Bonjour !
Voici une nouvelle édition d’Euro Tech Souveraine, newsletter consacrée à la souveraineté numérique européenne, à l’intelligence artificielle et aux choix technologiques qui façonnent notre autonomie.
régulièrement, j’essaie de prendre un peu de recul sur une actualité, une technologie ou une décision qui mérite mieux qu’un simple commentaire à chaud. Si cette édition vous a intéressé, n’hésitez pas à la partager avec vos collègues, vos contacts ou toute personne que ces sujets peuvent concerner. Vous pouvez aussi poursuivre la discussion avec moi sur LinkedInou retrouver mes travaux sur fabricewillot.be.
À bientôt,
Fabrice Willot
Une fraude de 3 000 zlotys, soit environ 700 euros, pourrait sembler bien modeste au regard des milliards qui circulent quotidiennement dans les systèmes de paiement européens. Pourtant, c'est à partir d'une affaire de cette ampleur que la Cour de justice de l'Union européenne vient de préciser l'une des obligations les plus importantes imposées aux banques lorsqu'un client conteste une opération de paiement.
Le 15 octobre 2026, dans son arrêt Tukowiecka (C-70/25), la Cour a rappelé qu'un prestataire de services de paiement ne pouvait pas refuser le remboursement immédiat d'une opération non autorisée au seul motif qu'il soupçonnait son client d'avoir commis une négligence grave. Il peut, en revanche, chercher ultérieurement à récupérer les sommes versées s'il établit que les conditions permettant d'engager la responsabilité du client sont réunies.
Cette distinction pourrait sembler relever d'un débat juridique assez spécialisé. Elle touche pourtant à une question que chacun peut être amené à rencontrer : lorsqu'une fraude bancaire réussit, qui doit en supporter les conséquences financières, et à quel moment ?
La réponse est devenue particulièrement importante avec la généralisation des paiements numériques. Nous effectuons des virements depuis notre téléphone, confirmons des opérations à distance, utilisons des applications bancaires et validons des transactions au moyen de mécanismes d'authentification toujours plus sophistiqués. Ces évolutions ont considérablement facilité les paiements et renforcé leur sécurité technique. Elles ont également modifié les méthodes des fraudeurs, qui cherchent désormais moins à contourner directement les protections informatiques qu'à manipuler les personnes chargées de les utiliser.
L'arrêt Tukowiecka intervient dans ce contexte, alors que les statistiques européennes montrent une progression de la valeur des paiements frauduleux et que plusieurs États, dont la Belgique, réfléchissent à de nouvelles réponses réglementaires. Au-delà de la protection individuelle des consommateurs, c'est donc la répartition des risques dans l'économie numérique qui mérite d'être examinée.
Une fraude ordinaire, une question juridique moins ordinaire
L'affaire soumise à la Cour trouve son origine en Pologne. Une cliente bancaire avait mis un objet en vente sur une plateforme en ligne lorsqu'une personne se présentant comme un acheteur potentiel l'avait contactée. Pour confirmer la transaction, cet interlocuteur lui avait transmis un lien qui semblait provenir de la plateforme. En le suivant, la vendeuse avait été redirigée vers une page reproduisant l'apparence du site de sa banque, sur laquelle elle avait introduit ses identifiants de connexion.
Ces informations avaient ensuite permis à un tiers de réaliser un virement depuis son compte. La cliente avait signalé l'opération dès le lendemain, mais sa banque avait refusé de la rembourser, considérant qu'elle avait fait preuve d'une négligence grave en communiquant ses données bancaires sur un site frauduleux.
La situation n'a rien d'exceptionnel. Elle illustre une forme d'hameçonnage dans laquelle l'escroc exploite simultanément la confiance accordée à une plateforme commerciale, la familiarité d'une interface bancaire et la volonté de l'utilisateur de terminer une opération apparemment légitime. La victime ne cherche pas à contourner les mécanismes de sécurité. Elle croit accomplir une démarche ordinaire, dans un environnement qui lui semble crédible.
