Contester un paiement bancaire frauduleux : remboursement et négligence grave

Lorsqu'un titulaire de compte découvre sur son relevé une opération qu'il n'a jamais consentie, prélèvement inconnu, achat en ligne non reconnu ou retrait suspect, il se trouve confronté à la question délicate du sort de ces sommes débitées à son insu. Le paiement bancaire frauduleux désigne précisément l'opération de paiement non autorisée, exécutée sur le compte de l'utilisateur sans que celui-ci y ait consenti dans les formes prévues. Le droit des services de paiement organise un régime protecteur reposant sur un principe fort : le prestataire de services de paiement, c'est-à-dire la banque, doit en principe rembourser l'utilisateur des opérations qu'il n'a pas autorisées, dès lors que celui-ci les a signalées sans tarder. Cette protection n'est toutefois pas absolue, car elle cède devant la négligence grave de l'utilisateur, qui fait échec au remboursement lorsqu'elle est établie. Comprendre la notion d'opération non autorisée, cerner le mécanisme du remboursement, mesurer le poids de l'obligation de signalement et apprécier la portée de la négligence grave sont autant d'étapes indispensables pour qui entend faire valoir ses droits face à une opération de paiement non autorisée.

La notion de paiement bancaire frauduleux et le principe du remboursement

Le paiement bancaire frauduleux recouvre l'hypothèse de l'opération de paiement non autorisée, celle qui a été exécutée alors que l'utilisateur n'a pas donné son consentement à son exécution, selon les modalités convenues avec son prestataire. Le consentement constitue en effet la pierre angulaire de toute opération de paiement régulière : sans lui, l'opération est dépourvue d'autorisation et ouvre droit, en principe, à restitution. Tel est le cas du retrait opéré au moyen d'une carte volée, du virement initié par un tiers ayant capté les identifiants de connexion, ou encore du paiement en ligne réalisé à partir de données dérobées. Lorsque l'utilisateur conteste avoir autorisé une opération, le prestataire qui exécute des virements et autres mouvements doit, pour s'en exonérer, démontrer que l'opération a bien été authentifiée et régulièrement enregistrée, sujet voisin du recouvrement de créances lorsque des sommes indûment débitées doivent être restituées. La frontière entre l'opération autorisée et l'opération frauduleuse détermine ainsi l'ensemble du régime de responsabilité applicable.

Le principe directeur du régime est celui du remboursement par le prestataire de services de paiement. Lorsqu'une opération de paiement non autorisée est portée à sa connaissance, la banque doit rembourser à l'utilisateur le montant de l'opération immédiatement et, en tout état de cause, au plus tard à la fin du premier jour ouvrable suivant celui où elle a eu connaissance de la contestation, sauf à pouvoir invoquer des raisons sérieuses de soupçonner une fraude de l'utilisateur lui-même. Le remboursement consiste à rétablir le compte débité dans l'état où il se serait trouvé si l'opération non autorisée n'avait pas eu lieu, le cas échéant avec la date de valeur correspondante, de sorte que l'utilisateur ne supporte aucun préjudice tenant aux agios ou frais générés par l'opération litigieuse. Ce mécanisme traduit la volonté de faire peser le risque de la fraude sur le prestataire, mieux à même de sécuriser les instruments de paiement et de supporter le coût des défaillances de ses systèmes.

