Sentencia C-70/25 del TJUE: bancos deben devolver el dinero del phishing
- El TJUE establece que los bancos deben devolver el dinero de operaciones no autorizadas al final del siguiente día hábil.
- La sospecha de negligencia grave del cliente no es motivo válido para retrasar o denegar el reembolso inicial.
- Se aplica el principio de devolver primero y reclamar después si la entidad puede probar el fraude o negligencia.
- En España, esta resolución refuerza el Real Decreto-ley 19/2018 que ya integraba la Directiva Europea de Servicios de Pago.
La batalla jurídica entre los usuarios víctimas de ciberestafas y las entidades financieras ha dado un giro determinante. El Tribunal de Justicia de la Unión Europea (TJUE) ha dictado una sentencia que redefine la gestión de los fraudes por suplantación de identidad, conocidos como phishing, estableciendo que la responsabilidad inmediata del reembolso recae sobre el banco, independientemente de si el cliente ha cometido errores en la custodia de sus claves.
El fin de la espera: devolver primero y reclamar después
La sentencia C-70/25, emitida el 15 de octubre de 2026, introduce una claridad procesal que beneficia directamente al consumidor. Hasta ahora, era habitual que las entidades bancarias rechazaran la devolución de fondos sustraídos alegando que el usuario había actuado con negligencia grave al facilitar sus credenciales. Este escenario obligaba a la víctima a iniciar largos y costosos procesos judiciales para recuperar su capital.
El TJUE ha sido tajante: el banco no puede utilizar la sospecha de negligencia grave como escudo para no reintegrar el dinero. La resolución impone un mandato de acción inmediata. Cuando un cliente denuncia una operación no autorizada, la entidad debe devolver el importe como máximo al final del día hábil siguiente a la notificación. Solo existe una excepción válida para suspender este proceso: que existan motivos razonables para sospechar que el propio usuario ha cometido un fraude, hecho que debe ser comunicado por escrito a la autoridad nacional competente.
Anatomía de un fraude: el caso que llegó a Luxemburgo
El origen de esta resolución se encuentra en un caso cotidiano que refleja la sofisticación de la ingeniería social actual. Una ciudadana polaca, clienta del banco PKO BP, intentaba vender un objeto a través de un portal de subastas online. En medio del proceso, un supuesto comprador le envió un enlace fraudulento que imitaba la plataforma de venta para confirmar la transacción.
Al hacer clic, la mujer fue redirigida a una web que reproducía fielmente la apariencia de su banca online. Engañada, introdujo sus credenciales y facilitó un código SMS, permitiendo que los estafadores transfirieran 3.000 zlotys (aproximadamente 700 euros) a una cuenta externa. A pesar de que la clienta notificó el fraude al día siguiente, el banco se negó a devolver el dinero argumentando que ella misma había facilitado la estafa al entregar sus claves.
Lo que no puede hacer el banco es no devolverte ese dinero y obligarte a ti a ir al juzgado a pedírselo. Este es el verdadero cambio que introduce esta sentencia.
El marco normativo y la Directiva PSD2
La decisión del tribunal no nace de la nada, sino de una interpretación rigurosa de la Directiva (UE) 2015/2366 (PSD2) sobre servicios de pago en el mercado interior. El artículo 73.1 de dicha norma es el eje central, ya que obliga al proveedor de servicios de pago a reembolsar el importe de las operaciones no autorizadas sin dilaciones.
El TJUE distingue claramente entre dos fases temporales y jurídicas: la obligación de reembolso inmediato y la posterior determinación de la responsabilidad. Si bien el banco debe devolver el dinero primero, esto no significa que el cliente quede exento de responsabilidad para siempre. Según el artículo 74 de la Directiva, la entidad puede reclamar posteriormente las pérdidas si demuestra que el usuario actuó fraudulentamente o incumplió deliberadamente sus obligaciones de seguridad.
