Opérations non autorisée ou mal exécutées: 13 mois en mode express, 5 ans en slow motion : le grand écart de l’arrêt du 2 juillet 2025

L’arrêt du 2 juillet 2025, rendu par la chambre commerciale, pourvoi n° 24-16.590, porte sur la contestation par un utilisateur de services de paiement (titulaire d’un compte bancaire) d’opérations de paiement qu’il estime non autorisées.

Le débat porte principalement sur l’articulation du délai de signalement prévu à l’article L. 133-24 du code monétaire et financier et le délai pour agir en justice.

La cour d’appel avait jugé irrecevable l’action de l’utilisateur introduite plus de treize mois après le débit, alors que le signalement de la fraude à la banque avait bien été effectué dans ce délai. La Cour de cassation, dans cet arrêt, vient censurer cette décision, clarifiant la portée du délai de treize mois et l’étendue du droit d’agir en justice du titulaire du compte.

‍

Évolution de la jurisprudence interne et européenne jusqu’à la solution de 2025

‍

Historiquement, la question de la notification d’une opération non autorisée et du délai de forclusion a donné lieu à une hésitation jurisprudentielle, tant au niveau interne qu’européen. L’article L. 133-24 du code monétaire et financier, issu de la transposition de la directive 2007/64/CE dite DSP1, impose à l’utilisateur de signaler « sans tarder » et « au plus tard dans les treize mois suivant la date de débit sous peine de forclusion » une opération non autorisée à son prestataire de services de paiement. La question essentielle a longtemps été de savoir si ce délai de treize mois concernait uniquement le signalement de l’opération ou également l’introduction de l’action en justice, et quelles conséquences découlent d’un signalement tardif intervenu néanmoins dans le délai butoir de treize mois.

La doctrine et la jurisprudence se sont opposées sur le point de savoir si le non-respect de l’obligation de signaler « sans tarder » permettait à la banque de refuser le remboursement, même si l’utilisateur avait notifié dans le délai de treize mois. Plusieurs juridictions du fond, en s’appuyant notamment sur une lecture extensive de l’arrêt CJUE du 2 septembre 2021 (aff. 337/20), ont jugé que l’utilisateur devait engager une action judiciaire dans ce même délai de treize mois, sous peine de forclusion, écartant ainsi l’application du délai de prescription de droit commun de cinq ans prévu à l’article 2224 du code civil (« en interprétant de manière extensive la portée d’un arrêt rendu le 2 septembre 2021 par la CJUE (aff. 337/20), plusieurs juridictions du fond ont jugé que le manquement de la victime d’engager une action judiciaire à l’encontre du PSP dans un délai de 13 mois à compter du débit de l’opération frauduleuse la priverait de son droit d’agir contre lui sur tout fondement »). Cette lecture a pourtant été critiquée comme étant contraire au considérant 31 de la DSP1, qui précise que le respect du délai de notification permet à l’utilisateur de faire valoir ses droits dans la limite des délais de prescription nationaux (« si l’utilisateur respecte le délai de notification, il devrait pouvoir faire valoir ses revendications dans la limite des délais de prescription conformément au droit national »).

La cour d’appel de Bourges, dans un arrêt du 15 décembre 2022, a adopté une lecture plus stricte du texte, considérant que le délai de treize mois ne vise que la notification à la banque, l’action en justice restant enfermée dans le délai de prescription quinquennal (« l’application du délai spécial de forclusion ne serait qu’un préalable à l’action en justice, enfermée dans le délai quinquennal de prescription de droit commun »). Cette position a été confirmée par d’autres juridictions comme la cour d’appel de Paris le 8 novembre 2023, qui jugent que le délai de forclusion ne concerne que le signalement et non l’introduction de l’action judiciaire.

Parallèlement, la Cour de cassation a récemment consacré l’exclusivité du régime de responsabilité institué par les articles L. 133-18 à L. 133-24 du code monétaire et financier, à l’exclusion de tout autre régime, notamment de responsabilité de droit commun, suivant la jurisprudence européenne (CJUE, aff. Beobank, C-351/21) et ses propres arrêts du 27 mars 2024 et 2 mai 2024 (« en matière d’opération non autorisée ou mal exécutée, l’utilisateur ne peut rechercher la responsabilité de son établissement bancaire que sur le fondement du régime de responsabilité des PSP défini aux articles L 133-18 à L 133-24 du Code monétaire et financier, à l’exclusion de tout régime alternatif de responsabilité »), (« ce caractère exclusif a été affirmé par la Cour de cassation dans un arrêt du 27 mars 2024 (Cass. com. 27-3-2024 n° 22-21.200 FSB : RJDA 6/24 n° 360 ), décision inspirée de l’interprétation par la CJUE des directives 2007/64/CE du 13 novembre 2007 (DSP1) et 2015/2366/UE du 25 novembre 2015 concernant les services de paiement dans le marché intérieur (DSP2), et qui a pour conséquence de modifier en profondeur le régime de la responsabilité des prestataires de services de paiement »).

