L’utilisation frauduleuse de la carte par un tiers

La carte de paiement a fait du titulaire le gardien d’un instrument dont la seule détention des données suffit à engager son compte, souvent à son insu et parfois à l’autre bout du monde. De cette vulnérabilité structurelle est né un régime original, qui reporte sur le prestataire la charge des pertes et ne laisse au porteur que le poids de ses propres manquements.

I) La physionomie de l’opération frauduleuse

La carte de paiement porte en elle une contradiction que le droit s’efforce depuis quarante ans de résoudre : instrument de confiance, elle est aussi un instrument de dépossession. Un morceau de plastique, quatre chiffres, et voilà que le compte d’un titulaire s’ouvre à qui sait s’en saisir. La fraude à la carte ne relève donc pas de l’accident marginal : elle est le revers structurel d’un dispositif conçu pour la fluidité, et le droit des paiements s’est bâti tout entier autour de la question qu’elle pose — qui supporte la perte lorsque l’argent est parti sans que celui qui en était maître l’ait voulu.

Avant de répartir cette perte, encore faut-il caractériser l’opération qui la cause. Or la qualification d’« opération non autorisée » n’a rien d’évident : elle ne se lit ni dans le relevé de compte, qui ne dit que le débit, ni dans les registres du prestataire, qui ne disent que la conformité technique du message reçu. Elle suppose une opération intellectuelle — vérifier qu’un consentement a manqué — dont le droit a dû construire les critères, les modes de preuve et les hypothèses de fait. C’est cette physionomie qu’il convient d’établir d’abord : ce qui fait défaut dans l’opération frauduleuse, comment la fraude s’y prend, ce que la loi pénale en fait, et comment le juge civil s’assure qu’elle a bien eu lieu.

A) L’absence d’autorisation du payeur

Tout le régime protecteur du titulaire se déclenche à partir d’une qualification unique : l’opération était-elle autorisée ? La réponse ne dépend ni du montant, ni du canal, ni de la régularité formelle du message de paiement — elle dépend d’un seul élément, le consentement du payeur. Là où il fait défaut, l’opération est non autorisée, et le prestataire doit rembourser. C’est dire que le contentieux de la fraude à la carte est d’abord un contentieux du consentement, dont la Cour de cassation a précisé, arrêt après arrêt, l’objet exact et l’étendue.

1) Le consentement à l’opération

Les articles L. 133-3 et L. 133-6 du Code monétaire et financier posent une règle d’apparence simple : une opération initiée par le payeur n’est réputée autorisée que si celui-ci y a consenti. Encore faut-il déterminer sur quoi porte ce consentement. La tentation était grande d’y voir un accord global, donné une fois pour toutes par la remise de la carte et la frappe du code — la Cour de cassation l’a écartée en décomposant l’objet du consentement.

Elle a d’abord jugé que le consentement devait porter sur le bénéficiaire de l’opération, et non sur le seul ordre donné. La distinction est décisive : le titulaire qui déclenche lui-même une opération de paiement, mais dont les fonds sont détournés vers un destinataire qu’il n’a pas choisi, n’a pas autorisé cette opération. L’acte matériel d’initiation ne vaut pas consentement à la destination des fonds.

La même logique a été appliquée au montant. Consentir à une opération, c’est consentir à son quantum : le titulaire qui accepte un débit de faible importance et se voit débiter une somme sans commune mesure n’a pas autorisé la différence — il n’a, en réalité, pas autorisé l’opération telle qu’elle a été exécutée.

De ces deux décisions se dégage une conception exigeante : l’autorisation n’est pas un blanc-seing donné à l’instrument, elle est l’adhésion du payeur à une opération identifiée. Cette exigence a une conséquence pratique considérable, car elle fait basculer dans le régime protecteur du remboursement immédiat des hypothèses où le porteur a lui-même agi — précisément celles que la fraude contemporaine, on le verra, exploite avec le plus de profit.

2) L’ordre donné par un tiers

L’hypothèse la plus classique demeure celle où l’ordre émane d’un tiers, en dehors de toute intervention du titulaire. Le fraudeur détient la carte, ou ses données, et s’en sert : le message de paiement parvient au prestataire dans une forme parfaitement régulière, l’authentification est satisfaite, et pourtant nul consentement n’a été donné. Là se noue la difficulté centrale de la matière, car du point de vue du système, rien ne distingue l’opération frauduleuse de l’opération légitime.

C’est pourquoi le législateur a pris soin de définir le déclencheur de la protection par référence à un fait, et non à une régularité formelle. L’article L. 133-17 vise conjointement la perte, le vol, le détournement et « toute utilisation non autorisée » de l’instrument ou des données qui lui sont liées : quatre situations dont les trois premières décrivent la manière dont le tiers s’est procuré le moyen d’agir, tandis que la quatrième, résiduelle, saisit toutes les autres — et notamment la fraude à distance, où l’instrument n’a jamais quitté les mains de son titulaire.

Le texte appelle une observation d’importance : il traite sur un pied d’égalité l’instrument et « les données qui lui sont liées ». Le support physique n’est donc pas le siège exclusif de la protection ; le numéro, la date d’expiration, le cryptogramme, les identifiants d’accès au service en ligne bénéficient du même régime. C’est là que se joue l’adaptation du droit des paiements à une fraude qui, depuis vingt ans, s’est dématérialisée.

Encore le détournement mérite-t-il d’être distingué de la perte et du vol. Il vise l’hypothèse d’une remise volontaire — le titulaire a confié sa carte à un proche, à un employé, à un commerçant — dont l’usage convenu a été trahi. La qualification importe, car elle ouvre le droit à information aux fins de blocage sans que le porteur ait à démontrer qu’il a été dessaisi contre son gré ; elle emporte en revanche, sur le terrain de la négligence, des conséquences que l’on retrouvera.

3) La contestation du titulaire

Le titulaire ne dispose évidemment pas d’un droit perpétuel de remettre en cause les écritures de son compte. Deux exigences temporelles distinctes encadrent sa contestation, et leur confusion a longtemps nourri un contentieux que la Cour de cassation vient de dissiper.

La première est un délai de forclusion. L’article L. 133-24 impose de signaler l’opération non autorisée dans les treize mois suivant la date de débit ; passé ce terme, le droit au remboursement est éteint, sans que le juge puisse en relever le titulaire. Lorsque celui-ci agit pour les besoins d’une activité professionnelle, la convention peut aménager ce délai — dérogation qui rappelle que la protection légale est d’abord conçue pour le consommateur.

La seconde exigence est d’une autre nature : elle tient à la promptitude du signalement, que l’article L. 133-17 formule par les mots « sans tarder ». On a longtemps hésité sur l’articulation des deux dispositions, certains y voyant un double délai dont le plus court aurait absorbé le plus long. Il n’en est rien, et la solution a été fixée à la suite d’une réponse préjudicielle de la Cour de justice de l’Union européenne.

Cette distinction déplace le point de départ de l’appréciation. Ce n’est plus la date de l’opération qui compte, mais celle où le titulaire a pu en prendre connaissance — ce qui commande de tenir compte de ses habitudes de consultation, de ses absences, de la périodicité des relevés. Les juges du fond apprécient in concreto, et la Cour de cassation exige une motivation positive : il ne suffit pas de constater l’écoulement du temps, encore faut-il dire en quoi le titulaire pouvait et devait agir plus tôt.

La jurisprudence, sur ce point, dessine deux versants. N’a pas tardé celui qui forme opposition au retour d’un voyage pendant lequel la carte a été dérobée, ni celui qui découvre en décembre des opérations du mois de mai lorsque rien ne l’appelait à consulter ses relevés, ni encore celui qui agit dès la découverte d’un cambriolage survenu en son absence. A tardé, en revanche, le porteur qui laisse s’écouler une semaine après un vol alors qu’il usait fréquemment de sa carte, celui qui attend plus d’un mois après réception de relevés faisant apparaître des retraits litigieux, ou celui qui ne s’oppose qu’à la fin du mois de juin quand le vol avait été déclaré aux services de police bien plus tôt.

Reste la question, souvent négligée, de la preuve de la démarche. Elle pèse sur celui qui l’invoque, et le titulaire qui ne justifie pas de la date de son signalement voit sa demande rejetée — quand bien même la fraude ne serait pas contestée.

La démarche elle-même obéit à une chronologie éprouvée : appel immédiat au service interbancaire d’opposition, accessible en permanence, qui délivre un numéro d’enregistrement faisant preuve de la diligence ; confirmation écrite, non pas parce que l’opposition téléphonique serait invalide — elle produit ses effets dès sa réception —, mais parce qu’elle en facilite la démonstration ; dépôt de plainte lorsque la carte a été soustraite ; contestation formelle des opérations, enfin, dans le délai de forclusion.

Deux garanties complètent ce dispositif et méritent d’être signalées, car elles sont peu connues des porteurs. D’une part, l’article L. 133-26 interdit toute facturation de la démarche d’opposition : aucun frais ne peut être imputé au titulaire à ce titre. D’autre part, le prestataire doit conserver pendant dix-huit mois et fournir sur demande les éléments permettant au titulaire d’établir qu’il a bien procédé à l’information aux fins de blocage — obligation dont on mesure l’importance à la lumière de la charge probatoire qui vient d’être rappelée.

Toutes les contestations ne sont pas recevables pour autant. L’ordre de paiement étant irrévocable, l’opposition ne peut être fondée sur un différend commercial avec l’accepteur : la marchandise défectueuse, la livraison non conforme, l’insatisfaction du client relèvent des rapports entre l’acheteur et le vendeur, non du droit des paiements. L’émetteur, qui doit vérifier que le motif invoqué correspond à l’un des cas légaux, est tenu de rejeter une telle opposition — sans pour autant qu’il lui appartienne de contrôler au fond la réalité des faits allégués, contrôle qui excéderait sa mission et retarderait une protection voulue immédiate.

B) Les modes opératoires de la fraude

Si la qualification juridique de l’opération non autorisée est unitaire, les voies par lesquelles la fraude s’accomplit ne le sont pas. Or ces différences de fait ne sont pas indifférentes au droit : elles commandent la qualification pénale, elles orientent l’appréciation de la négligence du porteur, et elles déterminent l’étendue du remboursement selon que les données de sécurité ont ou non été utilisées. Il faut donc en dresser la typologie, non par goût de la description, mais parce que le régime en dépend.

