En LCB-FT, la réglementation est souvent explicitée par des publications des autorités de contrôle (typiquement les lignes directrices de l’ACPR ou les publications de Tracfin) et par les enseignements qui se dégagent des décisions des autorités de sanction (ACPR, AMF, CNS).
Il arrive toutefois, de manière occasionnelle, que certaines institutions judiciaires prennent des décisions fortes permettant de clarifier les attendus du code monétaire et financier. Ainsi, quand le 4 mars 2026, la Cour de cassation, juridiction la plus élevée de l’ordre judiciaire français, publie une décision (Cass. com., 4 mars 2026, n° 24-19.588, publié au Bulletin) affirmant que les obligations de vigilance à l’égard de la clientèle ont pour seule finalité la LCB-FT, cela mérite que l’on se penche un peu sur le fond de l’affaire.
À l’origine, un contentieux entre une victime d’escroquerie et sa banque
Dans sa décision, la Cour rappelle un principe en apparence simple : les obligations de vigilance à l’égard de la clientèle (telles que définies dans les articles L. 561-4-1 à L. 561-14-2 du code monétaire et financier) ont pour seule finalité la LCB-FT. Ce principe avait déjà été posé par la Cour de cassation dans un arrêt du 21 septembre 2022, que nous avions commenté.
Autrement dit, si les assujettis à la LCB-FT sont tenus d’appliquer des mesures de vigilance (parfois renforcées, parfois complémentaires) à l’égard de leur clientèle, c’est uniquement aux fins de détecter des opérations suspectes s’agissant du risque de blanchiment, de financement du terrorisme ou de fraude fiscale – et le cas échéant, pour déclarer ces opérations à Tracfin.
Or, pour comprendre pourquoi cette décision est intéressante, il faut se pencher sur le contexte de la saisie de la Cour de cassation, dont le pourvoi avait été formé par la Banque CIC Ouest.
L’histoire, tristement banale, débute en septembre 2022 : un client du CIC Ouest constate avoir été débité à l’issue d’une escroquerie, après avoir été appelé par une personne se faisant passer pour un conseiller bancaire. Estimant ne pas avoir été protégé par sa banque, le client assigne le CIC Ouest en remboursement des sommes débitées. En juin 2024, le tribunal de proximité de Morlaix donne raison au client, estimant que la banque a manqué à son devoir de surveillance des opérations et de vigilance, et aurait dû constater que les virements étaient manifestement frauduleux.
Retour en mars 2026, donc : la Cour de cassation casse le jugement du tribunal de Morlaix, et par son interprétation fait autorité à ce sujet : un client victime d’une fraude ne peut réclamer réparation à sa banque sur le motif de manquements dans l’exercice de ses obligations en matière de LCB-FT. La cassation est toutefois également prononcée pour un second motif, sans lien avec la LCB-FT : le tribunal n’avait pas recherché si le client, à réception d’un message mentionnant une « validation de paiement », n’aurait pas dû suspecter la fraude (défaut de base légale sur la négligence grave, au regard des articles L. 133-16 et L. 133-19 du code monétaire et financier). L’affaire est renvoyée devant le tribunal judiciaire de Brest.
Une décision discutable dans un contexte d’explosion de la fraude
Si la décision peut paraître anodine, elle est en fait loin d’être limitée au contexte spécifique du contentieux avec le CIC Ouest : avec l’augmentation croissante des arnaques ces dernières années, plusieurs victimes, sur les conseils de leurs avocats, ont essayé de s’appuyer sur les obligations de vigilance de leurs banques pour être indemnisées. La fraude dite « par manipulation », celle où le fraudeur pousse la victime à effectuer elle-même le virement, a ainsi atteint 245 millions d’euros au premier semestre 2025 (+ 37 % sur un an), selon l’Observatoire de la sécurité des moyens de paiement. Le cas le plus médiatisé est certainement celui de la victime de « l’arnaque au faux Brad Pitt », escroquée de plus de 800 000 euros et qui a porté plainte contre ses banques pour défaut de vigilance. Un jugement est attendu, et pourrait s’appuyer sur cette décision de la Cour de cassation.
Il se peut toutefois que la portée de cette décision soit de courte durée : la troisième directive sur les services de paiement (dite DSP3), attendue courant 2027, doit significativement renforcer la sécurité des paiements, en particulier pour améliorer la protection des consommateurs. À cet égard, les prestataires de services de paiement devront conduire davantage de contrôles et pourraient devoir automatiquement rembourser les clients victimes de fraude, sauf grave négligence. S’il apparaît désormais clairement que les obligations de vigilance définies par le code monétaire et financier n’ont pas vocation à être utilisées pour la lutte contre la fraude, les banques devraient donc prochainement être contraintes à déployer des dispositifs relativement similaires pour protéger leurs clients.
Mise à jour du 11 octobre 2026 : les règles de remboursement des victimes de fraude par usurpation de l’identité du prestataire relèvent plutôt du règlement sur les services de paiement (PSR) qui accompagne la DSP3. Un accord politique est intervenu fin novembre 2025 et les textes de compromis finaux ont été publiés le 23 avril 2026. L’application est attendue à l’horizon 2028, la publication au Journal officiel de l’Union européenne restant à confirmer.
