This post is also available in:

L’arrêt de cassation resserre la notion de négligence grave, sans faire de la banque un assureur automatique contre le phishing

Par un arrêt du 29 juin 2026, la Cour de cassation a précisé la notion de négligence grave dans le cadre d’une fraude par phishing. La décision renforce incontestablement les exigences pesant sur les banques qui entendent laisser définitivement la perte à charge de leur client. Elle ne signifie toutefois ni que toute victime de phishing doit être indemnisée, ni que toute imprudence devient juridiquement sans conséquence.

Pour comprendre la portée de l’arrêt, il faut distinguer deux questions que le débat public tend régulièrement à confondre.

La première est celle du remboursement immédiat et provisoire d’une opération contestée. La seconde est celle de la responsabilité définitive : qui, du client ou de la banque, devra finalement supporter la perte ?

Ces deux questions obéissent à des règles distinctes et ne sont pas nécessairement tranchées au même moment.

Une fraude déclenchée par un faux message fiscal

L’affaire soumise à la Cour concernait un client ayant reçu, le 23 janvier 2020, un SMS faisant état d’une prétendue dette fiscale de 89 euros. Le message contenait un lien de paiement.

En suivant la procédure proposée, le client n’avait toutefois pas simplement payé cette somme. Les manipulations effectuées avaient permis l’installation et l’activation de l’application KBC Mobile sur un nouvel appareil contrôlé par le fraudeur. Plusieurs opérations, pour un montant total de 24.852,15 euros, avaient ensuite été exécutées depuis cette application.

La cour d’appel de Bruxelles avait considéré que le client avait commis une négligence grave. Elle avait notamment relevé qu’il n’avait pas vérifié l’existence de la dette fiscale, qu’il avait suivi un lien contenu dans un message générique, qu’il avait communiqué ou utilisé ses données de sécurité sur des pages non sécurisées et qu’il avait nécessairement validé un message relatif à l’activation d’un nouvel abonnement mobile.

La Cour de cassation a cassé cette décision.

La négligence grave est une négligence qualifiée

La Cour rappelle d’abord que la notion de négligence grave est une question de droit. Le juge du fond conserve la maîtrise de l’appréciation des faits, mais la qualification juridique qu’il leur donne peut être contrôlée par la Cour de cassation.

Selon la Cour, la négligence grave constitue une violation qualifiée du devoir de prudence. Elle suppose que le payeur adopte un comportement qu’un payeur raisonnable et normalement prudent n’aurait jamais adopté, ou qu’il omette un comportement qu’un tel payeur n’aurait jamais omis.

La formule est exigeante. Mais pas surprenante.

Une simple faute, une erreur de jugement ou une imprudence ordinaire ne suffisent pas nécessairement. Le comportement doit révéler un degré important d’imprudence. Le juge doit en outre tenir compte de l’ensemble des circonstances concrètes.

La Cour rappelle également que la négligence grave doit porter sur l’une des obligations imposées au client par l’article VII.38 du Code de droit économique. Le client doit notamment utiliser son instrument de paiement conformément aux conditions applicables, prendre toutes les mesures raisonnables pour préserver la sécurité de l’instrument et de ses données personnalisées, et avertir sans délai la banque en cas de perte, de détournement ou d’utilisation non autorisée.

Il ne suffit donc pas de constater que le client a été imprudent de manière générale. Il faut identifier l’obligation précise qu’il aurait violée et démontrer que cette violation présentait le degré de gravité requis.

Ce que la Cour n’a pas décidé

L’arrêt a parfois été présenté comme imposant désormais aux banques de rembourser les victimes de phishing, même lorsqu’elles ont été imprudentes.

Cette lecture est excessive.

La Cour de cassation n’a pas jugé elle-même que le client concerné n’avait commis aucune négligence grave. Elle n’a pas davantage condamné la banque à le rembourser définitivement.

Elle a estimé que les motifs retenus par la cour d’appel ne lui permettaient pas de conclure légalement que le client avait manqué, par négligence grave, à l’une de ses obligations légales de sécurité. La décision a donc été cassée et l’affaire renvoyée devant la cour d’appel d’Anvers, qui devra procéder à une nouvelle appréciation.

L’arrêt ne crée dès lors aucune immunité générale pour les victimes de phishing. Il augmente en revanche le niveau d’exigence applicable à la preuve et à la motivation de la négligence grave.

Une opération authentifiée n’est pas nécessairement autorisée

L’un des points essentiels du droit des services de paiement est la distinction entre l’authentification d’une opération et son autorisation.

