This post is also available in:

L’arrêt de cassation resserre la notion de négligence grave, sans faire de la banque un assureur automatique contre le phishing

Par un arrêt du 29 juin 2026, la Cour de cassation a précisé la notion de négligence grave dans le cadre d’une fraude par phishing. La décision précise les critères applicables lorsque la banque entend laisser définitivement la perte à charge de son client. Elle ne signifie toutefois ni que toute victime de phishing doit être indemnisée, ni que toute imprudence devient juridiquement sans conséquence. Pour une vue d’ensemble des règles, voir notre guide du phishing et de la fraude au paiement.

Pour comprendre la portée de l’arrêt, il faut distinguer deux questions que le débat public tend régulièrement à confondre.

La première est celle du remboursement immédiat et provisoire d’une opération contestée. La seconde est celle de la responsabilité définitive : qui, du client ou de la banque, devra finalement supporter la perte ?

Ces deux questions obéissent à des règles distinctes et ne sont pas nécessairement tranchées au même moment.

Une fraude déclenchée par un faux message fiscal

L’affaire soumise à la Cour concernait un client ayant reçu, le 23 janvier 2020, un SMS faisant état d’une prétendue dette fiscale de 89 euros. Le message contenait un lien de paiement.

En suivant la procédure proposée, le client n’avait toutefois pas simplement payé cette somme. Les manipulations effectuées avaient permis l’installation et l’activation de l’application KBC Mobile sur un nouvel appareil contrôlé par le fraudeur. Plusieurs opérations, pour un montant total de 24.852,15 euros, avaient ensuite été exécutées depuis cette application.

La cour d’appel de Bruxelles avait considéré que le client avait commis une négligence grave. Elle avait notamment relevé qu’il n’avait pas vérifié l’existence de la dette fiscale, qu’il avait suivi un lien contenu dans un message générique, qu’il avait communiqué ou utilisé ses données de sécurité sur des pages non sécurisées et qu’il avait nécessairement validé un message relatif à l’activation d’un nouvel abonnement mobile.

La Cour de cassation a cassé cette décision.

La négligence grave est une négligence qualifiée

La Cour rappelle d’abord que la notion de négligence grave est une question de droit. Le juge du fond conserve la maîtrise de l’appréciation des faits, mais la qualification juridique qu’il leur donne peut être contrôlée par la Cour de cassation.

Selon la Cour, la négligence grave constitue une violation qualifiée du devoir de prudence. Elle suppose que le payeur adopte un comportement qu’un payeur raisonnable et normalement prudent n’aurait jamais adopté, ou qu’il omette un comportement qu’un tel payeur n’aurait jamais omis.

La formule n’est pas nouvelle.

Le comportement doit révéler un degré important d’imprudence. Le juge doit en outre tenir compte de l’ensemble des circonstances concrètes.

La Cour rappelle également que la négligence grave doit porter sur l’une des obligations imposées au client par l’article VII.38 du Code de droit économique. Le client doit notamment utiliser son instrument de paiement conformément aux conditions applicables, prendre toutes les mesures raisonnables pour préserver la sécurité de l’instrument et de ses données personnalisées, et avertir sans délai la banque en cas de perte, de détournement ou d’utilisation non autorisée.

Il ne suffit donc pas de constater que le client a été imprudent de manière générale. Il faut identifier l’obligation précise qu’il aurait violée et démontrer que cette violation présentait le degré de gravité requis.

Ce que la Cour n’a pas décidé

L’arrêt a parfois été présenté comme imposant désormais aux banques de rembourser les victimes de phishing, même lorsqu’elles ont été imprudentes.

Cette lecture est excessive.

La Cour de cassation n’a pas jugé elle-même que le client concerné n’avait commis aucune négligence grave. Elle n’a pas davantage condamné la banque à le rembourser définitivement.

