El Tribunal de Justicia de la Unión Europea (TJUE) ha dictado una sentencia que refuerza la protección de los clientes bancarios que sufren una ciberestafa. La resolución establece que los bancos deben devolver de forma inmediata el dinero sustraído mediante una operación de pago no autorizada, incluso cuando consideren que el afectado pudo actuar con negligencia grave al proteger sus credenciales.
La decisión introduce una distinción fundamental: una cosa es devolver el dinero y otra determinar quién debe asumir finalmente la pérdida económica. Según el criterio del tribunal europeo, la entidad financiera no puede utilizar una sospecha de negligencia del cliente para rechazar desde el principio el reembolso.
La sentencia tiene su origen en el caso de una mujer de Polonia que perdió aproximadamente 700 euros después de acceder a una página falsa que imitaba la web de su banco. Aunque comunicó lo sucedido a la entidad al día siguiente, esta rechazó devolverle el importe al considerar que no había protegido adecuadamente sus datos de seguridad.
El tribunal europeo ha aclarado ahora que esa posible negligencia grave «no le permite rehusar la devolución inmediata». La resolución afecta a la interpretación de las obligaciones que ya recogía la normativa europea sobre servicios de pago y pone el foco en una práctica que había generado conflictos entre bancos y víctimas de fraudes digitales.
La ciberestafa de 700 euros que ha provocado la sentencia del TJUE
El caso que ha llegado al Tribunal de Justicia de la Unión Europea comenzó con una operación aparentemente habitual de compraventa por internet. Una mujer residente en Polonia había puesto a la venta un objeto en una plataforma digital. Durante el proceso, recibió un mensaje de una persona que se presentaba como posible comprador.
El supuesto interesado le envió un enlace para completar la transacción. El mensaje aparentaba proceder de la plataforma de compraventa, por lo que la mujer accedió a la dirección facilitada. Sin embargo, el enlace conducía a una página fraudulenta que reproducía la apariencia de la web de su banco.
La víctima introdujo allí sus credenciales bancarias sin saber que estaba proporcionando información a un delincuente. Posteriormente, el estafador consiguió sustraer unos 700 euros de su cuenta. Se trataba de un caso de phishing, una modalidad de fraude basada en suplantar la identidad de empresas o servicios legítimos para obtener información confidencial.
Al día siguiente, la afectada comunicó al banco lo ocurrido y solicitó recuperar el dinero. La entidad financiera rechazó el reembolso. Su argumento fue que la clienta había descuidado la custodia de sus credenciales de seguridad al introducirlas en una página fraudulenta. Esa negativa acabó dando lugar al procedimiento judicial que ha permitido al tribunal europeo pronunciarse sobre cuándo debe producirse la devolución del dinero.
Los bancos deben devolver el dinero antes de determinar si hubo negligencia
La principal conclusión de la sentencia es que la devolución inmediata del importe y la atribución de responsabilidad son dos cuestiones diferentes. Hasta ahora, algunas entidades bancarias rechazaban el reembolso de operaciones fraudulentas alegando que el cliente había cometido una negligencia grave.
El TJUE ha establecido que esa sospecha no permite eludir automáticamente la obligación de devolver el dinero. Según la resolución, cuando un cliente comunica sin demora una operación de pago no autorizada, el banco debe reembolsar el importe de inmediato y, como muy tarde, al finalizar el siguiente día hábil.
La obligación de efectuar ese abono no desaparece simplemente porque la entidad considere que el usuario pudo facilitar sus claves de acceso o no proteger adecuadamente sus datos. La sentencia recoge que la posible negligencia grave del afectado «no le permite rehusar la devolución inmediata».
De esta manera, el tribunal europeo fija el orden que deben seguir las entidades: primero se realiza el reembolso y después, si existen motivos para ello, se examina la responsabilidad del cliente. El banco conserva la posibilidad de reclamar posteriormente el dinero, pero deberá demostrar que concurren las circunstancias que justifican atribuir la pérdida al usuario.
Cuál es la excepción que permite a un banco no devolver inmediatamente el dinero
La normativa europea sobre servicios de pago contempla una excepción a la obligación de reembolso inmediato. Esta se aplica cuando la entidad financiera tiene motivos razonables para sospechar que el propio cliente ha cometido un fraude. En ese supuesto, el banco debe comunicar sus sospechas por escrito a la autoridad nacional correspondiente.
La diferencia es importante: sospechar que el cliente ha sido negligente no equivale a sospechar que ha cometido un fraude. La directiva europea ya establecía esa excepción, pero algunas entidades habían utilizado la posible negligencia grave del usuario como argumento para rechazar directamente la devolución. La sentencia del TJUE delimita ahora esa interpretación y refuerza la obligación de reembolsar las operaciones no autorizadas dentro del plazo previsto.
La resolución no significa que todas las pérdidas económicas derivadas de una estafa deban ser asumidas definitivamente por los bancos. Lo que establece es que la discusión sobre la responsabilidad no puede utilizarse, por sí sola, para retrasar la devolución inicial cuando se cumplen las condiciones previstas en la normativa.
Por qué la justicia europea considera fundamental devolver el dinero de inmediato
El Tribunal de Justicia de la Unión Europea ha puesto especial énfasis en las consecuencias que tendría permitir a las entidades rechazar el reembolso desde el primer momento. Según explica la sentencia, esa posibilidad «privaría de efecto útil a la obligación de devolución inmediata» establecida en la normativa europea.
