Authentifier n’est pas consentir : une distinction que les banques ne peuvent plus ignorer

Une banque était convaincue d’avoir établi le consentement de son client. L’opération avait été exécutée dans la forme convenue entre les parties. La Cour de cassation lui a pourtant donné tort.

Cass. com., 1er juillet 2026 (n° 25-13.134) : déduire le consentement du seul recours à l’outil technique constitue une inversion de la charge de la preuve. Authentifier et consentir sont deux choses distinctes. La Cour le rappelle avec une netteté qui ne peut qu’interpeller.

Cette distinction change la structuration du dossier. Prouver que l’opération a bien été authentifiée ne suffit plus lorsque le client conteste avoir donné son accord. La question pertinente devient : la banque peut-elle démontrer que son client savait ce qu’il validait au moment précis où il l’a validé ?

Dans une affaire jugée par le Tribunal judiciaire d’Arras (11 mai 2026, n° 25/00377), la banque a pourtant obtenu gain de cause sur ce même terrain. Non pas parce que son système d’authentification était supérieur, mais parce qu’elle avait établi quelque chose de plus : le client avait reçu une information claire, explicite, sans ambiguïté sur la nature de l’opération qu’il s’apprêtait à valider. C’est ce supplément de preuve qui a rendu le consentement incontestable.

La première question à se poser dans un dossier de spoofing ou de fraude au paiement n’est donc peut-être plus : avez-vous authentifié l’opération ? Elle est : avez-vous prouvé que votre client savait ce qu’il validait ? Ces deux questions n’appellent pas les mêmes éléments de preuve, et dans la plupart des dossiers, la seconde n’est pas même posée.