Instruments de paiement et de crédit

L’essor des nouvelles technologies dans le secteur bancaire s’accompagne de l’émergence de formes inédites de fraudes. Les opérations de paiement non autorisées alimentent régulièrement le contentieux jurisprudentiel.
En l’espèce, une société a assigné sa banque en remboursement de sommes prélevées à la suite d’opérations de paiement qu’elle contestait, au motif qu’elles n’avaient pas été autorisées.

La cour d’appel a rejeté la demande, retenant que la société avait commis une négligence grave en cliquant sur un courriel, présenté comme émanant de la banque, mais comportant des incohérences facilement décelables et précédé d’une première tentative d’escroquerie. Elle relevait par ailleurs que les circonstances entourant l’autorisation des sept virements litigieux étaient peu documentées, mais que ces virements avaient été émis au moyen des identifiants du payeur via le site internet de la banque.

La Cour de cassation a censuré l’arrêt. Dans un attendu de principe, elle rappelle qu’il résulte des articles L. 133-19, IV, et L. 133-23, alinéa 1^er, du Code monétaire et financier que, si le prestataire de services de paiement souhaite faire supporter à l’utilisateur d’un instrument de paiement personnalisé les pertes résultant d’une opération non autorisée rendue possible par un manquement intentionnel ou par négligence grave aux obligations prévues aux articles L. 133-16 et L. 133-17 du même code, il lui appartient, au préalable, d’établir que l’opération litigieuse a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a pas été affectée par une défaillance technique ou autre.

La question posée à la Cour de cassation était donc de déterminer dans quelles conditions les opérations de paiement non autorisées peuvent engager la responsabilité de la banque. Il conviendra, dans un premier temps, de mettre en lumière le caractère spécifique du régime de responsabilité du prestataire de services de paiement en cas d’opérations non autorisées (I), avant d’en analyser la portée (II).

I. Une responsabilité particulière pour le PSP

• A. Le fondement de la responsabilité du PSP :
  • Code monétaire et financier, article L. 133-18 : « En cas d'opération de paiement non autorisée signalée par l'utilisateur dans les conditions prévues à l'article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l'opération non autorisée immédiatement après avoir pris connaissance de l'opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s'il a de bonnes raisons de soupçonner une fraude de l'utilisateur du service de paiement et s'il communique ces raisons par écrit à la Banque de France. Le cas échéant, le prestataire de services de paiement du payeur rétablit le compte débité dans l'état où il se serait trouvé si l'opération de paiement non autorisée n'avait pas eu lieu (…) ».
  •  Une opération de paiement initiée par le payeur, qui donne un ordre de paiement à son prestataire de services de paiement, est réputée autorisée uniquement si le payeur a également consenti au montant de l'opération (Cass. com., 30 nov. 2022, n° 21-17.614).
  • Qu’est qu’une opération de paiement non autorisée ? « La notion même d'opération de paiement « non autorisée » n'est pas précisée par le Code monétaire et financier. Certes, l'article L. 133-6, I, du Code monétaire et financier définit l'opération autorisée comme celle par laquelle « le payeur a donné son consentement à son exécution ». On peut alors considérer que constitue l'hypothèse inverse : l'opération qui serait déclenchée par le prestataire de services de paiement (PSP) sans ordre du client ; celle qui serait indûment déclenchée par une personne autre que le payeur à l'aide d'un instrument de paiement appartenant à ce dernier ; ou encore celle qui serait déclenchée à partir d'un instrument de paiement contrefait » (J. Lasserre- Capdeville, Les opérations de paiement non autorisées ou mal exécutées – (1^er juill. 2023 – 1^er juill. 2024), JCP E 2024, 1220, n° 28, 1199, n° 4).

