprochée à une personne appelée par quelqu'un qui connaissait ses données personnelles et dont les messages s'inséraient dans le fil de sa banque. La Cour de cassation a cassé cet arrêt, sauf en ce qu'il rejetait la demande de dommages et intérêts pour résistance abusive, et renvoyé l'affaire devant la cour d'appel de Montpellier : exclure la négligence grave au seul motif que l'appel et le message semblaient provenir de la banque est, selon ses termes, un « motif péremptoire » ; les juges devaient rechercher concrètement si la communication volontaire de l'identifiant et du code d'accès, et la validation d'opérations que le client n'avait pas initiées, ne constituaient pas une négligence grave. L'usurpation du numéro n'est donc plus un bouclier automatique : après le contenu des messages de confirmation, examiné depuis l'arrêt du 4 mars 2026, c'est le comportement actif du client, ce qu'il a lui-même transmis et validé, qui est passé au crible. Pour la victime, deux conséquences pratiques : la réclamation doit raconter la manipulation dans son déroulé exact, sans jamais résumer les faits en une communication de codes, et elle doit insister sur ce que la banque savait et aurait pu bloquer.

Trois conséquences pratiques :

le débat ne porte plus sur la seule sophistication de l'escroquerie, mais sur le contenu littéral des notifications reçues ;
un message clair et non équivoque, non lu, peut caractériser la négligence grave ;
à l'inverse, un message ambigu, tronqué, générique ou reçu dans des conditions ne permettant pas sa lecture reste un argument fort en faveur de la victime.

Il ne s'agit donc pas d'un revirement, mais d'un déplacement du terrain de la discussion. Ce déplacement rend décisive la conservation des preuves matérielles des notifications.

Comment retrouver et exploiter les messages de validation ?

Depuis l'arrêt du 4 mars 2026, ces messages constituent la pièce maîtresse du dossier, pour la banque comme pour vous. Ils doivent être réunis avant toute réclamation écrite.

photographiez ou capturez immédiatement l'historique des SMS reçus, en veillant à ce que l'horodatage soit visible ;
conservez les notifications de l'application bancaire, y compris celles du centre de notifications du téléphone, souvent effacées automatiquement au bout de quelques jours ;
demandez à votre banque, par écrit, la communication du libellé exact des messages qu'elle vous a adressés, ainsi que les horodatages d'envoi et de validation ;
relevez les incohérences : un message générique du type « confirmez l'opération », sans mention du bénéficiaire ni du montant, ne peut fonder aucune négligence grave ;
vérifiez le délai écoulé entre la réception du message et la validation : quelques secondes, sous la pression téléphonique d'un interlocuteur qui parle en continu, ne permettent pas une lecture éclairée.

Cette demande de communication doit être formulée sans délai : les données d'authentification ne sont conservées que pendant une durée limitée, et leur absence au dossier se retourne le plus souvent contre la banque, à qui la charge de la preuve incombe.

Comment contester l'argument de négligence grave invoqué par votre banque ?

Si votre banque vous oppose la négligence grave, voici la stratégie à adopter.

Étape 1 : Rassemblez toutes les preuves de la sophistication de l'arnaque

Conservez tous les éléments relatifs à la fraude : emails, SMS, captures d'écran, relevés bancaires. Notez précisément les circonstances : date, heure, contenu des messages, et interactions avec les fraudeurs. Ces éléments permettent de démontrer que vous avez été victime d'une manipulation sophistiquée et non d'une imprudence grossière.

Reconstituez la chronologie minute par minute : heure de l'appel, heure de réception de chaque message, heure de chaque validation et exigez la production du libellé intégral des messages de confirmation, et non un simple relevé d'opérations : depuis l'arrêt du 4 mars 2026, c'est sur ce contenu que se joue la qualification de la négligence grave.

Étape 2 : Répondez par courrier recommandé en contestant la qualification

Adressez à votre banque un courrier recommandé contestant formellement la qualification de négligence grave, en citant l'article L.133-18 du Code monétaire et financier et les arrêts récents favorables aux victimes. Précisez les circonstances exactes de la fraude (numéro usurpé, SMS intégré dans un fil authentique) pour démontrer l'impossibilité de détecter l'arnaque.

