TJUE: los bancos deben devolver el dinero sustraído por phishing
El Tribunal de Justicia de la Unión Europea (TJUE) ha dictado una sentencia que obliga a los bancos a devolver de inmediato el dinero sustraído mediante phishing, sin que puedan negarse alegando una posible negligencia grave del cliente. La resolución, correspondiente al asunto C-70/25, refuerza la protección de las víctimas de fraude digital en toda Europa.
El TJUE obliga a los bancos a devolver de inmediato el dinero sustraído por phishing
La sentencia responde a un caso ocurrido en Polonia. Una mujer fue estafada al intentar vender un artículo en internet y hacer clic en un enlace fraudulento. El banco se negó a reembolsar el dinero aduciendo que la clienta podría haber actuado con negligencia grave.
El TJUE interpreta la Directiva (UE) 2015/2366, del 25 de noviembre de 2015, transpuesta en España por el Real Decreto-ley 19/2018. Su artículo 73.1 (artículo 45 del real decreto-ley) exige el reembolso inmediato de las operaciones no autorizadas, a más tardar al final del siguiente día hábil tras detectarla o recibir la notificación.
La única excepción es la sospecha razonada de fraude por parte del usuario, que debe comunicarse por escrito a la autoridad nacional competente. Para el tribunal, una mera sospecha de negligencia grave no justifica suspender la devolución.
Primero devolver, después reclamar: la distinción clave del fallo
El TJUE separa con claridad dos planos: la obligación de reembolso inmediato y la determinación posterior de la responsabilidad. El artículo 74 de la Directiva (artículo 46 del Real Decreto-ley 19/2018) permite que el usuario asuma las pérdidas si actuó con fraude o incumplió de forma deliberada o por negligencia grave sus obligaciones de seguridad, como las del artículo 69 sobre credenciales personalizadas.
Pero esas obligaciones no autorizan al banco a denegar o aplazar el reembolso basándose en una simple alegación de posible negligencia grave. La entidad debe primero devolver el dinero. Solo después puede reclamar las pérdidas si demuestra que se cumplen los requisitos legales de responsabilidad.
Además, el artículo 72 de la Directiva impone al proveedor de servicios de pago la carga de probar que la operación se autenticó, registró y contabilizó correctamente, sin fallos técnicos ni deficiencias del servicio.
Te puede interesar
El fin de la vía judicial como único camino para las víctimas
La resolución tiene un impacto directo en las víctimas de fraude digital. Hasta ahora, cuando un banco alegaba posible negligencia grave, el cliente podía verse obligado a acudir a los tribunales para recuperar su dinero. El TJUE subraya que el reembolso inmediato debe ser la regla, no la excepción.
El análisis corre a cargo de Juan Carlos Añón, presidente de la Sección de Consumo del Ilustre Colegio de Abogados de Valencia, que desgrana las consecuencias prácticas del fallo para usuarios y entidades financieras.
La carga de la prueba cambia de lado en las reclamaciones bancarias
Para despachos y servicios jurídicos de banca, la sentencia reordena la estrategia de defensa. Ya no basta con invocar una posible negligencia del cliente para retener el dinero. La entidad debe reembolsar y, si considera que hay responsabilidad del usuario, acreditarla después.
En la práctica, esto traslada el riesgo procesal al banco. La víctima recupera los fondos de inmediato y es la entidad quien debe iniciar acciones si cree que concurren los requisitos del artículo 74. Un cambio de paradigma en los litigios por operaciones no autorizadas.
Información publicada originalmente por Consejo General de la Abogacía Española.
Imagen: Julio Lopez / Pexels