Les manquements au protocole de cryptage SSL peuvent compromettre la sécurité des transactions en ligne, particulièrement lors des paiements. Dans ce contexte, il est essentiel de comprendre les droits des consommateurs en matière de paiements non autorisés. Le cadre légal, défini par le livre VII du Code de droit économique, impose des obligations de sécurité tant aux banques qu’aux utilisateurs. Les consommateurs doivent prendre des précautions pour protéger leurs instruments de paiement et notifier immédiatement leur banque en cas de perte ou de fraude. En cas de paiement non autorisé, la responsabilité est généralement partagée, favorisant ainsi le consommateur. Par exemple, si un utilisateur constate des transactions non effectuées pour un montant de 1000 EUR, il peut réclamer le remboursement, sous déduction d’une franchise de 150 EUR, sauf en cas de négligence grave de sa part. La jurisprudence a illustré ce concept ; une décision a ainsi refusé une indemnisation à des victimes de vol ayant laissé leurs cartes sans surveillance, considérées comme négligentes. D’autre part, les utilisateurs ne supportent aucune perte si leur instrument a été utilisé sans identification électronique adéquate ou s’il a été copié par un tiers, tant qu’ils étaient en possession de l’instrument. En somme, bien que le risque zéro n’existe pas, des mesures de sécurité et un cadre juridique robuste permettent de protéger les consommateurs, favorisant ainsi la confiance dans les paiements en ligne.
Les manquements auraient trait au protocole de cryptage SSL qui doit permettre à l’utilisateur des services de paiement d’établir une connexion sécurisée avec sa banque au moment de réaliser une transaction. Sans nous prononcer ici sur l’exactitude de ces insuffisances techniques (et sur leur incidence éventuelle sur la multiplication des fraudes), les droits et les obligations des acteurs en cas d’opération de paiement non-autorisée sont rappelés. On constate en effet que les consommateurs bénéficient d’un cadre normatif très protecteur leur permettant, dans de nombreux cas, d’obtenir le remboursement des sommes volées ou détournées.
La matière est régie par le livre VII du Code de droit économique (CDE), consacré aux services de paiement et de crédit, qui impose diverses obligations (de sécurité notamment) aux parties et organise un partage de responsabilité en cas d’opération de paiement non autorisée.
Des obligations à charge de la banque et de l’utilisateur
Pour assurer un niveau de sécurité élevé, des mesures doivent évidemment être prises par les prestataires de services de paiement. L’utilisateur a également un rôle important à jouer.
A titre préventif, diverses obligations reposent sur l’utilisateur de services de paiement (art. VII.30 du CDE). On vise notamment le consommateur qui utilise les services d’internet banking pour effectuer des paiements. Il est ainsi tenu de prendre les mesures raisonnables pour préserver la sécurité de son instrument de paiement, d’utiliser celui-ci conformément aux conditions établies par sa banque et, en cas de vol, de perte, de détournement ou d’utilisation non autorisée, de le notifier sans délai.
Parallèlement, des obligations incombent également aux prestataires de services de paiement (autrement dit, les banques), spécialement en termes de sécurité. Parmi d’autres, ils doivent ainsi s’assurer que les dispositifs de sécurité personnalisés ne sont pas accessibles aux tiers (cf. art. VII.31 du CDE).
Partage de responsabilité en cas d’opération de paiement non-autorisée
Lorsqu’une opération de paiement non autorisée a été commise, un partage de responsabilité, globalement favorable au consommateur dont l’instrument de paiement aurait été détourné, est mis en place (art. VII.36 du CDE).
Imaginons qu’en consultant son relevé de carte de crédit, un consommateur constate des paiements ou des retraits en espèces qu’il n’a pas réalisés et ce, pour un montant de 1000 EUR. Il veille à contacter CARD STOP et s’adresse ensuite à sa banque pour réclamer le remboursement de la somme.
En principe, il obtiendra le remboursement de la somme détournée, sous déduction d’une « franchise » de 150 EUR. Il devra par contre supporter la perte ou le vol (au-delà du montant de 150 EUR) s’il a agi frauduleusement ou s’il a manqué aux obligations qui lui incombent, intentionnellement ou par négligence grave. Constitue par exemple une négligence grave le fait de noter le code pin de sa carte de crédit sur celle-ci ou sur un post-it collé à l’intérieur de son portefeuille. On note d’ailleurs que la jurisprudence se montre parfois sévère avec les utilisateurs. Dans cette affaire jugée par la Cour d’appel de Bruxelles le 23 juin 2011, deux cartes bancaires (de débit) sont volées dans une chambre d’hôtel en Italie et des opérations de retrait ou de paiement sont réalisées pour un montant de plus de 2500 EUR. Les titulaires des cartes postulent par conséquent l’intervention de leur banque, qui refuse pourtant de les indemniser, estimant qu’ils auraient commis une négligence grave (en laissant les instruments de paiement sans surveillance dans la chambre d’hôtel et en rendant le numéro d’identification personnel ou le code aisément accessible). La Cour d’appel retient les arguments de la Banque et juge que les demandeurs ont commis une négligence grave « en laissant leurs cartes bancaires sans surveillance dans une chambre d’hôtel, qui est un lieu accessible à diverses personnes, dans les circonstances décrites ci-avant ».
Sauf cas de fraude ou de manquement intentionnel (la négligence grave n’est pas mentionnée), le payeur ne supporte par contre aucune perte (le plafond de 150 EUR est ainsi réduit à 0) dans deux hypothèses.
- Tel est d’abord le cas si l’instrument de paiement a été utilisé sans présentation physique et sans identification électronique. On vise clairement l’hypothèse d’un paiement exécuté en ligne (où le payeur se contente de donner son numéro de carte de crédit, accompagné de la date d’expiration et du code de vérification, par exemple sur un site de commerce électronique). Pour considérer qu’il y a « identification électronique », l’utilisation d’un simple code secret est insuffisante. Par contre, le recours à un mécanisme de signature électronique peut être vu comme un système d’identification électronique (et sur ce thème, on aura égard au récent règlement (UE) n° 910/2014 du 23 juillet 2014 sur l’identification électronique et les services de confiance). On sait qu’en pratique, les banques proposent des lecteurs de carte ou des Digipass qui génèrent un code chiffré unique pour accéder au service en ligne et effectuer des transactions.
- Dans la seconde hypothèse, le payeur ne supporte aucune perte si « l’instrument de paiement a été copié par un tiers ou a été indûment utilisé pour autant que le payeur était, au moment de l’opération contestée, en possession de l’instrument de paiement ». Sont ainsi visés les cas de contrefaçons ou de hacking.
En définitive, rappelons que la sécurité est l’affaire de tous. Les mesures prises par les acteurs semblent porter leurs fruits puisque Febelfin a annoncé récemment une baisse significative des cas de fraudes en ligne entre 2013 et 2014 (https://www.febelfin.be/fr/net-recul-des-cas-de-fraude-a-la-banque-en-ligne). Aussi faut-il espérer que les applications d’internet banking et de mobile banking continuent à se développer, et que les consommateurs n’hésitent pas à acheter et payer en ligne, par crainte des fraudes éventuelles. Le risque zéro ne peut évidemment pas être garanti mais, outre les mesures techniques qui sont prises, il bénéficie d’un régime juridique favorable qui limite leur responsabilité et font finalement repose les risques sur les banques (et, au-delà, sur les commerçants).
Vous avez besoin d'un avis personnalisé
ou d'une aide juridique ?