Étape 3 : Saisissez le médiateur bancaire

En cas de refus persistant dans les 60 jours, saisissez le médiateur bancaire. Le médiateur est gratuit et dispose de 90 jours pour rendre sa recommandation.

Étape 4 : Engagez une action en justice

Si la médiation échoue, le tribunal judiciaire peut être saisi pour contraindre la banque à rembourser. Les juges examinent désormais de manière approfondie le comportement de la banque, ses procédures internes et les conditions concrètes de validation des opérations sans se satisfaire d'arguments génériques. La jurisprudence favorable rend aujourd'hui cette contestation particulièrement efficace.

L'obligation de vigilance de la banque : un argument à retourner contre elle

N'oubliez pas que votre banque a elle aussi des obligations légales en matière de sécurité. La banque est tenue d'une obligation de surveillance des transactions. Des virements inhabituels (montants élevés, destinations nouvelles, fréquence anormale) doivent déclencher des alertes. Si la banque n'a pas mis en place de systèmes de détection adaptés, sa responsabilité peut être engagée indépendamment de toute faute du client.

Si votre banque n'a pas détecté des transactions manifestement anormales (virement de plusieurs milliers d'euros vers un nouveau bénéficiaire, plusieurs opérations en quelques heures, virement vers un pays à risque) elle a manqué à sa propre obligation de vigilance. Cet argument est distinct de la question de votre négligence et peut suffire à lui seul à engager sa responsabilité.

Ce second fondement prend toute son importance lorsque le débat sur la négligence grave est perdu d'avance, parce que l'opération est jugée autorisée. Le tribunal judiciaire d'Albertville l'a illustré le 2 octobre 2026 (RG n° 24/00893) : une cliente appelée par un faux conseiller depuis le numéro usurpé de sa banque avait elle-même ajouté deux bénéficiaires, dont les noms figuraient dans les messages de validation, et validé deux virements par authentification forte ; le tribunal en a déduit qu'elle avait consenti au montant et aux bénéficiaires, et a écarté le régime des opérations non autorisées. Mais il a condamné la banque, sur le devoir de vigilance, à rembourser un peu plus de 10 000 euros, parce que les virements représentaient toute l'épargne de la cliente, n'avaient aucun précédent sur le compte, avaient nécessité des transferts internes juste avant et visaient des bénéficiaires libellés comme une assurance alors qu'il s'agissait de particuliers. Les intérêts majorés du code monétaire et financier n'étaient pas dus, seuls les intérêts au taux légal à compter de la mise en demeure l'ont été, et les dommages et intérêts ont été refusés faute de pièces : sur ce terrain, la mise en demeure précoce et la preuve du préjudice comptent autant que la démonstration de l'anomalie.

L'inverse est aussi vrai : lorsque l'opération est non autorisée, le régime du code monétaire et financier est exclusif, dans un sens comme dans l'autre. La cour d'appel de Paris l'a rappelé le 7 octobre 2026 (RG n° 24/12769) dans une affaire de faux service de sécurité où il est apparu, grâce au dossier pénal produit en appel, qu'un ancien salarié de la banque avait livré à des tiers les données personnelles de clients. La banque, qui avait refusé le remboursement pendant plus de deux ans et obtenu gain de cause en première instance, a finalement remboursé environ 12 000 euros et près de 7 100 euros d'intérêts légaux majorés. Mais la cour a refusé les 20 000 euros réclamés en réparation du préjudice moral : en matière d'opération non autorisée, le client ne peut obtenir d'autres sommes que celles prévues par ces textes, le remboursement et les intérêts majorés, sauf indemnité prévue par le contrat, et la résistance abusive n'a pas été retenue. Le client a tout de même obtenu 7 000 euros au titre de ses frais d'avocat et la condamnation de la banque aux dépens. Autrement dit, ce que l'on gagne à travers les intérêts majorés, qui ont ici représenté plus de la moitié du principal, on ne le gagne pas une seconde fois en dommages et intérêts.

