La sentencia del Tribunal de Justicia de la Unión Europea de 15 de octubre de 2026, asunto C-70/25, supone un cambio de enorme relevancia en la protección de los consumidores frente a las estafas bancarias. Las entidades financieras no pueden rechazar de entrada el reembolso de operaciones no autorizadas alegando una supuesta negligencia grave del cliente.
La resolución establece una distinción fundamental: primero debe producirse la devolución del dinero y, posteriormente, podrá discutirse la eventual responsabilidad del usuario.
Esta interpretación tiene importantes consecuencias para las víctimas de phishing, suplantaciones de identidad y otras operaciones bancarias no autorizadas, especialmente cuando sus entidades financieras han rechazado devolverles las cantidades sustraídas.
Una sentencia que cambia las reclamaciones por phishing
El Tribunal de Justicia de la Unión Europea (TJUE) ha dictado una resolución de especial relevancia para el Derecho bancario y las reclamaciones derivadas de fraudes informáticos.
Se trata de la sentencia de 15 de octubre de 2026, asunto C-70/25, N.O. contra PKO BP S.A. (asunto Tukowiecka), mediante la que el Tribunal interpreta determinados preceptos de la Directiva (UE) 2015/2366, conocida como PSD2, relativa a los servicios de pago en el mercado interior.
Su principal aportación consiste en diferenciar dos cuestiones jurídicas:
- La obligación de reembolso: el banco debe devolver el importe de una operación de pago no autorizada en los términos establecidos por la normativa.
- La eventual responsabilidad del cliente: posteriormente puede determinarse si el usuario debe asumir las pérdidas por haber actuado con negligencia grave.
Hasta ahora, numerosas entidades financieras rechazaban las reclamaciones argumentando que el cliente había facilitado sus claves, introducido códigos SMS o seguido enlaces fraudulentos.
La nueva interpretación impide utilizar esa supuesta negligencia grave para rechazar el reembolso inicial.
El origen del conflicto: una víctima de phishing a la que el banco negó la devolución
El litigio tuvo su origen en Polonia.
Una mujer que pretendía vender un objeto mediante una plataforma de compraventa por Internet recibió un mensaje de un supuesto comprador. Este le facilitó un enlace que aparentaba pertenecer a la plataforma, pero que conducía a una página fraudulenta que imitaba la de su entidad bancaria.
Convencida de que estaba realizando una operación legítima, introdujo sus credenciales de acceso a la banca electrónica.
Los delincuentes utilizaron esos datos para efectuar una transferencia no autorizada desde su cuenta.
La afectada comunicó lo ocurrido al banco, pero la entidad rechazó devolver el dinero al considerar que había incurrido en negligencia grave al facilitar sus datos de seguridad.
El asunto llegó a los tribunales polacos, que plantearon una cuestión prejudicial al TJUE:
¿Puede un banco negarse a devolver inmediatamente el dinero de una operación no autorizada alegando negligencia grave del usuario?
La respuesta del Tribunal europeo fue negativa.
La eventual negligencia grave del cliente no permite a la entidad incumplir su obligación inicial de reembolso.
¿Qué establece la sentencia del TJUE sobre la devolución del dinero?
La sentencia interpreta conjuntamente los artículos 69, 73 y 74 de la Directiva (UE) 2015/2366.
El reembolso inmediato es una obligación autónoma
El artículo 69 establece las obligaciones del usuario respecto de la utilización de los instrumentos de pago y la protección de sus credenciales de seguridad.
El artículo 73 regula la responsabilidad del proveedor de servicios de pago ante operaciones no autorizadas y establece que debe devolver el importe inmediatamente y, como máximo, al final del día hábil siguiente a aquel en que haya tenido conocimiento de la operación.
Por su parte, el artículo 74 contempla los supuestos en los que el usuario puede llegar a soportar las pérdidas, especialmente cuando ha actuado fraudulentamente o ha incumplido deliberadamente o por negligencia grave sus obligaciones.
La interpretación del TJUE impide confundir ambas cuestiones.
La existencia de una posible negligencia grave no permite al banco suspender o rechazar el reembolso inicial.
Si la entidad considera que el cliente debe asumir finalmente las pérdidas, podrá ejercitar posteriormente las acciones que correspondan.
La excepción por sospecha de fraude del usuario
La normativa europea contempla una excepción cuando existen motivos razonables para sospechar que el propio usuario ha cometido fraude, siempre que esa sospecha se comunique por escrito a la autoridad nacional competente.
Por tanto, no basta con afirmar que el cliente pudo haber actuado de forma poco diligente para justificar la negativa al reembolso.
