Dans un arrêt du 15 octobre 2026 (Tukowiecka, C-70/25), la Cour de justice de l’Union européenne confirme que la négligence grave du client ne dispense pas la banque de rembourser immédiatement une opération de paiement non autorisée.

Cette décision apporte un éclairage important sur les obligations des banques en matière de fraude bancaire. Elle intervient quelques mois après une ordonnance rendue le 26 mai 2026 par le président du Tribunal de l’entreprise d’Anvers, siégeant en référé, qui avait déjà ordonné le remboursement immédiat de près de 50.000 € à des victimes de phishing.

Si l’arrêt de la CJUE renforce la protection des victimes, sa portée mérite toutefois d’être correctement comprise: remboursement immédiat ne signifie pas nécessairement indemnisation définitive.
L’affaire Tukowiecka : une fraude par phishing et un refus de remboursement

L’affaire trouve son origine en Pologne, où une cliente d’une banque avait été victime d’une fraude par phishing. Alors qu’elle utilisait une plateforme de vente en ligne, un fraudeur s’était présenté comme un acheteur et lui avait transmis un lien renvoyant vers un faux site reproduisant celui de sa banque.

Trompée par cette présentation, la cliente avait introduit ses identifiants bancaires, permettant au fraudeur de les récupérer et d’effectuer une opération de paiement non autorisée.La cliente avait signalé l’opération à sa banque dès le lendemain. Celle-ci avait toutefois refusé de la rembourser, considérant qu’elle avait commis une négligence grave en communiquant ses données bancaires sur le site frauduleux.

La juridiction polonaise saisie du litige a alors interrogé la Cour de justice sur l’articulation entre deux dispositions de la directive européenne 2015/2366 concernant les services de paiement, dite « PSD2 ».

D’une part, l’article 73 prévoit, en principe, le remboursement immédiat des opérations non autorisées. D’autre part, l’article 74 permet, sous certaines conditions, de faire supporter les pertes au payeur lorsque celui-ci a manqué intentionnellement ou par négligence grave à certaines de ses obligations.

La question était donc de savoir si une négligence grave reprochée au client permettait à la banque de refuser d’emblée le remboursement.

La réponse de la CJUE : rembourser d’abord, discuter ensuite

Dans son arrêt du 15 octobre 2026, la Cour de justice confirme que la négligence grave du client ne dispense pas le prestataire de services de paiement de son obligation de remboursement immédiat d’une opération non autorisée.

Le mécanisme prévu par PSD2 distingue ainsi deux questions.

La première concerne le remboursement immédiat : lorsqu’une opération de paiement est non autorisée, la banque doit, en principe, en rembourser le montant sans délai et, au plus tard, à la fin du jour ouvrable suivant celui où elle a constaté l’opération ou en a été informée.

La seconde concerne la répartition définitive des pertes : si le client a manqué intentionnellement ou par négligence grave à certaines de ses obligations, la banque peut chercher à lui faire supporter les pertes dans les conditions prévues par la directive.

Ainsi, la seule invocation d’une négligence grave du client ne permet pas à la banque de différer le remboursement immédiat, sans préjudice de la possibilité de rechercher ultérieurement sa responsabilité.

En droit belge, ces mécanismes sont principalement transposés aux articles VII.43 et VII.44 du Code de droit économique.

L’arrêt confirme ainsi une distinction fondamentale : l’obligation de rembourser immédiatement et la question de savoir qui doit définitivement supporter la perte constituent deux étapes distinctes.

Une solution déjà retenue en référé par le Tribunal de l’entreprise d’Anvers

Cette problématique avait déjà été soulevée en Belgique quelques mois auparavant, à l’occasion d’une ordonnance rendue le 26 mai 2026 par le Président du Tribunal de l’entreprise d’Anvers, siégeant en référé, qui avait ordonné à une banque de rembourser immédiatement 49.958 € à un couple victime de phishing.

Dans cette affaire, après qu’un des clients avait été contacté par une personne se présentant comme un collaborateur de leur banque, deux virements avaient été exécutés vers un compte portugais inconnu, sans que les clients reconnaissent avoir autorisé ces opérations, dont ils réclamaient dès lors le remboursement.