1) La dépossession de la carte

La forme la plus ancienne de la fraude suppose que le fraudeur ait la carte entre les mains. Trois voies y conduisent, que l’article L. 133-17 énumère distinctement. La perte procède d’un fait du titulaire lui-même : la carte disparaît sans intervention d’un tiers, et c’est le porteur qui est à l’origine de l’incident. Le vol suppose au contraire une soustraction frauduleuse, l’appréhension de la chose d’autrui contre le gré de son détenteur. Le détournement, enfin, décrit une remise volontaire dont l’usage convenu a été trahi — la carte confiée pour un achat déterminé et employée à d’autres fins.

Cette dernière hypothèse rejoint la qualification pénale de l’abus de confiance, dont elle épouse exactement les éléments constitutifs.

La dépossession physique appelle une observation qui commandera l’analyse ultérieure : elle est, par nature, perceptible. Le titulaire peut constater l’absence de sa carte, et le droit lui en fait grief lorsqu’il ne la constate pas assez tôt. Il en va tout autrement des fraudes qui laissent la carte en place.

2) La contrefaçon du support

La contrefaçon consiste à fabriquer un support qui n’est pas la carte du titulaire mais qui en porte les données — le skimming, longtemps pratiqué au moyen de dispositifs installés sur les automates de retrait, en offre l’illustration la plus répandue. La particularité de ce mode opératoire tient à ce que le porteur conserve sa carte : rien, dans sa sphère de perception, ne l’avertit que ses données circulent. La dépossession est invisible.

Le législateur a réservé à ces agissements une incrimination spéciale, distincte du droit commun des atteintes aux biens.

La structure du texte mérite attention. Il n’incrimine pas seulement la fabrication : il saisit également l’usage et — ce qui est plus remarquable — l’acceptation en connaissance de cause d’un paiement effectué au moyen d’un instrument contrefait. La chaîne de la fraude est ainsi appréhendée dans son entier, du faussaire au commerçant complaisant, chacun encourant la même peine.

Sur le terrain civil, la contrefaçon a une conséquence directe. Lorsqu’elle intervient à l’insu du porteur, sans que celui-ci ait rien fait qui puisse lui être reproché, l’imprudence est difficilement caractérisable — et l’on comprend que le piège installé sur un distributeur, ce que la pratique nomme le « collet marseillais », ait conduit les juges à écarter toute négligence grave du titulaire pris au piège.

3) La captation des données à distance

Le troisième mode opératoire est aujourd’hui le plus fréquent, et le plus redoutable au plan probatoire. Il ne suppose ni contact avec la carte ni fabrication d’un support : il consiste à obtenir du titulaire lui-même, ou de systèmes tiers, les données nécessaires à l’exécution d’une opération. L’hameçonnage — le phishing — en est la forme historique : un courriel imitant la banque conduit le porteur à saisir ses identifiants sur un site factice. L’usurpation du numéro d’appel de l’établissement — le spoofing — en constitue le perfectionnement, l’appel entrant s’affichant sous l’identité véritable de la banque.

Ce mode opératoire brouille la ligne de partage classique entre l’opération autorisée et celle qui ne l’est pas, puisque le titulaire y participe matériellement. C’est précisément là que la décomposition du consentement, opérée par les arrêts examinés plus haut, produit ses effets : le porteur qui valide une opération en croyant sécuriser son compte n’a consenti ni au bénéficiaire réel ni au montant véritablement débité. L’opération demeure non autorisée.

L’article L. 133-17 confirme cette analyse en visant expressément « les données qui lui sont liées » à côté de l’instrument lui-même : la captation des seules données ouvre le droit à l’information aux fins de blocage, exactement comme la disparition de la carte. Le droit des paiements a ainsi suivi la fraude sur son terrain, sans que la loi ait eu besoin d’être réécrite à chaque innovation technique — les catégories retenues en 2009 se sont révélées assez plastiques pour absorber des modes opératoires qui n’existaient pas alors.

C) La répression pénale de la fraude

L’utilisation frauduleuse de la carte n’appelle pas seulement une répartition civile des pertes : elle est une infraction. Le volet pénal n’est pas ici un simple appendice, car il détermine la qualification des faits que le titulaire allègue, il conditionne la crédibilité de sa contestation devant l’émetteur, et il lui ouvre une voie d’indemnisation distincte de celle du remboursement bancaire.

1) Les incriminations du code monétaire

Le Code monétaire et financier consacre aux instruments de paiement un dispositif répressif autonome, dont l’article L. 163-3 forme la pièce maîtresse. Sa spécificité tient à ce qu’il vise l’instrument comme tel : la contrefaçon d’une carte n’est pas réprimée en tant qu’atteinte au patrimoine du titulaire — dont le compte n’est pas encore débité au moment de la fabrication — mais en tant qu’atteinte à l’intégrité du système de paiement. C’est l’instrument, support de la confiance collective, que la loi protège.

Cette autonomie explique le quantum retenu, cinq ans d’emprisonnement et 375 000 euros d’amende, aligné sur celui des grandes infractions patrimoniales du Code pénal. Elle explique aussi que l’incrimination frappe indistinctement les trois maillons de la chaîne : le fabricant, l’utilisateur, l’accepteur. La répression ne suit pas le préjudice, elle suit l’atteinte.

2) Le concours avec l’escroquerie

Les fraudes contemporaines ne se laissent pas enfermer dans la seule contrefaçon. Celle qui procède de la manipulation du porteur relève naturellement de l’escroquerie, dont elle réalise tous les éléments.

Le rapprochement avec le faux technicien bancaire est immédiat : celui qui se présente sous une fausse qualité, usurpe le numéro d’appel de l’établissement et détermine ainsi son interlocuteur à valider des opérations réalise l’usage d’une fausse qualité doublé de manœuvres frauduleuses. Le texte n’exige pas que la remise profite à l’auteur ni qu’elle appauvrisse la victime directe — il suffit que la tromperie ait déterminé un acte au préjudice de quiconque.

La qualification pénale et la qualification civile se rejoignent alors sur un point remarquable, et il vaut la peine de s’y arrêter : le vice qui, en droit pénal, caractérise la manœuvre frauduleuse est celui-là même qui, en droit des paiements, détruit le consentement. L’escroquerie n’atténue pas la protection du porteur, elle en fournit le fondement — car un consentement extorqué par ruse n’est pas un consentement.

3) L’action civile du titulaire

Le dépôt de plainte, présenté en pratique comme une formalité, remplit trois fonctions distinctes qu’il importe de ne pas confondre. Il constitue d’abord un élément de preuve de la dépossession, dont la date sera confrontée à celle de l’information aux fins de blocage — la jurisprudence, on l’a vu, n’hésite pas à opposer au porteur l’écart entre la déclaration faite aux services de police et l’opposition formée auprès de la banque. Il ouvre ensuite la voie de l’action civile devant la juridiction répressive, permettant au titulaire de réclamer au fraudeur la réparation de son entier préjudice, y compris ce que le remboursement bancaire ne couvre pas. Il alimente enfin la constatation des faits par une autorité tierce, ce qui pèse dans l’appréciation du juge civil.

Encore faut-il souligner que cette action ne se substitue pas au droit au remboursement. Le titulaire n’a pas à poursuivre le fraudeur — le plus souvent introuvable — avant de s’adresser à son prestataire : les deux voies sont indépendantes, et subordonner la seconde à la première ruinerait la protection légale.

D) La preuve de l’opération litigieuse

Le contentieux de la fraude à la carte se joue presque toujours sur la preuve, et c’est là que le droit des paiements marque son originalité la plus forte. Le régime probatoire y est en effet renversé par rapport au droit commun : ce n’est pas au titulaire d’établir qu’il n’a pas consenti — preuve négative dont on mesure l’impossibilité — mais au prestataire de démontrer que l’opération remplissait toutes les conditions techniques de sa régularité.

1) La charge pesant sur l’émetteur

La règle est posée à l’article L. 133-23, et la Cour de cassation en a fait un préalable absolu. Avant même de discuter du comportement de l’utilisateur, le prestataire qui entend lui faire supporter les pertes doit établir un triple élément : que l’opération a été authentifiée, qu’elle a été dûment enregistrée et comptabilisée, et qu’elle n’a été affectée d’aucune déficience technique. Cette démonstration n’est pas une simple étape parmi d’autres — elle conditionne l’accès à toute discussion sur la négligence.

Cette solution n’est pas une innovation : elle prolonge une jurisprudence établie sous l’empire de l’ordonnance du 15 juillet 2009 et constamment réaffirmée depuis.

2) L’insuffisance de l’enregistrement technique

La règle la plus contre-intuitive de la matière, et celle que les établissements peinent le plus à intégrer, tient à ce que l’enregistrement de l’opération ne prouve pas ce qu’il semble prouver. Le fait que la carte et le code confidentiel aient effectivement servi à réaliser les transactions contestées ne permet pas de déduire une faute du client : c’est là une constante de la jurisprudence commerciale, régulièrement rappelée depuis 2007.

La logique de cette solution est rigoureuse. L’usage du code établit que le fraudeur le connaissait ; il n’établit pas comment il l’a connu. Or entre la négligence du porteur, la contrefaçon du support, la captation à distance et la défaillance du système, l’enregistrement ne permet de choisir aucune hypothèse. Admettre la déduction reviendrait à faire peser sur le titulaire la charge de démontrer par quel canal ses données ont fui — preuve impossible, dont l’exigence aurait vidé la protection légale de toute substance. Il faut donc des éléments extrinsèques, étrangers au journal de la transaction, pour corroborer le comportement fautif.

La règle prend un relief particulier lorsque la fraude procède d’une manipulation du porteur, car les enregistrements y sont alors parfaitement réguliers — c’est le propre de ce mode opératoire. La Cour de cassation en a tiré la conséquence dans une espèce où une salariée, jointe par téléphone par un individu se présentant comme un technicien de la banque dont il avait usurpé le numéro d’appel, avait été conduite à réaliser des opérations sur le service de paiement en ligne pour, croyait-elle, réparer les conséquences d’une panne informatique.

3) L’appréciation des juges du fond

Sous ce cadre probatoire strict, l’appréciation du comportement du porteur relève des juges du fond, qui statuent au vu des circonstances de l’espèce. Le standard qu’ils appliquent n’est pourtant pas laissé à leur discrétion : la faute s’apprécie in abstracto, par référence au comportement d’un utilisateur normalement attentif, et non au regard des aptitudes propres du titulaire concerné.