Primero devolver el dinero, después discutir la responsabilidad
Una de las consecuencias más importantes de esta sentencia es el cambio en la distribución del riesgo económico y procesal.
Hasta ahora, una respuesta relativamente habitual de los bancos consistía en rechazar la devolución cuando el afectado había introducido sus claves en una página falsa o facilitado un código de verificación.
De esta manera, el consumidor se veía obligado a iniciar una reclamación administrativa o judicial para intentar recuperar su dinero.
La sentencia del TJUE modifica este planteamiento.
La entidad financiera debe cumplir inicialmente su obligación de reembolso. Si considera que el usuario ha incurrido en negligencia grave y debe asumir finalmente las pérdidas, podrá reclamar posteriormente las cantidades abonadas mediante las acciones correspondientes.
Esto impide trasladar automáticamente al consumidor la carga de acudir primero a los tribunales para obtener una devolución que la normativa configura como una obligación inmediata.
¿Cómo afecta esta sentencia a los fraudes bancarios en España?
La interpretación del TJUE tiene consecuencias directas en la aplicación de la normativa española sobre servicios de pago.
La Directiva PSD2 fue incorporada al ordenamiento español mediante el Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago.
El artículo 45: obligación de devolver las operaciones no autorizadas
El artículo 45.1 establece que, cuando se ejecuta una operación de pago no autorizada, el proveedor de servicios de pago debe devolver el importe correspondiente inmediatamente y, en todo caso, como máximo al final del día hábil siguiente a aquel en que haya observado o se le haya notificado la operación.
La norma contempla una excepción cuando la entidad tenga motivos razonables para sospechar la existencia de fraude y comunique esos motivos por escrito al Banco de España.
La sentencia europea refuerza esta obligación y exige que los órganos jurisdiccionales españoles interpreten la normativa nacional de conformidad con el criterio establecido por el TJUE.
El artículo 44: quién debe demostrar la autorización de la operación
El artículo 44 del Real Decreto-ley 19/2018 contiene una previsión especialmente relevante en materia probatoria.
Corresponde al proveedor de servicios de pago demostrar que la operación fue autenticada, registrada con exactitud y contabilizada, así como que no estuvo afectada por fallos técnicos u otras deficiencias del servicio.
Además, el simple registro de la utilización del instrumento de pago no basta necesariamente para demostrar que el cliente autorizó la operación ni que actuó fraudulentamente o con negligencia grave.
La carga de acreditar el fraude o la negligencia grave del usuario corresponde a la entidad financiera.
Por tanto, la sentencia del TJUE refuerza una interpretación que ya encuentra respaldo en la legislación española.
¿Facilitar las claves bancarias significa autorizar una transferencia?
No necesariamente.
Uno de los argumentos utilizados habitualmente por las entidades financieras para rechazar reclamaciones por phishing consiste en afirmar que el cliente facilitó voluntariamente sus credenciales de seguridad.
Sin embargo, desde el punto de vista jurídico, debe distinguirse entre autenticación y autorización.
Que una transferencia se haya ejecutado utilizando las credenciales correctas no significa necesariamente que el titular haya prestado su consentimiento.
El hecho de que un tercero consiga esas claves mediante técnicas de ingeniería social, suplantación de identidad o páginas fraudulentas tampoco convierte automáticamente la operación en autorizada.
La autorización debe analizarse atendiendo al consentimiento efectivamente prestado y a las circunstancias concretas de la operación.
Del mismo modo, haber sido víctima de un engaño no equivale automáticamente a haber incurrido en negligencia grave.
Para valorar esa posible negligencia deben examinarse, entre otras circunstancias:
- La conducta del usuario.
- Las características del fraude.
- La información que recibió el afectado.
- La apariencia de legitimidad del engaño.
- Las medidas de seguridad que razonablemente podían exigírsele.
No toda actuación desafortunada constituye negligencia grave, ni toda víctima de phishing debe asumir automáticamente las pérdidas provocadas por terceros.
¿Se puede reclamar si el banco ya rechazó la devolución del dinero?
Una de las cuestiones de mayor trascendencia práctica afecta a quienes sufrieron fraudes bancarios en años anteriores y recibieron una respuesta negativa de su entidad financiera.
La sentencia del TJUE de 15 de octubre de 2026 constituye un fundamento jurídico especialmente relevante para revisar esos expedientes.
La interpretación del Tribunal debe ser tenida en cuenta por los órganos jurisdiccionales nacionales en los litigios comprendidos en su ámbito de aplicación, también cuando se refieran a hechos anteriores, siempre que la situación jurídica continúe siendo susceptible de revisión y no existan límites procesales o de prescripción que lo impidan.