La Cour de cassation, en s’appuyant sur la lettre du texte et sa genèse européenne, a ainsi estimé que l’utilisateur doit signaler l’opération non autorisée « sans tarder » et dans un délai maximal de treize mois, mais que ce délai de signalement est distinct du délai pour saisir la justice (« l’application du délai spécial de forclusion ne serait qu’un préalable à l’action en justice, enfermée dans le délai quinquennal de prescription de droit commun (CA Paris 8-11-2023 n o 22/00090) »). Une fois le signalement effectué dans les treize mois, l’action de l’utilisateur demeure possible, sous réserve du respect du délai de prescription quinquennal de droit commun. Cette lecture s’inscrit dans le respect du considérant 31 de la directive DSP1 et de son esprit protecteur du consommateur.

‍

Appréciation critique de la solution

La solution adoptée par la Cour de cassation dans l’arrêt du 2 juillet 2025 s’avère particulièrement fondée au regard de la lettre du texte, de sa genèse européenne et de la nécessité d’assurer la sécurité juridique et la protection des utilisateurs de services de paiement. En distinguant clairement le délai de signalement de l’opération non autorisée (treize mois) du délai d’introduction de l’action en justice (cinq ans), la Cour garantit aux victimes de fraudes bancaires la possibilité de faire valoir leurs droits, tout en assurant aux prestataires de services de paiement la sécurité nécessaire pour organiser la gestion des réclamations.

Cette position met fin à une incertitude jurisprudentielle qui fragilisait la protection des consommateurs et risquait d’encourager des pratiques restrictives de la part des établissements bancaires. Elle s’appuie sur une interprétation conforme au droit de l’Union européenne, notamment au considérant 31 de la DSP1, et sur une cohérence avec la jurisprudence européenne la plus récente (« la Cour de cassation a mis un terme à cette hésitation jurisprudentielle par deux arrêts du 27 mars 2024 ( Cass. com. 27-3-2024 n o 22-21.200 FS-B : RJDA 6/24 n o 360 ) et du 2 mai 2024 ( Cass. com. 2-5-2024 n o 22-18.074 ) en visant explicitement l’arrêt « Beobank » de la CJUE (aff. 351/21 précitée) pour juger qu’en matière d’opération non autorisée ou mal exécutée, l’utilisateur ne peut rechercher la responsabilité de son établissement bancaire que sur le fondement du régime de responsabilité des PSP défini aux articles L 133-18 à L 133-24 du Code monétaire et financier, à l’exclusion de tout régime alternatif de responsabilité. »).

On pourrait toutefois émettre une réserve de principe sur le caractère potentiellement excessif de la rigueur imposée à l’utilisateur quant à l’obligation de signaler « sans tarder » l’opération litigieuse. Certaines juridictions du fond, avant la présente clarification, ont pu considérer que le signalement tardif, même dans le délai de treize mois, pouvait être opposé à l’utilisateur. Toutefois, la solution de la Cour de cassation vient utilement rappeler que seul un dépassement du délai maximal de treize mois emporte forclusion, le respect de l’obligation de signalement « sans tarder » devant s’apprécier in concreto, notamment à l’aune de la bonne foi de l’utilisateur et de la preuve d’une éventuelle négligence grave ou d’une fraude, dont la charge incombe à la banque (« la preuve de cet agissement frauduleux ou de cette négligence grave doit être apportée par le PSP »).

En définitive, la solution de la Cour de cassation concilie efficacement la sécurité des opérations et la protection des victimes, en posant une articulation claire et conforme à l’objectif de la directive européenne. Elle limite les risques d’abus procéduraux, sécurise le régime applicable et consacre le principe d’exclusivité du régime de responsabilité du code monétaire et financier. Cette solution, équilibrée et conforme à l’esprit du droit européen, ne souffre pas, en l’état, de critiques majeures, sinon celle, marginale, d’un éventuel alourdissement de la charge procédurale pour les victimes, qui doivent rester particulièrement vigilantes dans la surveillance de leur compte et la célérité du signalement.

‍

Conclusion

L’arrêt du 2 juillet 2025 s’inscrit dans l’évolution jurisprudentielle qui consacre l’exclusivité du régime de responsabilité du code monétaire et financier, opérant une clarification bienvenue entre le délai de signalement et le délai d’action en justice. Cette solution, conforme à la lettre et à l’esprit du droit européen, protège efficacement l’utilisateur tout en assurant la sécurité des établissements bancaires. Elle ne souffre de critiques substantielles que sur la rigueur potentielle de l’obligation de signalement « sans tarder », rigueur toutefois atténuée par la charge de la preuve reposant sur la banque et l’appréciation concrète des circonstances.

Vous souhaitez approfondir certains aspects spécifiques de cet arrêt ? Nous pouvons, par exemple, détailler l’impact de la distinction entre délai de signalement et délai d’action sur la stratégie contentieuse, analyser plus finement les exigences probatoires en matière de négligence grave, ou encore comparer ce régime à d’autres dispositifs protecteurs du consommateur bancaire. N’hésitez pas à préciser les points qui vous intéressent pour une analyse sur mesure.

‍

‍

‍