L’appréciation se construit ainsi en trois temps que la jurisprudence a successivement dégagés : la recherche des indices apparents du caractère frauduleux du message, la référence au standard de l’utilisateur normalement attentif, puis — depuis 2023 — la vérification préalable que l’émetteur avait lui-même exigé l’authentification forte lorsqu’elle était requise, faute de quoi aucun manquement du porteur ne peut plus lui être opposé.

Les indices en question sont d’ordre matériel, et leur énumération jurisprudentielle est stable : fautes d’orthographe, altération du nom de l’établissement, majuscules incongrues au milieu des mots, adresse d’expéditeur incohérente, discordance entre le numéro de contrat mentionné et celui du client, écart entre les montants réclamés et la situation réelle du compte. Lorsque ces anomalies s’accumulent au point d’être grossières, la négligence grave est retenue et le titulaire supporte l’intégralité des pertes.

C’est dire que l’appréciation du comportement du porteur, si souveraine soit-elle, s’exerce dans un cadre dont les bornes se sont resserrées. Elle suppose en amont que le prestataire ait établi la régularité technique de l’opération ; elle exclut toute déduction tirée du seul usage du code ; elle cède enfin devant le défaut d’authentification forte. Ces trois verrous ne se comprennent pleinement qu’à la lumière des obligations respectives que la détention de la carte fait naître à la charge du porteur comme du prestataire — obligations dont il faut à présent mesurer l’étendue.

II) Les devoirs nés de la détention de la carte

L’opération frauduleuse une fois identifiée dans sa matérialité, reste à savoir ce que le droit attendait du titulaire avant qu’elle ne survienne. Car la carte de paiement n’est pas un objet inerte que son porteur détiendrait sans charge : sa remise fait naître un faisceau d’obligations dont l’inexécution, le jour où la fraude se réalise, viendra peser dans la balance de la répartition des pertes. Au vrai, le régime protecteur institué par le Code monétaire et financier n’est pas un régime de garantie inconditionnelle — il est un régime de partage, et ce partage se règle sur le comportement de celui qui détenait l’instrument. Encore faut-il mesurer exactement l’étendue de ces devoirs : trop étroitement définis, ils laisseraient le porteur exposé sans recours ; trop largement entendus, ils videraient la protection légale de sa substance. C’est cet équilibre qu’il convient à présent d’exposer, en observant successivement ce que le titulaire doit préserver, ce qu’il doit signaler, ce que son prestataire doit lui offrir en retour, et ce que le contrat qui les lie peut — ou ne peut pas — modifier de cet ordonnancement.

A) La préservation des données de sécurité

La première obligation est aussi la plus ancienne : celle de tenir en sûreté l’instrument et les données qui commandent son usage. Elle procède d’une évidence pratique — un dispositif de sécurité personnalisé ne protège qu’autant qu’il demeure personnel — mais elle a reçu du législateur une consécration textuelle dont la formulation mérite attention, car elle commande à la fois l’étendue du devoir et les limites de sa sanction.

Deux mots portent tout le texte. Le premier est « raisonnable » : le porteur n’est pas tenu d’une obligation de résultat qui ferait de lui l’assureur de sa propre carte, mais d’une diligence appréciée au regard de ce qu’un utilisateur normalement avisé aurait fait dans les mêmes circonstances. Le second est « proportionnées », qui vise les conditions contractuelles d’utilisation : le texte prend soin d’encadrer par avance ce que la banque pourra exiger de son client, ce qui annonce déjà le contrôle des stipulations aggravantes sur lequel s’achèvera ce développement.

1) La confidentialité du code

Le code confidentiel est le dispositif de sécurité personnalisé par excellence, celui dont la composition sur un clavier vaut consentement à l’opération. Il s’ensuit que sa divulgation ne compromet pas seulement la sécurité de l’instrument : elle transfère à un tiers la faculté même d’engager le compte. De là un devoir de secret entendu avec une rigueur particulière, et qui ne cesse pas avec les circonstances qui semblaient l’avoir rendu inutile — le titulaire qui a signalé sa carte défectueuse reste tenu de taire son code, la défaillance technique de l’instrument n’emportant nullement extinction de l’obligation qui s’attache aux données.

La jurisprudence a tiré de ce principe une conséquence pratique qu’il faut énoncer sans détour : conserver le code à proximité immédiate de la carte revient à n’avoir aucun code. Peu importe la forme prise par cette conservation — un papier glissé dans le portefeuille, une note enregistrée sur le téléphone, un feuillet abandonné dans l’habitacle du véhicule où se trouvait la carte. La faute ne réside pas dans l’écriture du code, mais dans la réunion sous une même main des deux éléments dont la séparation constituait toute la sécurité du dispositif. Le porteur qui les rassemble détruit lui-même la protection qu’il invoquera ensuite.

Reste que la sévérité de cette solution ne doit pas être étendue au-delà de son domaine. La divulgation reprochée doit porter sur le code lui-même. Communiquer les données inscrites sur la carte — numéro à seize chiffres, date d’expiration, cryptogramme visuel — n’équivaut pas à livrer le code confidentiel, et la Cour de cassation a censuré la juridiction qui avait déduit la négligence grave de cette seule communication sans rechercher si le porteur avait, en dépit de sa méprise, préservé son code et le code de validation attaché au protocole d’authentification en ligne. La distinction n’est pas d’école : elle sépare l’imprudence, qui laisse subsister la protection légale, de la faute qualifiée, qui la fait tomber.

2) La garde matérielle de la carte

Le devoir de secret a pour pendant un devoir de garde. La carte est un instrument strictement personnel, délivré à raison de la personne du titulaire et non transmissible : le porteur en assume donc la conservation matérielle avec la diligence que l’on attend d’un détenteur avisé. Cette exigence se manifeste dès la réception. La carte doit être signée sans délai, faute de quoi le contrôle de conformité qu’un accepteur pourrait opérer se trouve privé d’objet — et le titulaire qui, par cette abstention, a facilité l’usage de l’instrument par un tiers, s’expose à voir sa négligence retenue.

La garde exclut par ailleurs toute forme de transmission volontaire. Prêter la carte à un proche, la céder à un tiers, l’abandonner sans surveillance : chacun de ces comportements engage la responsabilité de son titulaire, et pour un motif qui ne tient pas seulement à la sécurité. Ce qui est en cause, c’est l’identité même du payeur — l’instrument confié à un autre cesse d’attester ce qu’il est censé attester, à savoir que celui qui l’utilise est bien celui à qui le compte appartient. Le titulaire qui remet volontairement sa carte n’est d’ailleurs pas dépossédé au sens du texte : il a consenti à la détention, en sorte que le détournement subséquent relève de l’abus de confiance et non du vol, distinction dont on a vu plus haut qu’elle commande la qualification pénale des faits.

3) La vigilance face aux sollicitations

Le devoir du porteur ne s’épuise pas dans la garde d’un objet et la conservation d’un secret. Il comprend une dimension active, qui s’est imposée à mesure que la fraude a délaissé la soustraction matérielle pour la manœuvre. Deux obligations distinctes s’y rattachent.

La première est une vigilance dans le temps : celle qui consiste à surveiller ses relevés de compte avec une régularité suffisante pour détecter les opérations non consenties. Cette obligation n’est pas autonome — aucun texte n’impose une périodicité de consultation — mais elle est le préalable nécessaire de l’obligation d’informer sans tarder. Le porteur qui ne regarde jamais son compte ne peut avoir connaissance de l’utilisation frauduleuse ; il retarde ainsi le point de départ du délai, et ce retard, s’il excède ce que les circonstances autorisaient, lui sera opposé.

La seconde est une vigilance dans l’instant : celle qui doit s’éveiller face à une sollicitation destinée à obtenir du porteur ce que la fraude ne peut plus lui dérober. Message annonçant une opération suspecte, appel d’un prétendu conseiller, courriel invitant à confirmer une transaction — le procédé varie, le mécanisme est constant, qui consiste à faire du titulaire l’auteur apparent de sa propre spoliation. C’est ici que la mesure de la diligence attendue devient délicate, car la manœuvre est précisément conçue pour paraître légitime ; on y reviendra en examinant les indices auxquels le juge s’attache pour apprécier si le porteur pouvait, ou non, déceler l’artifice.

B) L’information aux fins de blocage

Les devoirs préventifs une fois exposés, il faut en venir à celui qui les surpasse tous par ses effets : l’information aux fins de blocage — l’opposition, selon la terminologie que l’usage a conservée en dépit du changement de vocable opéré en 2009. Cet acte n’est pas une formalité parmi d’autres. Il est la ligne de partage : en deçà, le titulaire supporte une part des pertes ; au-delà, il ne supporte plus rien. Toute la question de la répartition des conséquences financières se ramène, pour une large part, à la détermination de l’instant où cette information a été donnée — et de celui où elle aurait dû l’être.

1) Le fait générateur de l’information

Le texte n’ouvre pas un droit discrétionnaire. L’opposition déroge au principe d’irrévocabilité de l’ordre de paiement, qui veut que le consentement donné à une opération ne puisse être retiré une fois celle-ci engagée ; il était donc inévitable que ses cas d’ouverture fussent limitativement énumérés. Quatre situations relèvent du premier paragraphe, auxquelles s’ajoute une hypothèse distincte.

La perte vise la disparition involontaire de l’instrument sans fait d’un tiers — le titulaire est à l’origine de l’incident, ce qui n’en fait pas pour autant une faute. Le vol suppose la soustraction frauduleuse par un tiers, et emporte le plus souvent dépôt de plainte. Le détournement recouvre l’hypothèse d’une remise volontaire dont l’usage convenu a été trahi : la carte confiée pour un achat déterminé et employée à d’autres fins, situation qui relève de l’abus de confiance. L’utilisation non autorisée, enfin, est la catégorie la plus large — elle englobe toute opération à laquelle le titulaire n’a pas consenti, y compris celles réalisées à distance au moyen des seules données de la carte, sans que l’instrument ait jamais quitté sa poche. C’est cette dernière branche qui absorbe aujourd’hui l’essentiel du contentieux, la fraude s’étant déplacée de l’objet vers l’information qui le représente.

Une cinquième hypothèse, de nature toute différente, figure au second paragraphe du texte : l’ouverture d’une procédure de redressement ou de liquidation judiciaire à l’égard du bénéficiaire du paiement. L’opposition y est admise tant que le compte du prestataire de ce bénéficiaire n’a pas été crédité — mécanisme protecteur qui n’a rien à voir avec la fraude, mais dont la mention rappelle que l’article L. 133-17 gouverne l’opposition en général, et non la seule utilisation illégitime.

