Une ordonnance du juge des référés d’Anvers renverse la logique habituelle – et ce n’est probablement que le début.
Pendant des années, le schéma était invariable. Un client victime d’une fraude en ligne contactait sa banque pour obtenir le remboursement des sommes détournées. La banque répondait qu’il avait commis une négligence grave (communiqué ses codes confidentiels, cliqué sur un lien suspect, répondu à un faux conseiller, etc.) et refusait d’indemniser. La victime se retrouvait alors contrainte d’engager une procédure judiciaire longue et coûteuse pour tenter de récupérer ses fonds, avec la charge de la preuve pesant entièrement sur ses épaules.
Une ordonnance rendue le 26 mai 2026 par le juge des référés d’Anvers vient de changer les règles du jeu.
Le litige concernait un couple âgé victime d’un phishing (fraude par hameçonnage). Ces derniers, convaincus par un faux employé bancaire, avaient transféré 50.000 € vers un compte frauduleux au Portugal. La banque du couple refusait tout remboursement, invoquant la négligence des clients.
Le juge des référés a estimé que la banque était tenue de rembourser immédiatement les sommes. S’appuyant notamment sur les conclusions rendues le 5 mars 2026 par l’avocat général Rantos devant la Cour de Justice de l’Union européenne dans l’affaire C-70/25 (Tukowiecka), il a jugé que le mécanisme « remboursez d’abord, contestez ensuite » s’imposait à la banque. Il lui appartient, si elle s’y croit fondée, de saisir ensuite le juge du fond pour récupérer les sommes.
1. Pourquoi c’est important ?
Jusqu’ici, c’était la victime qui devait prouver qu’elle n’avait pas été négligente. Il s’agissait d’une démonstration difficile, face à des établissements disposant de ressources juridiques importantes et de l’ensemble des données techniques relatives à l’opération.
Désormais, si l’on suit le raisonnement du juge des référés d’Anvers, c’est à la banque de prouver la négligence grave de son client. A cette fin, elle doit d’abord rembourser, puis introduire une action au fond dont l’issue est incertaine et le coût élevé.
Ce mécanisme existe en réalité depuis la directive européenne sur les services de paiement du 25 novembre 2015 (ci-après « DSP2 », art. 73), mais il était rarement appliqué en pratique. L’ordonnance anversoise a le mérite de le rappeler avec force. Elle a été rendue certes en référé, soit au terme d’une procédure d’urgence permettant d’obtenir rapidement une décision provisoire et exécutoire, mais elle n’en est pas moins immédiatement applicable et produit ses effets tant qu’une décision au fond ne vient pas la contredire.
2. Phishing et boiler room : deux fraudes, deux régimes
Il convient néanmoins d’apporter une précision. Ce régime protecteur ne s’applique qu’aux opérations non autorisées : celles où c’est l’escroc qui a agi, à l’insu du client, avec ses identifiants volés. C’est le cas du phishing classique.
Il en va différemment pour les victimes de boiler room, ces arnaques à l’investissement où l’escroc convainc sa victime d’investir dans des produits fictifs et où c’est elle-même qui effectue les virements. L’opération étant alors considérée comme autorisée, la victime ne peut donc pas se prévaloir du mécanisme de remboursement prévu pour les opérations non autorisées. Cette qualification soulève des questions tant il paraît difficile de qualifier d’autorisée une opération que la victime n’a consentie que sous l’effet d’une tromperie, en croyant virer ses fonds à un destinataire légitime. Le recours repose alors sur l’obligation de vigilance de la banque, un terrain plus incertain.
3. Et maintenant ?
L’affaire C-70/25 est toujours pendante devant la Cour de Justice. L’avocat général a rendu ses conclusions, certes favorables aux victimes, mais l’arrêt définitif n’a pas encore été prononcé. Toutefois, dans la grande majorité des cas, la Cour suit ses avocats généraux. Si tel est le cas en l’espèce, l’ordonnance anversoise ne sera plus un cas isolé. Elle deviendra la norme dans l’ensemble de l’Union européenne.
Toute la protection de la victime dépend aujourd’hui de la qualification retenue, opération autorisée ou non autorisée. Le droit européen est toutefois appelé à évoluer.
En effet, le futur règlement sur les services de paiement (ci-après, le « PSR »), qui a fait l’objet d’un accord politique le 27 novembre 2025, prévoit la création d’une obligation nouvelle de remboursement. Lorsqu’un fraudeur usurpe l’identité de la banque elle-même, en se faisant passer pour l’un de ses employés ou pour son service anti-fraude (vishing/spoofing), l’établissement devra rembourser l’intégralité des sommes, pour autant que le client ait signalé les faits sans délai à la police et à sa banque. Il s’agit d’une avancée importante qui couvrira des opérations pourtant « autorisées » par la victime, là où la DSP2 ne l’imposait pas. Peu importera désormais que l’opération soit qualifiée d’autorisée ou non, dès lors qu’un fraudeur s’est fait passer pour la banque, le remboursement sera dû.
La protection restera toutefois circonscrite à l’usurpation d’identité bancaire et ne s’étendra pas aux fraudes à l’investissement de type boiler room. Le texte devrait être publié dans le courant de l’année 2026, pour une application effective attendue début 2027, au terme d’une période de transition.
Par ailleurs, rappelons que, depuis le 9 octobre 2025, le règlement européen 2024/886 sur les paiements instantanés impose aux prestataires de services de paiement de vérifier la concordance entre le nom du bénéficiaire et son IBAN avant l’exécution de tout virement en euros. La banque pourra dès lors être tenue de rembourser le client si elle a manqué à ce devoir de vérification et que cette défaillance a permis le transfert des fonds vers le mauvais bénéficiaire.
Pour les victimes de fraudes en ligne et pour leurs conseils, le message est clair : ne pas accepter un refus de remboursement sans réagir. Les escrocs, eux, continuent à agir. Face à des fraudes de plus en plus sophistiquées, l’ordonnance anversoise rappelle que le cadre légal protège davantage les titulaires de comptes que les banques ne le laissent entendre. Reste à s’en saisir.