La juridiction polonaise saisie du litige a demandé à la Cour de justice comment articuler deux dispositions de la deuxième directive européenne sur les services de paiement, la DSP2. L'une organise le remboursement des opérations non autorisées, tandis que l'autre détermine dans quelles circonstances l'utilisateur peut être tenu de supporter les pertes, notamment lorsqu'il a manqué intentionnellement ou par négligence grave à ses obligations.
La difficulté venait du fait que ces deux questions étaient traitées comme si elles devaient nécessairement recevoir une réponse simultanée. Pour la banque, le comportement de la cliente justifiait de refuser immédiatement le remboursement. Pour la Cour, cette interprétation risquait de priver de son efficacité la protection prévue par le droit européen.
L'arrêt rappelle que, lorsqu'une opération est non autorisée, le prestataire doit en principe rembourser le payeur immédiatement, et au plus tard à la fin du premier jour ouvrable suivant celui où il a constaté l'opération ou en a été informé. La directive prévoit une exception lorsque le prestataire dispose de bonnes raisons de soupçonner une fraude commise par le payeur et communique ces raisons par écrit à l'autorité nationale compétente.
La négligence grave supposée du client ne constitue pas, à elle seule, cette exception. La banque ne peut donc pas retenir les fonds pendant qu'elle cherche à établir la responsabilité de l'utilisateur. Elle conserve néanmoins la possibilité d'agir ultérieurement pour obtenir restitution si cette responsabilité est démontrée.
Le raisonnement est important, car il distingue le mécanisme de protection immédiate de la détermination définitive de la charge financière. Un client peut être remboursé sans que cela signifie nécessairement qu'il sera définitivement exonéré de toute responsabilité. Inversement, une banque peut estimer qu'une personne a été particulièrement imprudente sans que cette appréciation lui permette de suspendre automatiquement le remboursement.
Cette organisation tient aussi compte d'une réalité économique. Lorsqu'un particulier perd plusieurs milliers d'euros, l'attente d'une décision judiciaire peut avoir des conséquences immédiates sur sa vie quotidienne. Les établissements financiers disposent généralement de capacités plus importantes pour instruire les dossiers, conserver les preuves techniques et engager les procédures nécessaires. Le droit européen ne supprime pas les responsabilités individuelles, mais il organise leur examen de manière à ce que la protection du consommateur ne dépende pas entièrement de sa capacité à financer un litige.
Il faut cependant éviter d'attribuer à l'arrêt une portée qu'il n'a pas. Il ne signifie pas que toutes les victimes d'escroquerie doivent être remboursées dans toutes les circonstances. La qualification juridique de l'opération reste déterminante, et c'est précisément sur ce point que les fraudes contemporaines soulèvent de nouvelles difficultés.
Quand les systèmes de sécurité fonctionnent, mais que la fraude réussit
Les données publiées en décembre 2025 par l'Autorité bancaire européenne (ABE) et la Banque centrale européenne (BCE) permettent de mieux comprendre l'évolution du phénomène. En 2024, la valeur des opérations de paiement frauduleuses déclarées dans l'Espace économique européen a atteint 4,2 milliards d'euros, contre environ 3,5 milliards l'année précédente. L'augmentation est de 17 %, soit 602 millions d'euros supplémentaires.
Présenté isolément, ce montant pourrait donner l'impression d'une dégradation générale de la sécurité des paiements. Le rapport invite pourtant à une lecture plus nuancée. La valeur des opérations frauduleuses représente environ 0,002 % de la valeur totale des paiements. Les infrastructures européennes traitent donc un volume considérable de transactions avec un taux de fraude globalement faible, même si les montants absolus demeurent préoccupants.
Le rapport souligne également que l'authentification forte a contribué à réduire certaines catégories de fraude, notamment celles qui touchent les paiements par carte. L'introduction de plusieurs facteurs d'authentification a rendu plus difficile l'utilisation de données bancaires dérobées et limité des méthodes qui étaient autrefois courantes.
Mais les fraudeurs se sont adaptés. Lorsqu'il devient plus difficile de réaliser une opération sans validation, une autre stratégie consiste à convaincre le titulaire du compte de la valider lui-même. L'escroc peut se présenter comme un conseiller bancaire, un fournisseur, un service administratif ou un proche. Il peut invoquer une urgence, une anomalie de sécurité ou la nécessité de protéger des fonds prétendument menacés.