Une opération est authentifiée lorsqu’elle a été exécutée au moyen de l’instrument de paiement et des données de sécurité associées : code PIN, lecteur de carte, application bancaire, signature électronique ou authentification forte.

Mais l’utilisation correcte de ces outils techniques ne prouve pas nécessairement que le client a consenti à l’opération telle qu’elle a finalement été exécutée.

Dans de nombreux scénarios de phishing, le client pense valider une opération déterminée — par exemple le paiement d’une petite dette ou la confirmation de son identité — alors que les données générées sont utilisées par le fraudeur pour activer un nouvel appareil ou effectuer d’autres transactions.

La preuve de l’authentification ne suffit donc pas, à elle seule, à démontrer l’autorisation. Elle ne suffit pas non plus à établir automatiquement une négligence grave.

Cette distinction est fondamentale, mais elle ne signifie pas que toute opération techniquement authentifiée serait nécessairement non autorisée. L’analyse demeure factuelle : qu’a vu le client, qu’a-t-il compris, quelle opération a-t-il cru confirmer et quels messages lui ont été présentés ?

Première question : la banque doit-elle rembourser immédiatement ?

L’article VII.43 du Code de droit économique organise le remboursement immédiat d’une opération de paiement non autorisée.

Lorsque le client conteste une opération et la présente comme non autorisée, la banque doit en principe en rembourser le montant immédiatement et, au plus tard, à la fin du premier jour ouvrable suivant la notification.

Ce remboursement intervient avant que la responsabilité définitive soit établie. Il ne constitue donc pas nécessairement une reconnaissance de responsabilité de la banque.

Le mécanisme répond à une logique simple : le client qui affirme qu’une somme importante a quitté son compte sans son consentement ne doit pas nécessairement attendre plusieurs mois, voire plusieurs années, l’issue d’une procédure judiciaire pour retrouver la disponibilité des fonds.

La loi permet à la banque de différer ce remboursement lorsqu’elle dispose de raisons fondées de soupçonner une fraude commise par le payeur lui-même et qu’elle communique ces raisons par écrit au SPF Économie.

Un simple soupçon de négligence, même grave, ne se confond toutefois pas avec un soupçon de fraude du client. La fraude suppose une participation intentionnelle ou déloyale du payeur, et non seulement une imprudence dans la manière dont il a réagi aux manœuvres d’un tiers.

Deuxième question : qui supportera définitivement la perte ?

La responsabilité définitive relève principalement de l’article VII.44 du Code de droit économique.

En matière d’opérations non autorisées, le régime prévoit en principe une responsabilité limitée du payeur, pouvant aller jusqu’à 50 euros pour certaines opérations antérieures à la notification de la perte, du vol ou du détournement de l’instrument de paiement.

Dans certaines hypothèses, le client ne supporte aucune perte, notamment lorsque la fraude ne pouvait raisonnablement être détectée avant l’opération ou lorsque les exigences d’authentification forte n’ont pas été respectées.

À l’inverse, le client peut devoir supporter l’intégralité du dommage lorsqu’il a lui-même agi frauduleusement ou lorsqu’il a, intentionnellement ou par négligence grave, violé ses obligations relatives à l’utilisation et à la sécurité de son instrument de paiement.

C’est à cette seconde question que se rapporte directement l’arrêt du 29 juin 2026.

Le remboursement immédiat prévu par l’article VII.43 et la répartition définitive du dommage prévue par l’article VII.44 ne doivent donc pas être confondus.

La banque peut être tenue de rembourser provisoirement, puis réclamer ultérieurement la restitution du montant si elle démontre la fraude ou la négligence grave du client. Inversement, le fait que la banque n’ait pas immédiatement remboursé ne permet pas de conclure qu’elle ne sera jamais responsable.

En résumé : rembourser d’abord ne signifie pas nécessairement payer définitivement.

Le rôle du juge des référés

Lorsque la banque refuse de procéder au remboursement immédiat, certains clients saisissent le juge des référés.

Une ordonnance rendue à Anvers a ainsi condamné une banque à rembourser provisoirement près de 50.000 euros à un couple âgé, avant que la question de la responsabilité définitive ait été tranchée.

Le recours au référé ne devient toutefois pas automatique.

Deux ordonnances bruxelloises des 9 et 10 juin 2026 ont rappelé que l’urgence devait être concrètement démontrée. L’importance du montant perdu ne suffit pas, à elle seule, à établir qu’il serait impossible d’attendre une décision au fond.

