El TJUE ordena el reembors immediat del phishing per la sentència C-70/25
- El TJUE estableix que els bancs han de retornar els diners sostrets per phishing al final del següent dia hábil.
- Les entitats no poden denegar el reembors inicial alegant una possible negligència grave de l'usuari.
- S'aplica el principi de retornar primer i reclamar després si el banc pot provar el frau del client.
- La resolució s'empara en la Directiva (UE) 2015/2366 i el Real Decreto-ley 19/2018 a Espanya.
La lluita contra el cibercrim ha donat un gir jurídic determinant per a milions d'usuaris a tot l'espai europeu. El Tribunal de Justícia de la Unió Europea (TJUE) ha dictat una sentència que redefineix la responsabilitat dels proveïdors de serveis de pagament davant les estafes de tipus phishing. A partir d'ara, la resposta estàndard de moltes entitats bancàries, que rebutjaven la devolució de fons basant-se en la suposada imprudència del client, ha deixat de tenir validesa legal com a argument per retardar el reembors.
La sentència C-70/25 i el nou paradigma del reembors
El conflicte que ha portat a aquesta resolució, dictada el 15 d'octubre de 2026, té origen en un cas polonès. Una clienta del banc PKO BP va ser víctima d'un engany mentre intentava vendre un objecte a través d'un portal de subastes en línia. Un suposat comprador li va enviar un enllaç fraudulent que imitava la pàgina web de la seva entitat bancària. Enganyada, la dona va introduir les seves credencials i va facilitar un codi SMS, fet que va permetre als estafadors transferir 3.000 zlotys (aproximadament 700 euros) al seu propi compte.
Quan la víctima va detectar el frau i va reclamar els diners, el banc es va negar a reintegrar-los, argumentant que la clienta havia actuat amb negligència grave en facilitar les seves claus. El cas va arribar fins al TJUE, que ha aclarit que la mera sospita de negligència no és una excepció vàlida per evitar la devolució immediata dels fons. Aquest fallo estableix una prioritat clara: la protecció del consumidor davant l'operació no autoritzada prevaleix sobre la investigació interna del banc sobre la conducta de l'usuari.
Plajals estrictes per a les entitats financeres
L'aspecte més disruptiu de la sentència és la determinació dels terminis temporals. El tribunal ha estat taxatiu en quant a la celeritat que s'exigeix a les entitats. Quan un usuari denuncia una operació no autoritzada, el banc ha de retornar l'import de forma immediata. En el pitjor dels casos, el termini màxim per efectuar aquest reembors és el final del dia hábil següent a aquell en què s'ha detectat o rebut la notificació de l'operació.
Aquesta mesura busca evitar que les víctimes de ciberestafes hagin de suportar la pèrdua de liquiditat durant mesos mentre es resolen processos administratius o judicials. La sentència C-70/25 elimina la necessitat que el client hagi de demandar judicialment l'entitat per recuperar els seus propis diners en una primera fase.
El marc normatiu: de la Directiva europea al dret espanyol
Aquesta resolució no és un acte aïllat, sinó una interpretació vinculant de la Directiva (UE) 2015/2366 del Parlament Europeu i del Consell, més coneguda com a PSD2. Aquesta normativa regula els serveis de pagament al mercat interior i busca augmentar la seguretat i la competència. En l'ordenament juríd espanyol, aquestes directrius s'han incorporat a través del Real Decreto-ley 19/2018 de serveis de pagament.
Concretament, l'article 73.1 de la Directiva, recollit en l'article 45 del decret llei espanyol, ja preveia l'obligació de retornar els imports de operacions no autoritzades. No obstant això, moltes entitats interpretaven la clàusula de negligència grave com una porta de sortida per no pagar. El TJUE ha tancat aquesta porta, precisant que la única excepció per no retornar els diners immediatament és quan existeixin motius raonables per sospitar que l'usuari ha cometut un frau, i que aquests motius s'hagin comunicat per escrit a l'autoritat nacional competent.