Sur la vérification qui incombe à l’émetteur saisi d’une opposition, la ligne est nette : celui-ci doit s’assurer que le motif invoqué correspond à l’un de ceux que la loi prévoit, sans avoir à contrôler la réalité substantielle des faits allégués. Il vérifie la qualification, non la véracité. Cette répartition se comprend : exiger de la banque qu’elle instruise le bien-fondé de la déclaration reviendrait à retarder le blocage au moment précis où il doit être immédiat.

2) La promptitude exigée du porteur

« Sans tarder » : la formule ne fixe aucun délai. Elle appelle une appréciation in concreto, qui tient compte des habitudes d’utilisation du titulaire et des circonstances de l’espèce. Un porteur qui consulte quotidiennement ses relevés ne sera pas jugé à la même aune que celui dont l’usage est occasionnel ; l’âge, l’état de santé, l’éloignement peuvent également entrer en ligne de compte. Les juges du fond disposent en la matière d’un pouvoir souverain — mais souverain n’est pas discrétionnaire : la Cour de cassation exige une motivation positive, c’est-à-dire l’énoncé des circonstances concrètes d’où le caractère tardif est déduit. La décision qui se bornerait à affirmer le retard sans le caractériser encourrait la censure.

Il faut prendre garde à ne pas déplacer le point de départ du délai. Celui-ci court de la connaissance, non de l’événement : le titulaire dont la carte a été copiée à son insu ne saurait se voir reprocher un silence antérieur au jour où il a découvert le prélèvement. C’est précisément ce qui rattache l’obligation de surveillance des relevés à celle d’informer sans tarder — la première conditionne le moment où la seconde devient exigible, mais elle ne se substitue pas à elle.

Une évolution mérite d’être signalée, car elle a modifié l’économie de l’opposition. Sous l’empire du droit antérieur, la faculté de former opposition était subordonnée à une démonstration de bonne foi qui plaçait le porteur en position de demandeur suspect. La loi du 15 novembre 2001 relative à la sécurité quotidienne a rompu avec cette logique : le titulaire qui invoque l’un des cas légaux d’ouverture n’a plus à établir sa bonne foi. Le renversement n’est pas seulement procédural — il traduit un choix de politique juridique consistant à faire supporter par l’établissement, plutôt que par l’usager, le doute inhérent à la contestation.

3) Les motifs irrecevables d’opposition

L’énumération légale étant limitative, tout ce qui n’y figure pas est exclu. La conséquence la plus notable concerne le différend commercial : le titulaire mécontent de la marchandise reçue, du service inexécuté ou de la qualité de la prestation ne peut faire opposition au paiement. L’engagement de payer souscrit envers l’accepteur est irrévocable, et il serait contraire à toute l’économie du paiement par carte — qui repose sur la certitude du règlement pour le commerçant — que le porteur pût le remettre en cause au gré de ses insatisfactions.

La solution peut heurter, tant elle paraît laisser le consommateur démuni. Elle ne l’est pas : le titulaire conserve intactes toutes les actions nées du contrat de vente ou de prestation — résolution, réduction du prix, garantie des vices, action en réparation — et le refus de l’opposition ne fait que canaliser le litige vers son juge naturel. L’opposition n’est pas une voie d’exécution privée ; elle est une mesure conservatoire attachée à la sécurité de l’instrument, non à l’exécution de l’obligation qu’il a servi à éteindre.

Il faut se garder d’une confusion voisine, et fréquente. Contester une opération comme non autorisée et se plaindre de son exécution défectueuse sont deux démarches distinctes : la première conteste le consentement, la seconde le suppose acquis et critique ses suites. Le porteur qui, ayant validé un achat sur un site défaillant, tenterait de le présenter comme une opération frauduleuse ne se heurterait pas seulement à l’irrecevabilité du motif — il s’exposerait au grief d’agissement frauduleux, dont on verra qu’il prive de tout droit à remboursement.

C) Les obligations du prestataire

Le régime serait déséquilibré s’il ne pesait que sur le porteur. Or l’article L. 133-16, dont on a lu le premier alinéa, a pour contrepartie un ensemble d’obligations mises à la charge du prestataire — et ces obligations ne sont pas accessoires : leur inexécution suffit à exonérer le titulaire de toute conséquence financière, quand bien même une faute lui serait imputable. Le mécanisme est celui-là même que l’on retrouvera, sous une forme plus puissante encore, en matière d’authentification forte.

1) Les moyens de blocage permanents

L’obligation d’informer sans tarder n’a de sens que si le porteur dispose des moyens de le faire à tout instant. Le prestataire doit donc mettre à disposition un dispositif approprié — numéro accessible en permanence, service dédié, procédure en ligne —, et cette disponibilité ne connaît pas d’horaires : la fraude ne se commet pas aux heures d’ouverture. La carence de la banque sur ce point produit un effet radical, puisque le titulaire est alors exonéré de toute conséquence financière, y compris en présence d’une faute de sa part. On mesure la portée de la règle : elle interdit à l’établissement d’opposer au porteur un retard qu’il a lui-même rendu inévitable.

Deux devoirs voisins complètent ce dispositif. Le prestataire doit s’abstenir d’adresser à ses clients un instrument de paiement non sollicité — envoyer une carte que nul n’a demandée, c’est créer un risque dont le destinataire n’a pas voulu. Et il supporte le risque inhérent à l’acheminement de la carte et du code : la perte survenue avant réception ne peut être imputée à celui qui n’a jamais rien reçu, l’obligation de garde ne prenant naissance, aux termes mêmes du texte, que « dès qu’il reçoit un instrument de paiement ».

2) L’empêchement de toute utilisation ultérieure

L’opposition régulièrement formée emporte une double conséquence. Elle vaut d’abord révocation du mandat de paiement pour l’ensemble des opérations en cours et à venir non encore exécutées. Elle met ensuite à la charge de l’émetteur une obligation dont la jurisprudence a fixé la nature : celui-ci doit procéder au blocage technique de l’instrument et empêcher toute utilisation ultérieure. Il ne s’agit pas d’une obligation de moyens qui se contenterait de diligences raisonnables — c’est un résultat qui est dû, et l’établissement qui, malgré une opposition valablement formée, laisse s’exécuter des opérations frauduleuses engage sa responsabilité pour le tout.

La rigueur de cette solution s’explique par la position respective des parties. Une fois averti, l’émetteur est seul à pouvoir agir : le porteur, dépossédé de sa carte, n’a plus aucune prise sur les événements. Faire peser sur lui le risque d’une défaillance technique dont il ignore tout serait lui imposer la charge d’un aléa qu’il ne peut ni prévenir ni surveiller. Le blocage est ainsi le point où la maîtrise du risque bascule d’une tête sur l’autre — et la responsabilité avec elle.

3) La preuve des moyens fournis

Il resterait à savoir qui doit établir que ces moyens ont été fournis, et que le blocage a été opéré. La réponse s’inscrit dans la ligne générale de la charge probatoire en matière d’opérations non autorisées : c’est au prestataire qu’il incombe de démontrer la régularité technique complète du traitement, et non au porteur d’établir la carence de son banquier. La solution découle de la structure même du régime — celui qui détient les journaux d’enregistrement, les traces de connexion et les procès-verbaux de blocage est aussi celui qui doit les produire.

L’articulation est essentielle et l’on prendra soin de ne pas la brouiller. Que le porteur soit tenu d’obligations ne signifie nullement qu’il en réponde à charge de s’exonérer. L’existence d’un devoir et la preuve de son inexécution demeurent deux questions séparées, et c’est en les confondant que l’on aboutirait à ce que la loi a précisément voulu écarter : un régime où l’utilisation effective de la carte vaudrait, à elle seule, démonstration de la faute de son titulaire.

D) La portée du contrat porteur

Ces obligations légales une fois établies, il reste à mesurer ce que la convention peut y ajouter ou en retrancher. Car la relation entre le porteur et l’émetteur est d’abord contractuelle : elle procède d’un contrat-porteur dont les stipulations, souvent denses, précisent les modalités d’usage de l’instrument. La question n’est donc pas de savoir si le contrat a un rôle — il en a un, et considérable — mais jusqu’où il peut aller.

1) Les stipulations aggravantes

La tentation est constante, pour l’établissement, de renforcer par contrat les devoirs que la loi impose. On rencontre ainsi des clauses qui imposent un délai d’opposition chiffré là où le texte dit « sans tarder », d’autres qui érigent en faute la seule communication de données à un tiers, d’autres encore qui font peser sur le porteur la charge de démontrer qu’il n’a pas été négligent. Chacune de ces stipulations produit le même effet : elle déplace le curseur de la répartition des pertes au détriment de celui que la loi entendait protéger.

Le second alinéa de l’article L. 133-16 fournit contre elles un premier instrument, et il n’est pas de simple exhortation. En exigeant que les conditions d’utilisation soient « objectives, non discriminatoires et proportionnées », le texte soumet la stipulation à un triple contrôle : elle doit reposer sur des critères vérifiables et non sur l’appréciation discrétionnaire de l’émetteur ; elle doit s’appliquer uniformément ; elle doit demeurer en rapport avec le risque qu’elle prétend prévenir. Une clause qui échoue à l’un de ces tests n’est pas seulement inopportune — elle contrevient au texte qui la gouverne.

2) L’ordre public de protection

Le fondement le plus solide est ailleurs. Les dispositions des articles L. 133-16 et suivants relèvent d’un ordre public de protection : elles sont édictées dans l’intérêt du payeur, et leur caractère impératif interdit qu’on y déroge par convention dans un sens qui lui serait défavorable. La conséquence est que le contrat-porteur ne peut ni étendre les cas de déchéance, ni abaisser le seuil de la faute privative de remboursement, ni renverser la charge de la preuve que la loi a fixée.

La règle appelle une précision, car l’impérativité n’est pas symétrique. Rien n’interdit à la convention d’être plus favorable au porteur que la loi : l’établissement qui renonce contractuellement à la franchise, ou qui s’engage à rembourser sans délai, ne fait que consentir un avantage que l’ordre public de protection n’a aucune raison de contrarier. Ce que le texte prohibe, c’est la dérogation défavorable — et elle seule.

