Phishing y devoluciones bancarias: una futura sentencia del TJUE puede cambiarlo todo

Por Vanesa Fernández

Cuando una persona sufre un fraude bancario por phishing, smishing o vishing, la gran pregunta suele ser: ¿el banco tiene que devolver el dinero de inmediato o puede negarse diciendo que el cliente fue negligente?

Las recientes conclusiones del Abogado General del Tribunal de Justicia de la Unión Europea (TJUE), en el asunto C-70/25, podrían dar un giro importante a esta cuestión. Y si el TJUE confirma su interpretación, el cambio afectaría directamente a la forma en que los proveedores de servicios de pago gestionan este tipo de fraudes.

El problema de fondo: quién pierde el dinero al principio

En la práctica, el gran problema no es solo quién gana al final, sino quién soporta el golpe económico desde el primer momento.

Hoy en día, cuando el banco rechaza el reembolso diciendo que hubo “negligencia grave”, lo que suele ocurrir es que el cliente se queda sin su dinero y, si quiere recuperarlo, tiene que reclamar, discutir y en la mayoría de las ocasiones acudir a los tribunales.

Esto coloca al usuario —la parte más débil— en una situación muy injusta: tiene que asumir costes, tiempo y desgaste emocional para intentar recuperar algo que nunca autorizó perder. Eso supone también que, en muchos casos, el afectado termine renunciando.

¿Qué está pasando?

Un Abogado General del TJUE ha defendido una idea muy relevante: el banco no debería poder negarse a devolver el dinero de forma inmediata solo porque crea que el cliente actuó con negligencia grave.

Según esta postura, si el banco quiere responsabilizar después al cliente, tendría que probar esa negligencia y reclamar el dinero más adelante, pero no bloquear desde el principio la devolución del importe sustraído.

El caso que ha llegado a Europa

El asunto parte de una usuaria en Polonia que cayó en un fraude al recibir un enlace falso que imitaba primero una plataforma de compraventa y después su propio banco. Los estafadores accedieron a su cuenta y ordenaron un pago no autorizado.

Ella avisó al día siguiente al banco y a la policía. El banco se negó a devolver el dinero alegando que ella actuó con negligencia grave.

La consumidora defendió que el banco solo puede negarse a devolver el dinero de inmediato si tiene motivos para sospechar que ella misma participa en un fraude, y además lo comunica a las autoridades. El banco, en cambio, sostuvo que la negligencia grave basta para no reembolsar.

¿Qué dice el Abogado General? devolver primero, discutir después

La interpretación defendida por el Abogado General distingue dos cosas:

• por un lado, la devolución inmediata del importe de una operación no autorizada;
• y por otro, la responsabilidad final sobre quién debe soportar la pérdida.

Según esta tesis, una cosa es que el banco tenga que reembolsar rápidamente, y otra distinta que después pueda intentar demostrar que el cliente actuó con negligencia grave y reclamarle ese importe.

La devolución inmediata solo podría frenarse en un supuesto muy concreto: cuando el banco tenga motivos razonables para sospechar que hubo fraude del propio usuario y además lo comunique a la autoridad competente.

Fuera de ese caso, la simple sospecha de que el cliente fue negligente no bastaría, según esta interpretación, para retener el dinero desde el principio.

¿Qué podría cambiar en España?

Los fraudes bancarios por phishing han aumentado exponencialmente y una de las discusiones más habituales es precisamente si el banco puede negarse automáticamente a devolver el dinero porque el cliente pinchó en un enlace, facilitó claves o cayó en el engaño.

Si el TJUE confirma esta interpretación, esa práctica podría ser contraria al Derecho europeo lo que comportaría cambios importantes:

1.  Más protección real para los clientes

El usuario no tendría que quedarse sin dinero mientras pelea con el banco. La entidad tendría que devolver primero y discutir después.

2.  Cambiaría la estrategia de los bancos

La negligencia grave no desaparecería como argumento, pero ya no serviría tan fácilmente para rechazar el reembolso desde el inicio. El banco tendría que reclamar más tarde y probar lo que dice.

3.  Los bancos tendrían que revisar sus protocolos

Las entidades deberían distinguir mejor entre los casos en los que realmente sospechan fraude del propio cliente y aquellos en los que simplemente creen que hubo una conducta descuidada.

4.  No solo afectaría a consumidores particulares

También puede ser importante para autónomos, profesionales y pequeñas empresas que sufran fraudes en sus cuentas o en su banca electrónica.

¿Qué puede decidir el TJUE?

Si el TJUE sigue esta interpretación, se consolidará un principio muy sencillo y muy protector: Reembolso primero. Discusión sobre la negligencia después.

Esto significa que el banco no podría usar la alegación de negligencia como excusa para no pagar inicialmente.

Es decir, el banco podría seguir defendiendo que el cliente debe asumir finalmente la pérdida, pero tendría que demostrarlo de forma adecuada y en una fase posterior, tras el reintegro de los fondos sustraídos.

Conclusión

La cuestión esencial es si el sistema de pagos protege realmente a quien sufre una operación no autorizada o si permite que la primera respuesta del banco determine la suerte del consumidor.

El Abogado General lo plantea con claridad: El usuario no debe cargar con la pérdida inicial ni con la obligación de litigar para recuperarla.

Si el TJUE confirma esta línea, supondrá un cambio profundo en cómo se gestionan los fraudes bancarios en España y reforzará de manera efectiva los derechos de los usuarios de los servicios de pago.

En ese caso, el mensaje sería claro: si sufres una operación no autorizada, el banco debería reembolsar primero; y solo después, si realmente puede probar una negligencia grave, reclamar.

Esto no daría inmunidad a quien actúa sin cuidado, pero sí evitaría que la simple acusación de negligencia sirva como excusa para no devolver el dinero desde el primer momento.

Para todos los usuarios, consumidores y empresas, el mensaje sería esperanzador: ser víctima de un engaño no debería equivaler automáticamente a perder la protección legal.