Víctor Ortiz Hernández, socio fundador de RPV Abogados: «No podemos considerar automáticamente negligente a una persona por haber sido engañada»

El Tribunal de Justicia de la Unión Europea (TJUE) dictó el pasado 15 de octubre una sentencia que afecta de lleno a quienes sufren fraudes bancarios. En el asunto C-70/25, Tukowiecka, la Sala Primera abordó qué debe hacer una entidad cuando un cliente denuncia una operación de pago no autorizada y el banco sostiene que este actuó con negligencia grave, un argumento muy utilizado en los casos de phishing. La resolución interpreta la Directiva (UE) 2015/2366, conocida como PSD2, que España incorporó mediante el Real Decreto-ley 19/2018, y llega cuando los engaños por SMS, llamadas telefónicas y páginas web falsas forman parte del día a día de consumidores, entidades financieras y profesionales del Derecho.

Para entender su alcance, Economist & Jurist (E&J) habló con Víctor Ortiz Hernández, socio fundador de RPV Abogados, director del Departamento de Derecho bancario y responsable del área de Derecho procesal civil del despacho. Con más de veinte años de ejercicio, ha centrado su trayectoria en el Derecho Bancario y de Consumo y en la defensa de consumidores y usuarios frente a entidades financieras, con intervención en procedimientos judiciales por toda España sobre cláusulas abusivas, productos financieros complejos, responsabilidad bancaria y fraudes con medios de pago. También ha asesorado a asociaciones de consumidores, ha participado como ponente en jornadas jurídicas y ha publicado artículos especializados en prensa jurídica y económica.

En la conversación, Ortiz Hernández explica la distinción que, a su juicio, vertebra el fallo: una cosa es la obligación de reembolso inmediato y otra, posterior, la determinación de quién asume definitivamente las pérdidas. Repasa las obligaciones de los bancos, a quién corresponde probar la negligencia grave y por qué no cabe presumirla solo porque se hayan usado las claves del cliente. Aclara además que la sentencia no elimina la posible responsabilidad del usuario y comenta lo que está viendo en los tribunales en los días posteriores a la resolución. Cierra con recomendaciones prácticas para quien ha sido víctima de un fraude y para los abogados que le asesoran.

Economist & Jurist (E&J).- ¿Cuál es la principal conclusión de la reciente resolución del Tribunal de Justicia de la Unión Europea?

Víctor Ortiz Hernández (V. O. H.).- La principal conclusión es que el Tribunal de Justicia de la Unión Europea establece una distinción fundamental entre la obligación de reembolso inmediato y la determinación posterior de quién debe asumir definitivamente las pérdidas derivadas de una operación de pago no autorizada.

La sentencia de 15 de octubre de 2026, dictada en el asunto C-70/25, establece que una entidad bancaria no puede negarse a devolver inicialmente el dinero alegando únicamente que el cliente ha actuado con negligencia grave.

Esto tiene una enorme trascendencia práctica, porque una de las respuestas habituales de las entidades financieras ante este tipo de reclamaciones ha sido atribuir al propio cliente una supuesta negligencia grave para justificar su negativa a devolver el dinero.

En RPV Abogados ya habíamos analizado esta cuestión cuando el abogado general del TJUE presentó sus conclusiones el pasado mes de marzo. La sentencia confirma ahora la distinción entre el reembolso inicial y la eventual responsabilidad posterior del usuario.

(Imagen: E&J)

E&J.- ¿Qué obligaciones tiene una entidad bancaria cuando un cliente comunica una operación de pago no autorizada?

V. O. H.- La normativa europea, incorporada a nuestro ordenamiento mediante el Real Decreto-ley 19/2018, establece que la entidad debe devolver el importe de la operación no autorizada de inmediato y, en cualquier caso, a más tardar al finalizar el siguiente día hábil desde que haya tenido conocimiento de ella, siempre que se cumplan los requisitos legales.

Además, debe restituir la cuenta a la situación en la que se habría encontrado de no haberse producido la operación fraudulenta.

El cliente también tiene obligaciones, especialmente la de comunicar lo sucedido sin demora injustificada desde que tenga conocimiento de la operación no autorizada.