Elle a estimé que les motifs retenus par la cour d’appel ne lui permettaient pas de conclure légalement que le client avait manqué, par négligence grave, à l’une de ses obligations légales de sécurité. La décision a donc été cassée et l’affaire renvoyée devant la cour d’appel d’Anvers, qui devra procéder à une nouvelle appréciation.

L’arrêt ne crée dès lors aucune immunité générale pour les victimes de phishing. Il porte sur la motivation de la décision qui retient la négligence grave.

Authentification et autorisation : deux notions distinctes

L’un des points essentiels du droit des services de paiement est la distinction entre l’authentification d’une opération et son autorisation.

Une opération est authentifiée lorsqu’elle a été exécutée au moyen de l’instrument de paiement et des données de sécurité associées : code PIN, lecteur de carte, application bancaire, signature électronique ou authentification forte.

La loi prévoit que l’utilisation de ces outils ne suffit pas nécessairement, à elle seule, à prouver l’autorisation. Elle ne dit pas qu’elle ne suffit jamais.

Une opération contestée n’est pas pour autant non autorisée : la simple dénégation du client ne suffit pas. L’analyse demeure factuelle : qu’a vu le client, qu’a-t-il compris, quelle opération a-t-il cru confirmer et quels messages lui ont été présentés ?

Première question : la banque doit-elle rembourser immédiatement ?

L’article VII.43 du Code de droit économique organise le remboursement immédiat d’une opération de paiement non autorisée.

Lorsque le client conteste une opération et la présente comme non autorisée, la banque doit en principe en rembourser le montant immédiatement et, au plus tard, à la fin du premier jour ouvrable suivant la notification.

Ce remboursement intervient avant que la responsabilité définitive soit établie. Il ne constitue donc pas nécessairement une reconnaissance de responsabilité de la banque.

La loi permet à la banque de différer ce remboursement lorsqu’elle dispose de raisons fondées de soupçonner une fraude commise par le payeur lui-même et qu’elle communique ces raisons par écrit au SPF Économie.

La négligence grave ne relève pas de cette exception : elle se discute dans un second temps.

Deuxième question : qui supportera définitivement la perte ?

La responsabilité définitive relève principalement de l’article VII.44 du Code de droit économique.

En matière d’opérations non autorisées, le régime prévoit en principe une responsabilité limitée du payeur, pouvant aller jusqu’à 50 euros pour certaines opérations antérieures à la notification de la perte, du vol ou du détournement de l’instrument de paiement.

Dans certaines hypothèses prévues par la loi, le client ne supporte aucune perte.

À l’inverse, le client peut devoir supporter l’intégralité du dommage lorsqu’il a lui-même agi frauduleusement ou lorsqu’il a, intentionnellement ou par négligence grave, violé ses obligations relatives à l’utilisation et à la sécurité de son instrument de paiement.

C’est à cette seconde question que se rapporte directement l’arrêt du 29 juin 2026.

Le remboursement immédiat prévu par l’article VII.43 et la répartition définitive du dommage prévue par l’article VII.44 ne doivent donc pas être confondus.

La banque peut être tenue de rembourser provisoirement, puis réclamer ultérieurement la restitution du montant si elle démontre la fraude ou la négligence grave du client. Inversement, le fait que la banque n’ait pas immédiatement remboursé ne permet pas de conclure qu’elle ne sera jamais responsable.

En résumé : rembourser d’abord ne signifie pas nécessairement payer définitivement.

Le rôle du juge des référés

Lorsque la banque refuse de procéder au remboursement immédiat, certains clients saisissent le juge des référés.

Une ordonnance rendue à Anvers a ainsi condamné une banque à rembourser provisoirement près de 50.000 euros à un couple âgé, avant que la question de la responsabilité définitive ait été tranchée.

Le recours au référé ne devient toutefois pas automatique.

Deux ordonnances bruxelloises des 9 et 10 juin 2026 ont rappelé que l’urgence devait être concrètement démontrée. L’importance du montant perdu ne suffit pas, à elle seule, à établir qu’il serait impossible d’attendre une décision au fond.

