La Sentencia del Tribunal de Justicia de la Unión Europea (en adelante, “TJUE”) de 15 de octubre de 2026 (asunto C-70/25) establece que las entidades bancarias no pueden negarse a devolver inmediatamente el importe de una operación de pago no autorizada alegando que el cliente ha incurrido en negligencia grave.
Este pronunciamiento refuerza la protección de los usuarios de servicios de pago frente a las operaciones no autorizadas.
I. Hechos.
El asunto tiene su origen en una estafa mediante phishing sufrida por una particular en Polonia. La víctima, que había anunciado la venta de un objeto en una plataforma de comercio electrónico, recibió un enlace de un supuesto comprador que la redirigió a una página web que imitaba la de su entidad bancaria.
Tras introducir sus credenciales de acceso y facilitar, inducida por el engaño, un código de confirmación recibido por SMS, el estafador consiguió transferir 3.000 eslotis polacos (aproximadamente 705 euros) desde su cuenta bancaria. No se llegó a identificar al autor del fraude.
Al descubrir el fraude, la perjudicada comunicó inmediatamente lo sucedido a la entidad bancaria y a la policía. Sin embargo, la entidad rechazó devolverle el dinero alegando que había incurrido en negligencia grave al facilitar sus datos bancarios a un tercero.
Ante esta situación, el órgano jurisdiccional polaco planteó una cuestión prejudicial al TJUE para determinar si la negligencia grave del cliente podía eximir a la entidad bancaria de su obligación de devolución inmediata.
II. Posición del Tribunal de Justicia de la Unión Europea.
La sentencia interpreta los artículos 73 y 74 de la Directiva (UE) 2015/2366, sobre servicios de pago en el mercado interior, que regulan, respectivamente, la obligación de devolución de las operaciones no autorizadas y la responsabilidad del usuario.
El TJUE identifica por un lado la obligación de devolución inmediata y por otro lado la posterior determinación de la responsabilidad por las pérdidas derivadas de la operación no autorizada.
En consecuencia, cuando se produce una operación de pago no autorizada, el banco debe devolver su importe inmediatamente y, como máximo, al finalizar el día hábil siguiente desde que tenga conocimiento de ella, sin que pueda denegar el reembolso por considerar que el cliente actuó con negligencia grave.
La única excepción expresamente prevista a esta obligación se produce cuando existan motivos razonables para sospechar que el propio cliente ha cometido un fraude y la entidad bancaria comunique dichos motivos por escrito a la autoridad nacional competente.
Es en ese supuesto cuando la entidad bancaria estará legitimada, para reclamar posteriormente al cliente las cantidades reembolsadas, siempre que acredite que las pérdidas fueron consecuencia de un incumplimiento deliberado o gravemente negligente de sus obligaciones en virtud del artículo 69 de la Directiva.
De esta forma, el Tribunal pretende evitar que los usuarios se vean obligados a acudir a los tribunales para reclamar la devolución de las cantidades sustraídas, con los inconvenientes que ello conlleva, especialmente en términos de costes procesales. Asimismo, persigue impedir que las víctimas deban soportar inicialmente las consecuencias económicas del fraude.
III. Consecuencias prácticas.
Esta reciente sentencia tiene especial relevancia en España, donde los artículos 44, 45 y 46 del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, incorporan el régimen europeo sobre devolución de operaciones no autorizadas y responsabilidad del usuario.
Aunque la obligación de devolución inmediata ya estaba reconocida en nuestra legislación, el TJUE aclara que las entidades financieras no pueden utilizar la supuesta negligencia grave del cliente como justificación para rechazar inicialmente el reembolso, tal y como alegó en este caso concreto el Banco polaco PKO BP S.A.
Desde una perspectiva práctica, el pronunciamiento presenta tres consecuencias fundamentales:
- Recuperación inmediata de los fondos: los perjudicados por operaciones de pago no autorizadas podrán exigir su devolución sin que la entidad pueda denegarla únicamente por considerar que facilitaron negligentemente sus credenciales bancarias.
- Cambio en la posición procesal de las partes: corresponderá a la entidad bancaria, tras efectuar la devolución, ejercitar las acciones que procedan para recuperar las cantidades reembolsadas y acreditar, en su caso, la negligencia grave del cliente.
- Relevancia para las reclamaciones bancarias: la sentencia refuerza la posición de quienes hayan sufrido fraudes mediante phishing u otras técnicas de suplantación de identidad, siempre que se trate de operaciones de pago no autorizadas.
Debe precisarse, sin embargo, que esta doctrina no implica que cualquier transferencia vinculada a una estafa deba ser reembolsada, ni que el cliente quede definitivamente exonerado de responsabilidad.
En definitiva, la principal aportación de esta sentencia consiste en aclarar que la posible negligencia grave del cliente no exime a la entidad bancaria de su obligación de devolución inmediata de las operaciones de pago no autorizadas. La eventual responsabilidad del cliente deberá determinarse posteriormente, correspondiendo a la entidad acreditar las circunstancias que fundamenten su reclamación.