Attention à ne pas confondre deux fondements distincts

L'arrêt du 4 mars 2026 apporte une seconde précision, moins commentée mais tout aussi importante. La Cour de cassation y juge que les obligations de lutte contre le blanchiment et le financement du terrorisme, prévues aux articles L. 561-4-1 et suivants du code monétaire et financier, poursuivent une finalité d'intérêt général et non la protection individuelle des clients : elles ne peuvent donc pas fonder une action en responsabilité civile contre la banque.

Cela ne prive pas la victime de tout argument tiré de la vigilance de l'établissement. Le devoir de vigilance de droit commun du banquier, qui l'oblige à détecter les anomalies apparentes (un virement d'un montant inhabituel, vers un bénéficiaire nouveau, dans un pays sans lien avec le client), demeure un fondement autonome et pleinement mobilisable.

La distinction est technique, mais elle est déterminante : une réclamation fondée sur les obligations anti-blanchiment sera écartée, là où la même réclamation fondée sur la vigilance de droit commun conserve toutes ses chances.

Ce que la banque doit réellement prouver : un jugement d'août 2026

Un jugement du tribunal judiciaire de Lorient du 26 août 2026 (RG n° 24/01823) illustre concrètement ce que « rapporter la preuve de la négligence grave » veut dire. Un client s'était vu prélever un peu plus de 16 000 euros après un appel émanant d'une personne se présentant comme le service des fraudes de sa banque. Il avait saisi son identifiant, son code secret, puis validé une opération au moyen d'un code reçu par SMS. La banque a néanmoins été condamnée à rembourser l'intégralité de la somme, avec intérêts au taux légal capitalisés à compter de la première demande.

Trois enseignements méritent d'être retenus.

La victime n'a pas à prouver le spoofing. Le client ne produisait pas son relevé téléphonique : le numéro qui s'était affiché n'était donc pas établi, et il en avait même donné deux versions différentes au fil de la procédure. Cela n'a pas suffi à le faire perdre, parce que la charge de la preuve ne pèse pas sur lui. C'est à la banque d'établir la négligence grave ; faute d'y parvenir, elle rembourse.

L'avertissement générique ne vaut rien. La banque invoquait la mention figurant dans le guide pratique remis avec la carte, ainsi que « de nombreuses campagnes publicitaires ». Le tribunal a écarté les deux : ce qu'il faut démontrer, c'est l'envoi d'un message individuel, au moment même de l'opération, rappelant qu'aucun code ne doit être communiqué par téléphone — un message que le client ne pouvait pas manquer. Ce SMS est aujourd'hui systématique ; il ne l'était pas nécessairement en 2022.

Les circonstances personnelles comptent. Le tribunal a tenu compte de l'année de naissance du client, 1949, celle d'une génération venue tardivement aux usages en ligne. Il a aussi écarté l'argument tiré de ce que l'intéressé était un ancien salarié de cette même banque : sensibilisé aux fraudes de son époque, il ne pouvait l'être au spoofing, qui n'existait pas lors de son départ en retraite. La banque reconnaissait d'ailleurs elle-même dans ses écritures que le phénomène restait méconnu du grand public en 2019.

Le tribunal a enfin balayé l'argument selon lequel le client aurait dû savoir que les agences sont fermées le lundi après dix-huit heures : il est légitime de penser qu'un service d'urgence anti-fraude fonctionne en dehors des horaires d'agence.

Il s'agit d'un jugement de première instance, susceptible d'appel. Il ne lie aucune autre juridiction, mais il montre avec précision les points sur lesquels une banque est aujourd'hui attendue.

Sans usurpation du numéro de la banque : un jugement de Toulouse de septembre 2026

Les décisions favorables aux victimes portent souvent sur des appels qui affichaient le numéro de la banque. Le tribunal judiciaire de Toulouse a tranché le cas inverse par un jugement du tribunal judiciaire de Toulouse du 3 septembre 2026 (RG n° 25/02608). Une cliente avait été appelée, en septembre 2022, par un prétendu agent du service des fraudes de sa banque, depuis un simple numéro de portable. L'escroc lui avait fait valider sur son application deux ajouts de bénéficiaires et deux virements de 4 000 euros chacun, présentés comme des « remboursement » destinés à annuler une opération frauduleuse. La banque produisait la trace des validations par clé digitale, avec la même adresse IP pour les ajouts de bénéficiaires et pour les virements ; le tribunal a admis que les opérations avaient été authentifiées sans défaillance technique. Il a aussi relevé que l'appel ne venait pas du numéro de la banque, de sorte que la cliente ne pouvait pas invoquer l'arrêt de la Cour de cassation du 23 octobre 2024, et qu'elle avait eu un moment de doute lorsque l'escroc lui avait demandé de ne pas faire attention au montant.

