Signaler une opération de paiement non autorisée dans les treize mois suivant le débit ne suffit pas à obtenir un remboursement. L'obligation de signaler sans tarder naît dès la connaissance de l'opération. Le payeur qui tarde de manière délibérée ou par négligence grave perd son droit à correction. Mais le juge doit d'abord dater cette connaissance et caractériser la gravité de la négligence (Com., 14 janvier 2026, n° 22-14.822).
L'essentiel
- L'utilisateur d'un instrument de paiement doit signaler l'opération non autorisée sans tarder, à compter du moment où il en a eu connaissance.
- Le signalement doit intervenir au plus tard dans les treize mois suivant la date de débit, selon l'article L. 133-24 du code monétaire et financier, dans sa rédaction résultant de l'ordonnance n° 2009-866 du 15 juillet 2009.
- Respecter ce délai de treize mois ne protège pas l'utilisateur : un signalement tardif, délibéré ou gravement négligent, le prive du droit d'obtenir la correction de l'opération.
- Le refus de rembourser fondé sur la tardiveté suppose que la date de connaissance de la première opération contestée soit établie.
- Une clause faisant du titulaire le seul responsable de l'usage de sa carte ne caractérise pas, à elle seule, une négligence grave.
Le signalement d'une opération de paiement non autorisée
La chambre commerciale censure l'arrêt d'appel : les juges ne pouvaient retenir un signalement tardif sans dater la connaissance de la première opération contestée. Un particulier avait ouvert un compte de dépôt en or auprès d'un prestataire de services de paiement. Le 24 mars 2017, le prestataire a envoyé à son adresse une nouvelle carte de retrait et de paiement. Le titulaire a soutenu n'avoir ni demandé ni réceptionné cette carte, et avoir subi des retraits quotidiens non autorisés du 30 mars au 17 mai 2017. Il a adressé un formulaire de contestation le 23 mai 2017, puis assigné le prestataire en remboursement et en paiement de dommages et intérêts.
L'arrêt attaqué (CA Paris, 3 janvier 2022, n° 20/07303) avait rejeté ces demandes, en retenant un signalement tardif ainsi qu'une imprudence et une négligence du titulaire. La cassation est prononcée en toutes ses dispositions, avec renvoi devant la cour d'appel de Paris autrement composée. La chambre commerciale écarte toutefois d'abord la thèse du pourvoi selon laquelle l'utilisateur disposerait librement de treize mois : ce grief n'est pas fondé.
La chambre commerciale, après avoir interrogé la Cour de justice de l'Union européenne sur l'interprétation de la directive 2007/64 CE du 13 novembre 2007 et obtenu sa réponse (CJUE, 1er août 2025, C-665/23), énonce la règle applicable aux opérations non autorisées :
l'obligation incombant à l'utilisateur de services de paiement de signaler sans tarder à son prestataire de services de paiement une opération non autorisée naît à compter du moment où il en a eu connaissance et que, faute de l'avoir signalée, de manière délibérée ou par négligence grave, il est privé du droit d'obtenir la correction de cette opération, peu important que ce signalement ait été effectué dans les treize mois suivant la date de débit.
La seconde censure porte sur la négligence grave. Les juges du fond avaient retenu que le titulaire était contractuellement seul responsable de l'usage de sa carte, et qu'il n'avait veillé ni à empêcher un tiers d'accéder à sa boîte aux lettres ni à préserver la confidentialité de son identifiant et de sa clé secrète. La chambre commerciale juge ces motifs « insuffisants à caractériser la négligence grave que [le titulaire] aurait commise, faute notamment de préciser dans quelles conditions le tiers avait eu accès à son identifiant et à sa clé secrète ».
Ce que la tardiveté du signalement change pour le prestataire
Le prestataire de services de paiement peut refuser la correction d'une opération signalée tardivement, mais seulement si le retard est intentionnel ou résulte d'une négligence grave, concrètement caractérisée. Deux fondements distincts doivent être maniés séparément. Le premier est le signalement tardif au regard de l'article L. 133-24 du code monétaire et financier. Le second est la charge des pertes prévue par l'article L. 133-19, IV, du même code, qui suppose un agissement frauduleux du payeur, ou un manquement intentionnel ou gravement négligent aux obligations des articles L. 133-16 et L. 133-17 de ce code.
Le point de départ pratique se déplace. La date du premier débit contesté ne suffit plus à qualifier un retard : c'est la date de connaissance de l'opération qui commande l'appréciation. Un dossier de refus qui se borne à compter les semaines écoulées depuis le débit reste incomplet. Il doit préciser quand le titulaire a su, comment il l'a su, et pourquoi son silence traduit une intention ou une violation caractérisée d'une obligation de diligence.
La motivation du refus est également resserrée sur le terrain de la sécurité des données. Invoquer une clause contractuelle de responsabilité exclusive du porteur, ou une imprudence générale, ne remplit pas l'exigence de négligence grave. La chambre commerciale attend une description des conditions dans lesquelles le tiers a obtenu l'identifiant et la clé secrète. À défaut, l'article L. 133-18 du code monétaire et financier, dans sa version issue de la loi n° 2010-737 du 1er juillet 2010, conduit au remboursement immédiat de l'opération non autorisée.