Dans l’une de ces affaires, une société sollicitait le remboursement provisoire de plus de 238.000 euros. Le juge a notamment pris en considération ses placements, ses liquidités et le crédit de caisse dont elle disposait. L’entreprise n’avait pas démontré que sa situation financière justifiait le recours à la voie exceptionnelle du référé.

Le mécanisme peut donc être résumé comme suit : l’intervention du juge des référés suppose que le demandeur établisse concrètement l’urgence, qui ne se déduit pas du texte de l’article VII.43.

La situation particulière des entreprises

Les entreprises ne se trouvent pas nécessairement dans la même situation que les consommateurs.

Une partie des dispositions relatives aux services de paiement est impérative pour les consommateurs. Pour les clients professionnels, certaines protections peuvent être adaptées ou écartées contractuellement, dans les limites autorisées par le Code de droit économique.

Avant d’invoquer le mécanisme de remboursement, une entreprise doit donc examiner les conditions particulières et générales applicables à ses comptes, les pouvoirs accordés aux utilisateurs, les procédures internes de validation et les éventuelles clauses dérogatoires.

La fraude au paiement constitue ainsi à la fois :

• un incident informatique ;
• une question contractuelle ;
• un problème de preuve ;
• une question de gouvernance interne ;
• et, parfois, un risque immédiat de liquidité.

L’analyse devra notamment déterminer qui a initié ou validé l’opération, quels contrôles internes ont été contournés, quels messages d’authentification ont été présentés, à quel moment l’incident a été signalé et quelles mesures ont été prises par la banque après la notification.

Il faut également distinguer le phishing donnant lieu à une opération non autorisée des fraudes dans lesquelles la victime effectue elle-même, en connaissance de l’ordre technique donné, un paiement vers un mauvais bénéficiaire. La fraude à la facture ou la fraude au président ne relèvent pas nécessairement du même régime, puisque le client peut avoir effectivement consenti au virement, même si son consentement a été obtenu sur la base d’informations mensongères.

Quelles conséquences pour les banques ?

L’arrêt ne supprime pas la possibilité d’invoquer la négligence grave. Il invite à la documenter avec précision.

En pratique, la banque a intérêt à reconstituer le parcours de fraude et à expliquer :

• quelle obligation légale ou contractuelle a été violée ;
• quel message ou quelle information le client a reçue ;
• pourquoi cette information aurait dû éveiller ses soupçons ;
• quel comportement un payeur raisonnable aurait adopté ;
• et pourquoi le comportement concret du client dépasse la simple imprudence.

La conservation des données techniques, des écrans d’authentification, des messages contextuels, des notifications envoyées au client et des alertes internes devient dès lors centrale.

La motivation de la décision de refus gagne également à être circonstanciée.

Pas une assurance automatique

Le débat parlementaire s’inscrit dans la même tendance. Un amendement déposé en juin 2026 propose notamment d’imposer au prestataire de services de paiement un délai de treize mois pour informer le consommateur de son intention de récupérer le remboursement provisoire. À défaut, son droit à récupération serait éteint.

Cette proposition confirme la logique du système : rembourser rapidement, puis discuter de la responsabilité dans un délai encadré.

Mais ni l’arrêt de cassation ni le mécanisme de remboursement immédiat ne transforment la banque en assureur automatique de toute fraude numérique.

La question correcte n’est pas de savoir si la banque doit toujours ou ne doit jamais payer. Il faut successivement déterminer :

1. si l’opération était autorisée ou non ;
2. si elle a été autorisée selon la procédure convenue ;
3. si un remboursement provisoire devait intervenir ;
4. quelles obligations le client devait respecter ;
5. si leur éventuelle violation constitue une véritable négligence grave ;
6. et qui doit, au terme de l’analyse, supporter définitivement la perte.

L’arrêt du 29 juin 2026 ne met pas fin à ce débat. Il en précise les termes.