La négligence grave a pourtant été écartée, et la banque condamnée à rembourser les 8 000 euros. Le tribunal rappelle que la Cour de cassation n'exerce qu'un contrôle léger sur cette qualification et que le juge du fond doit apprécier « in concreto la gravité de la faute ». Il retient que la cliente « a été mise en confiance par le fait que celui-ci connaissait certaines de ses données (coordonnées bancaires, numéro de carte, ..), ainsi que le nom de sa conseillère », que l'escroc avait joué sur l'urgence et qu'« il participait de l'escroquerie d'intituler les opérations "remboursement" afin de tromper la vigilance » de la victime. Il conclut que « sa négligence ne présente pas un degré de gravité tel qu'il soit fait exception au principe de remboursement par le prestataire de service de paiement d'une opération non autorisée ». Deux arguments ont achevé la démonstration : « la banque ne justifie pas des alertes dispensées nominativement » à sa cliente, et « les opérations se sont déroulées en septembre 2022 et donc à une époque où le public n'était pas sensibilisé à ces méthodes d'arnaques autant qu'il peut l'être actuellement par les médias et réseaux sociaux ». Ce dernier motif rappelle que l'appréciation est datée : une fraude identique commise aujourd'hui, après plusieurs années de campagnes de prévention, pourrait être jugée plus sévèrement.

Le jugement apporte deux précisions utiles sur ce que l'on peut obtenir. Les intérêts au taux légal majoré prévus par l'article L. 133-18 du code monétaire et financier n'ont couru qu'à compter du jugement, alors que la cliente les réclamait depuis sa mise en demeure. Et sa demande de 1 500 euros de dommages et intérêts pour résistance abusive et préjudice moral a été rejetée, le tribunal jugeant que « seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier » et que la demande n'était justifiée ni dans son principe ni dans son montant. La banque a été condamnée aux dépens et à 700 euros au titre des frais d'avocat. Il s'agit d'une décision de première instance, susceptible d'appel.

Trois jours de validations, deux banques, pas de négligence grave : un jugement de Grenoble d'octobre 2026

Le tribunal judiciaire de Grenoble a rendu le 12 octobre 2026 (RG n° 24/01113) une décision utile pour démonter, un par un, les arguments habituels des banques. La cliente, appelée par un faux conseiller du centre des oppositions juste après un vrai SMS d'alerte de sa banque, avait validé par authentification forte, pendant trois jours et sur deux comptes, une vingtaine de paiements et de virements qu'on lui présentait comme des annulations de fraude. Les banques soulignaient qu'aucun numéro officiel n'avait été usurpé, que les messages reçus contenaient des fautes, que la dernière étape de validation précisait qu'il ne s'agissait ni d'un remboursement ni d'une annulation, que l'application avait diffusé une mise en garde contre les faux conseillers trois semaines plus tôt, et que la cliente avait elle-même répondu à un SMS d'alerte qu'elle était à l'origine du paiement.

Aucun de ces éléments n'a suffi. Le tribunal rappelle que l'authentification forte ne fait que présumer l'autorisation et que la référence de l'article L. 133-23 à l'absence de déficience technique ou autre est une formulation « intégrant nécessairement la notion d'une fraude extérieure au client ». Il juge que la crédulité n'est pas une négligence grave lorsque les opérations sont présentées comme des annulations de fraudes en cours, dans un contexte qui place le client en situation de vulnérabilité, et il replace la réponse au SMS d'alerte dans sa chronologie : elle avait été donnée pendant l'appel du faux conseiller, sur ses instructions. Sur la mise en garde publiée dans l'application, il retient que sa lecture n'était pas établie et que « la preuve d'une négligence grave ne peut pas être déduite de la fraude dont elle a été victime moins d'un mois plus tard ». Quant au bouton de signalement de fraude que la banque disait proposer pendant la validation, ses copies d'écran « ne permettent pas de déterminer l'application bancaire concernée, et ne sont pas datées ». Leçon pratique : la charge de la preuve pèse sur la banque, qui doit produire des pièces précises et datées, et la victime doit reconstituer la chronologie minute par minute, sa plainte et ses premiers messages à la banque étant les pièces qui permettent de le faire. Il s'agit d'un jugement de première instance.

