Par un arrêt du 15 octobre 2026, la Cour de justice juge, sur le fondement de la directive (UE) 2015/2366 (DSP2), que le prestataire de services de paiement ne peut refuser de rembourser immédiatement une opération non autorisée au motif que le payeur l’aurait rendue possible par une négligence grave. Le litige au principal portait sur un cas classique de « phishing » : le porteur de la carte avait autorisé un paiement par sa carte bancaire auprès d’un fraudeur.
Selon la Cour, l’article 73, paragraphe 1, de la directive ne prévoit qu’une seule exception à l’obligation de remboursement, au plus tard à la fin du premier jour ouvrable suivant : le soupçon de fraude du payeur, communiqué par écrit à l’autorité nationale. L’article 74, paragraphe 1, qui met à la charge du payeur les pertes résultant d’une négligence grave, opère à un stade ultérieur, celui de la répartition définitive de la charge. Le prestataire conserve la faculté de réclamer ensuite la somme au payeur, mais il doit alors prouver la négligence grave (art. 72, § 2).
La négligence grave n’est donc pas un motif de non-remboursement, mais un fondement de recours du prestataire de paiement après remboursement.
Pour les banques et les prestataires de paiement, le traitement des litiges doit désormais s’organiser en deux temps : le remboursement d’abord, l’instruction éventuelle du recouvrement ensuite. Il leur faut aussi distinguer strictement le soupçon de fraude de la simple négligence : le premier suppose un motif sérieux et une communication écrite à l’autorité, et ne saurait servir de substitut commode à un refus pour négligence. Enfin, pour récupérer les fonds, les banques devront constituer une preuve solide.
Il revient donc au prestataire de paiement, et non au consommateur, de prendre l’initiative d’un éventuel litige et d’en supporter les inconvénients, frais de procédure compris. La Cour relève qu’imposer cette charge au payeur serait difficilement conciliable avec l’objectif de protection des consommateurs.
La directive est d’harmonisation totale, et la Cour souligne que le législateur n’a pas laissé les États membres introduire d’autres dispositions. Un droit national – dans le litige au principal il s’agissait de la loi polonaise - ou une pratique admettant un refus de remboursement pour négligence grave serait donc difficilement compatible avec l’arrêt.
Obligée de rembourser en premier, la banque pourra rechercher à répercuter le coût de la fraude vers les plateformes par lesquelles elle transite. Le DSA offre deux leviers :
Un site d’hameçonnage hébergé par une plateforme peut lui être signalé par le mécanisme de notification et d’action (art. 16). Une notification suffisamment précise donne à l’hébergeur une connaissance effective du contenu : s’il ne le retire pas promptement, il perd le bénéfice de l’exonération de responsabilité (art. 6). Cette perte ne suffit pas à engager sa responsabilité, qui reste à établir selon le droit national applicable. Pour peser davantage, les banques peuvent demander le statut de signaleur de confiance.
Les plateformes qui permettent aux consommateurs de conclure des contrats à distance doivent recueillir et vérifier l’identité des professionnels qui y vendent, et s’efforcer d’en évaluer la fiabilité (art. 30). Cette règle vise à empêcher les vendeurs frauduleux de se réinscrire sous une autre identité. Elle ne couvre pas nécessairement un faux acheteur, comme dans l’espèce : le fraudeur n’y proposait aucun produit, mais s’était présenté comme intéressé par l’objet mis en vente par la victime.
Ces obligations restent toutefois des obligations de diligence, sans surveillance générale ni indemnisation automatique des victimes. Les règles de traçabilité visent par ailleurs les professionnels, ce qui ne couvre pas nécessairement un faux acheteur.
Le futur règlement sur les services de paiement (RSP) prévoit de renforcer la responsabilité des plateformes en ligne en matière de fraude. Selon le texte issu de l'accord politique provisoire conclu le 27 novembre 2025, leur responsabilité pourrait être engagée lorsque des fraudeurs utilisent leur service pour escroquer directement des consommateurs et que, informées de la présence de contenus frauduleux, elles ne les retirent pas. Les modalités précises de cette responsabilité, notamment à l'égard des prestataires de services de paiement ayant remboursé les victimes, devront être confirmées au regard du texte définitif.
