Le code monétaire et financier impose le remboursement d’une opération non autorisée au plus tard le jour ouvrable suivant votre signalement. Voici le régime exact, les franchises réelles et les refus qui ne tiennent pas.
Une opération de paiement que vous n’avez pas consentie est une opération non autorisée. Le code monétaire et financier oblige alors votre banque à vous rembourser immédiatement, au plus tard à la fin du premier jour ouvrable suivant votre signalement, et à remettre le compte dans l’état où il se serait trouvé sans la fraude, agios compris. Elle enquête après. Elle ne peut retenir le remboursement qu’en cas de soupçon de fraude de votre part, motivé par écrit auprès de la Banque de France. La franchise de 50 € ne concerne que la perte ou le vol, jamais un numéro de carte détourné à distance.
Le relevé affiche trois débits que vous ne reconnaissez pas : 39,90 € chez un marchand inconnu mardi, puis 249 € et 249 € mercredi. Votre carte n’a jamais quitté votre portefeuille. Vous appelez la banque, qui évoque un formulaire à remplir, un dépôt de plainte préalable et une enquête de trente jours.
Ces trois conditions ne figurent nulle part dans la loi. Le code monétaire et financier prévoit exactement l’inverse : le remboursement d’abord, au plus tard à la fin du premier jour ouvrable suivant votre signalement, et l’enquête ensuite si la banque estime devoir en mener une.
L’écart entre le texte et la pratique des guichets est l’un des plus larges du droit français de la consommation. Il se referme dès que vous maîtrisez trois notions : l’opération non autorisée, la charge de la preuve, la négligence grave. Le reste n’est que procédure.
Le droit des paiements ignore la distinction entre opérations honnêtes et opérations malhonnêtes. Il en connaît une autre, qui décide de tout : une opération est autorisée lorsque le payeur y a consenti, non autorisée lorsqu’il n’y a pas consenti. Tout le régime protecteur s’accroche à ce second cas.
Une carte utilisée en ligne avec des numéros récupérés lors d’une fuite : non autorisée. Un abonnement prélevé après une résiliation confirmée : non autorisée. Un paiement validé par vos soins, même sous l’effet d’un mensonge élaboré : autorisée. Cette dernière hypothèse est la plus douloureuse, parce que la victime a le sentiment inverse. Elle est aussi celle qui explique pourquoi la fraude s’est déplacée vers la manipulation, comme le montre l’arnaque au faux conseiller bancaire.
Retenez la conséquence pratique : dans une réclamation, n’écrivez pas « j’ai été victime d’une fraude ». Écrivez « je conteste des opérations de paiement non autorisées au sens des articles du code monétaire et financier relatifs aux opérations non autorisées ». Ce n’est pas de la coquetterie juridique, c’est le mot qui déclenche le régime.
Le texte est net. Dès que l’utilisateur signale une opération non autorisée, le prestataire de services de paiement rembourse le montant immédiatement et, en tout état de cause, au plus tard à la fin du premier jour ouvrable suivant. Il rétablit ensuite le compte dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu.
Ce rétablissement est plus large que le seul remboursement du montant volé. Il couvre les agios, les frais d’incident, les commissions d’intervention et les frais de rejet que la fraude a provoqués en creusant le solde. Une banque qui restitue 800 € et conserve 42 € de frais liés au découvert n’a pas exécuté son obligation.
Une seule dérogation existe, et elle est étroite : la banque peut suspendre le remboursement si elle a de bonnes raisons de soupçonner une fraude de la part de l’utilisateur lui-même, à condition de communiquer ces raisons par écrit à la Banque de France. Autrement dit, geler un remboursement suppose d’accuser formellement son client auprès du régulateur. C’est une formalité lourde, rarement accomplie, et il est légitime de demander par écrit si elle l’a été.
Le plafond de 50 € laissé à la charge du payeur est la disposition la plus citée et la plus mal citée. Elle ne vaut que dans un cas précis : les opérations réalisées avant votre opposition, à la suite d’une perte ou d’un vol de l’instrument de paiement, avec utilisation du dispositif de sécurité personnalisé.
La loi énumère ensuite les situations où même cette franchise n’est pas due. Elles couvrent l’essentiel des fraudes réelles :
Après l’opposition, aucune perte ne reste à votre charge, sauf agissement frauduleux de votre part. Une banque qui applique 50 € de franchise à une série d’achats en ligne alors que votre carte n’a jamais disparu applique un texte qui ne concerne pas votre situation.
Le payeur supporte l’intégralité des pertes dans deux cas seulement : s’il a agi frauduleusement, ou s’il a manqué intentionnellement ou par négligence grave à ses obligations de conservation de ses données de sécurité et de signalement sans tarder.
La charge de cette démonstration ne pèse pas sur vous. La loi précise que l’utilisation de l’instrument de paiement, telle qu’enregistrée par la banque, ne suffit pas nécessairement à prouver que l’opération a été autorisée par le payeur, ni qu’il a commis une négligence grave. Le fichier de journalisation qui montre une validation dans l’application n’est donc pas un point final : c’est un début de discussion.
