Cuando una persona es víctima de una estafa bancaria por phishing, una de las primeras dificultades puede llegar después del fraude: conseguir que el banco le devuelva el dinero. En ocasiones, la entidad atribuye al cliente una negligencia grave por haber facilitado sus credenciales y utiliza ese argumento para rechazar el reembolso.
El Tribunal de Justicia de la Unión Europea (TJUE) acaba de poner límites a esta práctica. En su sentencia de 15 de octubre de 2026, dictada en el asunto C-70/25, Tukowiecka, ha declarado que la negligencia grave del cliente no permite a la entidad financiera rechazar el reembolso inmediato de una operación de pago no autorizada.
El caso que ha dado lugar a la sentencia refleja una situación cada vez más reconocible. Una mujer que vendía un objeto a través de una plataforma recibió un enlace fraudulento que parecía destinado a confirmar la operación. Al acceder a una página que imitaba a la de su banco e introducir las credenciales, permitió involuntariamente que un tercero realizara una transferencia de 700 euros. Aunque comunicó el fraude al día siguiente, la entidad se negó a devolver el dinero al considerar que había incumplido gravemente sus obligaciones de custodia de las claves.
La resolución europea aborda ahora una cuestión relevante: ¿puede el banco trasladar al cliente las consecuencias económicas del fraude desde el primer momento por considerar que no actuó con suficiente diligencia?
La respuesta del TJUE es clara. Los artículos 69, 73 y 74 de la Directiva (UE) 2015/2366, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior, regulan, respectivamente, las obligaciones del usuario en relación con los instrumentos de pago y sus credenciales de seguridad, el deber del proveedor de reembolsar las operaciones no autorizadas y la eventual responsabilidad del cliente por las pérdidas. El Tribunal concluye que la posible negligencia grave del usuario no permite eludir la obligación inicial de reembolso: la devolución inmediata y la determinación de quién debe soportar finalmente las pérdidas son cuestiones distintas.
Esta interpretación tiene especial relevancia en España. El artículo 45 del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago, establece que el proveedor debe devolver el importe de una operación no autorizada de inmediato y, como máximo, al final del día hábil siguiente a aquel en que la haya observado o se le haya notificado. La excepción legal se refiere a los casos en que la entidad tenga motivos razonables para sospechar la existencia de fraude por parte del propio cliente y comunique esos motivos por escrito al Banco de España. La mera alegación de negligencia grave del cliente no permite, por sí sola, denegar el reembolso inicial, sin perjuicio de esta excepción legal.
La interpretación del TJUE debe tenerse en cuenta ahora en España al aplicar la normativa sobre servicios de pago. No se trata de una nueva obligación creada por la sentencia, sino de la interpretación que el Tribunal ofrece de unas reglas europeas ya vigentes y de su relación con la obligación de reembolso recogida en el artículo 45 del Real Decreto-ley. Por ello, los consumidores que reclamen la devolución de operaciones no autorizadas pueden invocar este criterio, sin que la entidad pueda denegar el reembolso inicial por la sola alegación de negligencia grave, salvo que concurra la excepción legal prevista que comentábamos por la que el banco tenga motivos razonables para sospechar que el propio cliente ha cometido un fraude y comunique por escrito esos motivos al Banco de España.
Si el banco considera que el cliente debe asumir finalmente las pérdidas, tendrá que acreditar los requisitos legales para reclamarle posteriormente el importe. Es aquí donde cobra importancia la carga de la prueba. El artículo 44 del Real Decreto-ley 19/2018 regula la prueba de la autenticación y ejecución de las operaciones de pago. Distingue entre demostrar que la operación fue autenticada y registrada correctamente y acreditar que el cliente actuó fraudulentamente o incumplió deliberadamente o por negligencia grave sus obligaciones. El registro del uso de un instrumento de pago no basta, por sí solo, para demostrar la autorización de la operación ni la existencia de negligencia grave.
Esta regla es fundamental. Haber introducido unas credenciales, validado una operación o seguido las instrucciones de una página fraudulenta no permite concluir automáticamente que el consumidor autorizó la transferencia ni que incurrió en una negligencia. La valoración debe atender a las circunstancias concretas y a las pruebas disponibles. Una cosa es que el cliente haya cometido un error y otra es que ese comportamiento reúna los requisitos jurídicos para atribuirle las pérdidas.
A nuestro juicio, el problema no reside en cómo se resuelve cada reclamación, sino en el riesgo de que la negligencia del usuario se convierta en una respuesta casi automática ante el fraude. La sofisticación de las técnicas de suplantación, la apariencia legítima de las comunicaciones y la capacidad de los delincuentes para reproducir entornos bancarios hacen insuficiente una valoración basada exclusivamente en que el cliente facilitó sus claves.
Esto no significa que los usuarios carezcan de obligaciones ni que los bancos deban asumir automáticamente cualquier pérdida en toda circunstancia. La normativa contempla supuestos en los que el cliente puede tener que responden por un fraude o por una negligencia grave debidamente acreditada. Lo que impide el TJUE es que esa discusión se utilice para eludir la obligación inicial de reembolso, salvo la excepción legal relativa a la sospecha de fraude cometida por el propio usuario.
La diferencia es sustancial. Primero debe restablecerse la situación económica del cliente en los términos previstos por la ley; después, si la entidad considera que existen motivos para atribuirle responsabilidad, deberá demostrarlo y reclamar lo que le corresponda. No puede exigirse al consumidor que soporte necesariamente la pérdida mientras se resuelve una controversia sobre su conducta.
La protección frente al fraude digital no puede descansar exclusivamente en la capacidad del usuario para detectar engaños cada vez más sofisticados. También requiere que las entidades cumplan sus obligaciones legales, que los mecanismos de reclamación sean efectivos y que la distribución de responsabilidades se base en pruebas, no en presunciones.
La sentencia del TJUE no elimina la responsabilidad del cliente, pero sí marca un límite importante a la forma de exigirla. Caer en una estafa no convierte automáticamente a la víctima en responsable del fraude. Cuando una operación no ha sido autorizada, la protección del consumidor exige distinguir entre el deber de reembolsar y la eventual responsabilidad posterior, sin trasladar de entrada a la víctima las consecuencias económicas de un delito que no cometió.
ElDerecho.com no comparte necesariamente ni se responsabiliza de las opiniones expresadas por los autores o colaboradores de esta publicación