Fraude au paiement : qui est responsable, et ce que doivent faire les entreprises

Page du service : Avocat pour actions collectives et litiges de consommation en Israël.

Débit non autorisé : quels sont vos droits et que faire ?

La loi sur les cartes de paiement, 5746-1986 (חוק כרטיסי חיוב, התשמ״ו-1986), a été abrogée le 14 octobre 2020. La loi sur les services de paiement s’applique à sa place (articles 55 et 77). Selon cette loi, dès que vous avez signalé l’utilisation abusive, vous n’êtes pas responsable des débits ultérieurs. Avant cet avis, votre responsabilité est limitée : au maximum 75 ₪, plus 30 ₪ pour chaque jour entre le moment où vous l’avez appris et l’avis, et pas plus de 450 ₪ si vous avez donné l’avis dans les 30 jours suivant la première utilisation (article 24(c)). La limitation ne s’applique pas si vous avez mis l’élément essentiel de l’instrument de paiement à la disposition d’une autre personne ou si vous avez agi frauduleusement (articles 24(d) et 26). Au-delà, vous n’êtes pas responsable (article 31).

Ce qu’il faut faire immédiatement :

• Appelez la société de cartes de crédit et signalez l’utilisation abusive. À partir de cet avis, vous n’êtes pas responsable des débits ultérieurs (article 24(b)). Le montant débité, déduction faite de votre part selon l’article 24(c), doit vous être remboursé dans un délai de huit jours ouvrés à compter de l’avis (article 27(a)). Vous pouvez demander le blocage immédiat de l’instrument de paiement, pour la durée que vous demandez et jusqu’à 14 jours, sauf si le prestataire de services a permis une durée plus longue (article 22).
• Déposez une plainte écrite. Si la société estime que l’une des exceptions s’applique, elle n’a le droit de vous débiter à nouveau que par un avis écrit et motivé, en règle générale au moins 15 jours avant le débit (article 27(b)).
• Conservez une trace de toute correspondance, des captures d’écran et des confirmations.
• Adressez-vous à l’Unité des demandes du public de la Banque d’Israël si la société refuse de coopérer.

La loi ne prévoit pas de « délai de 13 mois ». Ce qui compte, c’est le moment de votre avis : après l’avis, vous n’êtes pas du tout responsable ; avant l’avis, au maximum 75 ₪, plus 30 ₪ pour chaque jour entre le moment où vous l’avez appris et l’avis, et pas plus de 450 ₪ si vous avez donné l’avis dans les 30 jours suivant la première utilisation (loi sur les services de paiement, article 24(c)). Pour un débit sans document signé ni trace d’authentification forte, l’avis doit être donné dans les 30 jours suivant la réception de l’avis de débit (article 29(b)).

Quand une plateforme de paiement est-elle responsable d’un débit annulé, et pas seulement la société de cartes de crédit ?

La société de cartes de crédit vous rembourse l’argent (article 27 de la loi sur les services de paiement) et le récupère parfois auprès de l’entreprise qui a reçu le paiement. Elle ne le fait pas lorsqu’un élément d’authentification forte a été utilisé dans la transaction, ou lorsqu’une telle authentification n’était pas possible ou n’était pas permise à l’entreprise (article 32(a)). Mais dans certains cas, la plateforme elle-même (boutique en ligne, application de paiement, fintech) porte une responsabilité supplémentaire.

Les obligations d’identification du client et de déclaration à l’Autorité israélienne de lutte contre le blanchiment d’argent et le financement du terrorisme découlent de la loi sur l’interdiction du blanchiment d’argent, 5760-2000 (חוק איסור הלבנת הון, התש״ס-2000). Elles s’imposent aux sociétés bancaires et aux organismes financiers figurant à la troisième annexe de la loi — dont les sociétés de paiement — selon des arrêtés pris en vertu de l’article 7. La loi sur les services de paiement, 5779-2019, habilite le ministre de la Justice à fixer des obligations de vérification de l’identité du payeur (article 10).

Si la plateforme n’a pas respecté ses obligations et qu’il en est résulté un préjudice pour vous, vous disposez peut-être d’une action directe contre elle en responsabilité civile délictuelle, en plus de vos droits envers l’émetteur de l’instrument de paiement. Cette question s’apprécie selon les circonstances du cas. C’est particulièrement pertinent pour des fraudes sophistiquées qu’une plateforme raisonnable aurait dû arrêter.

