El Tribunal de Justicia de la UE resuelve que la negligencia grave del cliente no permite al banco retener el reembolso de una operación no autorizada. La devolución debe llegar como tarde al final del día hábil siguiente. La culpa del cliente, si la hay, se discute después y la prueba el banco
El Tribunal de Justicia de la Unión Europea (TJUE) ha resuelto este jueves, 15 de octubre, que un banco no puede negarse a devolver el dinero de una operación no autorizada alegando que el cliente fue negligente al entregar sus claves. En la sentencia del asunto C-70/25, el tribunal de Luxemburgo establece que el reembolso debe hacerse de inmediato y, como tarde, al final del día hábil siguiente a la notificación del cliente. Si la entidad cree que hubo negligencia grave, podrá reclamar después el dinero, pero tendrá que probarla ella.
El caso llegó desde Polonia y es de manual. Una clienta había puesto un objeto a la venta en una plataforma en línea. Un falso comprador le envió un enlace, en apariencia de la propia plataforma, para “confirmar la venta”. El enlace la llevó a una web que imitaba la de su banco, y allí introdujo sus claves de banca electrónica. Con ellas, el estafador se transfirió unos 700 euros. La clienta avisó al banco al día siguiente. El banco se negó a devolverle el dinero porque, a su juicio, la operación solo había sido posible por una negligencia grave de ella al no proteger sus credenciales. Un tribunal polaco preguntó al TJUE si esa negativa cabía en la Directiva (UE) 2015/2366 de servicios de pago, conocida como PSD2. La respuesta, según el comunicado de prensa n.º 147/26 del Tribunal de Justicia, es que no. El nombre del asunto, Tukowiecka, es ficticio, como precisa el propio tribunal.
Devolver no es lo mismo que asumir la pérdida
La clave de la sentencia está en separar dos preguntas que muchos bancos venían tratando como una sola. La primera es si la entidad debe reembolsar el importe cargado sin autorización. La segunda es quién soporta al final la pérdida. El TJUE afirma que el Derecho de la Unión permite distinguir ambas cuestiones, y fija un orden estricto: primero se devuelve y después, si procede, se reclama.
La Directiva solo admite una excepción a la devolución inmediata, en su artículo 73.1. El banco puede no devolver si tiene motivos razonables para sospechar un fraude cometido por el cliente y comunica esos motivos por escrito a la autoridad nacional competente. El matiz importa más de lo que parece. En todo phishing hay un fraude, el del estafador, pero no es ese el que abre la excepción. La excepción se refiere al fraude del propio titular de la cuenta, por ejemplo el que simula una estafa para cobrar dos veces. La negligencia, por grave que sea, no es fraude. Y no basta con que el banco lo sospeche: tiene que ponerlo por escrito ante el supervisor.
Para Luxemburgo, permitir que el banco rechace de entrada la devolución invocando la negligencia del cliente privaría «de efecto útil a la obligación de devolución inmediata». Además, obligaría al cliente a tomar la iniciativa y litigar por su dinero, con los costes que eso supone. La sentencia traslada esa carga: ahora es el banco el que, si quiere recuperar el importe, tiene que moverse.
El encaje en la ley española y en el Supremo
España transpuso la PSD2 con el Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago. Su artículo 45.1 reproduce casi palabra por palabra el artículo 73.1 de la Directiva y concreta lo que esta deja abierto: la autoridad a la que el banco debe comunicar la sospecha de fraude es el Banco de España. La interpretación del TJUE se aplica, por tanto, directamente al derecho español. El plazo es el mismo, el final del día hábil siguiente, y la excepción también. El precepto obliga además a dejar la cuenta en el estado en que estaría sin la operación, y la fecha valor del abono no puede ser posterior a la del cargo.
El artículo 46.1 responde a la segunda pregunta, la de quién asume la pérdida. Como regla general, el cliente responde como máximo de 50 euros. Pero si actuó de forma fraudulenta o incumplió, deliberadamente o por negligencia grave, sus obligaciones de custodia del artículo 41, soporta todas las pérdidas, sin límite. El artículo 46.2 añade una salvaguarda que suele pasar desapercibida. Si el banco no exigió autenticación reforzada, es decir, dos factores independientes como una contraseña y un código en el móvil, el cliente solo paga si hubo fraude. En ese caso la negligencia grave deja de contar.