On mesure ici la portée pratique de la qualification. Une clause contraire n’est pas simplement écartée pour l’avenir : elle est réputée non écrite, en sorte que le contrat subsiste amputé de la seule stipulation viciée, et que le régime légal reprend son empire sur le point que la convention prétendait régler. Le titulaire n’a donc pas à demander l’anéantissement du contrat pour échapper à la clause — il lui suffit d’en faire constater l’inefficacité.

3) Le contrôle des clauses abusives

Un dernier étage de contrôle s’ajoute lorsque le porteur agit en qualité de consommateur ou de non-professionnel, ce qui est le cas de l’immense majorité des titulaires. Le droit de la consommation frappe alors les clauses qui créent, au détriment du non-professionnel, un déséquilibre significatif entre les droits et obligations des parties — et l’on aperçoit aussitôt les stipulations exposées : celles qui limitent l’obligation de remboursement de l’établissement, celles qui restreignent les moyens de preuve dont le porteur dispose, celles qui laissent à l’émetteur seul le soin de qualifier le comportement de son client.

Les deux contrôles se cumulent sans se confondre. Le premier, tiré de l’ordre public de protection, opère par comparaison entre la clause et le texte impératif qu’elle contredit : il est objectif et ne suppose aucune pesée d’intérêts. Le second, tiré du droit de la consommation, opère par appréciation du déséquilibre : il saisit des stipulations qu’aucune disposition précise n’interdit, mais dont l’effet cumulé fausse l’économie du contrat. Un porteur peut ainsi obtenir sur le second terrain ce que le premier ne lui donnait pas — et c’est heureux, car la protection du payeur ne saurait dépendre de la seule habileté rédactionnelle de celui qui a rédigé le contrat.

Ces devoirs réciproques une fois exposés, l’on tient les éléments qui commandent la répartition des pertes. Reste à voir comment ils s’articulent lorsque la fraude s’est produite : quelle part chacun supporte, selon que l’information a été donnée ou non, selon que la négligence est ou non caractérisée, selon enfin que le titulaire lui-même est demeuré étranger à l’agissement frauduleux.

III) La répartition des pertes entre les parties

Les devoirs du porteur une fois identifiés, reste la question qui commande tout le contentieux : lorsque la fraude a produit son effet et que le compte a été débité, qui en supporte la charge ? Le Code monétaire et financier n’y répond pas par un principe unique, mais par une architecture à plusieurs étages dont la clé de voûte est chronologique. L’information aux fins de blocage — ce que la pratique continue d’appeler l’opposition — coupe le temps de la fraude en deux : avant elle, la charge se partage selon le comportement du porteur et la physionomie de l’opération ; après elle, elle pèse tout entière sur le prestataire. Au vrai, cette ligne de partage n’a rien d’arbitraire : elle marque l’instant où le risque cesse d’être celui d’un instrument que le porteur seul maîtrisait pour devenir celui d’un dispositif technique que seul l’émetteur commande.

Encore faut-il ne pas se méprendre sur l’ordre des opérations. Le remboursement n’est pas la récompense d’un porteur qui aurait d’abord démontré son innocence : il est la règle, et les hypothèses où le titulaire conserve la charge des pertes en sont les exceptions, dont la preuve incombe à celui qui les invoque. C’est cette inversion — l’émetteur paie d’abord, discute ensuite — qui donne au dispositif toute sa portée protectrice.

A) Le remboursement de principe

Le point de départ du régime tient en une proposition simple : une opération non autorisée n’a pas d’effet libératoire à l’égard du payeur. Le débit qu’elle a produit est un débit sans cause, et le prestataire qui l’a inscrit au compte doit en effacer la trace. De là découlent trois exigences, qui commandent respectivement le moment de la restitution, sa consistance et la sanction du retard.

1) L’immédiateté de la restitution

L’article L. 133-18 du Code monétaire et financier n’accorde au prestataire aucun délai d’instruction, aucune faculté d’enquête préalable, aucun sursis conservatoire : il lui impose de rembourser immédiatement la somme litigieuse, au plus tard à la fin du jour ouvrable suivant celui où il a eu connaissance de la contestation ou en a été informé. La formule est d’une sécheresse voulue. Elle interdit à l’établissement de subordonner la restitution à l’issue de ses vérifications internes, au dépôt d’une plainte pénale ou à la production de pièces justificatives que le texte n’exige pas.

On mesure l’enjeu pratique de cette immédiateté. Si l’émetteur pouvait retenir les fonds le temps d’apprécier lui-même le bien-fondé de la contestation, il se ferait juge de sa propre dette et déplacerait sur le porteur le poids d’une trésorerie amputée pendant des mois. Le législateur a préféré l’inverse : la banque restitue, puis, si elle estime que le porteur a commis une négligence grave ou agi frauduleusement, elle procède à une contre-passation et supporte le risque du procès qu’elle provoque. Le contentieux se déplace ainsi de la demande en paiement vers la répétition — et cette translation, purement procédurale en apparence, décide en réalité de la position de force de chacun.

Deux réserves seulement viennent tempérer cette rigueur. La première tient au délai de contestation : le porteur doit signaler l’opération non autorisée sans tarder et, en tout état de cause, dans les treize mois de la date de débit, faute de quoi son action se heurte à une forclusion que rien ne relève. La seconde tient au soupçon de fraude du payeur lui-même : lorsque le prestataire a de bonnes raisons de soupçonner que le titulaire est l’auteur ou le complice de l’opération, il peut différer le remboursement, mais à charge d’en informer la Banque de France par écrit et de motiver son refus. La faculté est étroite, et son exercice l’expose : il ne suffit pas d’alléguer le soupçon, il faut l’étayer.

2) Le rétablissement du compte débité

La restitution ne se réduit pas à un virement compensatoire du montant frauduleusement prélevé. Le texte exige davantage : le prestataire doit rétablir le compte dans l’état où il se serait trouvé si l’opération non autorisée n’avait pas eu lieu. Cette formulation, qui emprunte à la logique de la remise en état plutôt qu’à celle de la simple restitution, emporte des conséquences que la pratique bancaire a longtemps sous-estimées.

Il en résulte d’abord que tous les accessoires du débit indu doivent disparaître. Les commissions d’intervention prélevées à raison du dépassement provoqué par la fraude, les agios calculés sur un découvert que le porteur n’a pas voulu, les frais de rejet des prélèvements ou des chèques que le compte vidé n’a pu honorer : tout cela procède de l’opération non autorisée et doit être effacé avec elle. Un compte que la fraude a fait basculer en position débitrice ne saurait supporter le coût de ce basculement.

Il en résulte ensuite que la date de valeur du crédit de restitution doit être celle du débit contesté, et non celle du remboursement. À défaut, le porteur se verrait imputer les intérêts d’une période pendant laquelle il a été privé de fonds qui n’auraient jamais dû quitter son compte. La différence peut sembler technique ; elle ne l’est qu’en apparence, car c’est par ce biais que se mesure la réalité de la remise en état.

Il en résulte enfin que les conséquences indirectes du débit — l’inscription au fichier central des chèques consécutive au rejet d’un chèque sans provision, la dénonciation d’une autorisation de découvert, la déchéance du terme d’un crédit dont l’échéance n’a pu être prélevée — appellent réparation. Elles ne relèvent plus, il est vrai, de la restitution proprement dite, mais de la responsabilité contractuelle de l’établissement : la remise en état commandée par le texte trouve ici sa limite, et le porteur qui en réclame davantage doit établir le préjudice distinct qu’il invoque.

3) Les intérêts et pénalités de retard

Une obligation dont l’inexécution n’est pas sanctionnée reste une exhortation. Le législateur l’a compris, qui a assorti l’obligation de restitution d’un dispositif de pénalités progressives, introduit par la loi du 16 août 2022. Passé le terme du jour ouvrable suivant la contestation, les sommes dues portent intérêt au taux légal majoré de cinq points ; la majoration passe à dix points au-delà de sept jours de retard, puis à quinze points au-delà de trente jours. La progression n’est pas linéaire par hasard : elle rend l’atermoiement d’autant plus coûteux qu’il se prolonge, et prive l’établissement de tout calcul économique tendant à monnayer le temps du porteur.

Ces intérêts sont dus de plein droit. Ils ne supposent ni mise en demeure préalable, ni stipulation contractuelle, ni démonstration d’un préjudice : le retard les fait courir, le calcul les liquide. Le porteur qui saisit le juge n’a donc à établir que deux points de fait — la date à laquelle il a porté la contestation à la connaissance de l’établissement, et celle à laquelle la restitution est intervenue —, l’écart entre les deux commandant mécaniquement le montant dû.

Reste que ces pénalités n’épuisent pas la réparation. Elles compensent forfaitairement l’immobilisation des fonds ; elles ne couvrent pas le préjudice propre que le retard a pu causer par ailleurs — un projet compromis, un incident de paiement en cascade, un crédit refusé. Le porteur qui subit un tel dommage conserve son action de droit commun, à charge d’en rapporter la preuve selon les exigences ordinaires.

B) Le partage antérieur au blocage

Le remboursement de principe étant acquis, il faut revenir en deçà de la ligne de partage. Pour les opérations antérieures à l’information aux fins de blocage, le Code n’exonère pas toujours totalement le porteur : il organise un partage dont la mesure varie selon la manière dont la fraude a été rendue possible. Ce n’est pas la gravité du préjudice qui commande le régime, mais la physionomie technique de l’opération — et cette distinction, souvent mal comprise des porteurs, décide seule du montant qui restera à leur charge.

1) La franchise de cinquante euros

Lorsque la fraude procède de la perte ou du vol de la carte et que le porteur n’a commis aucune faute, celui-ci supporte les pertes antérieures au blocage dans la limite d’un plafond de cinquante euros. Le montant, abaissé de cent cinquante à cinquante euros depuis le 13 janvier 2018, marque l’aboutissement d’un mouvement continu de réduction du risque résiduel laissé à la charge du consommateur.

La nature de cette franchise mérite qu’on s’y arrête, car elle est souvent mal lue. Elle n’est pas une sanction : le porteur qui la supporte n’a, par hypothèse, commis aucun manquement. Elle n’est pas davantage une évaluation forfaitaire d’un préjudice. Elle est un mécanisme d’incitation, destiné à maintenir chez le détenteur de l’instrument un intérêt minimal à sa surveillance et à la promptitude du signalement — car un porteur intégralement garanti dès le premier euro n’aurait plus aucune raison économique de se hâter. La franchise achète, si l’on peut dire, la vigilance du porteur au prix le plus bas compatible avec son effectivité.

