La sentencia europea cambia el orden de las reclamaciones por fraude bancario: primero debe llegar el reembolso de las operaciones no autorizadas y después puede discutirse la negligencia del cliente.
Una víctima de phishing puede haber facilitado sus claves y, aun así, tener derecho a que el banco le devuelva inicialmente el dinero sustraído. Esa es la consecuencia más importante de una sentencia que amenaza con cambiar la gestión de miles de reclamaciones en España.
El Tribunal de Justicia de la Unión Europea (TJUE) dictó el 15 de octubre de 2026 una resolución que obliga a las entidades financieras a reembolsar las operaciones de pago no autorizadas, incluso cuando el consumidor haya incurrido en negligencia grave. La entidad podrá reclamar después al cliente si demuestra que concurren los requisitos legales para atribuirle responsabilidad.
El fallo no convierte a los bancos en aseguradoras universales frente a cualquier engaño. La cuestión decisiva será determinar quién ordenó realmente el pago, si existió consentimiento y qué pruebas puede aportar cada parte. Precisamente ahí se encuentra la principal zona de incertidumbre jurídica.
Qué ha decidido exactamente el Tribunal de Justicia de la UE
La resolución corresponde al asunto C-70/25, Tukowiecka, y responde a una cuestión prejudicial planteada por un tribunal polaco. El TJUE interpreta la Directiva (UE) 2015/2366, conocida como PSD2, que regula los servicios de pago en el mercado interior.
Su conclusión es clara: la negligencia grave del usuario no permite al banco suspender por sí sola el reembolso inmediato de una operación que no ha sido autorizada.
La sentencia separa dos cuestiones que hasta ahora aparecían frecuentemente mezcladas en las reclamaciones:
- El reembolso inicial: si la operación no ha sido autorizada, el banco debe devolver el importe conforme al régimen del artículo 73 de la directiva.
- La responsabilidad posterior: si la entidad considera que el cliente actuó con fraude o negligencia grave, puede intentar recuperar el dinero, pero tendrá que acreditar los requisitos legales correspondientes.
Por tanto, no desaparece la obligación del consumidor de proteger sus credenciales ni se elimina la posibilidad de que tenga que asumir las consecuencias de una conducta gravemente negligente. Lo que cambia es el momento en el que el banco puede plantear esa discusión.
La interpretación del TJUE es vinculante para los tribunales nacionales al aplicar el Derecho de la Unión. No se trata de una recomendación para las entidades financieras, sino de una aclaración judicial sobre cómo deben interpretarse las normas vigentes.
El fraude de 700 euros que ha provocado el cambio
El caso que originó la sentencia comenzó con una operación aparentemente corriente en una plataforma de compraventa por internet.
Una mujer polaca puso un objeto a la venta. Un supuesto comprador contactó con ella y le envió un enlace que, aparentemente, servía para confirmar la operación. Sin embargo, el enlace conducía a una página fraudulenta que imitaba la web de su banco.
La víctima introdujo sus credenciales de acceso. Los delincuentes aprovecharon esa información para entrar en su cuenta y transferir aproximadamente 700 euros a otra cuenta.
Cuando reclamó el dinero, la entidad bancaria rechazó devolverlo porque consideró que la mujer había facilitado el fraude al proporcionar sus datos de acceso.
El asunto terminó ante los tribunales polacos, que plantearon al TJUE si el banco podía negar el reembolso inmediato alegando que el cliente había actuado con negligencia grave.
La respuesta europea fue negativa: la posible negligencia grave no elimina la obligación inicial de reembolsar una operación no autorizada. La entidad conserva la posibilidad de reclamar posteriormente si acredita la responsabilidad del usuario.
Cuándo debe devolver el banco el dinero sustraído
El artículo 73 de la Directiva PSD2 establece que, cuando se ejecuta una operación de pago no autorizada, el proveedor de servicios de pago debe devolver el importe inmediatamente y, como máximo, al final del siguiente día hábil desde que haya observado o recibido la notificación de la operación.
La norma contempla una excepción concreta: que el banco tenga motivos razonables para sospechar la existencia de fraude y comunique por escrito esos motivos a la autoridad nacional competente.
Esto no equivale a permitir que la entidad bloquee automáticamente el dinero porque sospeche que el cliente ha sido imprudente. La sentencia del TJUE impide utilizar la negligencia grave como excusa para paralizar el reembolso inicial.
La diferencia es importante. Una cosa es sospechar que el consumidor ha cometido un fraude deliberado y otra muy distinta considerar que ha cometido un error de seguridad que ha facilitado el trabajo de los delincuentes.
