El Tribunal de Justicia de la Unión Europea (TJUE) ha confirmado el criterio adelantado por su Abogado General sobre la obligación de las entidades financieras de reembolsar de forma inmediata, y como muy tarde al final del siguiente día hábil, el dinero sustraído mediante operaciones de pago no autorizadas, como las derivadas del phishing. Según explicaba ya una experta en derecho de consumo como Silvia Pardo, presidenta de esta práctica en el ICAB “ La doctrina Tukowiecka cambia nuestra forma de mirar el fraude bancario: La negligencia se discute, el reembolso no espera como nuevo paradigma bancario.
Algunas asociaciones de consumidores vienen denunciando desde hace años la estrategia de muchas entidades de alegar supuestas negligencias de sus clientes para rechazar reclamaciones y trasladar al afectado la carga de acudir a los tribunales para recuperar sus fondos, obligándoles a asumir largos procesos judiciales. Una situación contraria a la propia normativa europea de servicios de pago (PSD2), que establece que, cuando se produce una operación no autorizada, corresponde al proveedor de servicios de pago restituir el importe sustraído.
De hecho, el fallo del TJUE responde a una consulta de un tribunal polaco sobre la negativa de una entidad financiera a devolver el dinero a una clienta víctima de phishing, por considerar negligencia grave que hubiera introducido sus credenciales en una web que imitaba la de la misma entidad
. En su fallo el tribunal europeo insiste en que la obligación del banco de reembolsar una operación no autorizada es independiente de la eventual responsabilidad del consumidor, n ese caso si considera que existió negligencia o fraude, reclamar las cantidades por las vías legales correspondientes y aportar las pruebas que lo acrediten.
Un balón de oxígeno para el consumidor
 |
||
| Luis Manuel Rubí cree que con este fallo judicial las entidades financieras serán más diligentes y el consumidor podrá resolver ese asunto sin tantas demoras como ahora. | ||
Luis Rubí Blanc, socio de ardiCiber , abogado experto en ciberderecho y regulación financiera, cree que con este fallo del TJUE la situación va a cambiar por completo y en muchos casos el afectado, en la mayor parte consumidor, no tendrá que afrontar procesos judiciales largos donde la capacidad de los bancos les permite litigar y aguantar meses con asuntos abiertos. “Es una sentencia trascendental que reconfigura las reglas del juego en la lucha contra el fraude bancario por phishing.
Este fallo judicial en su opinión refuerza sustancialmente la posición del consumidor frente a las entidades financieras, imponiendo plazos estrictos de respuesta y devolución “Se impone como gran novedad la entidad bancaria la obligación de un reintegro inmediato del dinero defraudado. Esto se aplica sin perjuicio de que, con posterioridad, el banco pueda intentar acreditar si existió o no una negligencia grave por parte del cliente. Pero el punto de partida cambia por completo: la devolución va primero”.
Sobre esa inmediatez nos concreta que “la resolución utiliza los plazos de reintegro establecidos en la normativa de servicios de pago para cargos erróneos o no consentidos. En la práctica, estamos hablando de efectuar el reembolso a más tardar al final del siguiente día hábil tras la presentación de la reclamación por parte del usuario”.
Hasta ahora muchos bancos se negaban a devolver ese dinero perdido por el cliente por un ciberataque o phishing hablando de la negligencia del propio consumidor. Ahora Rubí advierte que esa excusa ya no sirve. “La negligencia grave del cliente es una excepción y, en la práctica, se da en muy pocos casos. El estándar de exigencia para demostrar esa falta de cuidado extremo recae sobre la entidad y el listón está muy alto”.
Para este experto jurista, cree que bancos y entidades financieras tendrán que ser más proactivas que hasta ahora. “Tendrán que ser más diligentes. . Por un lado, esto se traducirá de forma directa en un incremento notable de la inversión en ciberseguridad y medidas preventivas. Por otro, si a pesar de todo se produce un incidente, la entidad tendrá que ser infinitamente más diligente en la gestión de la respuesta y la atención al cliente afectado; ya no pueden demorar sus contestaciones”.
Este jurista advierte que la demora injustificadamente la respuesta puede ser considerado una actitud obstruccionista. Esto abre claramente la puerta a que los tribunales impongan condenas en costas a las entidades por mantener litigios innecesarios. Ante este escenario, entiendo que la mayoría de las entidades van a ceder y optar por la resolución extrajudicial o el reingreso directo.
