Fraude au paiement, phishing et la règle du « Rembourser d’abord » : ce que l’arrêt C-70/25 change vraiment devant le juge belge

This post is also available in:

La Cour de justice a tranché ce jeudi : la négligence grave du client ne permet pas à la banque de refuser le remboursement immédiat d’une opération non autorisée. Pour le contentieux belge, l’essentiel se joue désormais sur deux terrains que l’arrêt ne règle pas : la qualification de l’opération et la procédure.

Pour une vue d’ensemble des règles, voir notre guide du phishing et de la fraude au paiement.

En juin, nous commentions l’ordonnance anversoise qui condamnait une banque, en référé, à rembourser près de 50.000 EUR à un couple de nonagénaires. Le président s’appuyait sur les conclusions de l’avocat général Rantos dans l’affaire C-70/25. Nous écrivions alors que la banque devenait le financeur provisoire de l’incertitude. L’on notera que quelques jours après l’ordonnance anversoise, deux juges bruxellois prononçaient chacun (en français et en néerlandais) une ordonnance en sens inverse.

La Cour de justice a rendu son arrêt le 15 octobre 2026. Sans surprise, elle suit son avocat général et la réglementation applicable de longue date. La question n’est donc plus de savoir si la banque doit rembourser d’abord. Elle est de savoir quand cette obligation naît, et devant quel juge elle se discute.

La Cour rappelle qu’une opération non-autorisée doit être remboursée nonobstant négligence grave, quitte à ce que le client doive rembourser la banque par la suite

Les faits sont polonais et ordinaires. Une cliente vend un objet sur une plateforme d’enchères. Un faux acheteur lui envoie un lien. Elle saisit ses identifiants sur une copie du site de sa banque, puis communique le code de confirmation reçu par SMS. Le fraudeur vire 3.000 zlotys. La banque refuse de rembourser : la cliente aurait été gravement négligente.

La Cour répond en trois temps.

L’article 73 de la directive 2015/2366, que transpose l’article VII.43 du Code de droit économique, ne prévoit qu’une seule exception au remboursement immédiat : le soupçon de fraude du payeur, communiqué par écrit à l’autorité nationale (points 33 et 34). La négligence grave n’en fait pas partie.

Les articles 73 et 74 régissent des « aspects distincts » : le premier impose le remboursement, le second organise la répartition de la responsabilité « à un stade ultérieur » (point 42). La banque rembourse « dans un premier temps », puis peut réclamer les pertes au payeur « par les voies de droit prévues à cet effet » (points 38 et 46).

Une lecture contraire contraindrait le client à prendre l’initiative d’agir en justice et à en supporter les frais, ce qui est difficilement conciliable avec un niveau élevé de protection des consommateurs (point 45). La banque ne peut donc pas apprécier seule sa responsabilité et s’en dispenser (points 20 et 47).

Rien de tout cela n’est nouveau dans le texte. La Cour rappelle elle-même que la première directive ne prévoyait aucune exception, et que celle du soupçon de fraude a été ajoutée en cours de procédure législative (points 48 et 49). Ce qui change, c’est qu’une lecture qui tempérait la règle est désormais écartée pour toute l’Union.

La règle ne vaut que pour une opération non autorisée et la Cour ne se prononce pas sur cette question

L’arrêt repose sur une prémisse que personne n’a discutée : l’opération était non autorisée. La banque polonaise ne le contestait pas. Elle plaidait seulement que la négligence l’exonérait.

Une phrase mérite toutefois d’être relevée. Au point 15, la Cour relate que l’opération « a été autorisée par l’auteur de la fraude au moyen d’un code de confirmation transmis par SMS et obtenu de la requérante au principal sous l’effet de cette tromperie ». Elle sera citée dans les dossiers de vishing, comme si la Cour avait jugé qu’un paiement validé avec un code obtenu du client reste non autorisé. Ce n’est pas le cas. Le point 15 reproduit les faits tels que la juridiction de renvoi les a décrits. La Cour n’a pas été interrogée sur la qualification de l’opération et ne l’a pas examinée.

Or, en Belgique, c’est presque toujours là que le procès commence. Dans la fraude la plus courante, un faux employé de banque appelle le client et lui fait valider lui-même un virement dans son application, sans que le client ne réalise qu’il autorise ledit virement. L’article VII.32 tient pour autorisé le paiement auquel le payeur a consenti dans la forme et selon la procédure convenues avec son prestataire. Le caractère non autorisé n’est pas une exception à l’article VII.43 : il en est la condition d’application.

Devant le juge belge, que peut-on attendre d’une demande de remboursement d’une victime de fraude ?

Le client qui veut être remboursé avant tout débat sur la négligence dispose de deux voies. Les juridictions belges ne les traitent pas de la même manière.

La première est le référé. Le président du tribunal de l’entreprise d’Anvers l’a ouverte le 26 mai 2026 (C/26/00024, publiée à la D.B.F. 2026/11). Pour lui, l’urgence découle du texte même de l’article VII.43, qui impose de rembourser au plus tard le jour ouvrable suivant. Il refuse d’examiner l’autorisation comme la négligence : il suffit que les conditions de l’article VII.43 « paraissent » réunies. Cette position nous paraît critiquable sur le plan du droit judiciaire, dès lors que l’urgence en référé doit s’apprécier in concreto, et ne peut se déduire d’un article de loi.

