Hay películas que no cambian la historia, pero sí nuestra concepción de la realidad y la forma en que debemos mirarla. Matrix lo hizo de manera magistral: Neo no entra en un mundo nuevo; descubre que las reglas del mundo que creía conocer no funcionaban exactamente como pensaba. Morfeo le plantea entonces una elección que se convertiría en uno de los grandes iconos del cine: ¿pastilla roja o azul? ¿Conocer la realidad o seguir contemplándola como hasta entonces?. En nuestro particular Matrix bancario la disyuntiva parecía ser otra: ¿reembolso o negligencia grave? Esta vez, el Oráculo de Luxemburgo ha hablado. El Tribunal de Justicia de la Unión Europea, acaba de pronunciarse con su sentencia de 15 de octubre de 2026, asunto C-70/25, Tukowiecka, la respuesta es clara: reembolso
Silvia Pardo Prado, Abogada, Mediadora, Presidenta de Sección Consumo de ICAB.
Durante años, buena parte de las reclamaciones derivadas de operaciones de pago no autorizadas han quedado atrapadas en una misma discusión, generando un auténtico círculo vicioso: la entidad bancaria acaba erigiéndose, de facto, en juzgadora de la conducta de su propio cliente, pese a ser parte directamente interesada en el resultado y, precisamente, quien tiene la obligación legal de reembolso y dispone de los medios técnicos y económicos para hacerlo efectivo.
El foco se desplazaba entonces hacia la conducta del consumidor: ¿actuó con negligencia grave? ¿Introdujo sus credenciales? ¿Pulsó un enlace? ¿Facilitó un código? ¿Incumplió las recomendaciones de seguridad de la entidad? Y, a partir de sus propias respuestas a esas preguntas, el banco decidía si devolvía o no el dinero. Pues bien, el TJUE acaba de alterar el orden de las preguntas. Antes de preguntarnos si hubo negligencia grave, hay otra cuestión que debe resolverse primero: ¿estamos ante una operación de pago no autorizada? Si la respuesta es afirmativa, la doctrina Tukowiecka establece cuál debe ser el punto de partida: el reembolso debe ser inmediato.
Reembolso y negligencia grave: dos momentos jurídicos diferentes
El TJUE construye su razonamiento a partir de una distinción fundamental entre dos momentos jurídicos que, en la práctica bancaria, han tendido a confundirse: una cuestión es la obligación del proveedor de servicios de pago de reembolsar una operación no autorizada y otra distinta determinar quién debe soportar definitivamente la pérdida 1 económica derivada de esa operación.
Conforme al artículo 73.1 de la Directiva (UE) 2015/2366 —PSD2—, cuando se produce una operación de pago no autorizada, el proveedor debe devolver inmediatamente su importe y, en cualquier caso, como máximo al final del día hábil siguiente a aquel en que haya observado la operación o esta le haya sido notificada. El propio precepto contempla como excepción que existan motivos razonables para sospechar fraude y que estos sean comunicados por escrito a la autoridad nacional pertinente; la negligencia grave del ordenante, sin embargo, no figura entre las excepciones que permiten suspender inicialmente el reembolso.
Es precisamente sobre esta separación entre el deber inmediato de restitución y la eventual responsabilidad posterior del cliente sobre la que el TJUE construye la doctrina Tukowiecka. La entidad no puede alterar unilateralmente esta secuencia porque considere que su cliente actuó con negligencia grave. Hasta ahora, la práctica era frecuentemente la contraria: el banco recibía la reclamación, analizaba la actuación del usuario, apreciaba negligencia grave y, sobre la base de su propia valoración, rechazaba el reembolso. De este modo, una cuestión relativa a la atribución definitiva de la pérdida se convertía en presupuesto para negar la devolución inmediata. Tukowiecka rompe esa lógica: primero se devuelve y después, si procede, se discute la negligencia.
Ello no significa que la negligencia grave desaparezca ni que el consumidor quede exonerado de sus deberes de diligencia. El artículo 74.1 PSD2 permite que el usuario llegue a soportar las pérdidas derivadas de operaciones no autorizadas cuando haya actuado fraudulentamente o haya incumplido, deliberadamente o por negligencia grave, determinadas obligaciones que le impone la Directiva. Lo que cambia es el momento en que esa circunstancia despliega sus efectos: una vez efectuado el reembolso, si la entidad considera que concurrió negligencia grave, podrá exigir al usuario la responsabilidad correspondiente. La negligencia grave no desaparece; deja de funcionar como justificación para que el banco se niegue unilateralmente al reembolso inmediato.
Esta construcción se completa con el régimen probatorio del artículo 72.2 PSD2. Cuando el usuario niega haber autorizado una operación, el mero registro de la utilización del instrumento de pago no basta necesariamente para demostrar que aquella fue autorizada ni que el ordenante actuó fraudulentamente o con negligencia grave. Corresponde al proveedor aportar los elementos que permitan acreditar esa conducta ya que es quien dispone de los medios y tiene la carga de la prueba. La arquitectura normativa adquiere así plena coherencia: el artículo 73 regula el reembolso de la operación no autorizada y los artículos 72 y 74 2 permiten determinar posteriormente, en su caso, la responsabilidad del usuario. Lo que Tukowiecka impide es invertir ese orden y convertir una apreciación anticipada de negligencia grave en una excepción al reembolso que el artículo 73.1 no contempla.
