PSD3/PSR : de l’authentification
à la prévention de la fraude

La deuxième directive européenne sur les services de paiement (DSP2) n’a pas totalement échoué. L’authentification forte a renforcé la sécurité des paiements électroniques. Mais les techniques se sont déplacées. Plutôt que de tenter de forcer la porte, le fraudeur convainc le titulaire du compte de l’ouvrir lui-même. Il se fait passer pour la banque (généralement pour un de ses salariés), annonce une opération suspecte, installe l’urgence, puis obtient du client qu’il ajoute un bénéficiaire, augmente un plafond, valide une opération ou communique une donnée de sécurité.

La Commission a présenté, le 28 juin 2023, les propositions de troisième directive sur les services de paiement (PSD3) et le règlement sur les services de paiement (PSR). Après l’accord politique du 27 novembre 2025, le compromis final a été confirmé par le Coreper (Comité des représentants permanents des gouvernements des États membres auprès de l’Union européenne), le 17 avril 2026, et approuvé par la commission ECON, le 5 mai 2026. À l’heure où nous écrivons ces lignes, l’adoption formelle n’est toutefois pas achevée. La procédure est toujours indiquée comme étant en attente de la position du Conseil en première lecture. Pour la fraude, l’essentiel se trouve d’ailleurs moins dans la future directive PSD3 que dans le futur règlement PSR, directement applicable.

Le droit français était déjà confronté à la difficulté. Lorsqu’un client nie avoir autorisé une opération, il appartient au prestataire de prouver qu’elle a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique. Mais l’article L. 133-23 du Code monétaire et financier précise que l’utilisation de l’instrument de paiement ne suffit pas nécessairement, à elle seule, à établir que l’opération a été autorisée ou que le client a commis une négligence grave. La jurisprudence est constante en la matière : la dissociation entre authentification et autorisation est ainsi régulièrement mise en œuvre par l’ensemble des juridictions françaises.

La jurisprudence récente pousse cette distinction assez loin. La cour d’appel de Douai a jugé, le 12 mars 2026, qu’une opération pouvait demeurer non autorisée lorsqu’un payeur avait été conduit à agir par un faux conseiller dans le cadre d’une mise en scène suffisamment élaborée pour tromper un utilisateur normalement attentif, quand bien même l’opération avait été initiée par le payeur et réalisée au moyen d’une authentification forte. L’authentification établit donc la réalisation technique d’une opération ; elle n’établit pas nécessairement la réalité du consentement.

Le futur PSR consolide cette dissociation. Son article 55 prévoit expressément que le fait qu’une opération ait été authentifiée, y compris par authentification forte, correctement enregistrée et exempte de défaillance technique ne suffit pas nécessairement à démontrer qu’elle était autorisée ou que le payeur a agi frauduleusement ou avec négligence grave. Avant de parvenir à une telle conclusion, le prestataire devra en outre inviter l’utilisateur à exposer les circonstances ayant conduit à l’opération et intégrer ces explications à son appréciation.

La nouveauté ne doit pas être exagérée. Le droit actuel distingue déjà authentification et autorisation, mais le futur texte place cette distinction au cœur du raisonnement. C’est important, car le débat contentieux a longtemps été aimanté par la réussite technique du parcours d’authentification. Or vérifier qui a accompli une manipulation n’explique pas nécessairement pourquoi elle a été accomplie.

Il faut également se garder d’une lecture trop générale de l’arrêt de la Cour de cassation du 23 octobre 2024. Le spoofing ne neutralise pas, par principe, toute négligence grave. La cour d’appel de Metz a encore retenu, le 29 avril 2026, une négligence grave contre une cliente qui avait validé des virements importants vers des bénéficiaires inconnus, faute notamment de démontrer l’usurpation du numéro de sa banque. À l’inverse, la cour d’appel de Rouen a écarté la négligence grave, le 8 juillet 2026, lorsque le fraudeur avait appelé depuis le véritable numéro du service antifraude. Elle relève même que les campagnes de sensibilisation peuvent placer les clients en « hypervigilance », l’habileté de l’escroc consistant précisément à transformer cette méfiance en confiance.

C’est probablement ici que le futur PSR opère l’évolution la plus visible. Le droit des paiements s’est construit jusqu’à présent autour d’une opposition simple : l’opération est autorisée ou elle ne l’est pas. L’ingénierie sociale trouble cette frontière. Dans de nombreux dossiers, le client a matériellement validé l’opération qu’il conteste ensuite, parfois en connaissant son montant, mais parce qu’il croyait protéger son compte ou annuler une fraude.

L’article 59 du compromis final crée un régime d’« impersonation fraud » (fraude par usurpation d’identité ou de qualité). Les prestataires devront mettre en place des mesures de prévention et des garanties techniques robustes contre l’utilisation abusive de leurs canaux de communication. Surtout, lorsqu’un consommateur est manipulé par un tiers se faisant passer pour son propre prestataire de services de paiement, à l’aide de canaux de communication attribués à celui-ci, et que cette manipulation conduit à une opération frauduleuse pourtant autorisée, le prestataire devra, en principe, la rembourser intégralement. Le consommateur devra avoir signalé la fraude sans retard injustifié à son prestataire et l’avoir déclarée à la police. Le délai n’est pas encore précisé.

