- Una sentencia histórica del Tribunal de Justicia de la Unión Europea establece que las entidades bancarias deben reembolsar las operaciones fraudulentas no autorizadas, incluso cuando consideren que el cliente ha cometido una negligencia grave. Primero tendrán que devolver el dinero y después demostrar si existe responsabilidad del usuario.
¿Cuántas personas han perdido los ahorros de toda una vida después de sufrir una estafa por Internet, recibir una llamada fraudulenta o caer en una página web que imitaba a la de su propio banco? ¿Y cuántas han acudido a su entidad financiera buscando una solución para encontrarse con una respuesta que, en demasiadas ocasiones, parecía responsabilizar exclusivamente a la víctima?
«Usted facilitó sus claves», «no protegió correctamente sus datos», «la operación se realizó utilizando sus credenciales». Estas han sido algunas de las explicaciones utilizadas por entidades bancarias para rechazar reclamaciones de clientes que habían sufrido operaciones fraudulentas.
Pero ahora la justicia europea ha establecido un criterio que cambia sustancialmente las reglas del juego.
El Tribunal de Justicia de la Unión Europea (TJUE), en su sentencia de 15 de octubre de 2026, correspondiente al asunto C-70/25, conocido como Tukowiecka, ha dejado claro que un banco no puede utilizar la supuesta negligencia grave del cliente como excusa para negarse a devolver inmediatamente el dinero correspondiente a una operación de pago no autorizada.
Y esto es especialmente importante: la obligación de devolver el dinero y la responsabilidad final por las pérdidas son dos cuestiones diferentes.
Una estafa de apenas 700 euros que puede cambiar la situación de miles de afectados
El caso que ha dado lugar a esta sentencia comenzó con una estafa bastante habitual.
Una mujer polaca había puesto un artículo a la venta en una plataforma de Internet. Un supuesto comprador contactó con ella y le envió un enlace que aparentemente pertenecía a la plataforma para confirmar la operación.
Sin embargo, aquel enlace conducía a una página fraudulenta que imitaba la web de su entidad bancaria.
La víctima introdujo sus credenciales de acceso y los delincuentes consiguieron utilizar esa información para realizar una transferencia de aproximadamente 700 euros a una cuenta controlada por ellos.
Al día siguiente, la mujer comunicó lo sucedido a su banco y solicitó la devolución del dinero.
La respuesta de la entidad fue negativa. El banco consideró que la propia clienta había actuado con negligencia grave al no proteger adecuadamente sus claves de seguridad.
La afectada decidió acudir a los tribunales y el órgano judicial polaco planteó una cuestión prejudicial ante el Tribunal de Justicia de la Unión Europea.
La respuesta europea ha sido clara: aunque el banco considere que el cliente ha cometido una negligencia grave, no puede utilizar ese argumento para rechazar de entrada la devolución inmediata del dinero.
Primero devolver el dinero. Después, demostrar quién es responsable
Esta es la verdadera trascendencia de la sentencia.
El TJUE establece que, cuando se produce una operación de pago no autorizada, la entidad bancaria debe devolver el importe inmediatamente y, como máximo, al finalizar el siguiente día hábil desde que tenga conocimiento de la operación, siempre que el cliente haya comunicado el fraude sin demora injustificada.
La entidad no puede paralizar esa devolución simplemente porque sospeche que el usuario ha cometido un error o no ha protegido adecuadamente sus credenciales.
¿Significa esto que el cliente nunca tendrá responsabilidad? No.
El tribunal establece una distinción fundamental: el banco debe realizar primero el reembolso, pero posteriormente puede reclamar al cliente las cantidades correspondientes si demuestra que actuó deliberadamente o con negligencia grave y que ese comportamiento originó las pérdidas.
Es decir, ya no basta con que una entidad financiera se limite a señalar al cliente como responsable para quedarse con su dinero.
Es el banco quien tendrá que demostrar la existencia de esa negligencia grave si pretende recuperar posteriormente las cantidades abonadas.
La sentencia contempla una excepción concreta: si la entidad tiene motivos razonables para sospechar que el propio cliente ha cometido un fraude, puede suspender el reembolso, pero debe comunicar formalmente esos motivos a la autoridad nacional competente.
¿A qué tipo de estafas afecta?
La resolución tiene especial relevancia para los fraudes relacionados con operaciones de pago no autorizadas, entre ellos:
Phishing: mensajes, correos electrónicos o enlaces fraudulentos que suplantan la identidad de bancos y empresas.
Smishing: mensajes SMS que aparentan proceder de entidades bancarias para conseguir las claves de los usuarios.
Vishing: llamadas telefónicas de falsos empleados bancarios que engañan a las víctimas para obtener sus datos de seguridad.
Suplantación de páginas bancarias: webs falsas prácticamente idénticas a las originales para robar credenciales.
Accesos fraudulentos a cuentas bancarias: operaciones realizadas por terceros sin autorización del titular.
Hay que tener en cuenta una cuestión importante: la sentencia no significa que cualquier estafa digital deba ser reembolsada automáticamente. Es necesario determinar si estamos ante una operación de pago no autorizada y examinar las circunstancias concretas. Una transferencia que el propio cliente ordena engañado por un tercero puede plantear una cuestión jurídica diferente.
¿Qué pueden hacer ahora las personas que han sufrido una estafa?
La sentencia abre una vía especialmente importante para quienes hayan sufrido operaciones bancarias no autorizadas y hayan recibido una negativa de su entidad financiera.
Los afectados pueden:
Comunicar inmediatamente el fraude a su banco y solicitar el bloqueo de los instrumentos de pago afectados.
Presentar una reclamación formal ante el Servicio de Atención al Cliente de la entidad, identificando las operaciones no autorizadas.
Invocar la Directiva europea 2015/2366, conocida como PSD2, y la interpretación que acaba de establecer el TJUE en el asunto C-70/25.
Presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad.
Si el banco mantiene su negativa, valorar la reclamación ante el Banco de España y, cuando corresponda, acudir a los tribunales.
La Organización de Consumidores y Usuarios (OCU) ya ha valorado positivamente el pronunciamiento y anima a los afectados a utilizarlo para defender sus derechos frente a las entidades financieras.
Un mensaje claro para la banca
Durante demasiado tiempo, muchas víctimas de estafas digitales se han encontrado en una situación especialmente injusta: además de sufrir el robo de su dinero, tenían que enfrentarse a una entidad financiera que les trasladaba la responsabilidad y les obligaba a iniciar un largo recorrido de reclamaciones para intentar recuperarlo.
La sentencia europea introduce una obligación muy importante: el banco no puede convertir la supuesta negligencia del cliente en una excusa para evitar el reembolso inmediato de una operación no autorizada.
La protección de los consumidores no puede quedarse en papel mojado cuando aparecen los problemas.
Porque cuando una persona sufre una estafa, lo último que necesita es que su propio banco se convierta en otro obstáculo para recuperar su dinero.
La justicia europea ha marcado una línea que las entidades financieras tendrán que respetar: primero devolver lo que se ha sustraído mediante una operación no autorizada y, después, si consideran que existe responsabilidad del cliente, demostrarlo por los cauces legales.
Y eso, para miles de ciudadanos que han sufrido una estafa digital, puede marcar una diferencia enorme.
