El TJUE se pronuncia sobre la obligación de los bancos de devolver los pagos no autorizados: ¿qué cambia realmente?
- Ana M. Valero Cuadra
- GACETA JURÍDICA
La sentencia de 15 de octubre de 2026 (asunto Tukowiecka), del Tribunal de Justicia de la Unión Europea (TJUE) interpreta que los bancos no pueden negarse a devolver el importe de una operación de pago no autorizada alegando que el cliente actuó con negligencia grave.
Esta resolución ha suscitado gran interés por sus posibles consecuencias para víctimas de fraudes bancarios. Sin embargo, conviene analizar si esta sentencia realmente supone un cambio sustancial en el régimen de responsabilidad de los bancos o si, en cambio, pese al “bombo y platillo” los efectos son limitados.
¿Qué ha resuelto el TJUE en la sentencia C-70/25?
La cuestión planteada en el caso asunto Tukowiecka
El asunto tiene su origen en un fraude sufrido por una cliente de una entidad bancaria polaca, que habría puesto en venta un artículo en Internet. El estafador, aparentando interés por el producto, remitió un enlace fraudulento que la vendedora cicló, el cual le llevó a una página que aparentaba ser la de su entidad bancaria (spoofing).
En la página, creyendo en todo momento que se trataba la de su propio banco, la mujer introdujo sus credenciales de acceso a la banca electrónica que, posteriormente, los delincuentes utilizaron para realizar una transferencia. Se trata de un supuesto de phishing y suplantación de identidad digital.
Tras comunicar la operación al banco, como ocurre en la mayor parte de estos casos, este rechazó devolver el dinero al considerar que la cliente había incumplido gravemente sus obligaciones de protección de las credenciales bancarias.
Ante esta situación, el órgano jurisdiccional polaco planteó al TJUE una cuestión prejudicial sobre la interpretación de los artículos 73 y 74 de la Directiva (UE) 2015/2366, conocida como PSD2, en concreto, ¿podría el banco podía denegar la devolución inmediata de una operación no autorizada por entender que el cliente había contribuido a su ejecución mediante una negligencia grave?
La obligación de devolución inmediata de los pagos no autorizados en la PSD2 y el RDLSP
La Directiva (UE) 2015/2366, fue transpuesta a nuestro ordenamiento jurídico a través del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera (RDLSP).
En concreto, la obligación de devolución inmediata del importe de la operación de autorizada por parte del banco recogida de los art. 73.1 de la Directiva se encuentra contemplada, con idéntico tenor, en el art. 45.1 RDLSP que dispone que:
«Sin perjuicio del artículo 43 de este real decreto-ley, en caso de que se ejecute una operación de pago no autorizada, el proveedor de servicios de pago del ordenante devolverá a éste el importe de la operación no autorizada de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación, salvo cuando el proveedor de servicios de pago del ordenante tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España, en la forma y con el contenido y plazos que éste determine. En su caso, el proveedor de servicios de pago del ordenante restituirá la cuenta de pago en la cual se haya efectuado el adeudo al estado en el que se habría encontrado de no haberse efectuado la operación no autorizada».
La interpretación del TJUE: devolver primero y, en su caso, reclamar después
El TJUE realiza una interpretación literal del art. 73.1 de la Directiva indicando que «un proveedor de servicios de pago no puede negarse a devolver inmediatamente a un ordenante el importe de una operación de pago no autorizada por entender que dicho ordenante hizo posible tal operación al cometer una negligencia grave incumpliendo las obligaciones que le incumben en virtud del art. 69 de la Directiva 2015/2366».
Es decir, la consideración de que el cliente ha actuado con negligencia grave no justifica que el proveedor de servicios de pago (el banco) incumpla su obligación inicial de reembolso. Cosa distinta es el proveedor de servicios de pago tuviera motivos razonables para sospechar la existencia de un fraude, en cuyo caso se daría una excepción a dicha regla, no estando obligado a la devolución inmediata.
No obstante, esta obligación inicial de devolución de los importes no significa que el banco sea responsable de los pagos no autorizados y que deba asumir el perjuicio si efectivamente ha concurrido negligencia grave del cliente.
Requisitos para que el banco responda por pagos no autorizados
La responsabilidad del banco por los pagos no autorizados de un cliente víctima de una ciberestafa exige dos requisitos vinculados a los deberes de diligencia del cliente:
- Que el cliente comunique sin demora al banco los pagos no autorizados y siempre dentro del plazo de 13 meses desde el adeudo (art. 43.1 RDLSP), solicitando la devolución de los importes.
- Que el cliente no haya contribuido a la estafa mediante una conducta gravemente negligente o fraudulenta.