La Sala Primera del Tribunal Supremo ya había fijado quién prueba qué. En la sentencia 571/2025, de 9 de abril (recurso 1151/2023, ponente Manuel Almenar Belenguer), desestimó el recurso de Ibercaja contra un cliente al que unos delincuentes vaciaron la cuenta tras duplicar una tarjeta SIM. Hicieron quince transferencias en la noche del 17 al 18 de marzo de 2021, con un cargo total de 83.692,73 euros. El Supremo calificó la responsabilidad del banco de «cuasi objetiva». Declaró que una operación hecha con usuario, contraseña y código SMS sigue siendo no autorizada si el cliente niega haberla ordenado. Y recordó que el simple registro de la operación no prueba ni la autorización ni la negligencia grave del titular, y que esa prueba corresponde al banco, conforme al artículo 44 del RDL 19/2018. También fijó el nivel de diligencia exigible a la entidad: el del «ordenado y experto comerciante», no el del buen padre de familia.
Lo que la doctrina del Supremo no recogía de forma expresa es lo que añade ahora el TJUE: el orden en el tiempo. El cliente de Ibercaja pleiteó en tres instancias, del Juzgado de Primera Instancia n.º 7 de Zaragoza al Supremo, entre 2021 y 2025, para recuperar 56.474,63 euros. El banco había recobrado otros 27.218,10 de las cuentas de destino. Con la doctrina del TJUE, salvo sospecha de fraude del propio cliente comunicada al Banco de España, ese dinero tendría que haber vuelto a su cuenta al día hábil siguiente al aviso. Y si alguien quería discutir la negligencia ante un juez, tendría que haber sido el banco quien demandara.
Qué puede hacer quien sufre un cargo fraudulento
El primer paso es avisar al banco sin demora injustificada, por un canal que deje constancia, y en todo caso dentro de los trece meses siguientes al cargo, como exige el artículo 43. En ese aviso conviene negar expresamente haber autorizado la operación y pedir la devolución al amparo del artículo 45.1 del RDL 19/2018, citando la sentencia del TJUE en el asunto C-70/25. La denuncia policial no es un requisito legal para el reembolso, pero sirve para documentar el fraude.
Desde el aviso corre el plazo del banco, que termina al final del día hábil siguiente. Si la entidad contesta que no devuelve porque el cliente fue negligente, este puede preguntarle por escrito si ha comunicado al Banco de España motivos para sospechar un fraude cometido por él. Si no lo ha hecho, la negativa se queda sin base tras esta sentencia. A partir de ahí la reclamación sigue la vía ordinaria: el servicio de atención al cliente de la entidad, el servicio de reclamaciones del supervisor y, en último término, los tribunales.
Para las entidades, la sentencia obliga a revisar los protocolos que hoy condicionan el reembolso al análisis previo de la conducta del cliente. Ese análisis puede seguir haciéndose, pero después de devolver el dinero. El preámbulo del RDL 19/2018 extiende además a las microempresas la protección de los consumidores en materia de derechos y obligaciones de los servicios de pago. Muchos autónomos y pequeños despachos pueden acogerse al mismo régimen.
Lo que queda abierto
La sentencia no dice que las víctimas de phishing no paguen nunca. Mantiene la regla de que, con negligencia grave probada, el cliente asume toda la pérdida. Lo que no resuelve, a la vista del comunicado, es si introducir las claves en una web que imita a la del banco es por sí solo negligencia grave. Eso corresponde a los jueces nacionales caso por caso. Tendrán que aplicar el criterio de la propia Directiva, que en su considerando 72 la describe como algo más que la mera negligencia: un grado significativo de falta de diligencia.
Tampoco está claro cuántos bancos se molestarán en reclamar. Con importes como los 700 euros del caso polaco, probar en juicio la negligencia del cliente cuesta más de lo que se recupera. Lo previsible es que, en las cuantías pequeñas, la devolución provisional acabe siendo definitiva.
El próximo cambio vendrá de Bruselas. El Consejo de la UE publicó el 23 de abril de 2026 los textos de compromiso del futuro Reglamento de servicios de pago (PSR), que obliga al banco a reembolsar al cliente inducido a autorizar una operación mediante la suplantación de la propia entidad, salvo que demuestre fraude o negligencia grave. Las previsiones del sector sitúan su aplicación general en el primer semestre de 2028. Hasta entonces rige el criterio de Luxemburgo: el dinero se devuelve primero, y si el banco quiere hablar de la negligencia del cliente, le toca a él abrir esa discusión y ganarla.