Son domaine est doublement circonscrit. Dans le temps, d’abord : elle ne joue que pour les opérations antérieures à l’information aux fins de blocage, celles qui la suivent étant intégralement à la charge du prestataire. Dans son objet, ensuite : elle est un plafond et non un forfait, de sorte que le porteur dont la carte volée n’a servi qu’à un retrait de trente euros ne supporte que trente euros, et non cinquante. Enfin, elle constitue un maximum absolu quel que soit le nombre d’opérations frauduleuses : dix retraits successifs opérés avant le blocage ne multiplient pas la franchise, qui reste unique.

2) Les hypothèses d’exonération totale

Le texte lui-même écarte la franchise dans trois séries de cas, et la logique commune à ces exceptions se laisse aisément dégager : la franchise n’a de sens que si le porteur pouvait quelque chose ; là où il ne pouvait rien, elle perdrait sa justification incitative pour devenir une charge sans contrepartie.

La première hypothèse vise l’opération réalisée sans utilisation des données de sécurité personnalisées. Le porteur qui n’a rien divulgué, dont le code n’a jamais été composé, ne peut se voir reprocher aucune défaillance de garde : il est intégralement remboursé. La seconde vise la perte ou le vol que le porteur ne pouvait détecter avant le paiement — car on ne saurait exiger de lui qu’il signale ce qu’il ignore. La troisième, enfin, vise la perte due aux actes ou à la carence d’un salarié, d’un agent ou d’une succursale du prestataire, voire d’une entité à laquelle celui-ci a externalisé ses activités : le risque né de l’organisation interne de l’établissement ne peut être reporté sur son client.

À ces trois exceptions textuelles s’ajoute l’hypothèse de la contrefaçon du support alors que le porteur demeure en possession de l’original. Ici encore l’exonération est totale, et la solution s’impose d’évidence : le titulaire qui tient sa carte en main n’avait aucun moyen de soupçonner qu’un doublon circulait. La Cour de cassation a confirmé que les opérations effectuées au moyen d’un tel doublon, à l’insu du titulaire, constituent des opérations de paiement non autorisées relevant du régime spécial du Code monétaire et financier, à l’exclusion du droit commun de la responsabilité — précision essentielle, car elle interdit à l’émetteur de contourner le dispositif protecteur en se plaçant sur le terrain contractuel ordinaire.

Il faut en revanche se garder d’une confusion fréquente : lorsque le titulaire a été dépossédé de sa carte avant que celle-ci ne soit dupliquée, ce n’est plus le régime de la contrefaçon qui s’applique, mais celui de la perte ou du vol. La franchise redevient alors susceptible de jouer, sauf à ce que l’une des trois exceptions légales trouve à s’appliquer. Le critère n’est donc pas la technique employée par le fraudeur, mais la possession de l’instrument par son titulaire au moment des faits.

3) Le sort des opérations à distance

Le contentieux contemporain s’est déplacé de la carte volée vers les données captées. Lorsqu’un tiers utilise le numéro, la date d’expiration et le cryptogramme visuel sans jamais disposer du support physique, la fraude ne procède d’aucune dépossession : elle procède d’une captation. Le Code en tire la conséquence radicale : aucune franchise n’est applicable, et le porteur de bonne foi est intégralement remboursé.

La justification de cette solution tient tout entière dans la conception du risque qu’elle traduit. Le paiement à distance repose sur un dispositif d’acceptation conçu et déployé par la sphère professionnelle — émetteurs, réseaux, accepteurs. Sa vulnérabilité est celle du système, non celle du porteur, lequel ne dispose d’aucun moyen d’empêcher qu’un commerçant ou un prestataire technique se fasse dérober la base où sont stockés les numéros de cartes. Faire supporter au consommateur le coût d’une faille dont il n’est ni l’auteur ni le gardien serait dépourvu de sens économique autant que juridique.

Cette gratuité pour le porteur ne signifie pas que la perte disparaisse : elle circule. La charge économique finale d’une opération à distance validée par la seule transmission des identifiants pèse, en vertu des contrats d’acceptation, sur le commerçant qui l’a acceptée sans authentification renforcée — les sommes restituées au porteur lui étant refacturées. Symétriquement, lorsque l’opération de proximité a été validée par la composition du code confidentiel, c’est l’émetteur qui en assume la charge, sauf faute caractérisée de l’accepteur. Le régime de la répartition des pertes entre le porteur et sa banque n’est ainsi que le premier étage d’une cascade contractuelle dont les étages suivants échappent au consommateur — mais dont la connaissance éclaire la vigueur avec laquelle chaque professionnel défend sa position.

C) La déchéance pour négligence grave

Tout ce qui précède suppose un porteur de bonne foi et diligent. Que cette condition vienne à manquer, et l’édifice protecteur s’effondre d’un coup : le titulaire qui a manqué intentionnellement ou par négligence grave aux obligations de préservation et de signalement supporte l’intégralité des pertes antérieures au blocage. Le basculement est brutal — il n’existe aucun régime intermédiaire, aucune faute simple qui n’emporterait qu’un partage —, et c’est cette brutalité même qui explique la vigilance dont la Cour de cassation entoure la caractérisation de la notion.

1) Les contours de la négligence grave

Le Code se garde de définir la négligence grave, et l’abstention est délibérée : une définition figée aurait vieilli au rythme des techniques de fraude. La notion s’entend d’un écart manifeste par rapport au comportement qu’aurait adopté un porteur normalement avisé, placé dans les mêmes circonstances. Elle ne se confond ni avec l’imprudence ordinaire — qui ne suffit pas —, ni avec la mauvaise foi — qui relève d’un autre grief.

Deux enseignements gouvernent son appréciation. Le premier est que la gravité s’apprécie in concreto, au regard des circonstances de l’espèce : de la vraisemblance de la sollicitation reçue, de la qualité des informations dont le fraudeur disposait déjà, du degré de sophistication du procédé employé. Le second est que la gravité doit être caractérisée par des faits, et non déduite d’un résultat : ce n’est pas parce que la fraude a réussi que le porteur a été gravement négligent.

La distinction prend tout son relief dans l’hypothèse aujourd’hui dominante de la manipulation du porteur. Celui qui communique un code de validation à un interlocuteur ayant reproduit l’identité de sa banque — numéro d’appel affiché, connaissance de ses dernières opérations, urgence d’un prétendu blocage — n’a pas nécessairement commis la faute que l’établissement lui reproche. Encore faut-il rechercher ce que la ruse comportait de décelable, et cette recherche est de fait, non de principe.

2) La casuistique des juges du fond

La négligence grave étant une notion de fait, sa caractérisation relève du pouvoir souverain des juges du fond, sous le contrôle que la Cour de cassation exerce sur la motivation. Il en résulte une casuistique dont on aurait tort de déplorer l’apparent désordre : elle est la contrepartie nécessaire d’une appréciation qui refuse les automatismes.

Quelques lignes de force s’en dégagent néanmoins. La conservation du code inscrit sur un support accompagnant la carte, la remise volontaire de l’instrument à un tiers, l’inertie prolongée après la découverte de la disparition sont régulièrement retenues comme constitutives d’une négligence grave, parce qu’elles traduisent une abdication complète de la garde que le porteur s’était engagé à exercer. À l’inverse, la seule circonstance que le code confidentiel ait été composé, la seule antériorité de plusieurs opérations frauduleuses avant réaction, ou encore la seule crédulité du porteur face à un procédé élaboré ne suffisent pas.

Le contrôle de la Cour de cassation, pour n’être pas un contrôle de qualification, n’en est pas moins réel : il porte sur la suffisance des constatations. Une décision qui retient la négligence grave sans énoncer les circonstances concrètes d’où elle la déduit encourt la censure pour défaut de base légale. C’est dire que la souveraineté des juges du fond s’exerce sur des faits qu’il leur appartient d’abord d’établir — et cette exigence de motivation constitue, en pratique, la garantie la plus efficace du porteur.

3) Le refus de toute présomption

Vient enfin la règle qui commande toutes les autres : la preuve de la négligence grave incombe au prestataire, et elle ne peut résulter de la seule utilisation effective de l’instrument ni du seul enregistrement des données techniques de l’opération. La formule, désormais constante, condamne la présomption que les établissements ont longtemps tenté d’installer — celle selon laquelle la composition du code confidentiel exact démontrerait, par elle-même, que le porteur l’avait divulgué ou mal gardé.

Le refus se comprend. Admettre une telle présomption reviendrait à faire peser sur le porteur la charge d’une preuve négative — établir qu’il n’a rien divulgué —, ce qui, en matière de fraude électronique, confine à la preuve impossible. Elle reviendrait surtout à transférer sur l’utilisateur le risque des vulnérabilités du dispositif technique, alors même que ce dispositif est conçu, déployé et administré par le seul professionnel. La règle probatoire n’est donc pas une commodité de procédure : elle est le prolongement nécessaire de la répartition des risques que le régime tout entier organise.

Ce refus se double d’une exigence positive dont la portée s’est révélée décisive : il ne suffit pas à l’établissement de démontrer une défaillance du porteur, encore lui faut-il établir la régularité technique complète du traitement de l’opération. Or, depuis le déploiement de l’authentification forte, cette régularité inclut la mise en œuvre effective du dispositif d’authentification renforcée lorsque celui-ci était exigible.

L’articulation qui en résulte commande l’ordre d’examen de tout litige. Il faut d’abord rechercher si l’authentification forte était exigible et si elle a été mise en œuvre ; ce n’est qu’en cas de réponse négative à la première question ou positive à la seconde que l’on peut passer à l’examen du comportement du porteur. L’ordre n’est pas indifférent : inverser les deux temps reviendrait à faire produire effet à une négligence que la loi prive d’incidence.

D) L’exclusion pour agissement frauduleux

Au-delà de la négligence grave se tient une hypothèse d’une tout autre nature : celle où le porteur n’a pas subi la fraude mais l’a commise. Ici, ce n’est plus un partage qui s’opère, c’est une exclusion pure et simple. L’agissement frauduleux du titulaire écarte l’ensemble du dispositif protecteur — franchise, exonérations, plafonnements, immunité postérieure au blocage, et jusqu’au bouclier tiré du défaut d’authentification forte. Le régime le plus favorable au consommateur devient sans objet dès lors que celui qui l’invoque en a détourné la finalité.

