Vos droits et les conseils de l'UFC-Que Choisir

Les cas les plus fréquents

Vous constatez sur vos relevés de compte des paiements réalisés avec votre carte bancaire, opérations que vous contestez. Mais votre carte n’a pas été volée et personne d’autre que vous ne l’a utilisée.

Pour obtenir le remboursement de ces opérations, il vous suffit de prendre contact avec votre banque. Privilégiez l’envoi d’un courriel ou, idéalement, d’une lettre recommandée avec accusé de réception. Cela vous permettra de prouver votre démarche. Vous pouvez utiliser le modèle de lettre disponible sur notre site .

Votre banque doit alors vous rembourser immédiatement, sans vous facturer de frais ni exiger de dépôt de plainte. 

En cas de difficulté, vous pouvez être épaulé par l’une des associations locales de l’UFC-Que Choisir.

La fraude au sans contact

Vous constatez plusieurs paiements de faible montant réalisés avec votre carte bancaire. Votre établissement financier vous précise qu’il s’agit de paiements effectués avec la fonction « sans contact » de votre carte. Vous contestez ces opérations et souhaitez être remboursé.

La réglementation impose à votre banque de vous rembourser immédiatement tous les paiements contestés. La fonction « sans contact » est un paiement exécuté sans l’utilisation de votre code confidentiel. À ce titre, votre banque doit vous rembourser sans vous facturer de frais ni exiger de dépôt de plainte, à moins de prouver une fraude de votre part.

Et si votre banque vous parle d'un dépôt de plainte ?

Nous constatons que les banques conditionnent souvent le remboursement à un dépôt de plainte préalable. Aujourd’hui, les services de police et de gendarmerie sont débordés par ces dépôts de plainte et refusent parfois de prendre la plainte des victimes de fraudes bancaires. En tout état de cause, les textes légaux ne prévoient pas que le client victime d’une fraude bancaire doive déposer plainte. Au contraire, la loi prévoit que la banque rembourse immédiatement son client dès que celui-ci lui signale une opération non autorisée.

ET SI VOTRE BANQUE VOUS PARLE DE 3D SECURE, de 3DS ou d’OTPSMS ?

Ces termes désignent une opération pour laquelle un mot de passe temporaire à usage unique a été envoyé par SMS, supposé renforcer l’authentification du client puisqu’en principe il est le seul à détenir son téléphone, et à pouvoir obtenir le mot de passe. Le fait qu’une opération non autorisée ait été faite via l’usage de ce procédé ne remet pas en cause votre droit à remboursement. Ce type de procédé ne garantit pas que l’opération a été dûment autorisée. En effet, il y a belle lurette que les fraudeurs ont réussi à contourner le système 3D Secure, par exemple en dupliquant la ligne téléphonique de leur victime.

ET SI VOTRE BANQUE VOUS REPROCHE DES MANQUEMENTS ?

En cas d’opération non autorisée, le principe est celui du droit au remboursement. En revanche, dans le cas d’agissements frauduleux de son client et parfois de négligences graves de celui-ci, l’établissement bancaire n’est plus tenu de le rembourser. Cependant, même en pareil cas, c’est à la banque de prouver l’existence de ces manquements.

ET SI VOTRE BANQUE VOUS PARLE D’UNE INDEMNITÉ DE 50 € ?

La réglementation prévoit que le client paye à sa banque une indemnité en cas de perte ou de vol de ses moyens de paiement ou des éléments permettant de donner à la banque un ordre de paiement (hypothèse du vol des identifiants Internet ou des données de la carte bancaire).

Le montant de cette indemnité est plafonné à 50 €, mais rien n’empêche la banque d’appliquer une indemnité inférieure. Ceci étant, il est fort probable qu’elle cherche à appliquer l’indemnité maximale prévue.

Nous constatons également que les banques appliquent ces indemnités alors qu’elles ne sont pas dues dans certaines hypothèses.

Ainsi, cette indemnité ne peut vous être réclamée :

• si l’opération a été faite sans la composition d’un code confidentiel (code confidentiel de la carte ou code reçu par SMS à usage unique, aussi appelé 3D Secure (lien « et si votre banque vous parle de 3D Secure, de 3DS ou d’OTPSMS ? ») ;
• si vous ne pouviez pas détecter la perte ou le vol de votre carte, des données liées à votre carte ou de vos identifiants avant l’opération ;
• si la perte ou le vol de ces éléments est imputable à un employé de votre banque ou d’une entreprise vers laquelle votre banque a externalisé ses activités.

Par ailleurs, lorsque l’opération non autorisée est une opération à distance (paiement sur Internet ou par téléphone), la réglementation prévoit que le client ne supporte aucune conséquence financière si la banque n’a pas mis en place des moyens d’authentification forte.

ET SI VOTRE BANQUE VOUS PARLE DE PHISHING ?

Le phishing est une forme d’escroquerie par courriel ou téléphone dans laquelle l’escroc usurpe l’identité d’une entreprise connue et reconnue ou d’une personne pour l’inciter à lui transmettre ses données bancaires (code de carte, numéro de carte, identifiants…), par exemple en lui conseillant de mettre à jour ses données sur une page Internet qui ressemble à celle de l’entreprise dont il usurpe l’identité.

En cas d’opération non autorisée consécutive à un phishing, la banque tentera de contourner son obligation de remboursement en invoquant le fait que vous auriez dû reconnaître la tentative de fraude et que vous avez fait preuve de négligence grave en transmettant vos données.

Toutefois, nous rappelons que c’est elle de prouver que vous avez commis une négligence grave. En matière de phishing, les juges reconnaissent l’existence d’une négligence grave lorsque le piège est trop grossier, par exemple si la victime a répondu à un courriel comportant de nombreuses fautes d’orthographe.

QU’EST-CE QU’UN MOYEN D’AUTHENTIFICATION FORTE ?

Afin de lutter contre le développement de la fraude bancaire, l’authentification forte consiste à permettre aux consommateurs de valider des transactions à l’aide d’au moins deux des trois facteurs suivants : quelque chose que seuls eux connaissent (un mot de passe, par exemple), quelque chose que seuls eux possèdent (une carte bancaire) et/ou une caractéristique qui leur est personnelle (une empreinte digitale).

La réglementation prévoit désormais que votre banque doit appliquer l’authentification forte lorsque :

• vous accédez à votre compte en ligne ;
• vous initiez une opération de paiement électronique (paiement par Internet) ;
• vous exécutez une opération par le biais d’un moyen de communication à distance (paiement par téléphone ou par Internet) susceptible de comporter un risque de fraude en matière de paiement ou de toute autre utilisation frauduleuse.

Si une opération non autorisée est réalisée alors que l’authentification forte aurait dû s’appliquer et que cette authentification forte n’est pas intervenue, la réglementation prévoit que le client ne supporte aucune conséquence financière, sauf en cas d’agissements frauduleux de sa part.