Luis Rubí Blanc advierte que este fallo judicial es el complemento a aquella otra sentencia importante en materia de phishing, ésta de la Sala Civil del Supremo de abril 2025, el llamado asunto Ibercaja. “Son complementarias. Esta da un paso más y su aplicación al derecho nacional es lena. Es de esperar que los jueces españoles hagan suya la doctrina del TJUE sin interpretaciones complejas ni experimentos jurídicos. En definitiva, el TJUE rescata al consumidor en el ámbito del phishing y todo va a ser mucho más sencillo para el usuario a partir de ahora”.
Desde su punto de vista, en esa mejor de la diligencia antes comentada, una de las claves estaría en que los servicios de seguridad de los bancos deberían estar disponible las 24 horas al día de todo el año. “Deben tener dedicación plena para que funcionen de inmediato si hay un ataque de este tipo. Es curioso, pero con las estadísticas en la mano, los viernes por la tarde es uno de los momentos elegidos para estos ciberataques. Los bancos han mejorado mucho en sus medidas. Ahora con las transferencias inmediatas te avisan en ocasiones que el titular no se corresponde con ese IBAN. Sin embargo, creo que hay que ser sensato y habría que volver a la presencialidad en la apertura de cuentas”.”
Luis Rubí es consciente que la irrupción de la IA puede generar un problema de seguridad en las entidades financieras. “El tema de la IA es inquietante su fuerza para lograr suplantaciones de identidad es importante , incluso la firma electrónica de tercero de confianza cualificada, que es un poco la figura que Europa ha consagrado como la vía más segura y tal, pues también está en jaque. Porque claro, al final, si tú te puedes abrir la firma electrónica suplantando una identidad con un robot, que es que es prácticamente imposible de detectar que es una persona humana es que estamos perdidos.”
El TJUE marca el camino a los jueces españoles
 |
||
| Almudena Velázquez indica que “la sentencia recuerda que corresponde al banco probar esta última, sin que esa controversia suprima su obligación inicial de devolución. Podrá reclamar posteriormente el reembolso por las vías legales correspondientes, como clave”. | ||
Almudena Velázquez, abogada y CEO de Red Abafi, explica que la sentencia del Tribunal de Justicia de la Unión Europea de 15 de octubre de 2026, asunto C‑70/25, Tukowiecka, obliga a separar dos cuestiones que no deben confundirse: la devolución inmediata de una operación de pago no autorizada y la determinación de quién soportará definitivamente la pérdida.
“Para los jueces españoles, su impacto es claro: la negligencia grave atribuida al cliente no permite justificar, por sí sola, que el banco retenga inicialmente el dinero. Dicho en otras palabras: para los bancos se consolida el principio de primero devolver y después discutir (en su caso)”, resalta
Esta jurista recuerda que estamos ante una interpretación vinculante, no una recomendación “ Aunque el litigio procede de Polonia, la interpretación europea debe orientar también la resolución de los asuntos españoles. El artículo 4 bis de la Ley Orgánica del Poder Judicial exige aplicar el Derecho de la Unión conforme a la jurisprudencia del TJUE. No resulta necesario esperar a que el Tribunal Supremo reproduzca esta doctrina para incorporarla al razonamiento judicial”.
“En España, los artículos 45 y 46 del Real Decreto‑ley 19/2018 regulan, respectivamente, la responsabilidad del proveedor y la del ordenante. Su aplicación deberá respetar la distinción que establece Luxemburgo: primero opera el deber de restitución; después puede discutirse la responsabilidad definitiva. La sentencia no convierte al banco en responsable incondicional de cualquier estafa, pero impide anticipar ese segundo debate para incumplir el primero”, resalta
Velázquez subraya que “esto quiere decir que ante una reclamación de devolución, los jueces deberán comprobar que se trata de una operación no autorizada y que el usuario cumplió las exigencias de notificación. Satisfechos esos presupuestos, la regla es devolver inmediatamente y, como máximo, al finalizar el siguiente día hábil desde la detección o comunicación de la operación”.
En su opinión, la excepción exige motivos razonables para sospechar un fraude del propio usuario y su comunicación escrita a la autoridad competente; en España, el artículo 45 identifica al Banco de España. No basta invocar el fraude cometido por un tercero: precisamente ese es el riesgo frente al cual se articula la protección. Tampoco basta afirmar que el cliente facilitó sus claves por negligencia grave: El registro del uso del instrumento de pago no acredita necesariamente autorización, fraude o negligencia grave.
“La sentencia recuerda que corresponde al banco probar esta última, sin que esa controversia suprima su obligación inicial de devolución. Podrá reclamar posteriormente el reembolso por las vías legales correspondientes, como clave”.