1) La fraude imputable au titulaire

La forme la plus caractéristique de cet agissement est la fausse opposition. Le titulaire y déclare une perte, un vol ou une utilisation non autorisée qu’il sait inexistante, afin d’obtenir le remboursement d’opérations qu’il a lui-même consenties. Le procédé combine deux atteintes : il détourne le mécanisme de blocage de sa finalité protectrice, et il tend à obtenir de l’établissement une remise de fonds indue.

Sa qualification pénale ne fait pas difficulté. La déclaration mensongère, jointe aux démarches accomplies pour la crédibiliser, constitue l’emploi de manœuvres frauduleuses au sens de l’incrimination d’escroquerie, dès lors qu’elle détermine l’établissement à créditer un compte au préjudice de son propre patrimoine.

Sur le terrain civil, la conséquence est plus radicale encore que la déchéance pour négligence : là où celle-ci laisse subsister le régime spécial et n’en modifie que la répartition, l’agissement frauduleux fait sortir le porteur du dispositif. Il ne peut plus invoquer l’article L. 133-20 pour les opérations postérieures au blocage — dont l’existence même procède de sa manœuvre —, ni se prévaloir du défaut d’authentification forte, le texte réservant expressément cette protection au payeur qui n’a pas frauduleusement agi.

2) La complaisance envers le fraudeur

Entre la fraude commise par le titulaire lui-même et la négligence subie s’intercale une figure intermédiaire, celle du porteur qui a facilité l’opération d’un tiers sans en être l’auteur direct. Le titulaire qui remet sciemment sa carte et son code à un proche, puis conteste les opérations réalisées lorsque la confiance se rompt, ne se trouve pas dans la situation d’un porteur dépossédé : il a autorisé l’usage, fût-ce dans des limites que son bénéficiaire a excédées.

La qualification appelle alors une distinction. Si la remise a emporté autorisation de l’opération litigieuse, celle-ci n’est pas une opération non autorisée et le régime protecteur n’a pas vocation à s’appliquer : le titulaire n’a d’autre voie que l’action contre le tiers, sur le fondement du détournement de l’usage convenu. Si, au contraire, la remise n’a autorisé qu’un usage déterminé et que le tiers l’a excédé, l’opération redevient non autorisée — mais la remise volontaire du code caractérise alors, à tout le moins, la négligence grave qui en prive le titulaire du bénéfice.

Reste l’hypothèse de la connivence : celle du titulaire qui, sans avoir remis lui-même l’instrument, s’entend avec le fraudeur pour partager le produit d’un remboursement obtenu de la banque. On quitte alors le terrain de la complaisance pour celui de la coaction, et la sanction est celle de l’agissement frauduleux dans toute son étendue.

3) La preuve de la mauvaise foi

La charge de cette preuve pèse tout entière sur l’établissement, et elle est lourde. La bonne foi étant présumée, il ne suffit pas à la banque d’établir l’invraisemblance du récit du porteur ou l’accumulation d’indices défavorables : il lui faut démontrer positivement le concert frauduleux ou la fausseté consciente de la déclaration. C’est dire qu’entre le doute et la preuve, la protection du porteur subsiste.

Les éléments régulièrement mobilisés relèvent du faisceau plutôt que de la démonstration directe : la proximité entre le titulaire et le bénéficiaire des opérations contestées, la nature des achats effectués — qui profitent au porteur lui-même —, la localisation des retraits, le décalage inexpliqué entre la date alléguée de la dépossession et celle de la première opération, la répétition de contestations analogues sur plusieurs périodes. Aucun de ces éléments ne vaut isolément ; leur convergence peut emporter la conviction du juge.

Il faut enfin souligner que la faculté ouverte au prestataire de différer le remboursement en cas de soupçon de fraude du payeur ne dispense en rien de cette preuve : elle n’est qu’un mécanisme conservatoire, encadré par l’obligation d’informer par écrit la Banque de France et de motiver le refus. L’établissement qui en use sans pouvoir ensuite établir la fraude s’expose à la restitution assortie des pénalités de retard, calculées depuis l’échéance initialement applicable. La suspicion, si elle autorise l’attente, ne dispense jamais de la démonstration — et c’est en cela que le dispositif conserve, jusque dans ses exceptions, la cohérence protectrice qui en fait l’unité.

IV) Le renouvellement du régime

Le régime que l’on vient de décrire — remboursement de principe, franchise résiduelle, déchéance pour négligence grave — s’est construit sur une représentation de la fraude qui n’est plus tout à fait la nôtre. Il supposait un fraudeur extérieur, agissant contre un porteur ignorant : la carte dérobée, le doublon fabriqué, le numéro capté à l’insu de celui qui le détient. Or la fraude contemporaine a changé de méthode. Elle ne contourne plus la sécurité, elle la traverse : plutôt que de forcer l’authentification, elle obtient du porteur lui-même qu’il l’accomplisse. Ce déplacement a appelé deux réponses, l’une technique et l’autre judiciaire, dont la combinaison redessine aujourd’hui la matière.

A) L’exigence d’authentification forte

La première réponse est venue du droit européen des services de paiement, transposé aux articles L. 133-44 et suivants du Code monétaire et financier. L’idée en est simple : si la fraude prospère parce qu’un identifiant unique suffit à ordonner un paiement, il faut que l’ordre en exige plusieurs, et de natures différentes. L’authentification forte n’est pas une précaution supplémentaire laissée à la diligence de l’émetteur — c’est une obligation légale, dont le manquement se sanctionne sur le terrain de la répartition des pertes.

1) Les éléments d’authentification requis

L’authentification est dite forte lorsqu’elle repose sur au moins deux éléments empruntés à des catégories distinctes : ce que le porteur sait — un mot de passe, un code —, ce qu’il possède — un téléphone, un lecteur, la carte elle-même —, ce qu’il est — une empreinte, un visage. L’exigence de catégories distinctes n’est pas une coquetterie technique : elle vise à ce que la compromission d’un élément ne suffise jamais à emporter les autres. Deux mots de passe dérobés dans la même base ne valent qu’un ; un code connu et un téléphone détenu supposent deux atteintes indépendantes. À cette combinaison s’ajoute une exigence de liaison dynamique pour les opérations à distance : le code d’authentification doit être lié au montant et au bénéficiaire de l’opération, de sorte qu’il ne puisse servir à valider une transaction autre que celle que le porteur a voulue.

Le domaine de l’exigence est large. Elle s’applique lorsque le porteur accède à son compte de paiement en ligne, lorsqu’il initie une opération de paiement électronique, et plus généralement lorsqu’il accomplit à distance une action susceptible de comporter un risque de fraude ou d’abus.

Ce triple domaine mérite qu’on s’y arrête, car il déplace le point d’application de la sécurité. Longtemps, celle-ci ne se logeait qu’au moment du paiement ; elle protège désormais l’accès au compte lui-même, c’est-à-dire l’antichambre où le fraudeur repère les soldes, les habitudes et les bénéficiaires enregistrés. Une consultation n’est pas un débit, mais elle en est souvent la répétition générale.

2) Le champ des exemptions

Une exigence absolue eût été inapplicable : imposer une double vérification pour l’achat d’un titre de transport à quelques euros aurait rendu le paiement électronique plus lourd que l’espèce qu’il remplace. Le droit européen a donc ménagé des exemptions, dont les principales tiennent au montant — les opérations de faible valeur, cumulées jusqu’à un plafond au-delà duquel l’authentification redevient exigible —, au caractère sans contact de la transaction de proximité, au bénéficiaire préalablement inscrit comme fiable par le porteur lui-même, aux paiements récurrents d’un montant constant vers un même destinataire, et à l’analyse de risque de l’opération lorsque l’émetteur justifie d’un taux de fraude suffisamment bas.

Encore faut-il mesurer la portée de ces dérogations. Elles n’allègent que l’obligation technique de l’émetteur ; elles ne déplacent nullement la charge des pertes. Une opération légitimement exemptée d’authentification forte reste, si elle n’a pas été autorisée, une opération non autorisée soumise à l’article L. 133-19 — et l’exemption étant l’œuvre du prestataire, qui l’a choisie pour la fluidité de son service, il serait singulier qu’elle profite à celui qui en a décidé. L’exemption est une facilité commerciale, non une cause d’exonération.

3) La sanction du défaut d’authentification

C’est ici que l’exigence prend sa force juridique. Lorsque l’authentification forte était requise et que le prestataire ne l’a pas mise en œuvre, le payeur ne supporte aucune perte — pas même la franchise —, sauf agissement frauduleux de sa part. La règle est d’une sévérité voulue : elle prive l’émetteur négligent de tout débat sur le comportement de son client, y compris de l’exception de négligence grave qui constitue d’ordinaire son meilleur moyen de défense. Le prestataire qui n’a pas sécurisé l’opération ne peut reprocher au porteur de ne l’avoir pas fait à sa place.

La conséquence probatoire est considérable, et elle prolonge exactement ce que l’on a vu de la charge pesant sur l’émetteur. Le débat judiciaire connaît désormais une question préalable, qui absorbe souvent toutes les autres : l’authentification forte était-elle exigible, et a-t-elle été régulièrement mise en œuvre ? Si elle l’était et qu’elle ne l’a pas été, le remboursement est dû sans examen du comportement du porteur. Ce n’est que si l’émetteur franchit cette première étape que le contentieux retrouve son cours ordinaire — preuve du bon fonctionnement du dispositif, puis, le cas échéant, démonstration d’une négligence grave appuyée sur des éléments extrinsèques.

B) La fraude par manipulation du porteur

L’authentification forte a produit l’effet que l’on pouvait attendre d’une serrure meilleure : elle n’a pas découragé le fraudeur, elle l’a détourné vers la seule ouverture qui demeurait — le porteur. Puisque la validation exige désormais un geste de ce dernier, la fraude consiste à obtenir ce geste. On la nomme fraude par manipulation, ou ingénierie sociale ; elle est devenue le contentieux dominant, et le plus délicat, car elle brouille précisément la ligne qui sépare l’opération non autorisée de l’opération consentie.

1) L’usurpation d’identité du banquier

Le procédé le plus redoutable est le spoofing, où le fraudeur se présente au porteur sous l’identité même de sa banque. L’appel s’affiche sous le numéro du service client, le message s’insère dans le fil des messages authentiques précédemment reçus, l’interlocuteur connaît le nom du conseiller, l’intitulé du compte et parfois les dernières opérations. Le scénario est invariablement celui d’une urgence : des débits frauduleux seraient en cours, il faudrait les bloquer, et pour cela valider — dans l’application, par le code reçu — une opération présentée comme l’annulation de la fraude alors qu’elle en est l’accomplissement.

