C'est l'histoire d'un coup de téléphone qui paraissait tout à fait normal. Un homme se présente, dit travailler pour la banque, connaît les détails du compte, rassure. Et à la fin de l'échange, 50 000 euros ont disparu.

Ce scénario, c’est celui d’un couple de 90 et 93 ans qui a perdu 49.958 euros à la suite d'une fraude au faux employé de banque. C’est aussi celui de 13 % des Belges ont déjà été victimes de phishing à un moment ou un autre de leur vie. Pour se faire indemniser, la majorité se retrouvent face à un mur : une banque qui refuse de rembourser estimant que les victimes ont été négligentes.

Les banques brandissent généralement la notion de « négligence grave », une notion floue qui n’est pas vraiment définie par la législation. Les institutions financières ont une interprétation relativement large de cette notion. Elles assimilent l’autorisation au consentement et considèrent qu’à partir du moment où la victime a fait usage de l’authentification forte (code secret, empreinte digitale…), elle a elle-même autorisé le virement.

Mais le rapport de force pourrait bien s’inverser suite à la décision de ce juge d’Anvers qui vient de condamner une banque à rembourser près de 50 000 euros à ce couple de nonagénaires. Il a estimé que les banques sont tenues de rembourser leurs client·e·s victimes de phishing — et que c'est à elles, ensuite, d'engager une procédure si elles estiment que le·la client·e a commis une négligence grave.

Ce renversement de la charge de la preuve est une petite révolution. Avec cette décision anversoise, c'est la banque qui devra aller chercher la preuve de la faute — et non plus la victime qui devra prouver son innocence.

Cette décision fait écho à une intervention du ministre Vincent Van Quickenborne en mai 2026 qui a rappelé : « Je confirme clairement que le principe de la loi reste : d'abord rembourser, ensuite discuter sur la base d'une enquête sérieuse menée par la banque ». Le Code de droit économique prévoit en effet qu'en cas d'opération de paiement non autorisée, la banque doit d'abord rembourser avant d'examiner qui est finalement responsable. Reste le flou autour de la notion de paiement non autorisé si le·la client·e a validé l’opération grâce à son code secret ou son empreinte digitale.

D’autres pays sont plus clairs sur la question. En Grèce, les banques ont eu le choix d’investir dans un système de détection de la fraude ou d’indemniser les victimes même en cas de négligence grave. Concrètement, la perte est partagée entre le·la consommateur·rice et le prestataire de services de paiement, sauf si la banque peut prouver qu’elle a mis en place des mécanismes de contrôle supplémentaires et efficaces. Outre-manche, toutes les entreprises proposant des services de paiement doivent rembourser les consommateur·rice·s victimes d’arnaque. Depuis octobre 2024, sauf si la victime a ignoré l’avertissement de la banque indiquant que le paiement était probablement frauduleux, elle est remboursée dans les 5 jours ouvrables jusqu’à 85 000 livres (98 000 euros).

Le ministre de la Protection des consommateurs Rob Beenders a d'ores et déjà mis la pression sur le secteur en avril dernier, exigeant que les banques précisent par écrit les critères qu'elles utilisent pour qualifier la négligence grave. En transférant toutes les transactions vers la banque en ligne, les banques ont transféré les questions de sécurité sur les épaules des consommateur·rice·s, il serait donc normal qu’elles assurent aussi de manière plus importante la sécurité des transactions.