Influencia sobre las costas
Esta Sentencia además debe tener igualmente consecuencias en el régimen de imposición de costas en los casos en los que el cliente se vea obligado a pleitear cuando el banco no le restituya inmediatamente el dinero que fraudulentamente ha salido de sus cuentas: hay que recordar que la sentencia de 13 de julio de 2023, asunto C‑35/22, Cajasur Banco, en materia de cláusulas abusivas, permite valorar la jurisprudencia nacional consolidada y la conducta del profesional para apreciar mala fe e imponer costas pese al allanamiento anterior a la contestación, incluso sin reclamación previa del consumidor; recuerda esta experta
A su juicio, “ su fundamento ofrece una analogía sólida: el profesional no debería beneficiarse de obligar al consumidor a litigar para obtener aquello que debía reconocer. Tras Tukowiecka, cabe defender que la negativa bancaria basada exclusivamente en negligencia grave refuerza la petición de costas cuando fuerza una demanda de restitución. El propio apartado 45 de esta sentencia denuncia expresamente los inconvenientes y costes de trasladar al usuario la iniciativa judicial”.
En su opinión, “la consecuencia práctica es exigir coherencia: si el Derecho europeo ordena devolver primero, el proceso y sus costes no deberían convertir ese derecho en una protección meramente teórica para quien reclama legítimamente la restitución de sus fondos.”.
“El carácter obligatorio de la aplicación de esta Sentencia a los jueces españoles no sólo impone que la entidad cargue con las costas del procedimiento, sino que se declare su mala fe y el abuso en el uso del servicio de la administración de Justicia tal y como ha sido incluido este concepto en nuestro sistema procesal por la Ley Orgánica 1/2025 y sea cual sea la cuantía fraudulentamente dispuesta y no devuelta por el banco.”, advierte
Almudena Velázquez recalca que “sólo así podrá hacerse efectiva la protección integral que exige la sentencia para los perjudicados por phishing bancario y de paso, servirá como elemento disuasorio para evitar colapsar nuestros Tribunales con demandas cuyo resultado, a la luz de esta resolución europea, será su estimación en el 99%, como sucede por ejemplo con los gastos hipotecarios o las tarjetas revolving”.
Phishing bancario: la revolución no es quién gana, sino quién demanda
 |
||
| Manel Espinosa señala que “si la demanda se estima íntegramente, la regla del artículo 394 LEC es la condena en costas, con sus excepciones. No son automáticas, pero tampoco debería resultar inocuo obligar al cliente a reclamar lo que ya debía habérsele restituido”. | ||
Por su parte, Manel Espinosa. Socio de ALLURA & PEIMONDT e impulsor de Stopbancos, considera que “no espero que esta sentencia transforme radicalmente cómo nuestros jueces valoran la negligencia grave. Espero algo distinto, y probablemente más decisivo: que cambie quién tiene que acudir al juzgado. En el phishing bancario, el verdadero cambio de paradigma puede estar menos en el fallo de la sentencia que en la identidad de quien presenta la demanda”.
“La sentencia del TJUE de 15 de octubre de 2026, asunto C-70/25, Tukowiecka, separa dos cuestiones: devolver inmediatamente una operación no autorizada y decidir quién soportará definitivamente la pérdida. La primera obligación no puede quedar suspendida porque el banco atribuya negligencia grave al cliente. Si este comunica la operación sin demora injustificada, la regla es restituir inmediatamente, como máximo al final del siguiente día hábil a su detección o notificación” indica
En su opinión, “la excepción exige motivos razonables para sospechar fraude del propio cliente y comunicarlos por escrito a la autoridad competente. No basta con sospechar que fue imprudente”.
Espinosa indica que el fallo judicial señala que “cumplida la devolución, si la entidad considera que puede imputarle las pérdidas, deberá reclamárselas y, si no obtiene su reintegro voluntario, asumir la iniciativa judicial. Tendrá que acreditar el incumplimiento deliberado o gravemente negligente y su relación causal con el perjuicio. El cliente discutirá con su dinero restituido, no con su cuenta vaciada”.
“Para los jueces españoles, el impacto sobre la valoración de la responsabilidad debería ser limitado allí donde ya se aplicaban correctamente los artículos 44 a 46 del RDL 19/2018. Pero deberán preservar esa separación: resolver la responsabilidad definitiva no puede convertirse en condición para cumplir la restitución inmediata. No nace una nueva carga probatoria para el banco; cambia quién debe activar el litigio”, resalta
Desde su punto de vista, “por eso, una negativa fundada exclusivamente en negligencia grave deja muy poco margen para invocar dudas jurídicas sobre la obligación de devolver. Si la demanda se estima íntegramente, la regla del artículo 394 LEC es la condena en costas, con sus excepciones. No son automáticas, pero tampoco debería resultar inocuo obligar al cliente a reclamar lo que ya debía habérsele restituido”.