La consecuencia práctica es importante porque evita que la entidad bancaria se convierta, de facto, en juez y parte de una controversia en la que tiene un interés económico directo. Si bastara con alegar negligencia grave para paralizar el reembolso, la obligación de devolución inmediata perdería buena parte de su eficacia: el banco podría calificar unilateralmente la conducta del cliente y trasladarle la carga de iniciar todo el recorrido necesario para recuperar su dinero, con el tiempo, los costes y las dificultades que ello comporta.
La lógica europea es justamente la contraria: corresponde al proveedor reembolsar y, si posteriormente pretende trasladar la pérdida al usuario, acreditar la negligencia grave exigida por la normativa.
La excepción: la sospecha de fraude del propio cliente
La obligación de reembolso inmediato no es absoluta. Existe una excepción cuando el proveedor dispone de motivos razonables para sospechar que el fraude ha sido cometido por el propio ordenante y comunica esos motivos por escrito a la autoridad nacional competente. La diferencia es fundamental: una cosa es considerar que el consumidor ha sido víctima de un fraude, aunque haya podido actuar con negligencia grave, y otra muy distinta sospechar que el propio consumidor participa en él. Solo este segundo supuesto, sujeto a las condiciones establecidas por la normativa europea, permite excepcionar inicialmente el reembolso. La entidad no puede, por tanto, convertir la excepción relativa al fraude del ordenante en una cláusula general que le permita retener el dinero siempre que considere imprudente su comportamiento.
El impacto de Tukowiecka sobre el phishing
Las consecuencias de la sentencia resultan especialmente relevantes en las reclamaciones por phishing, smishing y otras modalidades de suplantación de identidad. Buena parte de las negativas bancarias se han construido tradicionalmente sobre la conducta de la víctima: introdujo sus credenciales, pulsó un enlace, facilitó un código recibido por SMS o incumplió las recomendaciones de seguridad de la entidad. Tras Tukowiecka, estas circunstancias continúan siendo relevantes para determinar si existió negligencia grave y quién debe soportar finalmente la pérdida, pero no constituyen, por sí mismas, una excepción a la obligación inicial de reembolso cuando estamos ante una operación de 3 pago no autorizada. El debate probatorio sobre la negligencia no desaparece, pero cambia su función y, sobre todo, su momento
No todos los fraudes son iguales: los límites de Tukowiecka
La relevancia de la sentencia no permite, sin embargo, convertir Tukowiecka en una regla aplicable indistintamente a cualquier ciberestafa bancaria. El pronunciamiento se refiere específicamente a operaciones de pago no autorizadas, por lo que será imprescindible determinar previamente si la operación controvertida puede calificarse jurídicamente como tal. Esta precisión resulta especialmente importante cuando es el propio consumidor quien, engañado por un tercero, ordena personalmente una transferencia, como puede ocurrir en determinadas falsas inversiones, fraudes sentimentales o suplantaciones. En estos casos, la primera cuestión será otra: ¿estamos realmente ante una operación “no autorizada” en el sentido de la normativa europea sobre servicios de pago? De la respuesta dependerá la aplicación del mecanismo de reembolso inmediato. Por ello, la importancia de Tukowiecka reside también en delimitar correctamente su alcance y no extender su doctrina a situaciones que el Tribunal no ha resuelto. Markdown pegado
De consumidor demandante a banco reclamante
Probablemente, la consecuencia más gráfica del nuevo planteamiento se perciba al observar quién ocupa cada posición en la controversia. Hasta ahora, cuando una entidad rechazaba una reclamación por phishing alegando negligencia grave, era normalmente el consumidor quien debía iniciar un largo recorrido para recuperar el importe: reclamación ante la entidad, servicio de atención al cliente, organismos supervisores y, finalmente, procedimiento judicial. La víctima de una operación que afirmaba no haber autorizado terminaba convertida en demandante para recuperar su propio dinero.
La lógica de Tukowiecka altera sustancialmente esta posición. Si estamos ante una operación no autorizada y concurren los presupuestos del régimen europeo, la obligación inicial recae sobre el proveedor, que debe efectuar el reembolso; si posteriormente considera que el cliente actuó fraudulentamente o con negligencia grave, será la entidad quien deba reclamar y acreditar los hechos en los que fundamenta esa responsabilidad. No desaparece el conflicto sobre la negligencia, pero cambia quién soporta inicialmente sus consecuencias económicas y quién debe actuar para modificar esa situación.
El consumidor deja de tener que demostrar previamente que no fue negligente para recuperar su dinero y el banco deja de poder convertir su propia valoración de esa 4 negligencia en una decisión definitiva sobre el reembolso, por ello, el centro de gravedad de la controversia ha cambiado y ahí reside, probablemente, la verdadera dimensión de esta novedosa sentencia.
La doctrina Tukowiecka nos ofrece la pastilla roja: cambia nuestra forma de mirar el fraude bancario: La negligencia se discute, el reembolso no espera. Bienvenidos al nuevo paradigma bancario.