Te roban por ‘phishing’ y el banco te culpa: el TJUE le obliga a devolverte el dinero al día hábil siguiente

El Tribunal de Justicia de la Unión Europea (TJUE) ha resuelto que una entidad de pago no puede negarse a devolver de inmediato el importe de una operación no autorizada alegando que el cliente actuó con negligencia grave. En su sentencia del 15 de octubre de 2026 (asunto C-70/25), el tribunal fija que el reembolso debe hacerse inmediatamente y, como muy tarde, al final del día hábil siguiente a aquel en que la entidad tuvo conocimiento de la operación o se le notificó, siempre que el cliente lo comunique sin demora injustificada.

G

Agrega

como fuente preferida en Google

Un fraude de unos 700 euros

El caso parte de un phishing de manual. Una clienta de un banco polaco vendía un objeto en una plataforma online y un tercero, simulando interés en la compra, le envió un enlace presentado como de la propia plataforma para confirmar la venta. El enlace llevaba a una web que imitaba la de su banco, donde introdujo sus credenciales de banca electrónica. Con ellas, el estafador transfirió a una cuenta propia el equivalente a unos 700 euros.

La clienta avisó al banco al día siguiente. La entidad se negó a devolver el dinero porque consideraba que ella había hecho posible la operación al incumplir su deber de custodiar las credenciales de seguridad personalizadas. Un tribunal polaco planteó entonces una cuestión prejudicial al TJUE.

Devolver primero, discutir después

La Directiva (UE) 2015/2366 (conocida como PSD2) obliga al proveedor de servicios de pago a reembolsar de inmediato las operaciones no autorizadas. Su artículo 73.1 contempla una sola excepción: que el proveedor tenga motivos razonables para sospechar un fraude cometido por el propio cliente y los comunique a la autoridad nacional competente.

El TJUE concluye que la sospecha de negligencia grave no encaja en esa excepción. El argumento es de efectividad: si el banco pudiera negarse desde el principio invocando la negligencia, la obligación quedaría vacía de contenido y sería el cliente quien tendría que acudir a los tribunales, con los costes y las molestias que eso conlleva. El tribunal lo conecta con el objetivo de garantizar un elevado nivel de protección de los consumidores.

Devolver no es asumir la pérdida

El fallo distingue entre la devolución del importe, que es inmediata, y la cuestión de quién soporta finalmente la pérdida. Si la entidad establece que el daño se debió a que el cliente incumplió, con dolo o negligencia grave, sus obligaciones (en particular la de proteger sus credenciales), puede reclamarle después el reembolso. Y es el proveedor quien debe probar esa negligencia grave.

En lenguaje llano: el cliente no tiene que adelantar el golpe. Primero se devuelve el dinero y, si el banco quiere recuperarlo, le toca demostrar la culpa.

Qué cambia en España

La directiva fue incorporada al ordenamiento español por el Real Decreto-ley 19/2018, de servicios de pago. Su artículo 44 atribuye al proveedor la prueba de la autenticación y ejecución de las operaciones, el 45 regula su responsabilidad en caso de operaciones no autorizadas y el 46 la del ordenante. Los tribunales españoles ya han calificado este sistema de responsabilidad cuasi objetiva del proveedor, de modo que la aportación de la sentencia está, sobre todo, en la inmediatez de la devolución y en que no puede condicionarse a discutir antes la negligencia del cliente.

(Imagen de E&J)

La interpretación del TJUE vincula a los tribunales nacionales, también a los españoles, cuando se les plantee una cuestión similar.

Según la Organización de Consumidores y Usuarios (OCU), el Banco de España sostiene que valorar si hubo negligencia grave excede sus competencias, por lo que, ante la negativa del banco, al usuario solo le queda la vía judicial. La sentencia refuerza su posición en ese escenario: la entidad que se niega a devolver en plazo incumple una obligación que el TJUE ha interpretado de forma expresa.

Lo que la sentencia no dice

Hay matices que los titulares tienden a perder. La sentencia no libera al cliente de toda responsabilidad: establece el orden en que deben producirse las cosas y quién carga con la prueba. Y se refiere a operaciones no autorizadas, por lo que no garantiza la devolución en cualquier tipo de estafa; si un caso concreto encaja en esa categoría dependerá de sus circunstancias.

La nota de prensa del tribunal tampoco precisa qué conductas alcanzan el umbral de la negligencia grave, un terreno que previsiblemente seguirán dirimiendo los tribunales nacionales.