Lo que no puede hacer el banco es convertir una investigación interna o una mera alegación de negligencia grave en una justificación para retener el dinero. La normativa contempla una excepción específica cuando existen motivos razonables para sospechar que el propio usuario ha cometido un fraude y se comunica esa sospecha por escrito a la autoridad competente.

E&J.- ¿Debe el banco reembolsar inicialmente el importe reclamado aunque alegue negligencia grave del cliente?

V. O. H.- Sí. Precisamente esta es la cuestión central que resuelve el Tribunal de Justicia.

Cuando se trata de una operación de pago no autorizada y se cumplen los requisitos legales, la entidad debe devolver inicialmente el dinero, aunque considere que el cliente ha actuado con negligencia grave.

La excepción prevista en la normativa se refiere a un supuesto distinto: que el banco tenga motivos razonables para sospechar que el propio cliente ha cometido un fraude y comunique esos motivos por escrito a la autoridad nacional competente.

Debemos distinguir dos situaciones que no son equivalentes: una cosa es que el cliente haya cometido un fraude y otra que el banco considere que ha sido negligente al convertirse en víctima de uno.

Lo verdaderamente importante de esta sentencia es que impide que la entidad bancaria deniegue el reembolso inmediato basándose únicamente en su propia valoración de la conducta del consumidor. La posible responsabilidad de este último deberá analizarse posteriormente por las vías legales correspondientes.

E&J.- ¿Qué debe entenderse jurídicamente por negligencia grave en estos supuestos?

V. O. H.- La negligencia grave no puede confundirse con cualquier error, descuido o conducta poco prudente del consumidor. Se trata de un incumplimiento especialmente relevante del deber de diligencia exigible, que debe valorarse atendiendo a las circunstancias concretas del caso.

También debemos comprender cómo funcionan los fraudes bancarios actuales. Nos encontramos con delincuentes que suplantan números telefónicos de entidades financieras, reproducen páginas web prácticamente idénticas a las originales y utilizan técnicas de ingeniería social cada vez más sofisticadas.

No podemos considerar automáticamente negligente a una persona por haber sido engañada mediante estos procedimientos. Es necesario analizar qué ocurrió realmente, qué medidas de seguridad existían y si la conducta del cliente puede calificarse efectivamente como gravemente negligente.

La valoración debe ser individualizada y estar respaldada por las pruebas. La sentencia del TJUE, en cualquier caso, aclara que esa posible negligencia no permite al banco denegar de entrada el reembolso inmediato.

(Imagen: E&J)

E&J.- ¿A quién corresponde acreditar que el cliente actuó con negligencia grave?

V. O. H.- La carga de la prueba corresponde a la entidad bancaria cuando pretende atribuir al usuario una conducta fraudulenta o negligencia grave.

El artículo 44 del Real Decreto-ley 19/2018 establece que, cuando el usuario niega haber autorizado una operación, corresponde al proveedor de servicios de pago acreditar que esta fue autenticada, registrada con exactitud y contabilizada, y que no estuvo afectada por un fallo técnico u otra deficiencia del servicio. Además, si pretende imputar fraude o negligencia grave al cliente, debe aportar pruebas que lo acrediten.

Hay otra cuestión fundamental: que una operación se haya realizado utilizando las credenciales del cliente no demuestra necesariamente que este la autorizase ni que actuase con negligencia grave.

En nuestra experiencia profesional, las entidades recurren con frecuencia a informes internos sobre sus sistemas de autenticación. Sin embargo, esos registros deben valorarse junto con las demás circunstancias del fraude y no sustituyen automáticamente la prueba de la autorización o de la negligencia grave.

E&J.– ¿Qué diferencia existe entre una operación autorizada por el titular y una operación fraudulenta realizada por terceros?

V. O. H.- La diferencia esencial reside en el consentimiento del titular para ejecutar la operación concreta.

Una cosa es que una persona ordene voluntariamente una transferencia y posteriormente descubra que ha sido engañada respecto de su destinatario o finalidad, y otra distinta que un delincuente consiga acceder a su cuenta y efectúe una transferencia que el titular nunca ordenó.