Dans certaines situations, la personne manipulée réalise elle-même un virement vers un compte contrôlé par les criminels. Dans d'autres, elle fournit des informations permettant à un tiers d'effectuer une opération sans son consentement. Les conséquences économiques peuvent être semblables, mais le droit ne traite pas nécessairement ces situations de manière identique.
La distinction entre opération autorisée et opération non autorisée est ici essentielle. L'authentification d'un paiement ne suffit pas, à elle seule, à établir son autorisation juridique. Une opération peut avoir été validée au moyen d'un dispositif technique sans que cela démontre automatiquement le consentement du titulaire à l'opération effectivement réalisée.
À l'inverse, lorsqu'une personne donne elle-même un ordre de virement parce qu'elle a été trompée sur l'identité du bénéficiaire ou sur les circonstances de la transaction, le régime applicable peut être différent. Ces fraudes, souvent désignées par l'expression anglaise Authorized Push Payment fraud, constituent un défi particulier pour les mécanismes traditionnels de protection.
Les statistiques de l'ABE et de la BCE montrent d'ailleurs que les utilisateurs ont supporté environ 85 % des pertes liées aux virements frauduleux en 2024. Ce chiffre mérite une attention particulière, mais il ne doit pas être interprété comme la preuve que les établissements financiers auraient illégalement refusé de rembourser 85 % des victimes. Il s'agit d'une répartition statistique des pertes observées, couvrant des situations et des mécanismes de fraude différents.
Cette donnée révèle néanmoins une difficulté : une grande partie du coût économique des escroqueries continue de peser sur les utilisateurs des services de paiement, alors même que ces services reposent sur des infrastructures, des mécanismes de contrôle et des chaînes de décision auxquels les particuliers n'ont qu'un accès limité.
Nous retrouvons ici un problème plus large de gouvernance numérique. Les dispositifs de sécurité ont longtemps été conçus pour vérifier l'identité d'un utilisateur et la possession de ses moyens d'authentification. Ils sont généralement moins bien équipés pour déterminer si cet utilisateur agit librement, comprend réellement la transaction ou subit une manipulation.
Une confirmation effectuée avec le bon téléphone et le bon code peut être techniquement valide tout en résultant d'une tromperie. Cela ne rend pas l'authentification forte inutile, bien au contraire, mais montre qu'elle ne peut constituer l'unique réponse à l'évolution des fraudes.
Les protections doivent donc évoluer. La vérification du bénéficiaire, la détection des transactions inhabituelles, les avertissements contextualisés ou encore la coopération entre prestataires peuvent contribuer à réduire certains risques. Ces mécanismes doivent toutefois rester proportionnés. Une surveillance trop intrusive des comportements financiers poserait d'autres questions, notamment en matière de protection des données et de liberté des utilisateurs.
La sécurité des paiements devient ainsi un exercice d'équilibre entre prévention, fluidité des transactions, protection de la vie privée et répartition des responsabilités.
La Belgique face à une articulation juridique délicate
L'arrêt Tukowiecka intervient à un moment particulier pour la Belgique. Le 16 octobre 2026, soit le lendemain de la décision européenne, le Conseil des ministres a approuvé un avant-projet de loi consacré à la lutte contre la fraude en ligne et le phishing.
Le texte annoncé entend notamment préciser la notion d'autorisation d'une opération de paiement et renforcer les exigences de preuve imposées aux prestataires. Il prévoit également, dans certaines situations de suspicion objectivement justifiée, un délai de quinze jours ouvrables à l'issue duquel le prestataire devrait rembourser l'utilisateur ou motiver son refus, avec indication des possibilités de recours.
Ces orientations répondent à des difficultés réelles. Les litiges portant sur l'autorisation des paiements peuvent être complexes, notamment lorsque les systèmes informatiques attestent qu'une authentification a eu lieu, mais que le client conteste avoir consenti à l'opération. La qualité des preuves, la motivation des décisions et la transparence des procédures sont donc essentielles.
La réforme annoncée soulève toutefois une question qui devra être examinée avec attention : comment articuler une procédure nationale comportant une fenêtre de quinze jours avec l'obligation européenne de remboursement immédiat des opérations non autorisées, telle que précisée par la Cour de justice ?