Comme indique plus haut, les présidents bruxellois ne l’ont pas suivi. Le 9 juin 2026, la présidente du tribunal de l’entreprise francophone a déclaré non fondée une demande de même nature (C/26/00014 ; nous intervenions pour la banque). La perte d’une somme importante ne suffit pas à caractériser l’urgence, sinon, tout créancier impayé pourrait agir en référé. Le président néerlandophone a statué dans le même sens le lendemain.

La seconde voie peut être la mesure avant dire droit de l’article 19, alinéa 3 du code judiciaire. Le juge du fond pourrait ainsi, en quelques semaines, condamner la banque à payer à titre provisoire. Il n’empêche, il faudra démontrer le caractère non autorisé de l’opération de paiement, tandis qu’il restera loisible à la banque de formuler un demande reconventionnelle sur base de la négligence grave.

Sur ce terrain, la jurisprudence est réservée.

Plusieurs juridictions ont refusé la mesure avant dire droit : le 27 juin 2023, le tribunal de l’entreprise néerlandophone de Bruxelles (A/23/01035) a jugé qu’il ne pouvait statuer sans admettre des principes de nature à influencer la décision sur le fond. Il s’appuyait sur l’arrêt de la Cour de cassation du 26 février 2014 (C.12.0388).

Le 17 avril 2025, la première chambre du tribunal de première instance francophone de Bruxelles (24/6623/A) a posé que l’article VII.43 est une règle de droit matériel qui ne déroge pas à l’article 19, alinéa 3. Le juge doit donc vérifier la proportionnalité du paiement provisoire. Il l’a refusé, faute de toute menace sur la solvabilité de la banque.

L’arrêt C-70/25 va-t-il changer quelque chose ?

L’arrêt C-70/25 sera invoqué par les clients qui demandent une provision.

Ce qui ne change pas, en revanche, c’est la qualification. L’arrêt ne dit rien du moment où une opération doit être tenue pour non autorisée. Les jugements bruxellois sur l’article 19, alinéa 3, l’ont d’ailleurs bien compris : ils vérifient, au moins prima facie, que le caractère non autorisé est rendu plausible. C’est sur ce terrain que se joue désormais l’avant dire droit. La banque y fait valoir les journaux d’authentification, l’appareil de confiance, le canal utilisé et la cohérence du récit du client. Le raisonnement de 2023, selon lequel on ne tranche pas provisoirement ce qui est l’objet même du litige, garde toute sa force lorsque l’autorisation est sérieusement contestée.

Les entreprises ne sont pas des consommateurs, en matière de phishing, cela peut faire la différence

Une précision mérite encore d’être apportée souvent négligée: l’article 61, § 1er, de la directive permet de convenir avec un utilisateur qui n’est pas un consommateur que certaines dispositions ne s’appliquent pas, dont l’article 72 sur la preuve et l’article 74 sur la responsabilité. Si les conditions générales dérogent à la charge de la preuve, c’est à l’entreprise d’établir le caractère non autorisé avant de pouvoir invoquer l’article VII.43. Il faut relire les règlements des comptes professionnels avec cette question en tête.

Demain, le PSR va, lui, sensiblement modifier l’approche

Le futur règlement européen sur les services de paiement déplacera une partie du débat. Comme nous l’avons expliqué, il crée une catégorie d’opérations autorisées mais remboursables : le consommateur qui a consenti parce qu’un tiers s’est fait passer pour sa banque, par des canaux qui semblent être les siens, pourra être remboursé. Le prestataire disposera de quinze jours ouvrables pour rembourser ou motiver son refus. Il ne pourra refuser qu’en prouvant une fraude ou une négligence grave du consommateur. Le Règlement européen répond à la problématique.

Le contraste avec l’arrêt de ce jeudi est instructif. Pour l’opération non autorisée, la négligence grave ne retarde pas le remboursement. Pour l’opération autorisée par usurpation, elle restera un motif de refus. La distinction entre autorisé et non autorisé ne disparaît donc pas. Elle devient plus importante encore.

Points clés pour les banques

Ne pas fonder un refus de remboursement sur la seule négligence grave lorsque le caractère non autorisé de l’opération n’est pas contesté.

Lorsque l’autorisation est contestée, le dire et le documenter dans le jour ouvrable : journaux d’authentification, appareil, canal, chronologie. C’est la seule défense qui tient au stade provisoire.

Préparer chaque dossier fraude comme s’il devait être plaidé à l’audience d’introduction.

Réserver la négligence grave au fond, par demande reconventionnelle, et en mesurer le coût : la banque devient demanderesse.

Relire les conditions des comptes professionnels au regard de l’article 61 de la directive.

L’arrêt C-70/25 ne fait pas de la banque l’assureur de la fraude : il fixe l’ordre des opérations. La bataille ne porte plus sur la négligence au moment de la plainte. Elle porte sur la qualification du paiement, dès le premier jour.