Montero de Cisneros – Abogados
- José Montero, director de Montero de Cisneros Abogados, analiza la sentencia del TJUE del 15 de octubre (asunto C-70/25) y advierte: “La negligencia ha dejado de ser una excusa automática para no devolver. Ahora el banco tiene que probarla.”
Primero se devuelve el dinero; después, si acaso, se discute de quién fue la culpa. Ese es el nuevo orden que el Tribunal de Justicia de la Unión Europea (TJUE) ha impuesto a la banca en los casos de ciberestafa. En su sentencia del 15 de octubre de 2026 (asunto C-70/25, Tukowiecka), el tribunal establece que las entidades deben reembolsar de inmediato las operaciones no autorizadas —como máximo al final del día hábil siguiente a la notificación del cliente— aunque consideren que la víctima actuó con negligencia grave.
Solo si el banco demuestra después esa negligencia grave, o un incumplimiento deliberado de las obligaciones de seguridad, podrá reclamar al cliente el importe. La carga de la prueba, por tanto, queda del lado de la entidad.
“Durante años, la palabra ‘negligencia’ ha funcionado como un muro. Muchos afectados ni siquiera reclamaban porque su banco les decía, desde la primera llamada, que la culpa era suya. El TJUE acaba de derribar ese muro”, explica José Montero, director de Montero de Cisneros Abogados, pioneros en este tipo de sentencias y fundador de Defensa Contra Fondo.
Una sentencia que llega en plena ola de fraude digital
El fallo aterriza en un momento crítico. Según el Informe sobre la Cibercriminalidad en España 2025 del Ministerio del Interior, el año pasado se registraron 429.677 fraudes informáticos, casi nueve de cada diez ciberdelitos conocidos por las fuerzas de seguridad. La tendencia no afloja: en el primer semestre de 2026, las estafas informáticas sumaron 214.621 infracciones penales, el 87,3% de toda la cibercriminalidad, con un perfil de víctima que se concentra especialmente entre los 51 y los 65 años.
“Detrás de cada una de esas cifras hay alguien que ha visto cómo le vaciaban la cuenta en minutos y que, en muchos casos, se ha encontrado después con un ‘no’ de su banco por respuesta”, señala Montero.
El caso: un enlace falso y 700 euros
El litigio que ha llegado a Luxemburgo comenzó con una operación cotidiana. Una mujer polaca intentaba vender un artículo por internet cuando un supuesto comprador le envió un enlace que imitaba a la plataforma de compraventa. Tras introducir sus datos, sufrió un cargo fraudulento de unos 700 euros. Lo comunicó a su banco, que se negó a devolver el dinero al considerar que había sido negligente al facilitar sus credenciales.
El TJUE separa ahora con claridad dos cuestiones que la banca venía mezclando: la obligación de devolución inmediata y la determinación de quién asume finalmente la pérdida. La primera es incondicional; la segunda se resuelve después y exige pruebas.
Qué cambia para las víctimas en España
En España, la normativa europea de servicios de pago (PSD2) está incorporada al Real Decreto-ley 19/2018, que ya fijaba el plazo de devolución inmediata. Lo que cambia es que la práctica habitual de rechazar de entrada la reclamación invocando la negligencia del cliente queda ahora en entredicho por el máximo intérprete del derecho europeo.
“Que alguien pinche un enlace o dicte un código de verificación no equivale, por sí solo, a negligencia grave. Hoy los fraudes usan webs clonadas, llamadas que muestran el número real del banco y mensajes que se cuelan en el mismo hilo de SMS de la entidad. Están diseñados para engañar a cualquiera, también a quien es prudente”, subraya el abogado.
La única excepción que permite al banco no devolver de inmediato es la existencia de motivos razonables para sospechar fraude del propio cliente, que la entidad debe comunicar por escrito al Banco de España.
Cinco pasos si ha sido víctima de una ciberestafa
José Montero resume en cinco claves cómo actuar:
- Avisar al banco sin demora y por escrito, bloqueando tarjetas y accesos y dejando constancia de la fecha y hora de la notificación.
- Denunciar ante la Policía Nacional, la Guardia Civil o la policía autonómica y guardar copia de la denuncia.
- Exigir la devolución citando la sentencia del TJUE (C-70/25) y el artículo 45 del Real Decreto-ley 19/2018.
- Conservar todas las pruebas: SMS, correos, capturas de la web falsa, registro de llamadas y extractos.
- Si el banco no devuelve en plazo, presentar reclamación ante su servicio de atención al cliente y, después, ante el Banco de España o por la vía judicial.
“A quien su banco le haya denegado una devolución en los últimos meses alegando negligencia, le recomendaría revisar su caso. Esta sentencia cambia el punto de partida de la negociación”, concluye José Montero.