Le basculement est réel. Le remboursement n’est plus exclusivement attaché aux opérations non autorisées. Pour certaines fraudes au faux conseiller, une opération juridiquement autorisée pourra néanmoins être remboursée. Le prestataire disposera d’un délai de quinze jours ouvrables pour rembourser ou justifier son refus. Il pourra s’y opposer s’il dispose de raisons objectivement justifiées de soupçonner une fraude ou une négligence grave du consommateur, après avoir recueilli ses explications. L’étau se resserre ainsi sur les établissements bancaires. Dans une récente décision de la CJUE du 15 octobre 2026 (C-70/25, Tukowiecka), la Cour rappelle que la négligence grave du client ne justifie pas le refus du remboursement immédiat d’une opération non autorisée, sauf en cas de suspicion de fraude du client, motivée par écrit auprès de l’autorité compétente.

La protection reste cependant étroite. Il ne s’agit pas d’un droit général au remboursement de toutes les escroqueries par manipulation. Le texte vise le tiers qui se fait passer pour le prestataire du consommateur et utilise des canaux qui lui sont attribués. Les faux investissements, fraudes sentimentales ou faux courtiers ne basculent donc pas automatiquement dans ce régime.

Les décisions françaises montrent combien la qualification dépend aujourd’hui du scénario. Le tribunal judiciaire de Toulouse l’a encore illustré le 27 août 2026. Dans une fraude téléphonique étalée sur plusieurs jours, il a refusé de qualifier de grave la négligence initiale commise sous l’effet de l’urgence et de la mise en confiance, mais a retenu la négligence grave pour un dernier virement, après l’accumulation de signaux d’alerte. La faute n’est donc pas attachée à une technique de fraude ; elle dépend de l’ensemble des circonstances.

La transformation la plus profonde est peut-être ailleurs. Sous la DSP2, le contentieux se concentre principalement sur une question posée une fois les fonds « aspirés » par le fraudeur. Qui doit supporter la perte ? Le futur PSR cherche davantage à empêcher que cette question ne se pose.

Le contraste avec le droit actuel est net. Le tribunal judiciaire de Paris rappelait encore, le 5 juin 2026, que les mécanismes de contrôle, imposés par le règlement délégué relatif à l’authentification forte, n’instaurent pas, en tant que tels, une obligation générale de détecter tout paiement atypique par rapport au profil du client, tout nouveau bénéficiaire ou toute hausse inhabituelle de plafond. Le futur PSR va plus loin.

Son article 83 impose aux prestataires des mécanismes de surveillance des transactions destinés notamment à prévenir et détecter les opérations potentiellement frauduleuses. Cette surveillance devra intervenir avant l’exécution du paiement pour le prestataire du payeur et, pour celui du bénéficiaire, avant la mise à disposition des fonds. L’absence de monitoring pourra engager la responsabilité du prestataire si le payeur subit un dommage financier.

Plus encore, l’article 65 prévoit que lorsque le prestataire du payeur dispose, grâce à cette surveillance ou à d’autres informations pertinentes, de raisons objectivement justifiées de soupçonner une fraude, il doit suspendre l’exécution. S’il disposait de telles raisons mais laisse néanmoins s’évaporer les fonds, le payeur ne supportera pas la perte, sauf fraude de sa part. La charge de démontrer l’absence de manquement repose sur le prestataire. Le texte précise toutefois qu’une opération simplement inhabituelle ne suffit pas, à elle seule, à justifier le soupçon.

On mesure le déplacement. Jusqu’à présent, la banque se défendait généralement en démontrant que son système avait correctement fonctionné et que son client avait franchi les étapes d’authentification. À l’avenir, il pourra lui être demandé pourquoi un système capable de surveiller les transactions n’a pas identifié les indices de fraude avant leur exécution.

Le progrès technique produit ici un effet juridique presque mécanique : plus la banque sait, plus elle doit agir.

La logique n’est pourtant pas sans risque. Pour identifier une opération atypique, encore faut-il définir ce qui est habituel. Or le droit bancaire est aussi construit sur un principe de non-ingérence du banquier qui n’a pas, en principe, à apprécier l’opportunité des opérations de son client. Les contentieux actuels révèlent déjà cette tension, certains clients reprochant aux banques de ne pas s’être alarmées de virements sans rapport avec leurs habitudes, tandis que les établissements invoquent la libre disposition des fonds.

Le futur PSR déplace cet équilibre. Plus la banque doit prévenir, plus elle doit observer. À mesure que les algorithmes de détection se perfectionnent, la frontière se resserre entre prévention légitime de la fraude et surveillance permanente du comportement financier. Le règlement tente d’éviter l’excès en exigeant des raisons objectivement justifiées avant toute suspension et en refusant de faire du seul caractère inhabituel d’une transaction un motif suffisant.

Enfin, la prévention sort de la seule relation banque-client. Le PSR étend la chaîne à d’autres acteurs : prestataire du bénéficiaire, prestataires techniques, opérateurs télécoms et plateformes numériques. Certains hébergeurs pourront même être condamnés à indemniser le PSP lorsque, dans les conditions prévues par le texte, un contenu frauduleux a conduit à des opérations dont celui-ci a dû rembourser le montant. La fraude bancaire devient ainsi un risque réparti sur l’ensemble de l’écosystème numérique du paiement.

Le paquet PSD3/PSR ne fait donc pas disparaître les notions d’autorisation, d’authentification ou de négligence grave. Il change toutefois la question centrale. Le droit européen, après avoir longtemps demandé au juge pourquoi le client avait validé l’opération, entend désormais demander plus souvent au professionnel pourquoi il ne l’a pas empêchée. Pour les victimes, le progrès est évident. Pour les prestataires, le contentieux pourrait simplement changer de terrain : après la preuve de la négligence grave du client viendra celle de l’insuffisance des mécanismes de prévention. Demeure une question : jusqu’où protéger le client sans confier à sa banque la surveillance de chacun de ses choix financiers ?