Desde el despacho especializado en derecho bancario Quercus Jurídico se ha recibido con satisfacción la sentencia que el pasado 15 de octubre dictó el TJUE. Las consecuencias de esta sentencia se pueden resumir en: Primero se devuelve el dinero y después, si el banco quiere recuperarlo, tiene que demostrar la culpa del cliente. Esa es, en una frase, la regla que fija el Tribunal de Justicia de la Unión Europea en su sentencia de 15 de octubre de 2026 (asunto C-70/25). Para las víctimas de phishing y de otras ciberestafas cambia mucho la forma de plantear la reclamación. Solamente en Europa, la banca debe de devolver a los clientes 4.200 millones de euros por procedimientos judiciales y administrativos que ya están iniciados contra los bancos promovidos por los clientes estafados por medio de pishing.
En el día a día del despacho, la respuesta más habitual de las entidades ante una operación fraudulenta es la misma: «usted facilitó sus claves, luego fue gravemente negligente». Con esa frase se cerraba la puerta al reembolso y se obligaba al cliente a pleitear. El TJUE acaba de decir que esa negativa, de entrada, no es admisible.
Un phishing de manual por unos 700 euros
El asunto enfrenta a una consumidora polaca con su banco, PKO BP. Vendía un objeto en una plataforma de compraventa por Internet y un supuesto comprador le envió un enlace «para confirmar la venta». El enlace llevaba a una página que imitaba la web de su banco.
Allí introdujo sus credenciales de banca electrónica. Con ellas, los estafadores transfirieron a una cuenta propia el equivalente a unos 700 euros. Ella avisó al banco al día siguiente.
La entidad se negó a devolver el dinero: entendía que la clienta había hecho posible la operación al no custodiar sus claves, es decir, por negligencia grave. El Tribunal de Distrito de Koszalin planteó entonces la cuestión al TJUE: ¿puede el banco negarse a la devolución inmediata alegando esa negligencia?
El propio tribunal polaco puso el dedo en la llaga. Según expuso, en la práctica las excepciones a la devolución se han convertido en la norma, y son los consumidores quienes se ven obligados a pleitear para recuperar su dinero.
Qué dice el Tribunal: devolver primero, discutir después
El TJUE responde con claridad. Según el fallo, el banco «no puede negarse a devolver inmediatamente a un ordenante el importe de una operación de pago no autorizada por entender que dicho ordenante hizo posible tal operación al cometer una negligencia grave».
El razonamiento descansa en tres ideas:
El artículo 73.1 de la Directiva (UE) 2015/2366 (PSD2) obliga a devolver el importe de inmediato y, como muy tarde, al final del día hábil siguiente a la notificación. Solo prevé una salvedad: que el banco sospeche razonablemente un fraude del propio cliente y lo comunique por escrito a la autoridad competente. La negligencia grave no es esa excepción.
El artículo 73 regula la devolución inmediata. El artículo 74 regula, en una fase posterior, quién soporta finalmente la pérdida. No se pueden mezclar.
La carga de la prueba es del banco. El artículo 72.2 impone al proveedor la prueba de la negligencia grave. Si pudiera negarse desde el principio, la obligación de reembolso perdería su efecto útil y el cliente tendría que pleitear y asumir las costas.
Devolver no equivale a asumir la pérdida. El banco conserva la posibilidad de reclamar después al cliente lo devuelto, si demuestra que la operación se debió a un incumplimiento doloso o gravemente negligente de sus obligaciones de seguridad.
Qué cambia en España
La norma europea PSD2 está incorporada a nuestro ordenamiento por el Real Decreto-ley 19/2018, de servicios de pago. Su artículo 45 ya obliga a devolver «de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente», salvo sospecha razonable de fraude comunicada por escrito al Banco de España. El artículo 44 atribuye a la entidad la prueba de la autenticación y de la negligencia grave, y el 46 regula cuándo responde el cliente.
La norma, por tanto, no es nueva. Lo nuevo es que el TJUE cierra la interpretación que muchas entidades venían haciendo: invocar la negligencia grave para no devolver nada y obligar al cliente a demandar. Esa práctica es contraria a la Directiva, y la interpretación del Tribunal vincula a los jueces españoles.
En la práctica, esto tiene tres consecuencias:
Se invierte la iniciativa. El banco devuelve y, si quiere recuperar el dinero, es él quien debe reclamar y probar.
La negativa basada solo en la negligencia es un incumplimiento. El cliente puede exigir la devolución inmediata sin esperar a que se discuta quién tuvo la culpa.
Los procedimientos en curso ganan un argumento sólido. Quien ya reclamó y recibió un «no» fundado en la negligencia grave puede invocar directamente esta sentencia.
Conviene, eso sí, no leer más de lo que dice. La sentencia se refiere a operaciones de pago no autorizadas: las que realiza el delincuente con credenciales robadas. Cuando es el propio cliente quien ordena una transferencia engañado (la falsa llamada del «departamento de seguridad» que le pide mover el dinero), el análisis puede ser distinto. Tampoco precisa el TJUE qué conductas alcanzan el umbral de la negligencia grave; eso seguirá decidiéndose caso por caso.
Qué hacer si le han sustraído dinero de su cuenta
La rapidez es decisiva: la ley exige comunicar la operación sin demora injustificada. Mi recomendación es seguir estos pasos:
- Avise al banco de inmediato y pida el bloqueo de tarjetas, claves y accesos comprometidos.
- Reclame por escrito la devolución, indicando que la operación no fue autorizada y citando el artículo 45 del Real Decreto-ley 19/2018 y la sentencia del TJUE de 15 de octubre de 2026 (C-70/25).
- Denuncie ante la Policía o la Guardia Civil y aporte mensajes, capturas, enlaces y justificantes.
- Conserve todas las pruebas: SMS, correos, la web falsa, los avisos de seguridad que recibió (o que no recibió) y la hora de cada comunicación.
- Si el banco se niega, presente reclamación ante su servicio de atención al cliente y, en su caso, ante el Banco de España. Antes de demandar habrá que acudir a un medio adecuado de solución de controversias (MASC), como exige hoy la ley procesal.
- Busque asesoramiento especializado cuanto antes. Que el cliente introdujera sus claves en una web falsa no significa, por sí solo, que fuera gravemente negligente: hay que analizar el engaño, el sistema de autenticación y las alertas que el banco activó o dejó de activar.
La digitalización bancaria la han impulsado las propias entidades. Es razonable que, cuando falla la seguridad, sean ellas las que adelanten el dinero y prueben la culpa del cliente, y no al revés. Eso es exactamente lo que ahora ha dicho el TJUE.
