Opération de paiement bancaire : le signalement tardif est un indice de négligence grave.

L’utilisateur de services de paiement doit signaler « sans tarder » toute opération suspecte affectant son compte bancaire. À défaut, sa passivité peut caractériser une négligence grave. Pour la Cour de cassation, le respect du délai de contestation de treize mois prévus à l’article L. 133-24 du Code monétaire et financier n’est pas suffisant.

Le silence est parfois une vertu. Il peut, néanmoins, en matière de fraude bancaire, se révéler lourd de conséquences pour l’utilisateur de services de paiement. Sa passivité peut s’analyser comme une négligence grave. Telle est la règle consacrée par la chambre commerciale dans son arrêt du 4 février 2026.

En l’espèce, deux utilisateurs bénéficiant d’un compte de dépôt assorti de l’attribution d’une carte bancaire ont constaté quatre débits sur leur compte bancaire, ainsi détaillés : le 19 juin 2018, deux paiements de 1 500 € ; le 4 juillet 2018, un paiement de 524,75 € ; le 8 août 2018, un paiement de 1 500 €. Les utilisateurs ont procédé, plus tard, à un signalement auprès de la gendarmerie des quatre débits constatés sur leur compte.

Arguant de l’utilisation d’un code de sécurité « 3D Secure », la banque leur a refusé le remboursement des sommes débitées. Les titulaires de compte l’ont ainsi fait assigner en justice.

Par jugement du 14 décembre 2020, le juge des contentieux de la protection de Montauban a déclaré les demandeurs recevables, mais les a déboutés de leurs demandes.

Par arrêt en date du 7 septembre 2022, la cour d’appel de Toulouse a confirmé le jugement de première instance, en retenant notamment que « le premier signalement à la gendarmerie n’est intervenu que le 13 juillet 2018, soit près d’un mois après les deux premiers paiements litigieux, effectués le 19 juin 2018, alors même que, compte tenu de l’importance du montant prélevé à cette date (1 500 €), ces paiements ne pouvaient passer inaperçus, les appelants ayant manqué à l’obligation d’informer sans tarder la banque de toute opération non autorisée, comme prévu à l’article L. 133-17 du Code monétaire et financier ».

Dans leur pourvoi en cassation, les demandeurs ont soutenu qu’il incombait à la banque de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, avait agi frauduleusement ou n’avait pas satisfait, intentionnellement ou par négligence grave, à ses obligations. Ils estimaient que la négligence grave ne pouvait se déduire de l’absence de signalement.

En se fondant notamment sur les dispositions des articles L. 133-18, L. 133-19 et L. 133-24 du Code monétaire et financier, la Cour de cassation a rejeté le pourvoi. Pour statuer comme elle l’a fait, la haute juridiction a retenu qu’« ayant relevé que M. et M^me [U] ne justifiaient pas de la date à laquelle ils avaient signalé à la banque une utilisation frauduleuse de leur carte bancaire, la cour d’appel a, par ce seul motif, légalement justifié sa décision de rejeter leur demande de remboursement sans encourir les griefs du moyen ».

Par cet arrêt, la Cour de cassation apporte des précisions intéressantes quant à la notion de « négligence grave ». Elle procède à une interprétation extensive de cette notion pour aboutir à la mise en place d’un devoir de réactivité immédiate.

Le présent arrêt enseigne que la protection du consommateur n’est pas sans limites. Si le prestataire de services de paiement doit rapporter la preuve de l’authentification technique de l’opération contestée, l’utilisateur de services de paiement doit apporter son concours en signalant, sans tarder, toute opération suspecte.

L’adoption d’une approche extensive de la notion de négligence grave

Dans son arrêt du 4 février 2026, la Cour de cassation a bâti son raisonnement sur un faisceau d’indices, caractérisant un comportement fautif postérieur de l’utilisateur de services de paiement.

A – Le recours à un faisceau d’indices

Pour écarter la responsabilité du prestataire de services de paiement, la cour d’appel de Toulouse approuvée par la Cour de cassation a fait appel à la technique de faisceau d’indices. Parmi ces indices figurent notamment la réussite technique de l’authentification forte « 3D Secure » combinée à l’absence de vol déclaré du téléphone. Ce faisceau rend, selon la haute juridiction, la contestation tardive synonyme de négligence grave.

En effet, la cour d’appel a, de prime abord, vérifié si l’opération contestée était validée par un dispositif d’authentification forte, conformément aux prescriptions de l’article L. 133-19, V, du Code monétaire et financier qui dispose que « sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 ».

L’article L. 133-4 du même code définit l’authentification forte comme le processus qui repose sur « l’utilisation de deux éléments ou plus appartenant aux catégories “connaissance” (quelque chose que seul l’utilisateur connaît), “possession” (quelque chose que seul l’utilisateur possède) et “inhérence” (quelque chose que l’utilisateur est) et indépendants en ce sens que la compromission de l’un ne remet pas en question la fiabilité des autres, et qui est conçue de manière à protéger la confidentialité des données d’authentification ».