Por tanto, haber recibido una respuesta negativa del banco no significa necesariamente que se haya perdido toda posibilidad de reclamar.
¿Qué circunstancias deben revisarse?
Cada caso requiere un análisis individualizado, prestando especial atención a:
- La fecha en que se produjo el fraude bancario.
- La fecha en que se comunicó la operación no autorizada.
- El cumplimiento del plazo de notificación del artículo 43 del Real Decreto-ley 19/2018, con carácter general de trece meses desde la fecha del adeudo.
- Los motivos concretos por los que el banco rechazó el reembolso.
- La existencia de procedimientos judiciales o reclamaciones anteriores.
- Los plazos de prescripción y las circunstancias que puedan afectar a su cómputo.
La sentencia no supone la reapertura automática de todos los expedientes, pero proporciona un argumento jurídico importante para revisar aquellas negativas fundamentadas exclusivamente en una supuesta negligencia grave del consumidor.
Cómo plantear una reclamación por fraude bancario tras la sentencia del TJUE
La resolución europea obliga a reconsiderar la estrategia jurídica de las reclamaciones por operaciones bancarias no autorizadas.
En primer lugar, resulta esencial determinar si se trata efectivamente de una operación de pago no autorizada, puesto que no todos los conflictos derivados de pagos, transferencias o fraudes digitales reciben necesariamente el mismo tratamiento jurídico.
También deben examinarse los registros y la documentación de la entidad financiera para comprobar la autenticación y ejecución de las operaciones cuestionadas.
Asimismo, será necesario analizar si el banco cumplió sus obligaciones legales de seguridad y si actuó correctamente cuando recibió la comunicación del fraude.
Finalmente, debe tenerse presente que la eventual negligencia grave del cliente no justifica incumplir la obligación inicial de reembolso.
El consumidor no tiene que demostrar previamente que actuó con absoluta diligencia para exigir la devolución inmediata de una operación no autorizada.
Si la entidad pretende atribuirle responsabilidad por negligencia grave, deberá acreditar los presupuestos legales correspondientes y acudir a las vías de reclamación pertinentes.
Conclusión: una mayor protección para las víctimas de phishing
La sentencia del TJUE de 15 de octubre de 2026 representa un avance especialmente importante en la protección de los consumidores frente a los fraudes bancarios.
Su principal aportación consiste en separar definitivamente dos cuestiones: la obligación inmediata de devolver el importe de una operación no autorizada y la determinación posterior de quién debe soportar finalmente las pérdidas.
Las entidades financieras no pueden rechazar inicialmente el reembolso alegando que el cliente pudo actuar con negligencia grave.
Desde Bufete Iribarren Abogados consideramos que esta resolución abre una nueva etapa en las reclamaciones por operaciones bancarias no autorizadas y ofrece una oportunidad para que numerosos afectados revisen las respuestas negativas recibidas de sus entidades financieras.
La sentencia refuerza la posición jurídica del consumidor y recuerda que haber sido víctima de un engaño no equivale, por sí solo, a ser responsable del perjuicio económico sufrido.
¿Has sufrido un fraude bancario y tu banco se niega a devolverte el dinero?
Si has sido víctima de phishing o de una operación bancaria no autorizada, o tu entidad financiera ya ha rechazado tu reclamación alegando negligencia grave, tu caso puede merecer una revisión a la luz de la sentencia del TJUE de 15 de octubre de 2026.
En Bufete Iribarren Abogados podemos analizar las circunstancias de tu caso y valorar las posibilidades de reclamación frente a la entidad financiera.
Contacta con nuestro despacho para estudiar tu situación.
¿Necesitas más información?
Puedes llamarnos al 948 275 063 o si lo prefieres:
Responsable: BUFETE IRIBARREN ABOGADOS, S.L.P.
Finalidad: Mantener una relación comercial (por interés legítimo del responsable, art. 6.1.f RGPD) y el envío de comunicaciones de productos o servicios (por consentimiento del interesado, art. 6.1.a RGPD).
Conservación y comunicación de datos: Se conservarán durante no más tiempo del necesario para mantener el fin del tratamiento o mientras existan prescripciones legales que dictaminen su custodia y, cuando ya no sea necesario para ello, se suprimirán con medidas de seguridad adecuadas para garantizar la anonimización de los datos o la destrucción total de los mismos.
No se comunicarán los datos a terceros, salvo obligación legal.
Derechos: Acceso, rectificación, supresión, limitación, portabilidad, oposición y presentar una reclamación ante la AEPD.
Información adicional: Puede obtener toda la información adicional y detallada que precise sobre el tratamiento y protección de sus datos personales en el enlace.