Un client conteste un virement ? La charge de la preuve du consentement bascule alors vers la banque. L’authentification forte ne vaut pas autorisation de l’opération.

Source : Cass. com., 1er juillet 2026, n° 25-13134, n° 369 B

Consentement et preuve : deux questions distinctes

L’article L. 133-6 du code monétaire et financier subordonne toute opération de paiement au consentement du payeur. La règle paraît limpide. Sa mise en oeuvre l’est beaucoup moins.

Exiger le consentement est une chose. Le prouver en est une autre. Les dispositifs d’authentification forte ont brouillé cette frontière devant les juges du fond. Plusieurs cours d’appel ont pris l’habitude de déduire le consentement du seul succès de l’authentification.

La chambre commerciale refuse ce raccourci. L’authentification démontre que le système bancaire a fonctionné normalement. Elle ne démontre pas que le client a personnellement voulu l’opération. Mieux : dès que ce dernier conteste, la charge de la preuve du consentement bascule vers le prestataire de services de paiement.

Les faits : trois virements frauduleux le même jour

Une société titulaire d’un compte subit trois virements frauduleux, tous exécutés le même jour. Elle assigne sa banque en restitution des fonds.

La cour d’appel la déboute. Selon elle, le client avait autorisé les paiements litigieux. Les conseillers s’appuient sur les relevés informatiques que produit la banque. Ces relevés mentionnent l’identifiant, le code d’accès à l’espace en ligne et un « token » issu d’un boîtier.

Les juges d’appel en tirent trois conséquences. L’opération a fait l’objet d’une authentification. Elle figure dans les enregistrements et la comptabilité de l’établissement. Aucune déficience technique ne l’a affectée. La cour présume alors le consentement de la société, donné selon la forme que les parties avaient retenue au contrat.

La cassation : l’authentification ne prouve pas le consentement

La Cour de cassation censure ce raisonnement au visa des articles L. 133-6, L. 133-7 et L. 133-23 du code monétaire et financier.

Elle rappelle d’abord la règle de fond. Une opération de paiement suppose le consentement du payeur à son exécution. Faute d’un tel consentement, exprimé sous la forme convenue avec le prestataire, l’opération rejoint la catégorie des opérations non autorisées.

Elle énonce ensuite la règle de preuve. L’utilisateur qui nie avoir autorisé une opération exécutée n’a rien à démontrer. Il en va de même lorsqu’il invoque une mauvaise exécution. Le prestataire supporte seul le fardeau probatoire. Il lui faut établir l’authentification de l’opération, son enregistrement, sa comptabilisation et l’absence de déficience technique.

Nous avions déjà signalé cette logique dans notre commentaire sur les opérations bancaires non autorisées. La Cour y exigeait du prestataire qu’il précise les conditions de l’accès frauduleux aux données du client.

L’article L. 133-23, siège de la charge de la preuve du consentement

Le renversement procède d’une lecture littérale de l’alinéa 1er du texte. La Cour applique ici la lettre de la loi, sans construction prétorienne.

L’alinéa 2 verrouille le dispositif. La seule utilisation de l’instrument de paiement, ou des données personnelles qui s’y rattachent, ne prouve rien quant à l’autorisation du client. La chambre commerciale rappelle expressément ce second alinéa.

La jurisprudence ne varie pas sur ce terrain depuis plusieurs années. Un arrêt du 28 mars 2018 avait déjà écarté toute présomption tirée de l’usage des données de paiement (Cass. com., 28 mars 2018, n° 16-20.018). Un autre arrêt, rendu le 29 mai 2019, retient la même analyse (Cass. com., 29 mai 2019, n° 17-28.271). Nos chroniques sur l’hameçonnage et le durcissement des conditions du refus de remboursement décrivent la même exigence probatoire.

Le reproche adressé à la cour d’appel tient donc en une phrase. Le recours à la forme contractuellement convenue ne révèle pas, à lui seul, le consentement du client aux virements.

Ce que l’arrêt change pour la pratique

La charge de la preuve du consentement structure désormais tout le contentieux de la fraude bancaire.

Pour l’utilisateur de services de paiement

La contestation ouvre la voie au remboursement. L’utilisateur n’a pas à prouver la fraude. Il lui suffit de nier l’autorisation, puis de laisser la banque s’expliquer.

Deux réflexes conservent toutefois leur importance. Le signalement doit intervenir sans tarder, dès la connaissance de l’opération. La conservation des pièces techniques, courriels et échanges prépare utilement le débat judiciaire. Notre article sur la responsabilité bancaire en cas d’escroquerie téléphonique illustre l’intérêt de cette discipline documentaire.

Pour le prestataire de services de paiement

Produire un relevé informatique ne suffit plus. L’établissement doit documenter la chaîne complète : éléments d’authentification mobilisés, horodatage, terminal utilisé, absence d’anomalie technique.

La négligence grave du client reste un moyen de défense. Encore faut-il la caractériser précisément, comme le montrent nos développements sur l’hameçonnage et la responsabilité du payeur. Le régime spécial du code monétaire et financier écarte par ailleurs le droit commun, ainsi que le rappelle notre commentaire sur le doublon de carte bancaire.

Notre analyse

Cet arrêt ne crée pas de règle nouvelle en matière de fraude bancaire. Il corrige une dérive. Beaucoup de juges du fond ont vu dans l’authentification forte une preuve du consentement. Le législateur, lui, n’y voit qu’un mécanisme de sécurité.

La technique bancaire ne dicte pas la charge de la preuve du consentement. Voilà, en une ligne, le message de la chambre commerciale. Les établissements devront désormais soigner la traçabilité de leurs opérations, faute de quoi le remboursement s’imposera.

Questions fréquentes

Qui supporte la charge de la preuve du consentement en cas de virement contesté ?

Le prestataire de services de paiement. L’article L. 133-23 du code monétaire et financier lui impose de prouver l’authentification, l’enregistrement et la comptabilisation de l’opération.

L’authentification forte suffit-elle à prouver le consentement du client ?

Non. Elle établit le bon fonctionnement du dispositif de sécurité, rien de plus. La Cour de cassation écarte toute présomption de consentement tirée de la seule authentification.

Quel délai pour contester une opération de paiement non autorisée ?

L’article L. 133-24 du code monétaire et financier fixe un délai de treize mois à compter du débit. La réaction doit néanmoins rester rapide dès la connaissance effective de l’opération.

La banque peut-elle encore invoquer la négligence grave du client ?

Oui. Ce moyen de défense subsiste, mais l’établissement doit le caractériser par des éléments précis. Une simple allégation ne suffit pas.