Il serait prématuré d'affirmer que ces dispositions sont incompatibles. Leur portée dépendra de la rédaction définitive, des situations qu'elles visent et de leur articulation avec les exceptions déjà prévues par le droit européen. Au 20 octobre 2026, le texte belge reste un avant-projet transmis pour avis au Conseil d'État. Il n'a pas été adopté comme loi et peut encore évoluer.
Cette situation illustre les difficultés auxquelles sont confrontés les législateurs nationaux lorsqu'ils souhaitent répondre rapidement à des pratiques frauduleuses en constante évolution. Les initiatives nationales doivent apporter des solutions concrètes sans fragiliser l'harmonisation européenne des droits et obligations.
L'enjeu dépasse d'ailleurs la seule Belgique. La révision du cadre européen des services de paiement, à travers les travaux relatifs à la DSP3 et au futur règlement sur les services de paiement, s'inscrit dans une réflexion plus large sur la prévention de la fraude, la protection des utilisateurs et la responsabilité des prestataires.
Il faut ici distinguer les objectifs politiques, les textes en préparation et les obligations déjà applicables. Une annonce de réforme ne modifie pas immédiatement le droit, pas davantage qu'un arrêt de la Cour ne résout automatiquement toutes les situations de fraude. Les évolutions doivent être appréciées dans leur contexte juridique précis.
Les banques, de leur côté, sont confrontées à des contraintes qui méritent également d'être prises en considération. Elles doivent détecter des opérations suspectes parmi des millions de transactions légitimes, investir dans leurs infrastructures de sécurité, traiter les réclamations et lutter contre des réseaux criminels parfois organisés à l'échelle internationale. Elles doivent aussi pouvoir se prémunir contre les déclarations frauduleuses de clients cherchant à obtenir indûment un remboursement.
Ces réalités expliquent pourquoi la répartition des pertes ne peut pas être abordée uniquement sous l'angle d'une opposition entre établissements financiers et consommateurs. Une protection trop faible risque de laisser les victimes supporter des pertes qu'elles ne pouvaient raisonnablement prévenir. À l'inverse, un dispositif qui ferait systématiquement supporter tous les risques à un seul acteur pourrait produire d'autres déséquilibres, notamment en matière de coûts, de tarification et d'incitations à la prévention.
Le rôle du droit consiste précisément à organiser cette répartition de manière cohérente. Il doit déterminer les obligations de chacun, prévoir des mécanismes de recours accessibles et encourager les investissements de sécurité là où ils peuvent être les plus efficaces.
Une question de gouvernance européenne
La fraude bancaire est devenue un phénomène profondément transfrontalier. Une victime peut se trouver en Belgique, utiliser une plateforme exploitée dans un autre État membre, être contactée par un escroc situé hors de l'Union et transférer de l'argent vers un compte ouvert dans un troisième pays.
Les opérations sont rapides, les intermédiaires nombreux et les responsabilités parfois difficiles à établir. Les banques disposent de certaines informations sur les transactions, les plateformes connaissent une partie des interactions qui précèdent la fraude, les opérateurs de télécommunications peuvent observer des usages suspects et les autorités publiques possèdent des compétences d'enquête et de sanction. Aucun de ces acteurs ne dispose, à lui seul, d'une vision complète.
Cette fragmentation constitue l'une des principales difficultés de la lutte contre les escroqueries numériques. Elle explique pourquoi les campagnes de sensibilisation, bien que nécessaires, ne peuvent suffire. Demander aux citoyens d'être vigilants reste pertinent, mais cette recommandation ne peut remplacer des mécanismes de prévention, de coopération et de réparation adaptés à la réalité des risques.
La question est également celle des capacités d'action. Qui peut détecter une transaction inhabituelle ? Qui peut vérifier l'identité du bénéficiaire ? Qui dispose des moyens de suspendre une opération suspecte ? Qui peut intervenir lorsqu'un transfert implique plusieurs établissements et plusieurs juridictions ?
Ces interrogations permettent de dépasser une approche exclusivement fondée sur la faute individuelle. Elles ne conduisent pas nécessairement à faire peser toutes les responsabilités sur les prestataires financiers. Elles invitent plutôt à examiner ce que chaque acteur peut effectivement prévenir, contrôler ou corriger.