Cette protection s'explique par la position respective des parties. L'utilisateur, simple particulier ou professionnel, ne maîtrise ni les systèmes d'authentification, ni les dispositifs techniques mis en oeuvre pour sécuriser les paiements. Le prestataire, à l'inverse, conçoit et exploite ces dispositifs, perçoit les commissions liées au fonctionnement des comptes et dispose des moyens techniques et financiers de prévenir et d'absorber le risque de fraude. En faisant peser sur lui la charge initiale du remboursement, le droit incite le prestataire à renforcer continuellement la sécurité de ses outils et à déployer des mécanismes d'authentification robustes. Le remboursement n'est cependant pas inconditionnel, car il suppose que l'utilisateur ait respecté ses propres obligations, au premier rang desquelles figure le signalement diligent de l'opération contestée. Cette répartition du risque ne prive nullement le prestataire de tout recours, puisqu'il conserve la faculté de se retourner contre l'auteur de la fraude une fois celui-ci identifié, mais elle place l'utilisateur de bonne foi à l'abri des conséquences immédiates de l'opération non autorisée. Le paiement bancaire frauduleux se trouve ainsi appréhendé par un régime qui dissocie nettement la charge initiale du remboursement, supportée par la banque, de l'imputation définitive des pertes, déterminée à l'issue de l'examen du comportement de chacun.

Le signalement et la conduite à tenir face à un paiement bancaire frauduleux

Le droit au remboursement de l'utilisateur victime d'un paiement bancaire frauduleux est subordonné à une condition essentielle : le signalement de l'opération sans tarder. Dès qu'il a connaissance d'une opération non autorisée ou mal exécutée, l'utilisateur doit en informer son prestataire sans délai, afin de permettre le blocage de l'instrument de paiement et la mise en oeuvre de la procédure de contestation. Cette diligence conditionne l'effectivité de la protection : un signalement tardif peut compromettre la possibilité de récupérer les sommes débitées et, au-delà, exposer l'utilisateur à supporter les pertes liées aux opérations frauduleuses postérieures à la découverte. La rapidité de la réaction constitue ainsi le premier réflexe que doit adopter toute personne confrontée à un débit qu'elle n'a pas consenti.

Le signalement s'inscrit dans une limite temporelle absolue : l'utilisateur ne peut obtenir la rectification d'une opération non autorisée que s'il la signale dans un délai maximal de treize mois à compter de la date de débit, sauf délai plus court convenu lorsque le prestataire a fourni les informations relatives à l'opération. Passé ce délai, l'action est en principe forclose et le remboursement ne peut plus être réclamé sur ce fondement, ce qui souligne l'importance d'un examen régulier des relevés de compte. Ce délai de treize mois constitue un point de repère fondamental, car il fixe la borne ultime au-delà de laquelle la contestation devient irrecevable, l'utilisateur étant présumé avoir tacitement accepté les opérations qu'il n'a pas remises en cause dans ce laps de temps.

La conduite à tenir face à une opération frauduleuse obéit à une logique de réaction graduée et méthodique, dont les principales étapes peuvent être ainsi présentées :

• Faire opposition sans délai sur la carte ou l'instrument de paiement concerné, afin d'interrompre toute opération frauduleuse ultérieure.
• Signaler l'opération non autorisée au prestataire de services de paiement et formaliser la contestation par un écrit conservant une trace.
• Déposer plainte auprès des services compétents lorsque la fraude révèle une infraction, le dépôt de plainte appuyant utilement la démarche de contestation.
• Conserver les preuves de la fraude et des démarches accomplies, relevés, échanges et accusés de réception, en vue d'une éventuelle discussion sur la responsabilité.

Le signalement sans tarder

L'obligation de signaler sans tarder répond à un double objectif de protection de l'utilisateur et de limitation du préjudice. En informant promptement son prestataire, l'utilisateur permet le blocage de l'instrument compromis et enclenche la procédure de remboursement. À l'inverse, le retard dans le signalement peut être pris en compte pour apprécier le comportement de l'utilisateur et, le cas échéant, limiter ou exclure son droit à restitution lorsqu'il a contribué à l'aggravation du préjudice. La diligence dans le signalement constitue donc une condition de fond du remboursement autant qu'une mesure de bon sens.

