Una reciente sentencia del Tribunal de Justicia de la Unión Europea refuerza los derechos de los consumidores víctimas de fraudes bancarios y aclara cuándo deben las entidades devolver las cantidades sustraídas mediante operaciones no autorizadas.
Las estafas bancarias a través de Internet son cada vez más frecuentes. Mensajes de texto que aparentan proceder de nuestro banco, correos electrónicos fraudulentos o enlaces que conducen a páginas web prácticamente idénticas a las de las entidades financieras son algunos de los métodos empleados por los ciberdelincuentes para obtener las claves de acceso a las cuentas bancarias.
Cuando el consumidor descubre que se han realizado transferencias u otras operaciones sin su autorización y solicita la devolución del dinero, no es infrecuente que el banco rechace la reclamación alegando que el propio cliente ha actuado con negligencia grave al facilitar sus claves de seguridad.
Sin embargo, el Tribunal de Justicia de la Unión Europea (TJUE), en su Sentencia de 15 de octubre de 2026, asunto C-70/25, ha establecido que esa supuesta negligencia grave no permite al banco negarse a devolver inmediatamente el dinero sustraído.
¿Qué ha resuelto el Tribunal de Justicia de la Unión Europea?
La sentencia tiene su origen en el caso de una clienta de una entidad bancaria polaca que fue víctima de una estafa mientras intentaba vender un artículo a través de una plataforma de compraventa por Internet.
Un supuesto comprador le remitió un enlace que conducía a una página web que aparentaba ser la de su entidad bancaria. La clienta introdujo sus credenciales de acceso y los estafadores consiguieron realizar una transferencia de aproximadamente 700 euros desde su cuenta.
Al día siguiente comunicó lo sucedido al banco y solicitó la devolución del importe sustraído.
La entidad rechazó su petición, argumentando que había incurrido en negligencia grave al facilitar sus claves de seguridad.
Planteada la controversia ante los tribunales polacos, el asunto llegó al TJUE, que ha declarado que la entidad financiera está obligada, como regla general, a devolver inmediatamente el importe de una operación no autorizada, aunque considere que el cliente ha actuado con negligencia grave.
El banco debe devolver primero el dinero y, en su caso, reclamar después
Esta es la principal consecuencia de la sentencia.
El TJUE distingue entre dos cuestiones jurídicas diferentes: la obligación de devolver inmediatamente el importe de una operación bancaria no autorizada y la determinación de quién debe soportar definitivamente las pérdidas ocasionadas por el fraude.
Conforme a esta interpretación, el banco debe efectuar la devolución sin demora y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en que haya detectado la operación o recibido la correspondiente comunicación del cliente, siempre que este haya notificado los hechos sin demora injustificada.
Posteriormente, si la entidad considera que el consumidor incumplió deliberadamente o por negligencia grave sus obligaciones de seguridad, podrá reclamarle las cantidades devueltas, pero deberá acreditar las circunstancias que fundamentan esa responsabilidad.
Por tanto, no basta con que el banco afirme que el cliente fue negligente para rechazar desde el principio la devolución del dinero.
La sentencia contempla una excepción a la obligación de reembolso inmediato: que la entidad tenga motivos razonables para sospechar que el propio cliente ha cometido un fraude y comunique dichas sospechas por escrito a la autoridad nacional competente.
¿Qué ocurre si el consumidor facilitó sus claves bancarias?
Una de las cuestiones que más controversia genera en las reclamaciones por phishing es precisamente la utilización de las claves personales del cliente.
Las entidades financieras suelen argumentar que, si la operación se realizó utilizando las credenciales de acceso o los códigos de verificación del titular, este incumplió sus obligaciones de custodia y seguridad.
Sin embargo, debe distinguirse entre la utilización de las claves bancarias y la existencia de una verdadera autorización de la operación.
El artículo 44 del Real Decreto-ley 19/2018, de servicios de pago, establece las obligaciones probatorias de la entidad cuando el usuario niega haber autorizado una operación.
La utilización de las credenciales de seguridad no supone, por sí sola, que el consumidor haya autorizado la operación ni acredita automáticamente que haya actuado con negligencia grave.
Además, los fraudes informáticos pueden presentar un elevado grado de sofisticación, mediante técnicas de suplantación de identidad que dificultan considerablemente su detección.
En cualquier caso, la nueva sentencia no significa que el consumidor quede exento de responsabilidad en todos los supuestos. Lo que establece es que la posible negligencia grave deberá valorarse separadamente de la obligación inicial de devolución.
¿Cómo afecta esta sentencia a los consumidores españoles?
En España, el artículo 45.1 del Real Decreto-ley 19/2018, de 23 de noviembre, ya establece la obligación de las entidades financieras de devolver inmediatamente las cantidades correspondientes a operaciones de pago no autorizadas, con la excepción legalmente prevista para las sospechas fundadas de fraude del propio cliente.
Por su parte, el artículo 46 regula los supuestos en los que el usuario puede resultar responsable de las pérdidas, particularmente cuando haya actuado fraudulentamente o incumplido deliberadamente o por negligencia grave sus obligaciones.
La importancia de la sentencia del TJUE radica en que aclara cómo deben interpretarse conjuntamente ambas obligaciones y refuerza la protección del consumidor frente a las negativas de devolución basadas en una supuesta negligencia grave.
Se trata de un pronunciamiento especialmente relevante para las reclamaciones bancarias por phishing, smishing y otras modalidades de suplantación de identidad, siempre que se trate de operaciones de pago no autorizadas.
¿Qué hacer si ha sido víctima de una estafa bancaria?
Si detecta una transferencia o cualquier otra operación bancaria que no haya autorizado, es fundamental actuar con rapidez, comunicar inmediatamente lo sucedido a su entidad financiera y solicitar la devolución de las cantidades sustraídas.
También resulta conveniente presentar la correspondiente denuncia y conservar toda la documentación relacionada con el fraude, incluidos mensajes, correos electrónicos, justificantes de las operaciones y comunicaciones mantenidas con el banco.
Si la entidad rechaza la devolución alegando que el cliente ha actuado con negligencia grave, esa negativa no significa necesariamente que la reclamación carezca de fundamento.
La reciente Sentencia del TJUE de 15 de octubre de 2026 refuerza los derechos de los consumidores al establecer que las entidades financieras no pueden ampararse en una supuesta negligencia grave del cliente para eludir su obligación inicial de devolver el importe de las operaciones no autorizadas, sin perjuicio de que posteriormente puedan reclamar las cantidades si acreditan la responsabilidad del usuario.
En Vera & Ferrer Abogadas, despacho de abogados en Granada especializado en derecho bancario y de los consumidores, estudiamos las reclamaciones derivadas de fraudes bancarios y las posibilidades de recuperar las cantidades sustraídas cuando la entidad financiera rechaza su devolución.
Si ha sido víctima de un fraude bancario y su banco se niega a devolverle el dinero, podemos analizar su caso y asesorarle sobre las acciones legales que correspondan.