La souveraineté numérique européenne ne se limite pas à la localisation des infrastructures ou à l'origine des fournisseurs technologiques. Elle concerne également la capacité de l'Union à définir et faire appliquer des règles communes dans des systèmes numériques dont le fonctionnement quotidien dépend d'une multitude d'intervenants.
Les services de paiement constituent, à cet égard, un exemple particulièrement révélateur. L'Europe a construit un marché largement intégré, accompagné d'exigences réglementaires importantes en matière de sécurité et de protection des utilisateurs. Mais cette intégration ne garantit pas, à elle seule, une répartition satisfaisante des risques lorsque les mécanismes techniques et les comportements humains interagissent de manière imprévue.
L'arrêt Tukowiecka apporte une clarification juridique utile en rappelant que le remboursement immédiat d'une opération non autorisée ne peut être écarté sur la seule base d'une négligence grave supposée. Il laisse cependant ouvertes des questions plus vastes concernant les fraudes par manipulation, les obligations de prévention et la coopération entre les acteurs.
À mesure que les paiements deviennent plus rapides et plus automatisés, la capacité de récupérer les fonds après une fraude peut se réduire. La prévention et la détection prennent donc une importance croissante, tout comme la qualité des mécanismes de réparation lorsque ces protections échouent.
La confiance dans les paiements numériques repose sur un équilibre fragile. Les utilisateurs doivent pouvoir agir avec prudence et comprendre leurs obligations, mais ils doivent aussi disposer de recours effectifs lorsqu'une opération est réalisée sans leur autorisation. Les établissements financiers doivent investir dans la sécurité et respecter les règles de remboursement, tout en conservant la possibilité de faire valoir les responsabilités qui peuvent être légalement établies. Les autorités publiques doivent, enfin, assurer la cohérence des dispositifs nationaux avec le cadre européen et favoriser une coopération capable de répondre à des fraudes qui ne s'arrêtent pas aux frontières.
C'est probablement dans cette articulation que se situe l'enjeu principal. Un système de paiement fiable ne se mesure pas seulement au nombre de transactions qu'il exécute sans incident. Il doit également être capable de traiter équitablement les situations dans lesquelles la sécurité, la vigilance ou la confiance ont été mises en défaut.
L'affaire polonaise portait sur environ 700 euros. Elle rappelle pourtant que la solidité d'un marché numérique européen se joue aussi dans la manière dont ses règles protègent les utilisateurs et répartissent les responsabilités lorsque les mécanismes de confiance ne suffisent plus.
Pour approfondir cette analyse
J'ai consacré à ces questions un livre blanc de recherche intitulé « Qui paie la fraude bancaire ? L'arrêt Tukowiecka et la répartition des pertes en Europe ».
Ce rapport examine le cadre juridique européen, la portée de la décision du 15 octobre 2026, les données statistiques de l'ABE et de la BCE, les responsabilités respectives des acteurs ainsi que les réponses nationales et les perspectives de réforme. Il propose une analyse indépendante, sans chercher à défendre systématiquement les positions des établissements financiers ou celles des consommateurs.
Le livre blanc est disponible gratuitement sur Zenodo, sous licence Creative Commons Attribution 4.0 International (CC BY 4.0).
Référence : Willot, F. (2026). Qui paie la fraude bancaire ? L'arrêt Tukowiecka et la répartition des pertes en Europe (version 1.0). Zenodo.
DOI : https://doi.org/10.5281/zenodo.23498360
Consulter et télécharger le livre blanc : https://zenodo.org/records/23498360
Sources principales
Cour de justice de l'Union européenne, arrêt Tukowiecka, C-70/25, 15 octobre 2026, ECLI:EU:C:2026:852.
Cour de justice de l'Union européenne, communiqué de presse n° 147/26, 15 octobre 2026.
Autorité bancaire européenne et Banque centrale européenne, Report on Payment Fraud, décembre 2025.
Directive (UE) 2015/2366 relative aux services de paiement dans le marché intérieur.
Conseil des ministres belge, communiqué du 17 octobre 2026 relatif à l'avant-projet de loi sur la fraude en ligne et le phishing.