Ce que la décision confirme et ce qui reste ouvert
La décision confirme que le délai de treize mois n'est pas un refuge pour l'utilisateur, et durcit simultanément les exigences de motivation qui pèsent sur le refus de correction. Ce que change l'arrêt : la recherche de la date de connaissance devient un préalable obligatoire dès qu'un signalement est contesté comme tardif. Ce qu'il confirme : la privation du droit à correction demeure subordonnée à un comportement qualifié du payeur, intentionnel ou gravement négligent, hors agissement frauduleux.
L'avis de l'avocate générale référendaire éclaire cette exigence. Il distingue l'imprudence et la négligence, deux notions différentes, et relève que l'arrêt attaqué ne caractérisait pas la gravité de la négligence, ce qui justifiait la cassation. Il rappelle aussi que, selon la réponse de la Cour de justice de l'Union européenne, un signalement tardif intentionnel ou gravement négligent prive le payeur du remboursement de toutes les opérations non autorisées, et non des seules opérations qui auraient pu être évitées.
Une part du litige demeure ouverte. La cour d'appel de renvoi devra rechercher la date de connaissance de la première opération et, le cas échéant, caractériser la négligence grave. En l'état de la jurisprudence au 14 janvier 2026, la solution est rendue sur des textes dans leur rédaction antérieure à l'ordonnance n° 2017-1252 du 9 août 2017, ce qui invite à vérifier la version applicable à chaque litige.
Quels réflexes dans le traitement d'une contestation ?
Le traitement d'une contestation d'opération non autorisée se joue sur deux éléments de preuve : la date de connaissance par le client et les circonstances exactes de la compromission des données de sécurité. La chronologie doit être reconstituée avec des éléments objectifs : mise à disposition des relevés, alertes envoyées, réclamations intermédiaires. La qualification du retard, délibéré ou gravement négligent, suppose de démontrer que le client savait et n'a pas agi.
Le second réflexe concerne les dispositifs de sécurité personnalisés. Selon l'article L. 133-19, III, du code monétaire et financier, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si le prestataire ne fournit pas de moyens appropriés permettant l'information aux fins de blocage prévue à l'article L. 133-17 du même code. La disponibilité et la traçabilité du canal de blocage constituent donc un point de vigilance autonome, indépendant du comportement du client.
Les points à documenter dès la réception d'une contestation
- La date à laquelle le client déclare avoir eu connaissance de la première opération contestée, et les pièces qui la corroborent.
- Les circonstances de la compromission : accès aux courriers, divulgation de l'identifiant et de la clé secrète, mode d'authentification utilisé.
- Le délai maximal de signalement de treize mois suivant la date de débit, sachant que son respect ne fait pas obstacle à la privation du droit à correction.
- La qualité du client, l'article L. 133-24 du code monétaire et financier réservant la dérogation conventionnelle aux cas où l'utilisateur n'est pas une personne physique agissant pour des besoins non professionnels.
Questions fréquentes
Un client peut-il obtenir le remboursement d'un paiement frauduleux signalé onze mois après le débit ?
Pas nécessairement. Selon un arrêt de la chambre commerciale du 14 janvier 2026, l'obligation de signaler sans tarder une opération de paiement non autorisée naît dès que l'utilisateur en a eu connaissance. Un signalement effectué dans les treize mois suivant le débit ne met donc pas le client à l'abri : s'il a tardé de manière délibérée ou par négligence grave après avoir su, il perd le droit d'obtenir la correction de l'opération.
Comment prouver la date à laquelle le titulaire du compte a découvert un retrait non autorisé ?
La chambre commerciale n'attribue pas la charge de cette preuve dans son arrêt du 14 janvier 2026, mais elle impose au juge de rechercher cette date dès qu'un signalement est soutenu comme tardif. En pratique, le débat se nourrit d'éléments objectifs : mise à disposition des relevés de compte, alertes adressées au client, connexions, échanges antérieurs à la contestation formelle.
Une clause rendant le titulaire seul responsable de l'usage de sa carte suffit-elle à refuser le remboursement ?
Non. Dans son arrêt du 14 janvier 2026, la chambre commerciale a jugé insuffisants des motifs retenant que le titulaire était contractuellement seul responsable de l'usage de sa carte et n'avait pas préservé la confidentialité de son identifiant et de sa clé secrète. Le refus suppose de caractériser une négligence grave, notamment en précisant dans quelles conditions le tiers a obtenu ces données de sécurité.
Le délai de signalement de treize mois peut-il être écarté par le contrat de services de paiement ?
Oui, mais pas dans tous les cas. L'article L. 133-24 du code monétaire et financier, dans sa rédaction résultant de l'ordonnance n° 2009-866 du 15 juillet 2009, prévoit que les parties peuvent déroger à ses dispositions, sauf lorsque l'utilisateur est une personne physique agissant pour des besoins non professionnels. La qualité du client conditionne donc la validité d'un aménagement contractuel du signalement.
Que risque un prestataire qui n'offre pas de moyen de blocage d'une carte compromise ?
Il s'expose à supporter l'intégralité des pertes. Selon l'article L. 133-19, III, du code monétaire et financier, dans sa rédaction résultant de l'ordonnance n° 2009-866 du 15 juillet 2009, le payeur ne supporte aucune conséquence financière, sauf agissement frauduleux de sa part, si le prestataire ne fournit pas de moyens appropriés permettant l'information aux fins de blocage de l'instrument de paiement prévue à l'article L. 133-17 du même code.