En este segundo supuesto podemos encontrarnos ante una operación no autorizada, que es precisamente el ámbito al que se refiere la sentencia del TJUE.

Esta distinción es importante porque no todos los fraudes bancarios tienen el mismo tratamiento jurídico. Por eso, antes de formular una reclamación, debemos reconstruir exactamente cómo se produjo la operación, quién la inició y qué consentimiento prestó realmente el titular.

La calificación jurídica dependerá de las circunstancias concretas y de las pruebas disponibles.

E&J.– ¿Cómo deben valorarse los casos en los que la víctima facilita sus claves tras recibir un mensaje o una llamada aparentemente legítimos?

V. O. H.- Deben valorarse atendiendo a las circunstancias concretas del engaño.

No es razonable analizar estos casos como si el consumidor hubiera facilitado voluntariamente sus claves a un desconocido sabiendo que estaba poniendo en peligro sus ahorros. En muchas ocasiones nos encontramos con mensajes incorporados a conversaciones aparentemente legítimas del banco, llamadas que muestran números telefónicos reconocibles o comunicaciones que reproducen con enorme precisión la identidad de una entidad financiera.

El análisis jurídico debe determinar qué pudo percibir razonablemente la víctima, qué medidas de protección ofrecía el sistema bancario y cuál fue exactamente su actuación.

Facilitar las claves no determina por sí solo que exista negligencia grave: es necesario examinar las circunstancias y las pruebas. Pero tampoco cabe afirmar que esa conducta nunca pueda constituirla.

En todo caso, la sentencia que estamos analizando establece algo esencial: incluso si posteriormente llegase a acreditarse una negligencia grave, esa circunstancia no permite denegar de entrada el reembolso inmediato de una operación no autorizada.

E&J.– ¿Puede la entidad bancaria reclamar posteriormente al cliente si acredita que existió negligencia grave?

V. O. H.- Sí, y conviene aclararlo porque una interpretación excesivamente simplificada de la sentencia podría generar expectativas equivocadas.

El TJUE no elimina la posible responsabilidad del usuario. Lo que establece es el orden en el que deben abordarse ambas cuestiones: primero, la entidad debe efectuar el reembolso inmediato cuando concurran los requisitos legales; después, si considera que el cliente incumplió deliberadamente o por negligencia grave sus obligaciones, podrá reclamarle las pérdidas correspondientes por las vías legales, siempre que consiga acreditarlo.

Por tanto, no estamos ante una declaración de responsabilidad automática de los bancos por cualquier fraude, sino ante una interpretación que refuerza de manera significativa los derechos de los usuarios.

La cuestión de quién debe soportar definitivamente las pérdidas debe resolverse atendiendo a la normativa aplicable y a las pruebas del caso.

(Imagen: E&J)

E&J.– ¿Qué consecuencias puede tener esta doctrina para los procedimientos judiciales que ya están en marcha?

V. O. H.- Considero que puede tener consecuencias muy relevantes, aunque, por el momento, la realidad que estamos encontrando en los tribunales es bastante distinta de lo que cabría esperar.

La sentencia del TJUE se publicó el pasado 15 de octubre y, precisamente en los días inmediatamente posteriores, desde nuestro despacho ya hemos tenido que intervenir en distintas actuaciones judiciales relacionadas con procedimientos de fraude bancario. Personalmente, he asistido a varias vistas y, hasta ahora, las entidades financieras han mantenido la misma posición que venían defendiendo, sin mostrar una mayor disposición a negociar ni a alcanzar acuerdos a raíz de esta resolución.

Por tanto, al menos en los procedimientos en los que hemos intervenido, todavía no hemos apreciado un cambio en la actitud procesal de las entidades bancarias. Es pronto para saber si modificarán sus estrategias de defensa en los próximos meses.

Desde el punto de vista jurídico, la trascendencia de esta sentencia es indiscutible. Los tribunales españoles cuentan ahora con un pronunciamiento del TJUE que clarifica la interpretación de la normativa europea y que deberán tener en cuenta al resolver los procedimientos pendientes en los que resulte aplicable.

Especialmente importante es la distinción entre la obligación de reembolso inmediato de las operaciones no autorizadas y la eventual responsabilidad posterior del consumidor por negligencia grave.

