El TJUE obliga a los bancos a devolver de inmediato el dinero sustraído por ‘phishing’

Por Juan Carlos Añón, abogado y presidente de la Sección de Consumo del Colegio de la Abogacía de Valencia.

Las entidades deben reembolsar las operaciones de pago no autorizadas como máximo al final del siguiente día hábil, sin poder alegar una posible negligencia grave del cliente para retrasar la devolución.

El Tribunal de Justicia de la Unión Europea (TJUE) ha reforzado la protección de las víctimas de phishing al establecer que los bancos no pueden negarse a devolver de inmediato el dinero sustraído mediante operaciones de pago no autorizadas alegando que el cliente pudo actuar con negligencia grave.

La sentencia, dictada en el asunto C-70/25, resuelve el caso de una mujer polaca que sufrió una estafa al intentar vender un objeto por Internet. Un supuesto comprador le envió un enlace fraudulento que permitió a los estafadores realizar operaciones de pago.

El fallo aclara que, cuando se denuncia una operación no autorizada, la entidad debe devolver el importe de forma inmediata y, en todo caso, como máximo al final del día hábil siguiente a aquel en que haya detectado o recibido la notificación de la operación.

La normativa europea obliga a devolver el dinero

La resolución interpreta la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior, incorporada al ordenamiento español mediante el Real Decreto-ley 19/2018, de servicios de pago.

En concreto, el artículo 73.1 de la Directiva, recogido en el artículo 45 del real decreto-ley, establece la obligación de devolver inmediatamente el importe de las operaciones no autorizadas, salvo que existan motivos razonables para sospechar que el propio usuario ha cometido un fraude y estos se comuniquen por escrito a la autoridad nacional competente.

El TJUE concluye que la mera sospecha de negligencia grave del cliente no constituye una excepción que permita al banco suspender ese reembolso.

Primero, devolver; después, determinar la responsabilidad

La sentencia distingue entre la obligación de devolución inmediata y la determinación posterior de quién debe asumir las pérdidas.

El artículo 74 de la Directiva, recogido en el artículo 46 del Real Decreto-ley 19/2018, regula la responsabilidad del usuario. Este puede llegar a asumir las pérdidas si ha actuado fraudulentamente o ha incumplido deliberadamente o por negligencia grave sus obligaciones de seguridad.

Entre ellas, el artículo 69 exige utilizar los instrumentos de pago conforme a sus condiciones y proteger las credenciales de seguridad personalizadas, además de comunicar sin demora indebida el extravío, robo o uso no autorizado del instrumento de pago cuando el usuario tenga conocimiento de ello.

Sin embargo, según el TJUE, estas obligaciones no permiten al banco denegar o aplazar el reembolso por la mera alegación de una posible negligencia grave. La entidad debe devolver primero el dinero y, posteriormente, podrá reclamar al cliente las pérdidas si acredita que concurren los requisitos legales para atribuirle la responsabilidad.

En este sentido, el artículo 72 de la Directiva establece que corresponde al proveedor de servicios de pago demostrar que la operación fue autenticada, registrada y contabilizada correctamente y que no se vio afectada por un fallo técnico u otra deficiencia del servicio.

Una mayor protección para las víctimas de fraude digital

La resolución supone un avance para los usuarios que sufren operaciones fraudulentas y que, hasta ahora, podían verse obligados a acudir a los tribunales para recuperar su dinero cuando el banco alegaba una posible negligencia grave.

El TJUE recuerda que la devolución inmediata debe ser la regla y no una excepción. Permitir que las entidades la denieguen por la mera sospecha de una conducta negligente vaciaría de contenido la protección que establece la normativa europea de servicios de pago.

Si el banco incumple esta obligación, el usuario podrá reclamar judicialmente la devolución, tras cumplir, cuando proceda, el requisito de acudir previamente a un medio adecuado de solución de controversias (MASC).

La sentencia refuerza así la protección de los consumidores frente a la ciberdelincuencia y establece una distinción fundamental: el banco debe devolver primero el dinero y, si considera que el cliente es responsable, acreditar esa responsabilidad posteriormente.

MÁS INFORMACIÓN