Le dépôt de plainte et la formalisation

Si le dépôt de plainte n'est pas une condition systématique du remboursement, il constitue un élément utile du dossier de contestation, en attestant la réalité de la fraude et la bonne foi de la victime. La formalisation écrite de la contestation auprès du prestataire, conservant la trace de la date et du contenu de la démarche, renforce de la même manière la position de l'utilisateur. Ces précautions documentaires se révèlent précieuses en cas de désaccord ultérieur sur la responsabilité, car elles permettent d'établir la chronologie des événements et la diligence de l'utilisateur face à l'opération litigieuse.

La négligence grave faisant échec au remboursement du paiement bancaire frauduleux

Le droit au remboursement de l'utilisateur n'a rien d'inconditionnel, car il cède lorsque l'opération non autorisée résulte d'un manquement de l'utilisateur à ses propres obligations de prudence. La négligence grave constitue ainsi la principale exception au principe du remboursement du paiement bancaire frauduleux : lorsque l'utilisateur a, par une négligence grave, manqué à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés, il supporte les pertes liées aux opérations non autorisées. La notion de négligence grave s'apprécie au regard des circonstances de chaque espèce et suppose un comportement d'une particulière imprudence, distinct de la simple inattention. Les enjeux d'une telle qualification rejoignent ceux que rencontrent les professionnels dans la rédaction de leurs conditions générales de vente, où la répartition des risques entre les parties commande une rédaction prudente et précise des obligations de chacun.

Constituent classiquement des comportements susceptibles de caractériser une négligence grave la divulgation par l'utilisateur de ses données confidentielles à un tiers, la communication de son code secret ou de ses identifiants de connexion en réponse à une sollicitation frauduleuse, ou encore le défaut manifeste de vigilance face à une tentative d'hameçonnage. Le phénomène de l'phishing, par lequel un fraudeur usurpe l'identité d'un organisme de confiance pour inciter la victime à livrer ses données, illustre la frontière délicate entre la victime trompée et l'utilisateur gravement négligent. Tout dépend du degré de sophistication de la fraude et de la vraisemblance du message reçu : un message grossier, comportant des incohérences manifestes, n'appelle pas la même appréciation qu'une manoeuvre élaborée reproduisant fidèlement l'apparence des communications authentiques du prestataire. La seule circonstance que l'utilisateur ait communiqué des données ne suffit donc pas, à elle seule, à établir la négligence grave.

La charge de la preuve revêt à cet égard une importance décisive et joue en faveur de l'utilisateur. C'est en effet au prestataire de services de paiement qu'il incombe de rapporter la preuve de la négligence grave qu'il invoque pour refuser le remboursement, l'utilisateur n'ayant pas à démontrer qu'il a été prudent. De même, lorsque l'utilisateur conteste avoir autorisé une opération, il appartient au prestataire de prouver que celle-ci a été authentifiée, dûment enregistrée et comptabilisée, et qu'elle n'a pas été affectée par une déficience technique. L'utilisation de l'instrument de paiement, telle qu'enregistrée par le prestataire, ne suffit pas nécessairement en elle-même à prouver que l'opération a été autorisée par l'utilisateur ou que celui-ci a agi frauduleusement ou avec une négligence grave. Cette répartition probatoire constitue l'une des protections les plus substantielles du régime, en évitant que l'utilisateur ne supporte une charge de preuve souvent impossible à satisfaire.

Le doute profite à l'utilisateur : tant que la négligence grave n'est pas prouvée par le prestataire, le remboursement de l'opération non autorisée demeure dû.

Authentification forte, franchise et limites du remboursement du paiement bancaire frauduleux

La protection de l'utilisateur contre le paiement bancaire frauduleux se trouve renforcée par l'exigence d'une authentification forte du payeur. Ce dispositif impose au prestataire de recourir, pour de nombreuses opérations, à une procédure de validation reposant sur la combinaison de plusieurs éléments indépendants, relevant de catégories distinctes telles qu'une donnée connue de l'utilisateur, un élément qu'il détient et une caractéristique qui lui est propre. Lorsque le prestataire n'a pas exigé cette authentification forte alors qu'elle était requise, l'utilisateur bénéficie d'une protection accrue et ne supporte pas, sauf agissement frauduleux de sa part, les conséquences financières des opérations non autorisées. L'absence d'authentification forte renverse ainsi l'équilibre en défaveur du prestataire qui a négligé de la mettre en oeuvre, l'incitant fortement à généraliser ces dispositifs sécurisés.