La chambre commerciale de la Cour de cassation apprécie la négligence grave au cas par cas. Elle a retenu la négligence d’un client ayant répondu à un courriel comportant des indices visibles de falsification. Elle a écarté, dans des décisions plus récentes, la négligence d’une victime d’usurpation du numéro et du nom de sa banque, quand la mise en scène rendait l’erreur excusable. Les indices matériels comptent : orthographe du message, adresse d’expédition, nom de domaine de la page de saisie. Savoir les lire est décrit dans l’anatomie d’un hameçonnage.
Un point échappe souvent aux victimes : si la banque n’a pas exigé d’authentification forte alors que l’opération l’imposait, elle ne peut pas vous opposer la négligence grave. Elle supporte l’intégralité de la perte, sauf agissement frauduleux de votre part. Vérifier ce point est parfois le geste le plus rentable du dossier, et le fonctionnement de l’authentification forte en donne les critères.
Le réflexe « la banque rembourse » ne vaut pas pour tout. Les régimes divergent au point qu’un même montant volé se récupère en un jour ou jamais selon le canal emprunté.
| Moyen de paiement | Opération non autorisée | Opération autorisée puis regrettée | Délai à surveiller |
|---|---|---|---|
| Carte bancaire | Remboursement au plus tard le jour ouvrable suivant le signalement, franchise de 50 € seulement après perte ou vol | Aucun droit légal au remboursement ; les procédures de rétrofacturation relèvent des réseaux de cartes, pas de la loi | Treize mois à compter du débit |
| Prélèvement SEPA | Remboursement dans les treize mois si aucun mandat valable n’existe | Remboursement sans motif à demander dans les huit semaines suivant le débit | Huit semaines, puis treize mois |
| Virement | Remboursement au plus tard le jour ouvrable suivant s’il a été passé sans votre consentement | Aucun droit au remboursement : la banque doit seulement s’efforcer de récupérer les fonds | Les premières minutes, puis treize mois |
| Chèque | Le paiement d’un chèque falsifié engage en principe la banque tirée, sauf faute du titulaire du compte | Sans objet | Prescription de droit commun, cinq ans |
La ligne du prélèvement mérite un arrêt. Le remboursement sans motif dans les huit semaines est un droit inconditionnel : vous n’avez ni justification à fournir, ni litige à démontrer, et la banque doit exécuter. Beaucoup de conflits d’abonnement se règlent ainsi en trois clics, à condition de ne pas laisser passer les huit semaines.
La ligne du virement est la plus dure. Un virement que vous avez saisi et validé reste une opération autorisée, même si le RIB était celui d’un escroc. C’est le point aveugle du système, et il justifie les mécanismes décrits dans le virement instantané et la vérification du bénéficiaire.
| Ce que dit la banque | Ce que dit le droit | Ce que vous écrivez |
|---|---|---|
| « Déposez plainte, nous verrons ensuite » | Aucun texte ne subordonne le remboursement à une plainte | Demande de remboursement immédiat, plainte déposée en parallèle et sans lien |
| « Votre code a été utilisé, donc vous avez autorisé » | L’enregistrement de l’utilisation ne suffit pas à prouver l’autorisation | Demande de communication des éléments techniques d’authentification |
| « Une enquête est en cours, comptez trente jours » | Le remboursement est dû au plus tard le premier jour ouvrable suivant | Rappel du délai légal et demande de crédit immédiat du compte |
| « Il y a 50 € de franchise » | La franchise suppose une perte ou un vol de l’instrument | Constat que la carte n’a jamais quitté votre possession |
| « Vous avez été négligent » | La preuve de la négligence grave incombe à la banque | Demande de motivation écrite et circonstanciée du refus |
| « C’est trop ancien » | Treize mois à compter du débit pour un bénéficiaire situé dans l’Espace économique européen | Rappel de la date de débit et du délai applicable |
Un refus doit être motivé. Une réponse type qui se contente d’affirmer que « les opérations ont été régulièrement authentifiées » ne motive rien : elle décrit un fait technique sans le relier à une règle. Redemandez la motivation, en indiquant que le silence ou l’imprécision figureront dans la saisine du médiateur.
Si les données ayant permis la fraude proviennent d’une fuite chez un marchand ou un prestataire, la démarche complémentaire est décrite dans la marche à suivre après une fuite de données. Le point d’origine compte : il conditionne les autres comptes à surveiller.
Le parcours est balisé et chaque étape a ses délais. La réclamation écrite au service réclamations de l’établissement est la première : l’ACPR attend un accusé de réception sous dix jours ouvrables et une réponse dans un délai maximal de deux mois.