La banque s’opposait à cette demande en faisant notamment valoir que les virements avaient été réalisés au moyen des instruments d’authentification des clients et en invoquant le comportement de ces derniers dans le déroulement de la fraude.

Le juge des référés avait néanmoins ordonné le remboursement des sommes litigieuses, considérant que l’éventuelle négligence grave des clients ne permettait pas à la banque de différer le remboursement immédiat prévu par l’article VII.43 du Code de droit économique. Pour parvenir à cette conclusion, le Président s’était notamment appuyé sur les conclusions présentées le 5 mars 2026 par l’avocat général Rantos dans l’affaire Tukowiecka.

L’arrêt rendu le 15 octobre 2026 par la CJUE vient ainsi confirmer, sur la question du remboursement immédiat en présence d’une négligence grave alléguée, l’approche retenue quelques mois auparavant par le juge anversois.

Un remboursement qui n’est toutefois pas nécessairement définitif

À la suite de l’ordonnance du Tribunal de l’entreprise d’Anvers du 26 mai 2026, certains articles ont présenté cette décision comme « révolutionnaire » pour les victimes de phishing. Si cette qualification témoigne de l’intérêt suscité par l’ordonnance, une certaine prudence s’impose quant à sa portée réelle, y compris à la lumière de l’arrêt Tukowiecka rendu depuis lors par la CJUE.

Il serait en effet erroné de déduire de ces décisions que toute victime de phishing dispose désormais d’un droit automatique et définitif au remboursement.

Il convient tout d’abord de rappeler que l’ordonnance d’Anvers a été rendue en référé. Le juge n’a donc pas définitivement tranché les droits des parties. En particulier, il n’a pas statué au fond sur le caractère autorisé ou non des opérations litigieuses, ni définitivement exclu l’existence d’une négligence grave dans le chef des clients.

Le remboursement ordonné présente ainsi un caractère provisoire.

La banque conserve la possibilité de porter le litige devant le juge du fond et de tenter d’établir que les opérations avaient en réalité été autorisées ou, si elles étaient non autorisées, que les pertes doivent être supportées par les clients en raison d’une négligence grave.

Selon l’issue de cette procédure, les sommes remboursées pourraient donc devoir être restituées à la banque.

L’arrêt Tukowiecka ne remet pas en cause cette distinction fondamentale. S’il confirme que la négligence grave du client ne permet pas, à elle seule, de faire obstacle à l’obligation de remboursement immédiat d’une opération non autorisée, il ne fait pas disparaître la possibilité d’un débat ultérieur sur la répartition définitive des pertes.

La véritable portée de ces décisions réside donc dans la distinction entre le moment du remboursement et la détermination de celui qui doit, en définitive, supporter les conséquences financières de la fraude.

Le caractère autorisé de l’opération reste une question déterminante

Si l’arrêt Tukowiecka clarifie les conséquences d’une éventuelle négligence grave sur l’obligation de remboursement immédiat, il n’aborde pas la question distincte du caractère autorisé ou non de l’opération.

Cette question avait toutefois été examinée dans l’ordonnance du 26 mai 2026 du Tribunal de l’entreprise d’Anvers. Alors que la banque soutenait que les virements avaient été autorisés au moyen des instruments d’authentification des clients, le juge des référés a estimé qu’il ne lui appartenait pas, au stade du remboursement provisoire, de se prononcer sur le bien-fondé de cette argumentation, un tel examen risquant de priver de son efficacité le mécanisme de remboursement immédiat prévu par l’article VII.43 du Code de droit économique.

Il a néanmoins précisé que la banque pouvait ultérieurement saisir le juge du fond pour tenter d’établir que les opérations étaient effectivement autorisées et, le cas échéant, obtenir la restitution des sommes remboursées.

Cette distinction demeure essentielle en matière de phishing, particulièrement lorsque le client a été amené à intervenir lui-même dans le processus de paiement. L’article VII.42 du Code de droit économique rappelle d’ailleurs que la seule utilisation enregistrée d’un instrument de paiement ne suffit pas nécessairement à établir l’autorisation de l’opération.

La jurisprudence belge n’adopte toutefois pas une approche uniforme de la notion d’autorisation. Certaines décisions, ainsi qu’une partie de la doctrine, privilégient une conception relativement objective du consentement : lorsque la procédure convenue avec la banque a été respectée, l’opération peut être considérée comme autorisée, même si le client a été trompé par un tiers sur sa finalité. D’autres décisions accordent davantage d’importance à la volonté réelle du client d’effectuer le paiement litigieux.