Retornar primer i reclamar després
El principi que s'instaura amb aquesta sentència es pot resumir en una seqüència d'actuacions obligatòries per al sector bancari. El procés ja no pot ser una barrera per al client, sinó que s'estructure de la següent manera:
La resolució consolida un principi especialment rellevant per a qui pateixen estafes per internet: devolver primero y reclamar después.
Això significa que el banc restitueix l'import inicialment, sempre que la comunicació de l'estafa s'hagi fet sense un retard injustificat. Un cop recuperats els fons pel client, l'entitat financera conserva el dret de reclamar aquestes pèrdues posteriorment. Però, per fer-ho, el banc ha de provar rigorosament que l'usuari va actuar de forma fraudulenta o que va incomplir deliberadament les seves obligacions de seguretat. La càrrega de la prova es desplaça, per tant, totalment cap a l'entitat.
Impacte en la gestió de la ciberseguretat bancària
Aquesta sentència obliga els bancs a repensar els seus sistemes de detecció de frau i la seva atenció al client. Ja no bastarà amb detectar que un codi SMS ha estat facilitat; les entitats hauran de millorar els seus filtres de seguretat per evitar que l'operació es produeixi, ja que el cost financer de l'estafa recau ara, en una primera instància, sobre el balance del banc i no sobre el compte del client.
Per als usuaris, això representa un reforç significatiu de la seva posició. Com indica El Nacional, la resposta de que el client ha facilitat les contrasenyes ja no serveix per justificar la denegació d'entrada del reembors. Això obliga a una transparència molt més gran en la comunicació entre el client i el gestor financer.
Implicacions per a l'ecosistema empresarial a Catalunya i Espanya
Per a les empreses catalanes i el mercat espanyol, aquesta sentència té lectures que van més enllà del simple reembors individual. En un ecosistema com el de Barcelona, on la fintech i la digitalització dels serveis financers són motors econòmics, el compliment d'aquestes normatives es torna un factor de competitivitat i confiança.
L'aplicació d'aquestes directives coincideix amb la implementació de l'AI Act a la Unió Europea. Les empreses de tecnologia financera que desenvolupen sistemes de detecció de frau basats en intel·ligència artificial hauran de garantir que els seus algorismes no només detectin la negligència, sinó que permetin una gestió de reemborss automatitzada i immediata per complir amb els plajals del TJUE. Qualsevol retard en el reembors podria derivar en sancions administratives o demandes col·lectives basades en el incompliment del Real Decreto-ley 19/2018.
A més, per a les PIMES catalanes que gestionen fluxos de caixa ajustats, saber que els fons sostrets per phishing poden ser recuperats en 48 hores és una garantia de supervivència operativa. La seguretat jurídica que aporta el TJUE redueix el risc financer imprevist per a l'emprenedoria local, traslladant la responsabilitat de la robustesa dels sistemes de seguretat a qui realment té la capacitat tècnica de millorar-los: les grans entitats bancàries i els proveïdors de serveis de pagament.
Preguntes freqüents
Què ha de fer un client si el seu banc es nega a retornar els diners d'un phishing?
El client ha de recordar a l'entitat la sentència C-70/25 del TJUE i l'article 45 del Real Decreto-ley 19/2018, exigint el reembors al final del següent dia hábil.
El banc pot reclamar els diners un cop els ha retornat?
Sí, però ha de provar que el client ha actuat amb frau o negligència grave. La devolució inicial és obligatòria independentment d'aquesta investigació posterior.
Quin és el termini màxim per rebre els diners?
El banc ha de fer la devolució immediatament i, com a màxim, al final del dia hábil següent a la notificació de l'operació no autoritzada.
Fonts: Abogacia, Bufetepadillatorrevieja, Ceutanegocios ·
glacom · IA per a despatxos d’advocats: els expedients no surten del despatx →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
