Una persona pone un artículo a la venta en una plataforma de segunda mano y recibe un mensaje de un supuesto comprador interesado. Para completar la operación, le envía un enlace que imita la página de su banco. La víctima introduce sus credenciales y, poco después, descubre que han transferido cientos de euros desde su cuenta sin su autorización. Cuando reclama, la entidad se niega a devolver el dinero alegando que actuó con negligencia al facilitar sus claves. Esta situación, cada vez más habitual, tiene ahora una respuesta relevante de la justicia europea. Así lo analiza Escudo Legal en su blog, a raíz de una reciente sentencia del Tribunal de Justicia de la Unión Europea (TJUE).
La resolución, dictada el 15 de octubre de 2026 en el asunto C-70/25, establece que las entidades bancarias deben devolver, en principio, el importe de las operaciones de pago no autorizadas incluso cuando consideren que el cliente ha actuado con negligencia grave. El Tribunal introduce así una distinción fundamental: una cosa es devolver el dinero de forma inmediata y otra determinar quién debe asumir finalmente las pérdidas.
El caso que originó el pronunciamiento se produjo en Polonia. Una usuaria que vendía un objeto por internet recibió un enlace fraudulento que imitaba la página de su banco. Tras introducir sus datos de acceso, un tercero realizó una transferencia de aproximadamente 700 euros. La afectada comunicó lo sucedido a la entidad al día siguiente, pero esta rechazó la devolución al considerar que había incumplido su obligación de proteger las credenciales de seguridad.
El TJUE respondió que esa justificación no permite al banco retrasar el reembolso. Como resume Escudo Legal, «primero el banco devuelve; después» se discute, si corresponde, quién debe soportar el perjuicio. La decisión se fundamenta en la Directiva europea 2015/2366, conocida como PSD2, y tiene especial relevancia para los usuarios españoles, puesto que su artículo 73 se refleja en el artículo 45 del Real Decreto-ley 19/2018, de servicios de pago.
Esta normativa establece que, cuando se ejecuta una operación no autorizada, el proveedor de servicios de pago debe devolver el importe inmediatamente y, como máximo, al finalizar el día hábil siguiente a aquel en que haya tenido conocimiento de la operación o haya recibido la notificación del cliente. Para ello, el usuario debe comunicar el fraude sin demora injustificada.
Existe una excepción: la entidad puede suspender esa obligación si tiene motivos razonables para sospechar que el propio cliente ha cometido el fraude y comunica por escrito esos motivos al Banco de España. Por tanto, considerar que una persona se dejó engañar o facilitó sus claves no equivale a sospechar que participó en la estafa.
La sentencia tampoco significa que el consumidor quede exento de cualquier responsabilidad. Una vez realizado el reembolso, el banco puede reclamarle posteriormente las pérdidas si demuestra que actuó deliberadamente o con negligencia grave al incumplir sus obligaciones de seguridad. En este punto, Escudo Legal destaca que «la carga de la prueba recae en el banco»: corresponde a la entidad acreditar esa conducta, no al cliente demostrar que es inocente para recuperar inicialmente su dinero.
El pronunciamiento supone un avance para las víctimas de fraudes como el phishing, el smishing o el vishing, en los que los delincuentes suplantan a entidades bancarias o empresas para conseguir información confidencial. Hasta ahora, algunas entidades rechazaban las reclamaciones argumentando que el usuario había facilitado voluntariamente sus credenciales. La resolución europea dificulta que esa alegación sirva para negar directamente el reembolso.
Escudo Legal recuerda, además, que la reclamación bancaria y la denuncia penal son vías compatibles. Mientras la primera busca recuperar el importe sustraído, la segunda permite perseguir a los responsables. Estos hechos pueden constituir un delito de estafa informática, por lo que resulta importante conservar los mensajes, enlaces, capturas de pantalla, justificantes de las transferencias y comunicaciones con el banco.
Ante un fraude, la recomendación es avisar inmediatamente a la entidad por un canal que deje constancia, bloquear el acceso a la cuenta, cambiar las credenciales y presentar una reclamación escrita. También conviene denunciar los hechos y revisar cuidadosamente cualquier documento que el banco solicite firmar.
La conclusión es clara: sufrir un engaño digital no permite al banco desentenderse automáticamente de la devolución. Primero debe aplicarse la protección prevista para las operaciones no autorizadas; después, si considera que el cliente actuó con negligencia grave, la entidad tendrá que demostrarlo y reclamar por las vías correspondientes.
VER POST