Un appel depuis un portable, une validation sous pression : un jugement de Caen d'octobre 2026

Le tribunal judiciaire de Caen a jugé le 15 octobre 2026 (RG n° 24/01251) qu'un client appelé deux jours de suite par un prétendu agent du service fraude, depuis un simple numéro de portable, n'avait pas commis de négligence grave en validant lui-même, avec son code personnel, un virement de près de 4 800 euros. Le numéro affiché aurait pu éveiller ses soupçons, mais il « ne saurait à lui seul être considéré comme caractérisant une négligence grave », d'autant que l'escroc connaissait le numéro de sa carte, son numéro de compte et ses dernières dépenses, sans que la banque explique comment ces données avaient fuité. Le tribunal relève aussi, à partir de l'historique fourni par la banque elle-même, que la validation litigieuse suivait deux tentatives échouées en un quart d'heure, pendant l'appel : une situation qui ne laissait pas le temps de réfléchir, « contrairement à l'envoi d'un courriel par exemple ».

Il écarte enfin deux arguments que les banques utilisent souvent : le SMS d'alerte invoqué avait été envoyé le lendemain et concernait une autre opération, et les campagnes générales de prévention ne prouvent rien tant que la banque n'établit pas que ce client précis en a été destinataire, et à quelle date. La banque a été condamnée à rembourser la totalité, ainsi que 3 000 euros au titre des frais de procédure ; le jugement est susceptible d'appel.

Cette décision s'applique-t-elle à une fraude subie avant le 15 octobre 2026 ?

Oui. Un arrêt préjudiciel de la Cour de justice de l'Union européenne ne crée pas une règle nouvelle à compter de sa date : il dit ce que la directive sur les services de paiement signifie depuis son entrée en vigueur. L'interprétation donnée le 15 octobre 2026 dans l'affaire C-70/25 s'incorpore au texte et s'applique aux opérations antérieures, y compris aux litiges en cours, sauf limitation des effets dans le temps décidée par la Cour elle-même dans l'arrêt, ce qui est exceptionnel. L'article L. 133-18 du code monétaire et financier, qui prévoit déjà le remboursement immédiat sauf soupçon de fraude, se prête sans difficulté à cette lecture.

Trois situations en découlent. Pour un dossier en cours, devant le médiateur ou le tribunal, l'arrêt s'invoque immédiatement, même pour une opération de 2022 ou 2023 : le refus fondé sur la négligence grave n'est pas un motif légal. Pour un refus passé que vous n'avez jamais contesté en justice, l'action contre la banque reste ouverte tant que la prescription de cinq ans n'est pas acquise, à condition d'avoir signalé l'opération dans les treize mois ; un dossier classé après un avis défavorable du médiateur peut être repris. Pour une décision de justice devenue définitive, en revanche, l'arrêt ne permet pas de la faire rejuger.

Concrètement, toute opération non autorisée des cinq dernières années, signalée à la banque dans les treize mois du débit et refusée au motif d'une négligence grave, peut aujourd'hui donner lieu à une nouvelle réclamation puis, si nécessaire, à une action en justice. La banque assignée devra alors prouver la négligence grave devant le juge, au lieu de se contenter de l'affirmer dans un courrier. Reste une question que l'arrêt du 15 octobre 2026 n'a pas tranchée : une fois le remboursement effectué, la banque peut-elle re-débiter le compte de sa propre initiative en invoquant la négligence grave, ou doit-elle saisir le juge pour obtenir la restitution ? La logique de la décision, qui refuse de contraindre le client à prendre l'initiative d'un procès et à en supporter les frais, plaide pour la seconde solution. Si votre banque procède à une contre-passation unilatérale, contestez-la immédiatement par écrit et demandez le recrédit : nous l'expliquons dans notre article sur l'arrêt de la Cour de justice.