En l’espèce, les juges du fond ont relevé que les débits litigieux étaient effectués en juin, juillet et août 2018 par l’utilisation des références de la carte bancaire des utilisateurs avec, à chaque fois, l’envoi d’un code de sécurité à usage unique « 3D Secure » sur le téléphone portable pour identification et authentification de l’opération. Ils ont ainsi déduit que la possession des coordonnées de la carte bancaire et du téléphone par les utilisateurs caractérisait une authentification forte. Ce raisonnement a été confirmé par la Cour de cassation.

Pour la haute juridiction, l’authentification forte joue un rôle majeur. Elle permet d’informer le titulaire de la carte de l’existence d’une opération réalisée sur son compte. Cette information permet à l’utilisateur de réagir au plus vite en signant le caractère douteux de l’opération.

Dans son arrêt du 25 octobre 2025, la Cour de cassation a récemment approuvé une cour d’appel ayant retenu que « le payeur avait commis une négligence grave en répondant à un courriel présentant des anomalies grossières qui auraient dû attirer son attention et en communiquant des données confidentielles dont les codes pour valider l’ajout d’un bénéficiaire et le virement, le jugement ajoute que la banque ne justifie toutefois pas avoir exigé du payeur l’activation de l’authentification forte ».

Il en résulte que la preuve de l’authentification forte constitue un préalable nécessaire. La « négligence grave » de l’utilisateur ne peut être rapportée par la banque que lorsqu’elle justifie que l’opération « a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ».

Ainsi, l’authentification forte n’a pas pour seule fonction de valider une opération de paiement, mais a également pour finalité d’avertir l’utilisateur de services de paiement. C’est ainsi que la Cour de cassation, dans son arrêt du 4 février 2026, estime que l’utilisateur est négligent s’il ne réagit pas dans les plus brefs délais en signalant à sa banque toute opération suspecte.

B – Une négligence grave caractérisée par un comportement passif postérieur de l’utilisateur

Pour confirmer l’arrêt de la cour d’appel de Toulouse, la Cour de cassation s’est fondée notamment sur les dispositions de l’article L. 133-19, IV, du Code monétaire et financier qui dispose que « le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 ».

Par ailleurs, la Cour de cassation a déjà jugé que « manque, par négligence grave, à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés l’utilisateur d’un service de paiement qui communique les données personnelles de ce dispositif de sécurité en réponse à un courriel qui contient des indices permettant à un utilisateur normalement attentif de douter de sa provenance, peu important qu’il soit, ou non, avisé des risques d’hameçonnage ».

La même analyse a été retenue à l’égard d’un utilisateur de services de paiement qui réglait ses factures de téléphone par prélèvements et non par carte bancaire, alors « qu’un examen attentif du courriel de rappel de paiement révélait de sérieuses irrégularités, de nature à faire douter de sa provenance, telles que l’inexactitude de l’adresse de l’expéditeur et du numéro du contrat mentionné ainsi que la discordance entre les montants réclamés ».

De la même manière, dans un arrêt du 2 juin 2021, la Cour de cassation a censuré une cour d’appel pour ne pas avoir recherché si l’utilisateur de services de paiement « n’avait manqué à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés, en communiquant les données personnelles du dispositif de sécurité en cause en réponse à un courriel qui aurait contenu des indices permettant à un utilisateur normalement attentif de douter de sa provenance, le tribunal n’a pas donné de base légale à sa décision ».

Dans l’arrêt du 4 février 2026, la Cour de cassation est allée plus loin en retenant que le défaut de signalement à la banque d’une utilisation frauduleuse d’un moyen de paiement est constitutif d’un manquement à l’obligation de vigilance et de sécurité de l’utilisateur.

La solution retenue par la Cour trouve son fondement dans les dispositions de l’article L. 133-17 du Code monétaire et financier aux termes duquel « lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci ».

La Cour de cassation a précisé les contours de la notion de « négligence grave » en y intégrant le comportement a posteriori de l’utilisateur de services de paiement. L’arrêt du 4 février 2026 a posé avec force le principe selon lequel la négligence grave ne se limite pas à des comportements de prévention, mais s’étend également au comportement passif postérieur du titulaire de compte.

La preuve de l’authentification forte associée au silence gardé par l’utilisateur crée une présomption de négligence grave. Il devient dès lors difficile pour le titulaire du compte de la renverser lorsque le délai de signalement est conséquent.

La mise en place d’une obligation de réactivité immédiate de l’utilisateur

La Cour de cassation estime, dans son arrêt du 4 février 2026, que le délai de treize mois n’est pas suffisant pour écarter toute négligence grave, ce qui implique une réactivité immédiate et une collaboration probatoire à la charge de l’utilisateur.

A – L’insuffisance du délai de treize mois prévu à l’article L. 133-24 du Code monétaire et financier

Pour rejeter le pourvoi, la Cour de cassation a fondé son raisonnement sur les dispositions des articles L. 133-18 et L. 133-24 du Code monétaire et financier. Ce dernier article prévoit un délai de 13 mois pour signaler à la banque une opération de paiement, sous peine de forclusion : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1^er du livre III ».