Dans l’une de ces affaires, une société sollicitait le remboursement provisoire de plus de 238.000 euros. Le juge a notamment pris en considération ses placements, ses liquidités et le crédit de caisse dont elle disposait. L’entreprise n’avait pas démontré que sa situation financière justifiait le recours à la voie exceptionnelle du référé.

Le mécanisme peut donc être résumé comme suit : l’obligation légale de remboursement immédiat existe indépendamment de l’urgence, mais l’intervention du juge des référés suppose que le demandeur établisse l’urgence procédurale requise.

La situation particulière des entreprises

Les entreprises ne se trouvent pas nécessairement dans la même situation que les consommateurs.

Une partie des dispositions relatives aux services de paiement est impérative pour les consommateurs. Pour les clients professionnels, certaines protections peuvent être adaptées ou écartées contractuellement, dans les limites autorisées par le Code de droit économique.

Avant d’invoquer le mécanisme de remboursement, une entreprise doit donc examiner les conditions particulières et générales applicables à ses comptes, les pouvoirs accordés aux utilisateurs, les procédures internes de validation et les éventuelles clauses dérogatoires.

La fraude au paiement constitue ainsi à la fois :

• un incident informatique ;
• une question contractuelle ;
• un problème de preuve ;
• une question de gouvernance interne ;
• et, parfois, un risque immédiat de liquidité.

L’analyse devra notamment déterminer qui a initié ou validé l’opération, quels contrôles internes ont été contournés, quels messages d’authentification ont été présentés, à quel moment l’incident a été signalé et quelles mesures ont été prises par la banque après la notification.

Il faut également distinguer le phishing donnant lieu à une opération non autorisée des fraudes dans lesquelles la victime effectue elle-même, en connaissance de l’ordre technique donné, un paiement vers un mauvais bénéficiaire. La fraude à la facture ou la fraude au président ne relèvent pas nécessairement du même régime, puisque le client peut avoir effectivement consenti au virement, même si son consentement a été obtenu sur la base d’informations mensongères.

Quelles conséquences pour les banques ?

L’arrêt ne supprime pas la possibilité d’invoquer la négligence grave. Il impose en revanche de mieux la caractériser.

Une banque ne pourra pas se limiter à constater que le client a cliqué sur un lien, introduit un code ou utilisé son lecteur de carte. Elle devra reconstituer le parcours de fraude et expliquer :

• quelle obligation légale ou contractuelle a été violée ;
• quel message ou quelle information le client a reçue ;
• pourquoi cette information aurait dû éveiller ses soupçons ;
• quel comportement un payeur raisonnable aurait adopté ;
• et pourquoi le comportement concret du client dépasse la simple imprudence.

La conservation des données techniques, des écrans d’authentification, des messages contextuels, des notifications envoyées au client et des alertes internes devient dès lors centrale.

La motivation de la décision de refus prendra également davantage d’importance. Une formule standard évoquant une « validation avec les codes personnels » risque d’être insuffisante si elle n’explique pas ce que le client a réellement validé et dans quelles circonstances.

Une protection renforcée, mais pas une assurance automatique

L’évolution jurisprudentielle pourrait s’orienter vers un contrôle plus rigoureux de la manière dont la négligence grave est invoquée et démontrée, mais selon notre expérience pratique, c’est déjà le cas.

Le débat parlementaire s’inscrit dans la même tendance. Un amendement déposé en juin 2026 propose notamment d’imposer au prestataire de services de paiement un délai de treize mois pour informer le consommateur de son intention de récupérer le remboursement provisoire. À défaut, son droit à récupération serait éteint.

Cette proposition confirme la logique du système : rembourser rapidement, puis discuter de la responsabilité dans un délai encadré.

Mais ni l’arrêt de cassation ni le mécanisme de remboursement immédiat ne transforment la banque en assureur automatique de toute fraude numérique.

La question correcte n’est pas de savoir si la banque doit toujours ou ne doit jamais payer. Il faut successivement déterminer :

1. si l’opération était autorisée ou non ;
2. si elle a seulement été authentifiée techniquement ou réellement consentie ;
3. si un remboursement provisoire devait intervenir ;
4. quelles obligations le client devait respecter ;
5. si leur éventuelle violation constitue une véritable négligence grave ;
6. et qui doit, au terme de l’analyse, supporter définitivement la perte.

L’arrêt du 29 juin 2026 ne met pas fin à ce débat. Il oblige surtout les banques et les juridictions à le mener avec davantage de précision.

Gilles Laguesse
Avocat spécialisé en droit bancaire et financier