Avant que l'utilisateur n'ait procédé au signalement permettant le blocage de l'instrument de paiement, une franchise peut être laissée à sa charge pour les opérations non autorisées résultant de la perte ou du vol de l'instrument. Cette franchise, plafonnée à un montant limité, correspond à la part de risque que l'utilisateur assume au titre de la période antérieure au signalement, lorsque l'opération a été réalisée au moyen de l'instrument détourné. En revanche, cette franchise ne s'applique pas lorsque l'opération a été effectuée sans utilisation des données de sécurité personnalisées, lorsque la perte ou le vol ne pouvait être détecté par l'utilisateur avant le paiement, ou lorsque la perte résulte d'agissements du prestataire. Après le signalement, l'utilisateur ne supporte plus aucune conséquence financière, sauf en cas d'agissement frauduleux de sa part, le risque pesant alors intégralement sur le prestataire.

Les limites du remboursement tiennent enfin au comportement de l'utilisateur et à la nature de l'opération. L'utilisateur qui a agi frauduleusement perd tout droit au remboursement et engage sa propre responsabilité, de même que celui dont la négligence grave est établie supporte les pertes correspondantes. À l'inverse, le régime protecteur joue pleinement lorsque l'utilisateur a satisfait à ses obligations de prudence et de signalement, le prestataire ne pouvant alors refuser le remboursement qu'en rapportant la preuve, qui lui incombe, d'un manquement caractérisé. L'articulation de ces règles dessine un équilibre entre la protection de l'utilisateur de bonne foi et la responsabilisation de celui dont le comportement a rendu la fraude possible, chaque partie supportant le risque correspondant à la sphère qu'elle maîtrise. Cette logique de répartition invite l'utilisateur à la plus grande vigilance dans la conservation de ses données de sécurité et dans la surveillance régulière de ses comptes, tout en garantissant que le poids économique de la fraude ne repose pas, par principe, sur la victime d'une opération qu'elle n'a pas voulue. La sécurité des paiements procède d'une responsabilité partagée, où la diligence de l'utilisateur et la robustesse des dispositifs du prestataire concourent ensemble à contenir le risque de fraude.

L'authentification forte du payeur

L'authentification forte vise à réduire le risque de fraude en subordonnant l'exécution de l'opération à la vérification de plusieurs éléments indépendants relevant de catégories distinctes. Sa mise en oeuvre conditionne la répartition des responsabilités : le prestataire qui s'abstient de l'exiger alors qu'elle s'imposait supporte une charge accrue, tandis que sa mise en oeuvre effective constitue un élément que le prestataire peut invoquer dans la discussion sur l'autorisation de l'opération. Ce dispositif technique occupe ainsi une place centrale dans l'appréciation des responsabilités respectives de l'utilisateur et du prestataire.

La franchise avant signalement

La franchise constitue une exception limitée au principe du remboursement intégral, applicable aux seules opérations réalisées avant le signalement au moyen d'un instrument perdu ou volé. Plafonnée et assortie de nombreuses exceptions, elle ne saurait remettre en cause la logique protectrice du régime : après signalement, l'utilisateur de bonne foi est intégralement déchargé, et avant même celui-ci, la franchise ne s'applique pas dans les hypothèses où l'utilisateur n'a commis aucun manquement. Cette articulation confirme que le risque de la fraude pèse, par principe, sur le prestataire de services de paiement.

Le présent article a une vocation purement informative et ne saurait se substituer à une consultation personnalisée auprès d'un professionnel du droit compétent en droit des affaires.