Qui est responsable de l’argent volé dans une fraude par hameçonnage (phishing) : la banque, le client ou la plateforme ?

La règle de la loi sur les services de paiement, 5779-2019, n’est pas un critère de négligence. Pour une utilisation abusive antérieure à votre avis à la banque ou à la société de cartes de crédit, votre responsabilité est limitée à un montant plafonné : 75 ₪, plus 30 ₪ pour chaque jour entre le moment où vous l’avez appris et l’avis, et pas plus de 450 ₪ si vous avez donné l’avis dans les 30 jours suivant la première utilisation (article 24(c)). Pour une utilisation postérieure à l’avis, vous n’êtes pas du tout responsable (article 24(b)). La limitation ne s’applique pas si vous avez mis l’élément essentiel de l’instrument de paiement à la disposition d’une autre personne, ou si vous avez agi frauduleusement (articles 24(d) et 26). Selon un avis du ministère de la Justice (30 septembre 2021), communiquer ses données à une personne qui se faisait passer pour la banque ou la société de cartes de crédit n’entre pas dans cette exception.

Si la banque estime que l’une des exceptions s’applique, elle n’a le droit de vous débiter à nouveau qu’après un avis écrit et motivé, en règle générale au moins 15 jours avant le débit (article 27(b)). En cas de désaccord sur ce point, c’est le tribunal qui tranche. Demandez un conseil juridique avant d’accepter un refus de la banque comme définitif.

Quelles obligations le droit israélien impose-t-il aux plateformes fintech et aux entreprises qui acceptent des paiements en ligne ?

Les entreprises qui acceptent des paiements en ligne — boutiques, fintech, applications — sont soumises à des obligations qui vous protègent en tant que consommateurs. Certaines ne s’appliquent que si ce sont des organismes financiers réglementés :

• Vérification de l’identité (KYC) : les organismes financiers soumis à des obligations selon l’article 7 de la loi sur l’interdiction du blanchiment d’argent — les sociétés bancaires et les organismes figurant à la troisième annexe de la loi, dont les sociétés de paiement — doivent identifier les bénéficiaires du service selon l’arrêté qui leur est applicable.
• Déclaration des transactions suspectes : ces mêmes organismes doivent déclarer les opérations fixées par l’arrêté, et la déclaration est transmise à la base de données gérée par l’Autorité israélienne de lutte contre le blanchiment d’argent et le financement du terrorisme (articles 7(d) et 29). La violation de cette obligation risque d’entraîner une sanction pécuniaire (article 14), et un acte visant à empêcher une déclaration est une infraction (article 3(b)).
• Sécurité des données : selon l’article 17 de la loi sur la protection de la vie privée, 5741-1981 (חוק הגנת הפרטיות, התשמ״א-1981), le responsable de la base de données et son détenteur sont responsables de la sécurité des données qu’elle contient. Le règlement sur la protection de la vie privée (sécurité des données), 5777-2017 (תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017), fixe l’étendue de cette obligation. Une fuite depuis une base de données qui n’a pas été sécurisée comme exigé risque d’exposer les personnes qui en sont responsables à une responsabilité juridique.

Que faire si la banque ou la société de cartes de crédit refuse ?

Plusieurs démarches sont possibles :

• S’adresser à la Banque d’Israël : l’Unité des demandes du public et du contrôle de la consommation de la Banque d’Israël traite les plaintes contre les banques et les sociétés de cartes de crédit, sans paiement.
• S’adresser à l’Autorité de protection du consommateur : s’il s’agit d’un débit par une entreprise (et non par une banque), l’Autorité a le pouvoir d’enquêter et de faire appliquer la loi.
• Agir devant le tribunal des petites créances : jusqu’à 39 900 ₪ (en 2026). Vous pouvez agir sans avocat, et la taxe de dépôt est de 1 % du montant de la demande, avec un minimum de 50 ₪ (article 6(a) du règlement sur la juridiction des petites créances (procédure), 5737-1976 (תקנות שיפוט בתביעות קטנות (סדרי דין), התשל״ז-1976)). Joignez les justificatifs de la transaction et la réponse de refus de l’organisme.
• Action civile ordinaire : pour des montants importants, avec une représentation par avocat.