En el segundo supuesto, el banco no puede convertir esa sospecha de negligencia en una excepción general a la obligación de devolución.
Además, el artículo 72 de la directiva establece que la entidad debe aportar pruebas de la autenticación y correcta ejecución de la operación. El mero registro de que se utilizaron las credenciales o el instrumento de pago no demuestra por sí solo que el titular autorizara la transacción ni que actuara con negligencia grave.
Las tres grandes zonas grises que pueden acabar en los juzgados
La sentencia aclara el principio general, pero no resuelve automáticamente todos los escenarios de fraude digital. Los abogados especializados apuntan a varias cuestiones que previsiblemente generarán litigios.
1. Qué significa avisar al banco «sin demora»
El artículo 71 de la PSD2 exige que el usuario notifique la operación no autorizada sin demora injustificada desde que tenga conocimiento de ella.
La directiva establece también un límite máximo general de 13 meses desde la fecha del adeudo, con las condiciones y excepciones previstas en la propia norma.
El problema está en determinar qué se considera una comunicación suficientemente rápida. No es lo mismo descubrir un cargo fraudulento inmediatamente que advertirlo días después al revisar los movimientos de la cuenta.
La valoración dependerá de las circunstancias concretas: cuándo pudo conocer el cliente el fraude, qué información tenía disponible y cuándo comunicó el problema a la entidad.
Por eso resulta fundamental conservar los justificantes de la reclamación, las comunicaciones con el banco y cualquier denuncia presentada.
2. Cuándo puede sospechar el banco que el propio cliente ha cometido fraude
La directiva permite exceptuar el reembolso inmediato cuando existen motivos razonables para sospechar un fraude del usuario y se comunican por escrito a la autoridad competente.
Pero la frontera entre una sospecha fundada y una simple acusación bancaria será relevante. La entidad tendrá que justificar por qué considera que existe fraude, en lugar de limitarse a señalar que el cliente facilitó sus datos personales o incumplió alguna recomendación de seguridad.
La negligencia grave y el fraude deliberado no son conceptos equivalentes. El primero puede derivar de una conducta extremadamente descuidada; el segundo implica una actuación fraudulenta que debe probarse.
La sentencia no elimina esa distinción ni concede al banco libertad para atribuir responsabilidad al consumidor sin pruebas.
3. Cuándo una transferencia se considera realmente autorizada
Este es probablemente el punto más complejo para las futuras reclamaciones.
Hay que distinguir entre dos situaciones:
- El delincuente ejecuta la operación: consigue las credenciales de la víctima y ordena una transferencia que el titular no ha consentido.
- La víctima ejecuta la operación: el consumidor, engañado por un tercero, introduce los datos y ordena personalmente una transferencia a la cuenta indicada por el estafador.
En el primer supuesto puede existir una operación no autorizada, aunque el delincuente haya conseguido las claves mediante phishing o suplantación de identidad.
En el segundo, la discusión jurídica puede ser mucho más complicada. Que una persona haya sido engañada no significa automáticamente que cualquier transferencia que ordene sea una operación no autorizada a efectos de la PSD2.
Los fraudes del falso familiar, la falsa inversión o el falso proveedor pueden exigir un análisis específico del consentimiento y de las circunstancias en las que se ordenó el pago.
La clave no es únicamente que haya existido un engaño, sino determinar si el cliente autorizó jurídicamente la operación o si el delincuente la ejecutó sin su consentimiento.
Los bancos tendrán que revisar sus procedimientos de reclamación
La sentencia puede obligar a las entidades financieras a modificar sus protocolos internos. Hasta ahora, una de las controversias más habituales consistía en determinar si el consumidor había protegido correctamente sus contraseñas, si había facilitado códigos SMS o si había desatendido advertencias de seguridad.
Esos elementos seguirán siendo relevantes para valorar una posible responsabilidad posterior. Sin embargo, no bastarán por sí solos para justificar que el banco rechace el reembolso inicial de una operación no autorizada.
Las entidades tendrán que revisar, entre otras cuestiones:
- Los procedimientos para recibir y registrar las reclamaciones por fraude.
- La documentación técnica que acredita cómo se autenticó y ejecutó cada operación.
- La conservación de mensajes, alertas y registros de acceso.
- Los criterios para distinguir una operación autorizada de otra ejecutada por un tercero.
- La justificación de las sospechas de fraude atribuibles al propio cliente.
