Introducción
Hoy comentamos la reciente sentencia del TJUE de 15 de octubre de 2026 (C-70/25) que se pronuncia sobre un tema muy relevante en los fraudes de phishing: cuando un cliente sufre una operación de pago no autorizada, ¿puede el banco negarse a devolver el dinero alegando que el cliente actuó con negligencia grave?
El Tribunal de Justicia sigue así el criterio del Abogado General, Sr. A. Rantos, en las conclusiones presentadas el pasado 5 de marzo de 2026, que ya comentamos en este blog en la entrada Phishing y reembolso inmediato: las conclusiones que pueden cambiar las reglas del juego.
Supuesto de hecho
Los hechos de la sentencia del Alto Tribunal europeo (STJUE de 15 de octubre de 2026, asunto C-70/25) son los siguientes:
Una consumidora, titular de una cuenta corriente en un banco polaco, fue víctima de un fraude por suplantación de identidad (phishing). Un tercero, haciéndose pasar por interesado en un objeto que ella había puesto a la venta en un portal de subastas, le envió un enlace que simulaba ser del propio portal. Al pinchar en dicho enlace accedió a una página web que reproducía la de su banco e introdujo sus credenciales para acceder a la banca electrónica. Con esos datos, el autor del fraude transfirió desde su cuenta 3.000 eslotis (unos 705 euros), autorizando la operación con un código de confirmación enviado por SMS que logró obtener de la víctima mediante engaño.
Al día siguiente, la clienta, conocedora del fraude sufrido, lo comunica de inmediato a la policía y a la entidad bancaria. Sin embargo, esta última se niega a devolver el importe alegando que el perjuicio se debía a una negligencia grave de la usuaria, que había incumplido su obligación de custodiar con la debida diligencia sus credenciales de seguridad.
La clienta interpone demanda dirigida a obtener la restitución de la cantidad defraudada y consiguiente condena a la entidad bancaria, y el tribunal polaco plantea una cuestión prejudicial sobre los arts. 73.1 y 74.1 de la Directiva (UE) 2015/2366 (PSD2).
¿Qué dicen los preceptos mencionados?
Estos artículos regulan la responsabilidad del proveedor de servicios de pago (entidad bancaria) y la del ordenante (consumidor) en caso de operaciones de pago no autorizadas.
- Devolución inmediata (art. 73.1): en caso de operación no autorizada, el proveedor de servicios de pago del ordenante debe devolver el importe de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en que la haya observado o se le haya notificado, sin perjuicio de la notificación sin demora injustificada que exige el art. 71 (con un máximo de trece meses desde el adeudo). La única excepción es que el proveedor tenga motivos razonables para sospechar la existencia de fraude y los comunique por escrito a la autoridad nacional competente.
- Reparto definitivo de las pérdidas (art. 74.1): el ordenante soportará todas las pérdidas si actuó de manera fraudulenta o incumplió, deliberadamente o por negligencia grave, las obligaciones del art. 69, entre ellas la de tomar todas las medidas razonables para proteger sus credenciales de seguridad personalizadas.
En España, el art. 45.1 del Real Decreto-ley 19/2018 también establece que el proveedor debe devolver el importe de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente.
La obligación, por tanto, ya estaba expresamente recogida en la norma. Sin embargo, en la práctica era habitual que la entidad bancaria negara inicialmente la devolución alegando negligencia grave y que fuera el cliente —ya víctima del fraude— quien tuviera que acudir a los tribunales para recuperar su dinero.
El fallo del tribunal
La resolución establece que el banco no puede negarse a devolver inmediatamente el importe por entender que el cliente hizo posible la operación al cometer una negligencia grave.
De la sentencia se desprenden tres reglas que conviene tener presentes:
- La regla general: ante una operación no autorizada notificada sin demora injustificada, el banco debe devolver el importe de inmediato y, a más tardar, al final del día hábil siguiente.
- Excepción: la existencia de motivos razonables para sospechar un fraude cometido por el cliente, comunicados por escrito a la autoridad nacional competente. Alegar que el cliente fue negligente no es, por sí solo, un motivo para rehusar la devolución.
- Posibilidad de reclamación posterior: el banco podrá reclamar al cliente las pérdidas si demuestra que este incumplió deliberadamente o por negligencia grave sus obligaciones de seguridad. La carga de acreditar esa conducta corresponde al proveedor de servicios de pago.
Conclusiones
La sentencia delimita con claridad dos cuestiones que con frecuencia se confunden en la práctica: la obligación de reembolsar el importe de una operación no autorizada y la determinación de quién debe asumir finalmente la pérdida económica.
Por un lado, la devolución debe efectuarse de forma inmediata, salvo que la entidad disponga de motivos razonables para sospechar la existencia de fraude por parte del cliente y comunique dicha sospecha, por escrito, a la autoridad competente. Por otro, la eventual concurrencia de negligencia grave puede analizarse con posterioridad y corresponde al banco acreditar su existencia.
En consecuencia, cuando el cliente comunica sin demora una operación no autorizada, la entidad no puede condicionar el reembolso a una valoración previa de su conducta. Si entiende que el usuario actuó con negligencia grave, deberá reintegrar inicialmente el importe y, posteriormente, ejercitar las acciones que estime oportunas, asumiendo la carga de probar dicha conducta.
La resolución no excluye la responsabilidad del cliente cuando haya incurrido en negligencia grave ni elimina su obligación de notificar el fraude sin dilación. Lo que establece es una secuencia clara de actuación: primero, la devolución; después, en su caso, la acreditación y reclamación de la negligencia grave por parte de la entidad.
Phishing y fraude bancario: claves del éxito para el abogado: Doctrina, Preguntas y Respuestas, Formularios y Jurisprudencia