La difficulté juridique tient à ce que le porteur a bien accompli l’acte d’authentification. Techniquement, l’opération est régulière ; juridiquement, elle ne l’est pas, car le consentement dont on a vu qu’il conditionne l’autorisation doit porter sur l’opération réellement exécutée, et non sur celle que le fraudeur a décrite. Valider ce que l’on croit être un blocage n’est pas consentir à un virement. La banque qui oppose l’authentification régulière confond l’exécution d’un procédé technique avec l’expression d’une volonté.

2) Les indices d’une sollicitation frauduleuse

Reste que la protection du porteur n’est pas inconditionnelle : la négligence grave peut lui être opposée, et c’est sur ce terrain que la jurisprudence s’est fixée en trois temps, dont on a exposé plus haut la trame. Le premier a posé le test des indices apparents : le juge doit rechercher si le porteur pouvait avoir conscience du caractère frauduleux de la sollicitation reçue — adresse d’expédition incohérente, orthographe défaillante, lien pointant vers un domaine étranger à l’établissement, demande de communiquer un code que la banque ne réclame jamais. Le deuxième a fixé l’étalon de cette appréciation : elle se fait in abstracto, par référence à l’utilisateur normalement attentif, sans qu’il importe que le porteur ait été personnellement averti du risque. Le troisième, plus récent, a tiré les conséquences du perfectionnement des procédés : lorsque le message frauduleux s’insère dans un fil authentique et que le numéro affiché est celui de la banque, le porteur ne dispose d’aucun indice apparent, et la négligence grave ne saurait se déduire de sa seule crédulité.

L’articulation de ces trois moments est cohérente, pourvu qu’on en saisisse le ressort : le standard n’a pas varié, c’est son application qui suit la qualité de l’imitation. Plus le fraudeur imite bien, moins le porteur est en faute — non parce qu’on l’excuserait, mais parce que l’inattention ne peut lui être reprochée là où l’attention n’aurait rien révélé. La négligence suppose un indice négligé ; là où il n’y a pas d’indice, il n’y a pas de négligence.

3) L’autorisation obtenue par ruse

Il faut aller jusqu’au bout de la qualification, car elle commande tout. L’opération arrachée par manœuvre n’est pas une opération autorisée dont le porteur se repentirait : elle est une opération non autorisée, soumise comme telle au régime du remboursement de principe et de ses exceptions limitatives. Le raisonnement rejoint celui qu’on a suivi pour le doublon de carte, où l’apparente régularité technique de la transaction ne l’empêchait pas d’être frauduleuse.

Ce rattachement porte une conséquence pratique décisive. L’émetteur ne peut se contenter d’observer que le porteur a lui-même validé : il lui faut établir la fraude de celui-ci ou son imprudence caractérisée, et le faire par des éléments extrinsèques au seul relevé technique — exactement comme il ne pouvait, dans les hypothèses classiques, déduire la faute du client du seul constat que la carte et le code avaient servi. Il faut noter, du reste, que les manœuvres du fraudeur relèvent de l’escroquerie de droit commun, l’usage d’une fausse qualité déterminant la remise de fonds au préjudice du porteur ; la qualification pénale confirme ce que la qualification civile retient, à savoir que le geste du porteur a été extorqué et non consenti.

C) Les voies de règlement du litige

Le meilleur régime demeure lettre morte si son bénéficiaire ne sait pas comment le faire valoir. Or la réclamation en matière de fraude à la carte obéit à un ordre pratique — réclamation interne, puis médiation, puis action judiciaire — dont chaque étape a sa fonction, et dont la première conditionne largement le sort des suivantes.

1) La réclamation auprès de l’émetteur

Tout commence par la contestation adressée au prestataire, qu’il faut former par écrit et conserver. Le porteur y désigne précisément les opérations litigieuses — date, montant, bénéficiaire —, rappelle la date à laquelle il a informé la banque aux fins de blocage, et sollicite le remboursement immédiat ainsi que le rétablissement du compte dans l’état où il se serait trouvé sans le débit. Il n’a pas à démontrer la fraude : la charge de la preuve de l’autorisation pèse sur l’émetteur, et la réclamation n’est pas une demande de faveur mais la mise en œuvre d’un droit. Il est prudent d’y joindre le dépôt de plainte lorsqu’il a été effectué, non que celui-ci conditionne le remboursement, mais parce qu’il date les faits et objective la démarche.

L’écrit vaut surtout par ce qu’il déclenche. Le remboursement étant dû sans tarder, tout retard fait courir les intérêts et expose l’établissement aux pénalités qui sanctionnent l’inertie ; encore faut-il que la date de la contestation soit établie, ce que seule la trace écrite permet. Il importe aussi de ne pas laisser passer le délai de treize mois qui, à compter du débit, enferme la faculté de contester l’opération.

2) Le recours au médiateur bancaire

Le refus opposé à la réclamation ouvre la voie de la médiation. Chaque établissement doit désigner un médiateur, dont les coordonnées figurent sur les relevés et la convention de compte, et dont la saisine est gratuite. Elle suppose que la réclamation interne ait été préalablement formée et rejetée, expressément ou par le silence ; elle suspend la prescription de l’action, ce qui en fait un détour sans péril.

La proposition du médiateur ne s’impose à personne : le porteur qui la refuse conserve entièrement son action. L’intérêt du recours tient ailleurs. Il est rapide, il est gratuit, et il conduit fréquemment l’établissement à revenir sur un refus qu’il aurait eu peine à défendre devant un juge — car le médiateur, saisi du dossier, applique la même règle de charge de la preuve, et l’émetteur qui n’a pas d’élément extrinsèque à produire n’a rien de plus à opposer en médiation qu’au prétoire.

3) L’action en remboursement

L’action judiciaire demeure, et elle est simple dans son objet : obtenir la restitution des sommes débitées, celle des frais consécutifs — agios, commissions d’intervention, frais d’opposition et de renouvellement, incidents provoqués par le débit —, les intérêts, et le cas échéant la réparation du préjudice distinct causé par le refus injustifié. Le porteur agit devant la juridiction civile ; il peut aussi, lorsque le fraudeur est identifié et poursuivi, se constituer partie civile pour obtenir réparation de son préjudice.

Il faut ajouter que le porteur n’est pas seul à souffrir de la fraude, ni seul à agir. L’émetteur qui a dû restituer les fonds subit à son tour un préjudice propre, et sa constitution de partie civile contre le contrefacteur est recevable ; le groupement qui régit le système de paiement dispose de la même faculté dans les poursuites relatives à la fabrication et à l’usage de fausses cartes. Le contentieux de la fraude à la carte est ainsi triangulaire : le porteur agit contre son banquier sur le fondement du régime des opérations non autorisées, et le banquier, une fois désintéressé son client, agit contre l’auteur de la fraude sur le fondement de l’infraction.

D) Les évolutions annoncées

L’édifice n’est pas achevé. Les travaux européens en cours, l’extension du régime à d’autres instruments et la question, encore ouverte, du rôle des plateformes en ligne dessinent les lignes d’un droit qui continue de se déplacer avec la fraude qu’il poursuit.

1) Le paquet européen sur les paiements

La révision annoncée du cadre des services de paiement — un règlement d’application directe doublé d’une directive — poursuit trois objectifs qui répondent aux difficultés que l’on vient d’exposer. Le premier est d’étendre le remboursement aux fraudes par usurpation d’identité du prestataire, en consacrant dans le texte ce que la jurisprudence a construit au prix d’un contentieux abondant. Le deuxième est d’imposer aux établissements des dispositifs de détection des opérations atypiques et une vérification de la concordance entre le nom du bénéficiaire et l’identifiant de son compte, de sorte que la sécurité cesse de reposer sur la seule vigilance du porteur. Le troisième est d’unifier l’application des règles par le recours au règlement, l’expérience ayant montré que la transposition par directive entretenait des écarts nationaux dont la fraude, elle, ne s’embarrasse pas.

Il y a, dans ce mouvement, une inflexion qu’il faut relever : le droit cesse de raisonner en termes de faute du porteur pour raisonner en termes d’obligation de sécurité du prestataire. La question n’est plus seulement de savoir si le client a été imprudent, mais si l’établissement a déployé les moyens que l’état de la technique permettait.

2) L’extension aux virements instantanés

Le virement instantané, désormais offert par tous les prestataires et facturé au prix du virement ordinaire, a déplacé le terrain de la fraude. Son irrévocabilité en fait l’instrument de prédilection de la manipulation : là où un virement classique laissait quelques heures pour intervenir, l’instantané est acquis au bénéficiaire avant même que le porteur ait compris ce qu’il a validé. C’est précisément pourquoi la vérification de la concordance entre le nom du bénéficiaire et l’identifiant du compte y prend une importance particulière — l’alerte adressée au payeur avant la validation étant, en pratique, le dernier moment où la fraude peut être arrêtée. La question, encore incertaine, est celle de la portée de cette alerte : passer outre un avertissement explicite pourrait bien constituer, demain, l’un des rares indices apparents dont la jurisprudence fait dépendre la négligence grave.

3) La responsabilité des plateformes en ligne

Reste le maillon que le droit des paiements atteint mal. La fraude par manipulation commence rarement dans le canal bancaire : elle commence sur un réseau social, une place de marché, une messagerie, où l’annonce fictive, le faux profil et le message d’hameçonnage sont diffusés. Or la charge finale de ces fraudes se répartit aujourd’hui entre l’émetteur, l’accepteur et parfois le porteur, sans que l’intermédiaire qui a hébergé la sollicitation en supporte quoi que ce soit. Les travaux européens envisagent d’y remédier en imposant aux fournisseurs de services de communication et aux plateformes une coopération renforcée — retrait des contenus signalés, transmission d’informations aux établissements, voire contribution à l’indemnisation lorsque la diligence a fait défaut.

La difficulté est connue : elle tient à l’articulation avec le régime de responsabilité limitée des hébergeurs, qui ne répondent en principe qu’à raison des contenus dont ils ont eu connaissance et qu’ils n’ont pas retirés promptement. Faire peser sur eux une part du coût de la fraude suppose de démontrer un manquement propre, et non la seule circonstance que le fraudeur a utilisé leur service. C’est sur cette ligne que se jouera l’équilibre à venir. Quoi qu’il en soit, la logique d’ensemble est claire, et elle traverse tout ce chapitre : la charge de la fraude se déplace progressivement de celui qui la subit vers ceux qui, tenant le système, sont en mesure de la prévenir.