El cambio también puede incrementar el número de devoluciones iniciales y, posteriormente, las reclamaciones de los bancos contra aquellos usuarios cuya negligencia grave pueda acreditarse.
El resultado será un escenario con más exigencias probatorias para ambas partes y con una mayor importancia de la documentación técnica.
¿Puede reclamar ahora quien ya perdió una disputa con su banco?
La sentencia puede resultar relevante para consumidores a quienes se denegó el reembolso por haber facilitado sus credenciales o códigos de seguridad.
Sin embargo, no significa que todos los expedientes antiguos puedan reabrirse automáticamente. Habrá que examinar cada caso, la fecha del fraude, el plazo de notificación, la existencia de una resolución judicial firme y las normas procesales o de prescripción que puedan resultar aplicables.
El límite general de 13 meses previsto en la PSD2 debe tenerse en cuenta, aunque su aplicación exige revisar las circunstancias concretas y las excepciones legales.
Quien haya sufrido un fraude debería conservar:
- Los extractos bancarios donde aparezca el cargo.
- La fecha y el justificante de comunicación al banco.
- Los correos, SMS y mensajes relacionados con la estafa.
- La denuncia policial, si se presentó.
- La respuesta de la entidad y cualquier resolución de reclamación.
Si el banco rechaza la devolución, el consumidor puede acudir a los cauces de reclamación correspondientes, incluido el servicio de reclamaciones del Banco de España cuando resulte competente, o a los tribunales. El organismo supervisor puede examinar reclamaciones dentro de sus competencias, pero no sustituye a los jueces a la hora de resolver definitivamente controversias civiles.
El posible impacto económico: una factura millonaria para la banca
La resolución llega en un momento de preocupación por el crecimiento del fraude digital. Las técnicas de phishing, la suplantación de identidad y la manipulación de clientes para obtener credenciales se han convertido en un problema relevante para el sector financiero.
La información publicada por elEconomista recoge estimaciones de asociaciones de consumidores que sitúan en torno a 1 000 millones de euros el potencial impacto económico para la banca española.
Esa cifra debe interpretarse con cautela: se trata de una estimación atribuida a esas asociaciones, no de una cantidad reconocida oficialmente por el TJUE ni de una factura que los bancos deban pagar de forma automática.
El coste real dependerá del número de operaciones que puedan calificarse jurídicamente como no autorizadas, de las reclamaciones que prosperen y de las responsabilidades que se acrediten en cada expediente.
Las entidades, por su parte, sostienen que ya responden conforme a la normativa vigente. La nueva interpretación europea puede obligarlas, en cualquier caso, a separar con mayor claridad el reembolso inicial de las reclamaciones posteriores contra el cliente.
PSD3 y PSR: la próxima reforma europea de los pagos
El debate también coincide con la tramitación de la nueva normativa europea sobre servicios de pago: PSD3 y PSR.
La reforma pretende reforzar la prevención del fraude, mejorar la transparencia y actualizar las obligaciones de bancos y proveedores de servicios de pago.
Hay una novedad importante en su calendario que conviene precisar: el Consejo de la Unión Europea adoptó el 29 de octubre de 2026 su posición en primera lectura sobre ambos textos. Sin embargo, a fecha de publicación de este artículo, el procedimiento legislativo todavía no ha concluido y el Parlamento Europeo debe completar la siguiente fase.
Por tanto, no debe presentarse la reforma como una normativa plenamente vigente ni como un cambio que ya permita a los bancos alterar las obligaciones actuales de reembolso.
La PSD2 sigue siendo el marco que debe aplicarse a la sentencia del 15 de octubre. Los futuros textos podrán modificar el escenario cuando completen su aprobación, publicación y los plazos de aplicación correspondientes.
Una sentencia que obliga a separar el engaño de la autorización
El fallo del TJUE refuerza la protección de los consumidores frente a las operaciones bancarias no autorizadas, pero no resuelve todos los conflictos entre víctimas y entidades financieras.
La cuestión fundamental será distinguir entre el cliente que ha sido víctima de una operación ejecutada por un delincuente y aquel que, aunque haya actuado bajo engaño, ha ordenado personalmente la transferencia.
El banco no puede utilizar la negligencia grave como excusa automática para no devolver el dinero, pero el consumidor tampoco tiene garantizado el reembolso de cualquier estafa.
La aplicación de esta doctrina dependerá de las pruebas, del tipo de fraude y de la interpretación de los tribunales. La batalla jurídica que se abre ahora no será solo por quién paga, sino por demostrar quién autorizó realmente cada operación.
Chollones
Chollones
Chollones