Cette distinction est essentielle, puisque le mécanisme de remboursement immédiat concerne les opérations non autorisées. Le seul fait d’avoir été victime d’une escroquerie ne suffit donc pas à rendre automatiquement remboursable toute opération effectuée dans ce contexte.

La négligence grave n’est pas non plus définitivement écartée

L’arrêt Tukowiecka ne signifie pas davantage que le comportement de la victime serait désormais dépourvu de toute incidence.

L’article VII.44 du Code de droit économique prévoit, sous certaines conditions, que le payeur peut supporter les pertes résultant d’opérations non autorisées lorsqu’il a manqué intentionnellement ou par négligence grave à certaines de ses obligations. L’existence d’une telle négligence doit être appréciée au regard de l’ensemble des circonstances concrètes et ne peut se déduire du seul fait que la victime a été amenée à intervenir dans le processus ayant permis la fraude.

La jurisprudence illustre le caractère éminemment factuel de cette appréciation. Ainsi, la négligence grave n’a pas été retenue dans certaines affaires où, malgré l’intervention du client dans le processus de fraude, celui-ci ne pouvait raisonnablement comprendre que les manipulations qui lui étaient demandées permettraient la réalisation ultérieure d’opérations frauduleuses[1].  

Par ailleurs, dans un arrêt du 29 juin 2026, postérieur à l’ordonnance d’Anvers commentée, la Cour de cassation a précisé que le payeur n’agit de manière gravement négligente que lorsqu’il adopte - ou s’abstient d’adopter - un comportement qu’un payeur raisonnable et normalement prudent n’adopterait jamais ou dont il ne s’abstiendrait jamais[2]. La négligence grave suppose ainsi davantage qu’une simple imprudence et doit être appréciée au regard des circonstances concrètes de la fraude.

À titre de comparaison, une juridiction néerlandaise a toutefois retenu la négligence grave dans une affaire où la victime avait cumulé plusieurs comportements à risque, notamment l’installation d’un logiciel d’accès à distance à la demande du fraudeur, la communication de codes de sécurité et l’utilisation de ses propres moyens d’authentification pour valider les paiements[3].

Ces décisions montrent qu’il n’existe donc pas de réponse automatique : la sophistication de la fraude, les informations dont disposait la victime, les avertissements qui lui étaient présentés, la communication éventuelle de données de sécurité et les actes qu’elle a personnellement accomplis doivent notamment être pris en considération.

L’arrêt Tukowiecka confirme ainsi que l’appréciation d’une éventuelle négligence grave doit être distinguée de l’obligation de remboursement immédiat. Si cette négligence ne permet pas, à elle seule, de différer le remboursement d’une opération non autorisée, elle peut néanmoins demeurer déterminante dans le cadre d’un débat ultérieur sur la répartition définitive des pertes.

Une clarification importante pour les victimes de phishing

L’arrêt Tukowiecka du 15 octobre 2026, qui rejoint sur ce point l’approche retenue quelques mois auparavant par le Tribunal de l’entreprise d’Anvers, apporte une clarification importante aux victimes de phishing : la négligence grave qui leur est éventuellement reprochée ne suffit pas à justifier le refus de remboursement immédiat d’une opération non autorisée.

Cette solution est susceptible de modifier concrètement la dynamique de certains litiges bancaires, puisque la banque doit, en principe, supporter provisoirement les conséquences financières de la fraude, sans pouvoir attendre que la question de la responsabilité du client soit définitivement tranchée.

Elle ne consacre toutefois pas un droit général et définitif à indemnisation. Le caractère autorisé ou non de l’opération, les circonstances de la fraude et l’existence éventuelle d’une négligence grave peuvent encore être discutés ultérieurement devant le juge du fond.

[1] Entr. Louvain, 23 mars 2021, R.G. A/20/00352 ; Anvers, 17 mars 2022, R.G. 2021/AR/574.

[2] Cass., 29 juin 2026, C.25.0390.N.

[3] Rechtbank Amsterdam, 23.10.2024, C/13/746880.