Dans les banques, c'est le branle-bas de combat. En cause : un arrêt de la Cour de justice de l'Union européenne (CJUE) rendu le 15 octobre, qui porte sur le remboursement des victimes de phishing (fraude en ligne sur les virements ou les paiements bancaires). Les victimes peuvent-elles espérer que les banques se montreront dorénavant plus diligentes face à leurs demandes de remboursement ? À voir…

Que dit l'arrêt de la Cour européenne de Justice ?

Les banques sont tenues de rembourser immédiatement, c'est-à-dire dans les 24 heures, les victimes de phishing du montant des paiements non autorisés, même en cas de "négligence grave". Pour le dire autrement, la négligence grave du client ne permet pas à la banque, comme elle le faisait couramment, de refuser le remboursement immédiat d'une opération non autorisée. Si la banque estime qu'il y a négligence grave, ce sera à elle d'aller devant le tribunal et d'en apporter la preuve et, ainsi, espérer récupérer l'argent remboursé.

Les faits à l'origine de cet arrêt se sont passés en Pologne. Une cliente a vendu un objet sur une plateforme d'enchères. Un faux acheteur lui a envoyé un lien. Elle a saisi ses identifiants sur une copie du site de sa banque, puis a communiqué le code de confirmation reçu par SMS. Le fraudeur a viré 3 000 zlotys. La banque a refusé de rembourser sous prétexte que la cliente aurait été gravement négligente.

S'agit-il d'une "bombe" pour les banques ?

L'avocat Gilles Laguesse tient à relativiser la portée de cet arrêt et la conclusion selon laquelle les victimes pourraient être plus facilement indemnisées.

"L'arrêt repose sur une prémisse que personne n'a discutée : l'opération était non autorisée. La banque polonaise ne le contestait pas. Elle plaidait seulement que la négligence l'exonérait", explique-t-il.

Or, les banques belges refusent dans la majorité des cas de rembourser les victimes de phishing, estimant que la transaction a été autorisée.

Pour Me Laguesse, d'un point de vue pratique, cet arrêt veut dire deux choses. Un : "Si le paiement est manifestement non autorisé, la banque doit rembourser tout de suite. Elle ne peut pas attendre que la négligence soit discutée".

Deux : "si la banque constate, logs à l'appui (à savoir les journaux informatiques des opérations), que le client a lui-même validé le paiement, l'arrêt ne l'oblige pas à rembourser. Le client qui conteste devra toujours s'adresser au juge, comme avant, et c'est le juge qui dira si le paiement était autorisé et, le cas échéant, si le client a été négligent".

Pour Me Geert Lenssens, les banques vont avoir une interprétation minimaliste de l'arrêt. Il en veut pour preuve qu'elles "entament d'autres débats sur lesquels la question n'est pas encore tranchée définitivement. L'un de ces débats porte précisément sur les conditions dans lesquelles un paiement est 'autorisé' et celles dans lesquelles il ne l'est pas".

Qu'entend-on par transaction autorisée ?

Dans une fraude typique, un faux employé de banque appelle le client, et c'est le client lui-même qui valide le virement avec Itsme ou son lecteur de carte, l'écran affichant le montant et le bénéficiaire. La loi (article VII.32 du Code de droit économique d'application depuis 2009) considère qu'un paiement est autorisé lorsque le client a donné son consentement sous la forme convenue avec sa banque, rappelle Me Laguesse.

"La plupart des juridictions néerlandophones, cours d'appel comprises, considèrent qu'un tel paiement est autorisé, même si le client a été trompé. D'autres juges, à Liège notamment, voient les choses autrement. Dans les deux cas, la question de la négligence du client reste posée ensuite", ajoute-t-il.

Pour Me Lenssens, les banques ont eu, jusqu'à maintenant, une lecture (trop) large de la notion de transaction autorisée. Il en veut pour preuve un de ses dossiers où la banque considérait la transaction autorisée "quand l'escroc arrivait à saisir le code de la victime et introduisait le code lui-même sans intervention de la victime".

Que vont changer les législations en préparation ?

Le conseil des ministres a approuvé, vendredi dernier, un projet de loi qui va quelque peu changer les règles du jeu, dont certaines en faveur des banques et d'autres en faveur des victimes de phishing. Les banques disposeront d'un délai de 15 jours ouvrables pour examiner la situation. Passé ce délai, elles pourront refuser un remboursement, à condition de fournir une explication motivée à cet effet.

Il sera toutefois un peu plus difficile pour elles de refuser les remboursements. "Selon ce qui en a été annoncé, le projet dirait qu'une usurpation d'identité (ou quand c'est le fraudeur qui encode les opérations depuis son appareil) sera une opération non autorisée tandis qu'actuellement, c'est encore débattu en jurisprudence", souligne Me Laguesse.

Y a-t-il un effet rétroactif ?

Depuis la sortie de l'arrêt, Ombudsfin a déjà reçu de nombreuses demandes de plaignants souhaitant rouvrir des dossiers clôturés. Ce qui pose la question de l'éventuel effet rétroactif. "L'arrêt ne crée pas de règle nouvelle, donc la question de la rétroactivité ne se pose pas vraiment. La question reste la même : l'opération était-elle autorisée ou non ? Un dossier clôturé par un jugement ou par un accord ne se rouvre pas du seul fait de cet arrêt", répond Me Laguesse.

D'après Me Aurélie Jonkers, qui cite les chiffres du médiateur, moins de quatre dossiers de fraude en ligne sur dix aboutissent à une indemnisation, alors que les plaintes ont doublé sur les premiers mois de cette année.