Authentification forte (DSP2) : vos droits quand la banque refuse de rembourser

L'article L133-23 du Code monétaire et financier est le texte central. Il prévoit que lorsqu'un utilisateur nie avoir autorisé une opération, il revient à son prestataire de services de paiement de prouver que l'opération a été authentifiée, dûment enregistrée et comptabilisée, et qu'elle n'a pas été affectée par une déficience technique.

Le même article ajoute une précision décisive : l'utilisation de l'instrument de paiement, telle qu'enregistrée par le prestataire, ne suffit pas nécessairement à prouver que l'opération a été autorisée par le payeur, ni qu'il aurait commis une négligence grave.

Autrement dit, produire un journal technique montrant qu'un code a été saisi ne clôt pas le débat. C'est l'inverse du raisonnement que l'on oppose souvent aux victimes : « il y a eu authentification forte, donc c'est vous ».

L'article L133-44 du Code monétaire et financier impose au prestataire d'appliquer l'authentification forte lorsque le payeur accède à son compte de paiement en ligne, initie une opération de paiement électronique, ou exécute une opération par un moyen de communication à distance susceptible de comporter un risque de fraude.

Cette obligation pèse sur la banque, pas sur vous. Si l'opération contestée a été exécutée sans authentification forte alors qu'elle en relevait, c'est un manquement du prestataire — et non un indice de votre responsabilité.

À l'inverse, le fait qu'une authentification forte ait techniquement eu lieu n'établit pas à lui seul que c'est vous qui l'avez réalisée. Les techniques d'hameçonnage et de « faux conseiller bancaire » consistent précisément à faire valider l'opération par la victime elle-même, sous une fausse urgence.

L'article L133-19 du Code monétaire et financier distingue plusieurs cas. En cas d'opération non autorisée consécutive à la perte ou au vol de l'instrument de paiement, le payeur supporte, avant d'avoir informé sa banque, les pertes dans une limite plafonnée.

Mais ce plafond ne s'applique pas dans tous les cas : le même article écarte toute franchise dans certaines situations, notamment lorsque l'opération a été effectuée sans que le prestataire exige une authentification forte.

La règle générale de remboursement figure à l'article L133-18 : lorsque l'opération n'a pas été autorisée, la banque rembourse immédiatement le montant, et au plus tard à la fin du premier jour ouvrable suivant la réception de la contestation.

Les banques opposent fréquemment la négligence grave pour refuser le remboursement. C'est une exception, et c'est à elles de l'établir : l'article L133-23 précise que le simple relevé d'utilisation de l'instrument ne suffit pas à la prouver.

Ce point mérite d'être rappelé par écrit dans votre contestation, parce qu'il inverse la discussion. Vous n'avez pas à démontrer votre prudence : la banque doit démontrer votre négligence, et elle doit le faire par des éléments précis.

Averida ne se prononce pas sur l'issue de votre dossier : l'appréciation de la négligence grave relève du juge, au cas par cas. Ce guide décrit la répartition de la charge de la preuve, pas un résultat.

Adressez d'abord une réclamation écrite au service clientèle, puis au service réclamations de l'établissement. Conservez chaque envoi et chaque réponse : c'est ce dossier qui fondera la suite.

Si la réponse ne vous satisfait pas, ou en l'absence de réponse, vous pouvez saisir gratuitement le médiateur bancaire de votre établissement. Ses coordonnées figurent sur vos relevés de compte et sur le site de la banque.

La voie judiciaire reste ouverte ensuite. Les délais de contestation étant enfermés dans des limites strictes (voir ci-dessous), n'attendez pas l'issue amiable pour contester formellement l'opération.