• B. Une responsabilité singulière :
  • Responsabilité exclusive de la responsabilité du droit commun pour certaines juridictions de fond. L’appréciation de la Cour de cassation est différente. Pour la chambre commerciale de la Cour de cassation, « les opérations de paiement avaient été autorisées, la cour d'appel en avait déduit à bon droit que si la responsabilité de la banque ne pouvait pas être recherchée sur le fondement des articles L. 133-18 et L. 133-23 du Code monétaire et financier, elle pouvait l'être en cas de manquement à son obligation de vigilance » (Cass. com., 12 juin 2025, n° 24-13.697). « Pour la Cour de cassation, l'exclusivité ne peut jouer qu'en présence d'une opération non autorisée ou mal exécutée. Elle ne saurait, en revanche, être étendue aux opérations autorisées et bien exécutées. Dans ce cas, le devoir de vigilance doit pouvoir s'imposer au banquier, s'il est face à une anomalie apparente » ((J. Lasserre- Capdeville, « Les opérations de paiement non autorisées ou mal exécutées – (1^er juill. 2023 – 1^er juill. 2024) », JCP E 2024, 1220, n° 28, 1199, n° 15).
  • Le payeur doit signaler la ou les opérations litigieuses au PSP. La contestation devra intervenir dans un délai de 13 mois suivant la date de début sous peine de forclusion (C. mon. fin., art. L. 133-24, al. 1^er). Dans ce cas-là, le PSP se verra dans l'obligation de rembourser le payeur. Il rétablira ainsi le compte débité dans l'état où il se serait trouvé si l'opération non autorisée.
  • Dans son arrêt, la Cour de cassation précise que le prestataire de services de paiement doit au préalable prouver que l'opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre. Il est requis de la part du PSP une double preuve. Cela avait déjà été affirmé dans un arrêt du 20 novembre 2024, (n° 23-15.099) et dans un arrêt du 12 novembre 2020 (n° 19-12.112).
  • Article L. 133-4, e et f du Code monétaire et financier : « Une authentification s'entend d'une procédure permettant au prestataire de services de paiement de vérifier l'identité d'un utilisateur de services de paiement ou la validité de l'utilisation d'un instrument de paiement spécifique, y compris l'utilisation des données de sécurité personnalisées de l'utilisateur ; (..). Une authentification forte du client s'entend d'une authentification reposant sur l'utilisation de deux éléments ou plus appartenant aux catégories " connaissance " (quelque chose que seul l'utilisateur connaît), " possession " (quelque chose que seul l'utilisateur possède) et " inhérence " (quelque chose que l'utilisateur est) et indépendants en ce sens que la compromission de l'un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d'authentification ».
  • Cette preuve préalable est obligatoire.
  • Cette preuve peut être ramenée par les documents informatiques.

II. La portée de la responsabilité du PSP

• A. Les cas d’exonération de cette responsabilité :
  • Négligence grave (Il appartient au PSP de rapporter cette preuve).
  • Manœuvres frauduleuses (phishing, spoofing…).

• B. La portée de la solution jurisprudentielle :
  • Solution sévère pour le PSP : « Il n’est, en effet, pas aisé pour la banque de supporter une telle charge de la preuve. Si elle ne parvient pas à démontrer la première étape du raisonnement, elle devra supporter l’erreur de son client et le rembourser. La solution est sévère pour elle, mais elle assure une certaine cohérence entre les textes du Code monétaire et financier issus des directives européennes DSP1 et DSP2 » (C. Hélaine, « Opération de paiement non autorisée : nouvelle confirmation de la jurisprudence de 2020 », Dalloz actualité, 19 juin 2025, note sous Cass. com., 3 avril 2025).
  • Solution conforme à la lettre de l’article L. 133-23, alinéa 1^er, du code qui dispose qu’« il incombe à son prestataire de services de paiement de prouver que l'opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre » lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l'opération de paiement n'a pas été exécutée correctement.

Bibliographie indicative :

• C. Houin-Bressand, « Opération de paiement non autorisée : la négligence grave du client ne dispense pas la banque de ses propres obligations », Gaz. Pal. 2021. 52.
• R. Ktorza, « Le droit des opérations non autorisées : La nouvelle tendance dominante du contentieux bancaire ? », LPA, Juin 2025, p.25.
• J. Lasserre- Capdeville, « Les opérations de paiement non autorisées ou mal exécutées – (1^er juill. 2023 – 1^er juill. 2024) », JCP E 2024, 1220, n° 28.
• M. Lecordier, G. Cavrois et B. Michalet, « La négligence grave en cas d’opérations de paiement non autorisées – État des lieux et perspectives », RD bancaire et fin. janv. févr. 2025, étude 2.
• S. Moreil, « Fraude au virement : pas de remboursement en dehors des prévisions du Code monétaire et financier », JCP E, 2025, 1103, n° 14.