El avance constante de la ciberdelincuencia y la sofisticación de los engaños digitales han situado a los usuarios de la banca electrónica en una posición de extrema vulnerabilidad. Históricamente, tras ser víctimas de un fraude por phishing, los usuarios se topaban con el rechazo sistemático de las entidades bancarias, que se negaban a restituir los fondos robados escudándose en la supuesta negligencia grave del titular por haber facilitado sus credenciales. Sin embargo, un nuevo marco doctrinal fijado por el Tribunal de Justicia de la Unión Europea (TJUE) en su resolución dictada el 15 de octubre de 2026 cambia radicalmente las reglas del juego a favor del consumidor. Así lo analiza Manuel Hernández en el blog de Vilches Abogados, destacando que el banco tiene la obligación legal de reintegrar el dinero sustraído de forma inmediata, sin que pueda suspender la devolución escudándose en su propia valoración sobre la imprudencia del cliente.
El pronunciamiento europeo aborda el caso de una usuaria que, tras publicar un anuncio de venta en internet, accedió a una plataforma bancaria simulada a través de un enlace malicioso remitido por un presunto comprador. Al introducir sus datos de acceso, los estafadores ejecutaron una transferencia no autorizada de unos 700 euros. A pesar de notificar la sustracción de forma inmediata, la entidad rehusó asumir la pérdida atribuyendo a la víctima una falta grave de diligencia en el custodio de sus claves.
El alto tribunal europeo desacredita de pleno este proceder. En el bufete de letrados Vilches Abogados recuerdan la firmeza con la que el fallo europeo deslinda la obligación de reintegro inicial del debate posterior sobre las responsabilidades: "La respuesta fue clara: no puede rechazar el reembolso inmediato por ese motivo. El Tribunal distingue dos cuestiones que no deben confundirse. Una es la obligación del banco de devolver el dinero de una operación no autorizada y otra, diferente, es determinar quién debe asumir finalmente las pérdidas".
Esta directriz entronca directamente con el artículo 45 del Real Decreto-ley 19/2018 de servicios de pago, que obliga a la banca a abonar el importe no autorizado de forma inmediata y, a más tardar, al cierre del siguiente día hábil a su notificación. La única excepción admitida para frenar este desembolso exige que la entidad posea sospechas motivadas de un fraude perpetrado por el propio titular y lo ponga en conocimiento de la autoridad competente por escrito.
Por consiguiente, el hecho de que un usuario introduzca por error sus credenciales secretas en un sitio web clonado no capacita a la entidad para prejuzgar el caso ni para paralizar la restitución. A este respecto, desde Vilches Abogados matizan que la entrega involuntaria de datos no equivale a otorgar un consentimiento válido para la transacción: "Haber introducido las claves bancarias en una página falsa no significa, por sí solo, que el cliente haya autorizado las transferencias que realice después el estafador. Para valorar el caso, es necesario analizar cómo se produjo el fraude, qué operación se realizó y si el titular de la cuenta dio realmente su consentimiento".
Si con posterioridad al reembolso el banco considera que el cliente incurrió en una conducta deliberada o en una negligencia inexcusable, le corresponderá a la propia entidad iniciar las acciones correspondientes y probar fehacientemente dicha infracción para reclamar el importe. Esta inversión del procedimiento protege al usuario frente a la indefensión financiera y abre la puerta a que miles de afectados por resoluciones denegatorias previas puedan reabrir sus reclamaciones por vía administrativa o judicial.
VER POST