Deux réserves. L'arrêt interprète la directive de 2015, applicable en France aux opérations postérieures au 13 janvier 2018 ; les faits antérieurs relevaient de la directive de 2007, qui imposait aussi un remboursement immédiat mais ne l'encadrait pas de la même manière, et que la Cour n'a pas interprétée ici. Et la négligence grave ne disparaît pas : la banque qui rembourse peut ensuite vous assigner en restitution, et le débat sur votre comportement se tiendra alors, mais à son initiative et à ses frais.

Ce qui va changer avec le futur règlement européen, et le nouveau fichier des comptes frauduleux

Le futur règlement européen sur les services de paiement, sur lequel le Parlement européen et le Conseil se sont accordés en novembre 2025, n'est pas encore adopté définitivement ni publié : au 24 octobre 2026, le Conseil vient d'arrêter sa position en vue d'un accord en deuxième lecture. Il prévoit que le consommateur victime d'une fraude dans laquelle l'escroc se fait passer pour sa banque (en utilisant par exemple son numéro de téléphone, son adresse électronique, son site ou son application) a droit au remboursement intégral, sauf fraude ou négligence grave de sa part, à condition de signaler sans tarder l'incident à sa banque et à la police. Il invite aussi l'Autorité bancaire européenne à préciser les critères de la négligence grave. Ces règles ne s'appliqueront qu'après leur publication et à l'issue d'une période d'adaptation : jusque-là, ce sont le code monétaire et financier et la jurisprudence décrits ici qui s'appliquent.

Autre nouveauté, française celle-ci : depuis le 7 mai 2026, la Banque de France tient le fichier national des comptes signalés pour risque de fraude, créé par la loi du 6 novembre 2025 visant à renforcer la lutte contre la fraude bancaire (article L. 521-6-1 du code monétaire et financier). Les banques y déclarent les IBAN qu'elles soupçonnent d'être utilisés par des fraudeurs ; l'inscription n'interdit pas les paiements et le fichier n'est pas consultable par les particuliers, mais un virement exécuté vers un compte déjà signalé est un élément de poids dans le débat sur le devoir de vigilance de la banque. Les données n'étant conservées que treize mois, la question doit être posée tôt dans le dossier.

Victime d'une fraude bancaire et votre banque invoque votre négligence grave à Toulouse ou ailleurs en France ?

Ne cédez pas face à cet argument. Un refus bancaire est toujours contestable, ce n'est pas une décision judiciaire définitive, mais une position unilatérale. La négligence grave doit être prouvée par la banque devant le juge, avec des éléments objectifs et techniques pas simplement affirmée.

Maître Joris Morer, avocat pénaliste au barreau de Toulouse, intervient pour contester les refus de remboursement bancaires et défendre les droits des victimes de fraudes partout en France.

Contactez le Cabinet Morer sans attendre : par téléphone au 05 61 55 45 08 (urgence : 06 23 36 88 03), par courriel à cabinet@morer-avocat.com ou via le formulaire de contact sur morer-avocat.com.

Entre professionnels, le débat ne porte pas sur la négligence grave mais sur le devoir de vigilance du banquier : voir notre article sur les faux ordres de virement en entreprise.

Le cabinet accompagne les victimes de fraude du dépôt de plainte jusqu'au remboursement : voyez notre page avocat escroquerie et arnaque à Toulouse.

La Dépêche du Midi a consacré un décryptage à l'explosion des arnaques bancaires et à la protection que la loi offre réellement aux victimes, dans lequel Maître Joris Morer est interrogé : lire l'article.

Lorsque la fraude a consisté à faire enrôler votre carte dans le téléphone d'un tiers, ce débat sur la négligence est même fermé : voyez fraude Apple Pay, la banque doit-elle rembourser ?

Pour aller plus loin, retrouvez l'ensemble de nos articles dans la rubrique Arnaques bancaires.

Si vous avez été piégé en vendant sur une plateforme d'annonces par un faux lien de paiement, voyez notre article Arnaqué en vendant sur Leboncoin ou Vinted via un faux lien de paiement : la banque doit-elle me rembourser ?.