This post is also available in:
La fraude au paiement commence rarement dans une banque. Elle commence dans une publicité sur un réseau social, un message WhatsApp, un SMS ou un appel qui affiche le numéro de la banque.
Le droit des paiements ne regardait jusqu’ici que le dernier maillon : le prestataire qui exécute le paiement. Le règlement européen sur les services de paiement (PSR) élargit le cercle et impose des obligations aux opérateurs de télécommunications, aux hébergeurs et aux très grandes plateformes en ligne.
Il élargit le cercle des débiteurs d’obligations spécifiques, mais pas des débiteurs des fonds perdus, détournés ou extorqués. C’est un choix politique.
Où en est le règlement sur les services de paiement ?
Le Parlement européen et le Conseil ont conclu un accord politique sur le PSR et la PSD3 le 27 novembre 2025. Le Conseil a publié les textes de compromis le 23 avril 2026. La publication au Journal officiel reste attendue, et le règlement s’appliquera vingt et un mois après son entrée en vigueur. L’analyse qui suit porte sur le texte de compromis.
Opérateurs télécoms : la fin du spoofing ?
Le texte vise les fournisseurs de services de communications électroniques : opérateurs de téléphonie, de messagerie et de courrier électronique.
Ils doivent prendre des mesures techniques et organisationnelles pour détecter et empêcher l’usage de leurs services à des fins d’usurpation d’identité, en particulier la manipulation du numéro d’appel affiché ou de l’adresse électronique. C’est la réponse au spoofing : l’appel qui affiche le numéro de la banque, l’e-mail qui semble venir de son domaine.
Ils doivent aussi établir des canaux de communication dédiés avec les prestataires de paiement, ou participer à un mécanisme d’échange d’informations. Et ils doivent informer leurs clients : comment reconnaître une tentative de fraude, quelles précautions prendre, comment la signaler.
Facebook, Google et les fausses publicités financières
Les très grandes plateformes en ligne et les très grands moteurs de recherche, au sens du règlement sur les services numériques (DSA), reçoivent trois obligations :
- la première porte sur la publicité. Avant de diffuser une annonce pour un service financier réglementé (banque, crédit, assurance, paiement, investissement, crypto-actifs, financement participatif), la plateforme doit obtenir de l’annonceur son numéro d’agrément ou d’enregistrement, et faire ses meilleurs efforts pour vérifier cette information, notamment dans les registres publics. Sans cette information, elle doit refuser l’annonce. C’est le cœur du dispositif contre les faux placements diffusés sur les réseaux sociaux.
- la deuxième porte sur la coopération : des canaux dédiés avec les prestataires de paiement, comme pour les opérateurs.
- la troisième porte sur la prévention : alerter les utilisateurs lorsque de nouvelles formes d’escroquerie apparaissent, en tenant compte des plus vulnérables.
Les hébergeurs en général sont visés par une obligation qui pèse sur les banques : lorsqu’une fraude trouve son origine dans un contenu publié en ligne, le prestataire de paiement doit en informer l’hébergeur sans retard injustifié, selon la procédure de notification du DSA. Compte tenu du volume des fraudes actuelles en la matière, cela promet de nombreux débats et difficultés techniques et opérationnelles.
Le contrôle de ces obligations, pour les très grandes plateformes, relève exclusivement de la Commission européenne, avec les outils de supervision du DSA. Pas de la FSMA ni de la Banque nationale.
Aucune responsabilité envers les victimes
Aucune disposition du texte de compromis ne rend une plateforme ou un opérateur responsable envers la victime. Aucune n’ouvre au prestataire de paiement un recours contre eux.
Le contraste est net avec l’annonce faite par le Parlement européen à la conclusion de l’accord, en novembre 2025 : les plateformes seraient responsables envers les prestataires ayant remboursé leurs clients lorsque, informées d’un contenu frauduleux, elles ne l’auraient pas retiré. Cette règle ne figure pas dans les articles du texte de compromis.
Le règlement organise en revanche des recours entre prestataires de paiement. Le prestataire du bénéficiaire qui n’a pas correctement appliqué la vérification du bénéficiaire doit indemniser le prestataire du payeur. Il en va de même lorsqu’il n’a pas mis en place l’authentification forte requise. La chaîne de responsabilité s’arrête donc au secteur financier.
Le droit commun reprend la main
L’absence de règle spéciale ne signifie pas l’absence de responsabilité. Elle renvoie au droit commun, et le PSR en change les conditions de fait.
Pour les hébergeurs, le DSA maintient l’exonération classique : l’hébergeur n’est pas responsable du contenu qu’il stocke s’il n’en a pas connaissance, ou si, dès qu’il en a connaissance, il agit promptement pour le retirer. Une notification suffisamment précise lui donne cette connaissance.
Or le PSR impose précisément aux banques de notifier. Une plateforme dûment avertie d’une annonce frauduleuse, qui la laisse en ligne, ne peut plus invoquer l’exonération. Sa responsabilité s’apprécie alors selon le droit national, en Belgique selon le livre 6 du Code civil, en vigueur depuis le 1er janvier 2025.
Pour les opérateurs de télécommunications, l’obligation de prendre des mesures contre la manipulation du numéro affiché est une règle de conduite légale. Sa méconnaissance pourra être invoquée comme une faute.
Reste la difficulté principale : le lien causal. La victime, ou la banque qui l’a remboursée, devra établir que la perte procède de l’annonce maintenue en ligne ou de l’appel qui n’a pas été filtré. Ce n’est pas impossible. Ce ne sera jamais automatique.
Pour les banques, chaque signalement devient une preuve
Les notifications adressées aux hébergeurs et les signalements aux opérateurs ne sont pas qu’une charge de conformité. Ce sont des éléments de preuve.
Une banque qui a notifié une annonce frauduleuse, daté sa notification et conservé la réponse dispose, le jour où elle recherche la responsabilité de la plateforme, de la pièce qui établit la connaissance. Une banque qui ne l’a pas fait n’en dispose pas.
Il est donc utile de traiter dès maintenant ces circuits comme des circuits probatoires : registre des notifications émises, horodatage, suivi des retraits, conservation des échanges.
Deux questions restent ouvertes
La première tient à la subrogation. La banque qui rembourse une victime de fraude par usurpation de son identité peut-elle exercer, à la place de son client, l’action de celui-ci contre la plateforme ou l’opérateur ? Le texte ne le dit pas. La réponse dépendra du droit national.
La seconde tient à l’articulation des supervisions. Le manquement d’une très grande plateforme est constaté par la Commission, sous le régime du DSA. Une décision de la Commission constatant un manquement pourra peser lourd dans une action civile devant le juge belge. Le calendrier de ces procédures, en revanche, n’est pas celui des dossiers de fraude.
