El TJUE ordena rembolsar els fons per phishing segons la sentència C-70/25
- El TJUE estableix que els bancs han de rembolsar els fons robats per phishing en un màxim d'un dia hàbil.
- L'entitat financera no pot denegar la devolució immediata alegant negligència grave del client.
- Si el banc considera que el client ha estat imprudent, ha de tornar els diners primer i reclamar-los després judicialment.
- L'Audiència Provincial de Saragossa ja ha aplicat aquest criteri condemnant Ibercaja a tornar 6.000 euros.
La relació entre els usuaris de la banca digital i les entitats financeres acaba de patir un canvi paradigmàtic. Durant anys, la resposta estàndard dels bancs davant les estafes digitals ha estat l'acusació de negligència grave. Quan un client caia en una xarxa de phishing, smishing o vishing, les entitats solien blindar-se alegant que l'usuari havia facilitat les seves claus, transferint així la càrrega de la prova i el cost del procés judicial a la víctima. Aquesta dinàmica ha rebut un cop contundent per part del Tribunal de Justícia de la Unió Europea (TJUE).
La sentència C-70/25 i el nou ordre de prioritats
El TJUE ha dictat una sentència que redefineix la responsabilitat dels proveïdors de serveis de pagament en tota la Unió Europea. En l'assumpte C-70/25, originat per un cas a Polònia on una clienta va perdre 3.000 zlotys després d'introduir les seves credencials en una web falsa, el tribunal ha estat taxatiu: el banc no pot negar-se a retornar immediatament l'import d'una operació no autoritzada basant-se en la suposada negligència del client.
Aquest fallo es fonamenta en la Directiva de Serveis de Pagament (PSD2), que estableix la obligació de restituir els fons quan es produeix una operació no autoritzada. La novetat recau en la temporalitat i l'ordre d'actuació. Ara, la norma és clara: primer es torna el diners i, posteriorment, si l'entitat creu que hi ha hagut un frau o una imprudència inexcusable per part de l'usuari, ha de provar-ho i reclamar la quantitat per les vies legals oportunes. Aquesta interpretació elimina la barrera que obligava les víctimes a demandar el banc per recuperar els seus propis estalvis.
Terminis estrictes per al rembols bancari
La celeritat és el punt clau d'aquesta resolució. Segons el criteri confirmat pel TJUE i aplaudit per organitzacions com l'OCU, els bancs han de rembolsar el diners sustraït en un termini màxim d'un dia hàbil. Aquesta mesura busca evitar que la víctima assumeixi el risc financer mentre es resol una disputa sobre la seguretat de l'operació.
L'única excepció que permet retardar aquest rembols és l'existència de motius raonables per sospitar un frau per part del propi client. No obstant això, la simple introducció de claus en una pàgina web que imita la de l'entitat —pràctica habitual en el phishing— no es considera, per si sola, un motiu suficient per bloquejar la devolució immediata. L'objectiu és que l'entitat financera, que és qui disposa de la tecnologia i els sistemes de seguretat, assumeixi la responsabilitat primària de protegir l'ecosistema de pagaments.
El cas Ibercaja i l'aplicació a terra a Espanya
La doctrina europea no ha tardat a arribar als tribunals espanyols. Un exemple concret és la sentència 522/2026 de l'Audiència Provincial de Saragossa, que ha condemnat Ibercaja a retornar 6.000 euros a uns clients víctimes de smishing. En aquest cas, el banc s'havia negat a la devolució argumentant una negligència grave reiterada, ja que els clients havien revelat claus de seguretat, de signatura i de ratificació a un estafador a través de trucades i WhatsApp.
Malgrat que el banc insistia que els usuaris havien estat imprudents en conversar amb algú que es feia passar pel gestor de la banca digital, el tribunal ha prioritzat la doctrina del TJUE. La resolució de Saragossa confirma que, independentment de la conducta del client, l'obligació de rembols és prioritària i independent de la responsabilitat posterior del consumidor.
Tipologies de frau que activen aquesta protecció
El marc legal actual no es limita només al correu electrònic, sinó que abasta tot l'espectre de l'engany digital. Les víctimes poden invocar aquests criteris davant diversos mètodes d'atac:
El phishing, el smishing, el vishing i el spoofing són ara tools d'estafa on la responsabilitat final recau, en primera instància, sobre la seguretat de l'entitat bancària i no sobre l'error humà de l'usuari.
El spoofing, per exemple, és especialment perillós perquè falsifica la identitat del remitent, fent que un número de telèfon o una web semblin totalment legítims. Davant aquests escenaris, l'OCU anima els afectats a invocar la sentència del tribunal europeu per accelerar la recuperació dels fons sense haver de passar per processos judicials extenuants, tal com s'explica en les comunicacions de l'organització.
L'impacte en la gestió del risc bancari
Aquest canvi obliga els bancs a repensar la seva estratègia de gestió de riscos. Ja no és suficient amb advertir els clients sobre la seguretat; ara les entitats han de millorar els seus sistemes de detecció de transaccions anòmales en temps real. Si el cost de la negligència del client es trasllada al balance del banc, la inversió en IA per a la detecció de fraus esdevé una prioritat econòmica i no només una mesura de compliment normatiu.
Les entitats hauran de desenvolupar protocols de reclamació molt més robusts per provar la negligència grave posteriorment, cosa que augmentarà la demanda de proves forenses digitals i anàlisis de comportament per justificar qualsevol intent de recuperar els diners ja rembolsats.
Implicacions per a l'ecosistema empresarial a Catalunya i Espanya
Per a les empreses catalanes i el mercat espanyol, aquesta sentència té lectures que van més enllà de la simple relació client-banc. En un ecosistema com el de Barcelona, on la digitalització de les Pimes i la proliferació de fintechs és molt alta, la seguretat en els pagaments es torna un actiu crítif. L'aplicació d'aquest criteri europeu coincideix amb la implementació de l'AI Act, que pressionarà les entitats a utilitzar sistemes d'IA més transparents i segurs per detectar el frau sense vulnerar la privacitat.
Les empreses que gestionen pagaments o que actuen com a intermediaris financers a Catalunya hauran de revisar els seus termes i condicions. La tendència és clara: la responsabilitat es desplaça cap al proveïdor del serveis. Per a l'emprenedoria tecnològica local, això representa una oportunitat per desenvolupar solucions de ciberseguretat més avançades que ajudin els bancs a evitar aquests rembolsos forçosos.
A més, el mercat espanyol, tradicionalment més conservador en la resposta a les reclamacions de consum, haurà de adaptar-se a una cultura de rembols immediat. Això pot generar un augment temporal de les reclamacions, però a llarg termini forçarà una modernització de les interfícies de banca digital per fer-les més resistents a l'engany humà, reduint la dependència de la bona voluntat o la intuïció de l'usuari final.
Preguntes freqüents
Què ha de fer un client si el banc es nega a tornar els diners d'un phishing?
Ha d'invocar la sentència C-70/25 del TJUE i la Directiva PSD2, exigint el rembols en un màxim d'un dia hàbil, independentment de la suposada negligència.
El banc pot reclamar els diners després d'haver-los tornat?
Sí, però ha de fer-ho a través de les vies legals corresponents i ha de provar concretement que el client va actuar amb negligència grave o fraude.
A quins tipus d'estafes s'aplica aquesta norma?
S'aplica a totes les operacions de pagament no autoritzades, incloent phishing (email), smishing (SMS), vishing (trucades) i spoofing (falsificació d'identitat).
Fonts: Confilegal, Bufetepadillatorrevieja, Ocu ·
glacom · IA per a despatxos d’advocats: els expedients no surten del despatx →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