Pour la Cour de cassation, le respect du délai de contestation de treize mois prévu à l’article L. 133-24 n’est pas suffisant. La Cour impose une réactivité immédiate de l’utilisateur dès la connaissance du débit. Le silence gardé pendant un mois est constitutif d’une négligence grave.

À ce stade, il convient d’opérer une distinction entre « le délai de forclusion », prévu à l’article L. 133-24 du Code monétaire et financier et « le délai de signalement » de l’opération douteuse prévu à l’article L. 133-17 du même code. Ce dernier texte emploie la locution « sans tarder », dont la portée n’est pas sans ambiguïté.

La Cour refuse toute assimilation entre les deux délais : le respect du délai de forclusion n’est pas synonyme du respect du délai de signalement de l’opération frauduleuse.

En effet, le titulaire de compte peut être recevable en son action dès lors qu’il conteste l’opération dans le délai de treize mois. Néanmoins, il peut être débouté si le signalement est jugé tardif, caractérisant une négligence grave. La Cour refuse de consacrer une quelconque immunité au seul respect du délai de treize mois.

Il ressort de l’arrêt commenté qu’il appartient à l’utilisateur de services de paiement, demandeur à l’action en remboursement, de prouver qu’il a satisfait à son obligation de signalement « sans tarder » prévue à l’article L. 133-17. Toutefois, force est de s’interroger sur la durée de ce délai.

À cet égard, il a été jugé tardive une opposition réalisée deux mois après l’opération contestée et après réception du relevé du compte retraçant l’opération litigieuse avec la carte perdue ou volée. De même, des circonstances particulières ont conduit à retenir une négligence grave, lorsque l’opposition a été effectuée quatre jours après la perte du moyen de paiement.

Néanmoins, il a été jugé qu’une opposition intervenue sept jours après le vol de la carte n’est pas forcément fautive, dès lors que le titulaire de la carte n’utilisait pas sa carte pendant plusieurs jours, et qu’il s’était déroulé un week-end entre le vol et l’opposition.

Les juges du fond doivent ainsi apprécier in concreto les circonstances de l’absence de signalement immédiat de l’opération litigieuse.

En l’espèce, un délai d’un mois laissé s’écouler avant le signalement de l’opération s’avère excessif, selon la Cour de cassation, caractérisant ainsi une négligence grave de l’utilisateur de sévices de paiement. Le titulaire du compte ne justifie pas de circonstances particulières rendant le signalement de l’opposition impossible. Ce manquement fautif a incité la Cour à consacrer un devoir de collaboration loyale à la charge de l’utilisateur.

B – Vers la consécration d’une obligation de collaboration probatoire

Dans son arrêt du 4 février 2026, la Cour de cassation approuve la cour d’appel de Toulouse qui a relevé que les utilisateurs ne justifiaient pas de la date à laquelle ils avaient signalé à la banque une utilisation frauduleuse de leur carte bancaire.

Pour la Cour de cassation, il convient que l’utilisateur rapporte la preuve de sa diligence procédurale. Cette solution peut notamment trouver son fondement dans l’article 10 du Code civil, lequel oblige chacun à « apporter son concours à la justice en vue de la manifestation de la vérité ».

Il incombe ainsi à l’utilisateur de démontrer sa diligence. L’arrêt du 4 février 2026 a fait peser sur l’utilisateur de services de paiement la charge de la preuve de sa propre réactivité. Il lui appartient notamment de fournir des preuves concrètes pour justifier de sa bonne foi. En pratique, il est crucial de conserver une preuve écrite de tout signalement d’une opération de paiement.

En sanctionnant le défaut de collaboration probatoire, la Cour s’est montrée sévère à l’égard des utilisateurs. Cette sévérité jurisprudentielle pourrait se justifier par l’objectif de lutte contre la fraude et la mauvaise foi des utilisateurs qui tenteraient de se retourner contre les prestataires de services de paiement en cas de mauvaise utilisation des moyens de paiement.

En pratique, plusieurs enseignements peuvent être tirés de l’arrêt de chambre commerciale du 4 février 2026. Le défaut de collaboration de l’utilisateur est érigé en indice de la négligence grave. En outre, le seul respect du délai de treize mois ne saurait suffire pour écarter une négligence grave. Enfin, l’utilisateur est désormais tenu d’assurer une surveillance régulière des mouvements affectant son compte bancaire.

En somme, l’utilisateur de services de paiement doit collaborer activement en signalant « sans tarder » une opération suspecte réalisée sur son compte bancaire. À défaut, sa passivité peut caractériser une négligence grave.

Cass. com., 4 févr. 2026, n^o 22-22.609, F–B

Par Mohammed CHAABEN

SOURCE

Pour toute question relative au Droit bancaire, vous pouvez contacter Maître Claire SERINDAS.