Una sentencia del TJUE dictada el 15 de octubre de 2026 fija que los bancos no pueden negarse a devolver de inmediato el dinero sustraído en una operación no autorizada. Tampoco pueden hacerlo aunque aleguen que el cliente actuó con negligencia grave. El Tribunal de Justicia de la Unión Europea resolvió que las entidades deben reembolsar primero el importe defraudado. Después, si demuestran que el usuario incumplió sus obligaciones, podrán reclamarle las pérdidas.
Qué establece la sentencia del TJUE
El fallo, dictado en el asunto C-70/25, Tukowiecka, interpreta la directiva europea sobre servicios de pago. Para el tribunal, rechazar la devolución por la supuesta negligencia grave del cliente es contrario a esa norma. Su objetivo, recuerda la resolución, es “garantizar un elevado nivel de protección de los consumidores”.
La sentencia del TJUE abarca operaciones derivadas de suplantación de identidad, phishing y otros engaños. En concreto, el banco debe devolver el dinero de inmediato. Como máximo, tiene hasta el final del día hábil siguiente a aquel en que conoció la operación o recibió la notificación. Para eso, el cliente debe haber comunicado el fraude sin demora injustificada.
Además, el tribunal distingue dos planos. Por un lado, está la obligación inicial de reintegrar el dinero. Por otro, la responsabilidad que puede exigirse luego al cliente por las pérdidas. Según la resolución, que la entidad considere que el cliente hizo posible la operación por negligencia grave “no le permite rehusar la devolución inmediata”. Por otra parte, la decisión interpreta el derecho europeo y es vinculante en todos los Estados miembros de la UE.
El caso polaco que originó el fallo
El litigio comenzó en Polonia. Una mujer puso a la venta un artículo en una plataforma de comercio electrónico. Un supuesto comprador le envió entonces un enlace fraudulento que simulaba proceder de esa página para confirmar la operación.
Sin embargo, el enlace conducía a una web que imitaba la de su banco. La mujer introdujo allí sus credenciales de acceso a la banca electrónica. Con esos datos, el estafador transfirió a una cuenta propia unos 700 euros.
La clienta avisó al banco al día siguiente. No obstante, la entidad se negó a devolver el importe. Sostuvo que la negligencia de la mujer había hecho posible la operación, “al incumplir su obligación de proteger sus credenciales de seguridad personalizadas”, según recoge el comunicado del tribunal.
El asunto llegó a un tribunal polaco, que elevó una cuestión prejudicial a la corte de Luxemburgo. Quería saber si la negligencia grave del cliente permitía al banco rechazar el reembolso inmediato. La sentencia del TJUE respondió que no.
Reembolsar primero, reclamar después
La resolución no obliga al banco a asumir siempre y de forma definitiva las pérdidas. Una vez hecho el reembolso, la entidad puede reclamar el importe al usuario. Para eso debe demostrar que este actuó de forma deliberada o con negligencia grave al incumplir sus obligaciones, como la de proteger sus credenciales.
En esa línea, la sentencia del TJUE deja la carga de la prueba en manos de las entidades financieras. Son ellas las que deben acreditar la conducta negligente del cliente.
Existe, además, una sola excepción para suspender la devolución inmediata. Se aplica cuando el banco tiene motivos razonables para sospechar que el propio cliente cometió fraude. En ese caso, debe comunicar esos motivos por escrito a la autoridad nacional competente.
La abogada especializada en litigación y ciberfraude Vanesa Fernández sostuvo que el fallo “pone las cosas en su orden”. A su juicio, estos importes “primero se devuelven y, si el banco cree que hubo negligencia grave, que lo pruebe y lo reclame”.
La sentencia del TJUE y la normativa española
En España, la Ley de Servicios de Pago está vigente desde 2009. A ella se suma la jurisprudencia del Tribunal Supremo, en especial la sentencia del 9 de abril de 2025. Ambas obligan a los bancos a asumir la responsabilidad por operaciones no autorizadas derivadas de la suplantación de identidad.
Por su parte, el artículo 45 del Real Decreto-ley 19/2018, de servicios de pago, ya exige reembolsar “inmediatamente” esas operaciones. Con carácter general, el plazo vence antes de que termine el siguiente día hábil. En tanto, el artículo 46 regula la responsabilidad del usuario que actúa de forma fraudulenta o incumple sus obligaciones deliberadamente o por negligencia grave.
Sin embargo, la normativa española contempla excepciones a las que la banca recurre para no reintegrar el dinero. Entre ellas figuran la negligencia grave del usuario o la falta de aviso en un plazo razonable. Por eso, la sentencia del TJUE aclara cómo aplicar estas reglas: la entidad no puede confundir la devolución inicial con la reclamación posterior de las pérdidas.
Medidas de la banca y cifras del fraude en España
Más allá de la sentencia del TJUE, las principales entidades españolas afirman en sus informes anuales que reforzaron los controles contra el fraude. También aseguran haber lanzado campañas de sensibilización y de formación de sus empleados.
En diciembre de 2025, la Asociación Española de Banca (AEB), la Ceca y el Ministerio de Economía crearon la ‘Brigada Antifraude’. Su fin es impulsar medidas contra el fraude digital y reforzar la ciberseguridad. La Ceca agrupa a las antiguas cajas de ahorros.
Según los últimos datos del Ministerio del Interior, la cibercriminalidad representó el 20,2 % de la criminalidad registrada en el país durante el primer semestre de 2026. En el mismo período, las estafas informáticas concentraron el 87,3 % de toda la delincuencia informática.
Qué deben hacer los clientes tras la sentencia del TJUE
Fernández advirtió que la decisión “no es un cheque en blanco”, porque “la negligencia grave sigue existiendo”. Por ello, recomendó “avisar al banco sin demora”. También recordó que, como en ocasiones anteriores, el fallo deja claro que el banco debe probar si la demora en la comunicación fue negligente o deliberada.
Si la entidad no acredita mala fe o dolo en el retraso, deberá asumir el coste de las pérdidas. Aun así, según la abogada, “el TJUE aclara que el usuario debe ser diligente, revisar sus cuentas y tener una actitud proactiva”. Y añadió: “Es decir, de alguna manera, viene a decir que el consumidor no se puede despreocupar”.
En la práctica, quien detecte una transferencia o un cargo no autorizado debe comunicarlo al banco sin demora injustificada. Además, conviene conservar las pruebas de la reclamación. La sentencia del TJUE no garantiza la devolución en cualquier tipo de estafa. Sin embargo, establece que alegar negligencia grave no alcanza para negar el reembolso inmediato.