Esto no significa que todos los procedimientos vayan a resolverse automáticamente a favor de los consumidores, pero sí proporciona un argumento jurídico de enorme relevancia para combatir determinadas defensas utilizadas habitualmente por las entidades financieras.

Habrá que comprobar cómo evoluciona la respuesta de los bancos y, sobre todo, cómo se refleja esta doctrina en las próximas resoluciones judiciales. Porque una cosa es la interpretación del Derecho que establece el Tribunal de Justicia de la Unión Europea y otra, como estamos comprobando, la reacción inmediata de las entidades bancarias ante esa interpretación.

E&J.– ¿Qué pruebas debería conservar una persona que ha sufrido phishing bancario?

V. O. H.- Absolutamente todas las que permitan reconstruir el fraude.

Es fundamental conservar los mensajes SMS, correos electrónicos, números telefónicos, justificantes de las transferencias, extractos bancarios y cualquier otra comunicación recibida.

También es importante guardar los justificantes de las llamadas y reclamaciones efectuadas a la entidad, así como la denuncia policial y las respuestas que haya podido ofrecer el banco.

En la práctica judicial, la cronología de los hechos suele resultar especialmente relevante: cuándo se produjo el engaño, cuándo se ejecutaron las operaciones y en qué momento tuvo conocimiento de ellas el titular.

Por eso aconsejamos que, desde el primer momento, se procure preservar toda la documentación disponible sin alterar su contenido. Cuanto más completa sea la reconstrucción de los hechos, más fácil será valorar jurídicamente lo sucedido y fundamentar la reclamación.

(Imagen: E&J)

E&J.- ¿Qué pasos debería seguir el consumidor inmediatamente después de detectar una operación fraudulenta?

V. O. H.- Lo primero es comunicar inmediatamente el fraude a la entidad financiera, solicitar el bloqueo de los instrumentos comprometidos y pedir que se adopten las medidas necesarias para intentar impedir o recuperar las transferencias fraudulentas.

También debe cambiar las credenciales de acceso que pudieran estar comprometidas, presentar la correspondiente denuncia y formular una reclamación escrita ante el banco, solicitando expresamente la devolución de las operaciones no autorizadas.

Es fundamental conservar un justificante de todas estas actuaciones.

Hay que recordar que la legislación exige comunicar las operaciones no autorizadas sin demora injustificada desde que se tiene conocimiento de ellas, sin perjuicio del plazo máximo legal de trece meses desde la fecha del adeudo, con las condiciones y excepciones previstas legalmente.

Cuanto antes se actúe, mayores serán las posibilidades de preservar las pruebas y limitar las consecuencias del fraude.

E&J.- ¿Qué recomendaciones ofrecería a los abogados que asesoran a las personas afectadas por este tipo de fraude?

V. O. H.- Más que ofrecer recomendaciones a otros compañeros, profesionales perfectamente preparados para afrontar este tipo de asuntos, creo que conviene recordar algo que todos tenemos muy presente: la importancia de analizar cada caso de manera individualizada y de no dar por supuesta la negligencia del consumidor por el mero hecho de que se hayan utilizado sus claves o sistemas de autenticación.

Después de más de 20 años trabajando en Derecho bancario y de consumo, tengo muy claro que una buena estrategia procesal empieza por una correcta reconstrucción de los hechos y una aplicación rigurosa de la normativa.

Es imprescindible distinguir entre operaciones autorizadas y no autorizadas, conocer el funcionamiento de los mecanismos de autenticación y examinar qué pruebas aporta realmente la entidad bancaria.

La sentencia del TJUE de 15 de octubre supone un respaldo muy importante, pero debemos evitar interpretaciones automáticas o excesivamente amplias de su alcance.

En RPV Abogados llevamos años defendiendo a consumidores y empresas en procedimientos relacionados con fraudes bancarios por toda España, y nuestra experiencia demuestra que el rigor en la preparación del asunto, tanto desde la perspectiva jurídica como probatoria, resulta determinante.

No debemos olvidar que detrás de cada fraude bancario hay una persona o una empresa que ha perdido su dinero y que espera de nosotros una defensa técnicamente solvente y eficaz.