El razonamiento parte de una cuestión práctica: si el banco pudiera negarse a devolver el dinero alegando negligencia, el cliente tendría que iniciar un procedimiento judicial para intentar recuperarlo. Eso supondría afrontar los costes legales y las dificultades de reclamar judicialmente una cantidad que ya ha sido sustraída.
En cambio, la interpretación fijada por el tribunal sitúa la obligación de reembolso en una fase anterior. Primero, la entidad debe devolver el importe de la operación no autorizada. Después puede investigar las circunstancias y, cuando corresponda, reclamar al cliente la cantidad abonada.
La sentencia establece así una separación entre la protección inmediata del usuario y la resolución definitiva del conflicto económico. Este criterio resulta especialmente relevante en situaciones en las que el afectado y el banco discrepan sobre cómo se produjo la estafa o sobre las medidas de seguridad adoptadas.
Qué ocurre si el banco demuestra que el cliente actuó con negligencia grave
La sentencia europea no elimina la responsabilidad que puede corresponder al usuario cuando se demuestra que actuó de mala fe o con negligencia grave. Lo que cambia es el momento en el que debe discutirse esa responsabilidad y quién debe acreditar los hechos.
Si una entidad financiera considera que el cliente actuó de forma gravemente negligente, podrá examinar lo ocurrido y tratar de demostrarlo. En caso de acreditar esa conducta, el banco puede reclamar la devolución del importe que había reembolsado previamente. De este modo, la entidad no queda obligada necesariamente a asumir de manera definitiva todas las pérdidas derivadas de una operación fraudulenta.
Sin embargo, tampoco puede trasladar de entrada al afectado la obligación de demostrar que no tuvo la culpa para recuperar su dinero. El abogado general Rantos ya había abordado esta cuestión en sus conclusiones sobre el procedimiento. Según su planteamiento, si el cliente se niega a devolver una cantidad que el banco considera indebidamente reembolsada, será la entidad financiera la que pueda acudir a los tribunales para reclamarla. La interpretación europea desplaza así el conflicto sobre la posible negligencia a una fase posterior al reembolso.
La normativa española ya contemplaba la devolución inmediata de operaciones no autorizadas
La obligación de devolver el dinero de operaciones bancarias no autorizadas no aparece por primera vez con esta sentencia. En España, el artículo 45 de la normativa de servicios de pago ya recogía el deber de reembolso inmediato en los supuestos previstos legalmente. La resolución del TJUE refuerza esa obligación y aclara cómo debe aplicarse cuando una entidad financiera considera que el cliente pudo actuar con negligencia grave.
En los últimos años, los tribunales españoles ya habían dictado resoluciones favorables a víctimas de estafas bancarias. Uno de los casos más destacados se produjo en abril de 2025, cuando el Tribunal Supremo obligó a Ibercaja a devolver 56.474 euros a una víctima de SIM swapping. Esta modalidad de fraude está relacionada con la suplantación de la tarjeta SIM de un teléfono móvil para acceder a servicios vinculados al número de la víctima.
En aquel procedimiento, los jueces cuestionaron que una actividad bancaria especialmente inusual no hubiera provocado una reacción de los sistemas de seguridad. En concreto, reprocharon que la realización de quince transferencias durante una sola noche «no hiciera saltar las alarmas en ese mismo momento». La resolución puso el foco en la actuación de la entidad ante movimientos que se apartaban de lo habitual.
Los precedentes judiciales en España por estafas bancarias y phishing
El caso de Ibercaja no ha sido el único conflicto judicial relacionado con la devolución de dinero sustraído mediante fraudes digitales. En Galicia, varios juzgados también condenaron a entidades bancarias a reembolsar cantidades a víctimas de phishing. En esos procedimientos, los tribunales no apreciaron negligencia grave en las personas afectadas.
Entre los casos conocidos figuran condenas a dos bancos gallegos para devolver 20.000 euros a víctimas de estafas que habían permitido a los delincuentes acceder a sus cuentas. Estos antecedentes muestran que la responsabilidad de los bancos ante operaciones fraudulentas ya estaba siendo examinada por los tribunales españoles antes de la nueva sentencia europea.
No obstante, la resolución del TJUE introduce una aclaración especialmente relevante: la posible responsabilidad del cliente debe analizarse sin dejar sin efecto la obligación inicial de reembolso. La diferencia entre ambas cuestiones es el elemento central de la decisión.
Las estafas bancarias, entre las principales causas de reclamaciones en España
La importancia de esta sentencia también se refleja en el volumen de reclamaciones y delitos relacionados con las estafas informáticas. Según los datos del Banco de España, el fraude con tarjetas y transferencias bancarias fue la primera causa de las reclamaciones admitidas durante 2025. Este tipo de conflictos representó casi el 28 % del total, una proporción que evidencia su peso entre las incidencias planteadas por los usuarios de servicios financieros.
Por otra parte, el Balance Trimestral de Criminalidad de 2025, elaborado por el Ministerio del Interior, recoge aproximadamente 430.493 estafas informáticas registradas durante ese año. Las cifras muestran la dimensión que han alcanzado los fraudes digitales en España y el número de situaciones en las que pueden surgir discrepancias entre clientes y entidades financieras.
Las estafas mediante páginas bancarias falsas, el uso fraudulento de credenciales y las operaciones no autorizadas forman parte de los problemas que han llegado tanto a los servicios de reclamaciones como a los tribunales. En este contexto, la sentencia europea adquiere especial relevancia por aclarar cuándo debe recuperarse el dinero, independientemente de que después exista una controversia sobre la responsabilidad.