Vient ensuite le médiateur bancaire, dont les coordonnées figurent obligatoirement sur les relevés et la convention de compte. Sa saisine est gratuite, se fait en ligne, suppose une réclamation écrite préalable restée sans réponse satisfaisante, et doit intervenir dans l’année qui suit cette réclamation. Le médiateur rend son avis dans les quatre-vingt-dix jours. L’avis ne lie pas les parties, mais les établissements le suivent dans la grande majorité des dossiers, et le refuser expose la banque devant le juge.
En parallèle, deux signalements ne règlent pas votre cas individuel mais alimentent la surveillance : l’ACPR pour les manquements d’un établissement à ses obligations, et la DGCCRF via SignalConso pour les pratiques commerciales. La Fédération bancaire française soutient de son côté que la quasi-totalité des contestations de fraude à la carte aboutit à un remboursement, ce que les associations de consommateurs contestent pour les dossiers relevant de la manipulation. Cette divergence explique la vigilance croissante de l’Observatoire de la sécurité des moyens de paiement sur la motivation des refus.
Reste le juge. Devant le tribunal judiciaire, l’avocat n’est pas obligatoire jusqu’à 10 000 €, et l’action se prescrit par cinq ans. La demande porte sur le montant débité, les frais, et le cas échéant des dommages et intérêts pour résistance abusive.
Le régime protecteur des opérations non autorisées s’applique aussi aux personnes morales, à une réserve près, décisive : lorsque l’utilisateur n’est pas un consommateur, les parties peuvent convenir contractuellement d’un régime différent, notamment sur le délai de contestation et sur la franchise. Les conventions de compte professionnelles utilisent largement cette faculté.
Une association, une TPE ou une profession libérale a donc intérêt à relire la clause de contestation de sa convention avant l’incident, et non après. Les mécanismes d’attaque qui visent ces structures, avec des montants sans commune mesure, sont traités dans la fraude au virement en entreprise, et le socle de protection minimal dans la double authentification des accès sensibles.
Une seule question ouvre ou ferme le régime protecteur : ai-je consenti à cette opération, ou a-t-elle été passée sans moi ? Si la réponse est « sans moi », le remboursement est un droit à échéance d’un jour ouvrable, la preuve pèse sur la banque, et tout refus doit être motivé par écrit. Si la réponse est « j’ai validé, mais on m’a menti », le terrain change et devient celui du devoir de vigilance de l’établissement.
Dans les deux cas, la variable que vous maîtrisez est la vitesse : signaler le jour même, par écrit, avec la liste exacte des opérations. Pour éprouver votre réflexe avant l’incident, notre test en huit situations mêle des messages frauduleux et des messages authentiques, dont plusieurs faux avis de débit inspirés des campagnes de faux SMS de livraison.
Non. Aucun texte ne conditionne le remboursement d’une opération non autorisée à un dépôt de plainte, et une banque qui l’exige ajoute une condition que la loi ne prévoit pas. La plainte reste utile : elle alimente les enquêtes et elle documente votre dossier en cas de litige. Pour un usage frauduleux de carte alors que vous détenez toujours la carte, le signalement en ligne Perceval, accessible depuis service-public.fr, produit un récépissé qui joue le même rôle probatoire sans déplacement au commissariat.
Non, pas en l’état. Le code monétaire et financier prévoit expressément que l’utilisation de l’instrument de paiement telle qu’enregistrée par la banque ne suffit pas nécessairement à prouver que l’opération a été autorisée, ni que le client a commis une négligence grave. La banque doit produire les éléments techniques de l’authentification et démontrer en quoi votre comportement était fautif. Demandez ces éléments par écrit, au besoin en exerçant votre droit d’accès aux données vous concernant.
Non, mais la discussion se déplace sur le terrain de la négligence grave, que la banque doit prouver. La chambre commerciale de la Cour de cassation retient qu’un client trompé par une usurpation particulièrement crédible du numéro et du nom de sa banque ne commet pas mécaniquement une négligence grave. Le raisonnement est détaillé dans le scénario du faux conseiller bancaire. Décrivez précisément la mise en scène subie dans votre réclamation écrite : c’est elle qui fait basculer l’appréciation.
Treize mois à compter de la date de débit lorsque la banque du bénéficiaire est située dans l’Espace économique européen, sous peine de forclusion. Ce délai est d’ordre public pour un particulier : aucune clause de convention de compte ne peut le raccourcir. Il ne dispense pas de signaler sans tarder, car un signalement tardif peut être discuté sur le terrain de la négligence. Relisez donc vos relevés au moins une fois par mois, y compris les petits montants, qui servent souvent de test avant une série plus lourde.
Trois étapes, dans l’ordre. Une réclamation écrite au service réclamations de l’établissement, avec la liste des opérations, leurs dates, leurs montants et la mention expresse des articles du code monétaire et financier sur les opérations non autorisées. Puis, à défaut de réponse satisfaisante dans les deux mois, la saisine gratuite du médiateur bancaire, qui rend un avis dans les quatre-vingt-dix jours. Enfin, le tribunal, sans avocat obligatoire jusqu’à 10 000 €.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Démarches administratives, paiements, réseaux sociaux, famille et droits : le numérique à la française.