Determinar si el cliente comunicó el pago no autorizado en plazo y con diligencia resulta sencillo: basta con comprobar cuándo se produjo el fraude, cuándo lo advirtió y cuánto tiempo transcurrió hasta que lo notificó al banco y reclamó la devolución. En cambio, valorar la diligencia del cliente en su intervención en la estafa es más complejo y suele plantear mayores dificultades en la práctica. No toda imprudencia equivale a negligencia grave, y su existencia depende de las circunstancias del caso. Ya hemos abordado este problema en nuestro análisis sobre la negligencia grave del usuario en las reclamaciones por phishing.
Todo lo anterior, sin olvidar que la carga de la prueba de la actuación negligente o fraudulenta del cliente es de la entidad bancaria (art. 44.3 RDLSP). Además, el artículo 44.2 precisa que el mero registro de la utilización de un instrumento de pago no basta necesariamente para demostrar que la operación fue autorizada ni que el usuario incurrió en negligencia grave.
¿Qué cambia realmente con esta sentencia para las reclamaciones por fraude bancario en España?
A nuestro parecer, la sentencia no supone un cambio sustancial del régimen de responsabilidad por operaciones de pago no autorizadas, ya que, como se ha visto, la obligación de devolución inmediata ya se encontraba expresamente prevista en el art. 45 RDLSP. Tampoco es novedosa la interpretación que realiza el TJUE sobre la carga de la prueba (cuya alusión en la sentencia comentada no nos hemos detenido a analizar).
La principal aportación del TJUE en esta resolución radica en aclarar que los bancos no pueden ampararse en la eventual responsabilidad del ordenante, por entender que actuado con negligencia grave, para exonerarse de la obligación inicial de reembolso. En consecuencia, entiende el TJUE que la única excepción que pueden oponer los bancos a la devolución inmediata son las sospechas fundadas de existencia de fraude.
Por tanto, cuando se trata de una operación no autorizada, sin sospechas razonables de fraude cometido por el ordenante, procedería que el banco realizase lo siguiente:
1º Devolver el dinero al cliente
2º Que, posteriormente, lo reclame al cliente (y no al revés).
No obstante, ello no significa que los bancos sean responsables de operaciones de pago no autorizadas cuando existe negligencia grave del usuario.
Es decir, no estamos ante una interpretación distinta de las responsabilidades de proveedores de servicios de pago y de los clientes, si no del momento en que el banco tiene que devolver los importes de las operaciones de pago no autorizadas.
La repercusión práctica dependerá, en buena medida, de cómo las entidades financieras apliquen este criterio. Sin embargo, creemos— esperamos equivocarnos— que los efectos de esta sentencia van a ser limitados y, desgraciadamente, los bancos seguirán inobservado dicha obligación legal (que ya resultaba suficientemente clara), obligando al cliente a acudir a los tribunales para hacer valer su derecho.
Preguntas frecuentes sobre la devolución de operaciones bancarias no autorizadas
¿Está obligado el banco a devolver el dinero de una operación no autorizada?
Con carácter general, sí. El artículo 45 RDSLP establece la obligación de devolución inmediata, como máximo al finalizar el siguiente día hábil desde la detección o notificación de la operación, salvo que el banco tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España.
¿Puede el banco rechazar la devolución alegando negligencia grave?
El TJUE ha interpretado la obligación de devolución inmediata de las operaciones de pago no autorizadas, incidiendo en no puede quedar supeditada a una valoración unilateral del proveedor de servicios de pago acerca de la eventual negligencia grave del usuario. Esto significa que la única excepción que pueden oponer los bancos a la devolución inmediata son las sospechas fundadas de existencia de fraude.
¿Y si el banco no devuelve los importes y alega que el cliente ha incurrido en negligencia grave?
Si el banco no devuelve los importes (extrajudicialmente), el cliente tendría que reclamarlo en vía judicial.
¿Quién debe demostrar que el cliente actuó con negligencia grave?
Corresponde al proveedor de servicios probar la negligencia grave o el fraude del cliente (art. 44.3 RDLSP).
¿La sentencia del TJUE permite recuperar el dinero de cualquier estafa bancaria?
No. La sentencia se refiere a operaciones de pago no autorizadas. Por ejemplo, las transferencias que el cliente ordena bajo engaño plantean una distinta consideración.
¿Cuándo conviene consultar a un abogado especializado en reclamaciones por fraude bancario?
Resulta aconsejable cuando has sido víctima de un fraude y el banco rechaza la devolución, atribuye al cliente negligencia grave, sostiene que la operación fue autorizada y/o existe controversia sobre las medidas de seguridad empleadas
¿Quieres saber si podemos reclamar a tu banco la devolución de los pagos no autorizados?
En Despacho Jurídico Valero Cuadra estamos especializados en reclamaciones por fraude bancario y pagos no autorizados derivados de phishing, smishing, vishing y otras modalidades de estafa informática.
Analizamos las circunstancias de tu caso, la actuación de la entidad bancaria y las posibilidades de recuperar el dinero, tanto mediante una reclamación extrajudicial como, cuando proceda, por vía judicial.
Además, ofrecemos la posibilidad de tramitar determinadas reclamaciones a éxito (cuota litis), sin adelantar honorarios de abogado.