La transposición al derecho español
En el contexto nacional, esta sentencia actúa como un refuerzo de la normativa ya vigente. La Directiva PSD2 fue incorporada al ordenamiento jurídico español mediante el Real Decreto-ley 19/2018 de servicios de pago. Específicamente, el artículo 45 de este decreto recoge la obligación de devolución inmediata, mientras que el artículo 46 regula la responsabilidad del usuario.
Expertos legales señalan que, aunque la ley española ya contemplaba estos principios, la práctica bancaria solía desviarse hacia la denegación sistemática basada en la negligencia. La sentencia del TJUE elimina esa zona gris, obligando a los bancos a cambiar su flujo de trabajo: el reintegro es la norma y la reclamación posterior contra el cliente es la excepción que requiere prueba fehaciente.
Obligaciones del usuario frente a la seguridad
A pesar de la protección reforzada, el usuario no queda liberado de sus deberes de diligencia. El artículo 69 de la normativa europea exige que los clientes utilicen los instrumentos de pago conforme a las condiciones acordadas y protejan sus credenciales personales. Asimismo, es imperativo comunicar cualquier extravío, robo o uso no autorizado sin demora injustificada.
La diferencia fundamental reside en que el incumplimiento de estas normas de seguridad no justifica que el banco retenga el dinero mientras se dirime la responsabilidad. La carga de la prueba se desplaza: ya no es el cliente quien debe demostrar que no fue negligente para recuperar su dinero, sino el banco quien debe probar la negligencia grave para recuperar lo devuelto.
Impacto en el ecosistema empresarial y digital de España
Para el tejido empresarial español, especialmente para las fintech y las entidades bancarias tradicionales, esta resolución implica una revisión urgente de sus protocolos de atención al cliente y gestión de riesgos. En un momento en que la Agenda Digital española impulsa la digitalización total de los servicios financieros, la seguridad ya no puede ser vista solo como una barrera técnica, sino como una responsabilidad financiera directa de la entidad.
La implementación del AI Act y el despliegue de sistemas de inteligencia artificial para la detección de fraudes se vuelven críticos. Las empresas locales deberán invertir en sistemas de monitorización en tiempo real capaces de detectar patrones de phishing antes de que la transacción se complete, ya que el coste de la devolución inmediata impactará directamente en sus balances operativos si no cuentan con mecanismos de prevención eficaces.
Para los emprendedores del sector tech, esto abre una oportunidad para desarrollar soluciones de seguridad más robustas que vayan más allá del SMS, reduciendo la dependencia de la conducta del usuario. En última instancia, la sentencia obliga a la banca española a pasar de un modelo de seguridad basado en la culpa del cliente a uno basado en la resiliencia del sistema, alineándose con los estándares de protección al consumidor más exigentes de la Unión Europea. Para profundizar en los detalles legales, se puede consultar la opinión del Consejo General de la Abogacía Española.
Preguntas frecuentes
¿Tengo derecho a recuperar mi dinero si yo mismo di mis claves al estafador?
Sí, según la sentencia C-70/25 del TJUE, el banco debe devolver el dinero de inmediato, incluso si considera que hubo negligencia grave por parte del cliente.
¿En qué plazo debe el banco realizar la devolución?
El reembolso debe efectuarse inmediatamente y, como máximo, al final del día hábil siguiente a la notificación del fraude.
¿Significa esto que el banco nunca podrá reclamar el dinero?
No. El banco debe devolver el dinero primero, pero posteriormente puede reclamar la cantidad si demuestra que el cliente actuó fraudulentamente o con negligencia grave.
¿Qué normativa española regula este proceso?
El Real Decreto-ley 19/2018 de servicios de pago, que transpone la Directiva Europea PSD2.
Fuentes: Abogacia, Bufetepadillatorrevieja, Ceutanegocios ·
glacom · IA para despachos de abogados: los expedientes no salen del despacho →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
