L'Audiència de A Coruña obliga un banc a retornar 8.874 euros per un ciberfrau

La relació entre els usuaris bancaris i les entitats financeres acaba de patir un canvi paradigmàtic en el que respecta a la gestió dels ciberfraus. En una sentència que marca un precedent clar, la secció cinquena de l'Audiència Provincial de A Coruña ha obligat una entitat bancària a retornar la quantitat de 8.874 euros a una clienta víctima d'un engany, basant-se en la recents directrices europees sobre la protecció del consumidor.

El nou criteri del Tribunal de Justícia de la Unió Europea

El nucli de la disputa jurídica resideix en l'aplicació de la doctrina establida pel Tribunal de Justícia de la Unió Europea (TJUE) en la seva sentència del 15 d'octubre de 2026. Aquest marc legal europeu és rotund: les entitats bancàries no tenen facultat per negar-se a devolver immediatament l'import d'una operació de pagament no autoritzada basant-se simplement en la sospita o l'al·legació d'una possible negligència greu per part de l'usuari.

Aquesta interpretació busca evitar que els bancs utilitzin la negligència del client com un escut per retardar la restitució dels fons. Segons el tribunal, permetre que l'entitat financera oposi aquest argument per evitar el reemborsment immediat suposaria privar d'eficàcia l'obligació de devolució i aniria directament contra la finalitat de la directiva europea, que és garantir un nivell elevat de protecció per als consumidors en l'ecosistema de pagaments digitals.

La responsabilitat quasi objectiva de les entitats

Un dels aspectes més rellevants de la sentència és la definició de la responsabilitat de les entitats proveïdores de serveis de pagament. Els magistrats han assenyalat que aquesta responsabilitat té un caràcter quasi objectiu. Això significa que, un cop l'usuari comunica l'existència d'una operació no autoritzada, el banc ha de respondre i retornar els diners, independentment de com s'hagi produït l'accés a les credencials, excepte en un cas molt concret: quan l'entitat pugui acreditar feixavolment que l'usuari ha cometut un frau.

En el cas concret analitzat per l'Audiència de A Coruña, s'ha considerat provat que la clienta va ser víctima d'un engany. El tribunal s'ha basat en un fet crucial: la pròpia entitat bancària havia reconegut, en la resposta a la reclamació inicial de la usuària, que les operacions es podrien haver realitzat després que terceres persones accedissin a les dades de la targeta. Aquesta admissió prèvia ha estat determinant per desmuntar qualsevol argument posterior de la banca.

Un comportament contra la bona fe bancària

La sentència no només se centra en la devolució del diners, sinó que també critica la actitud processal de l'entitat financera. Els magistrats han entès que el banc va actuar contra la bona fe quan, durant el procediment judicial, va intentar negar fets que ell mateix havia admès en la fase de reclamació extrajudicial. Aquesta contradicció ha reforçat la posició de la clienta i ha accelerat la confirmació de la condena imposada inicialment pel tribunal de primera instència.

La protecció del consumidor es torna així prioritària davant la complexitat dels sistemes de seguretat bancària. L'Audiència de A Coruña ha deixat clar que la càrrega de la prova recau sobre el banc, que és qui posseeix la tecnologia i els mitjans de control per detectar anomalies en els patrons de consum.

L'impacte en la gestió dels ciberfraus

Aquesta resolució s'insereix en un context on el phishing i les estafes digitals han augmentat exponencialment. La tendència judicial camina cap a una transferència del risc: ja no és el client qui ha de demostrar que no ha estat negligent, sinó que és el banc qui ha de demostrar que el client ha actuat amb dolo o frau per poder evitar la devolució.

La responsabilitat de les entitats proveïdores de serveis de pagament per les operacions no autoritzades té caràcter cuasi objectiu, per la qual cosa han de respondre un cop se els comunica la seva existència.

Aquesta doctrina obliga els bancs a repensar els seus protocols de resposta davant les denúncies de fraus. Ja no bastarà amb respondre que l'usuari ha facilitat el codi SMS o que ha fet clic en un enllaç sospitós per tancar el cas; la devolució ha de ser immediata, i qualsevol discussió sobre la negligència ha de ser un procés posterior que no bloquegi el retorn dels fons al client.

Implicacions per a l'ecosistema empresarial a Catalunya i Espanya

Aquesta sentència té lectures molt concretes per a l'ecosistema d'empreses i fintechs, especialment en un hub tecnològic com Barcelona. En primer lloc, el sector de la cibersegurega i el desenvolupament de solucions de pagaments a Catalunya haurà d'accelerar la implementació de sistemes de detecció de fraus més robusts. Si la responsabilitat és quasi objectiva, la prevenció tecnològica es torna l'única via per evitar pèrdues financeres massives per a les entitats.

D'altra banda, en el marc de l'AI Act i la regulació europea, veiem una tendència clara cap a la protecció del الحلقة més feble de la cadena: l'usuari final. Per a les empreses catalanes que desenvolupen IA aplicada a les finances, això significa que els algorismes de seguretat no només han de detectar el frau, sinó que han de proporcionar proves forensics indiscutibles que puguin diferenciar entre una negligència (que no exime el banc de retornar els diners) i un frau cometut per l'usuari (que sí l'exime).

En el mercat espanyol, aquesta doctrina pot provocar un augment en el volum de reclamacions administratives i judicials. Les pimes i els autònoms, que sovint són víctimes d'estafes de tipus CEO fraud o phishing sofisticat, tenen ara un argument legal molt més potent per exigir la devolució immediata dels seus actius. El sector jurídic ja està alertant que aquesta interpretació del TJUE es generalitzarà en totes les audiències provincials d'Espanya, obligant la banca a augmentar les seves reserves per cobrir aquests reemborsaments.

Preguntes freqüents

Fonts: Elderecho, Poderjudicial, Infobae ·