La seguridad en los pagos digitales y la protección de los consumidores frente al fraude en línea —como el phishing— han dado un paso fundamental. El Tribunal de Justicia de la Unión Europea (TJUE), en su sentencia de 15 de octubre de 2026 (asunto C-70/25, Tukowiecka), ha determinado que un proveedor de servicios de pago no puede negarse a reembolsar de forma inmediata al ordenante el importe de una operación no autorizada bajo la excusa de que este incurrió en negligencia grave. La resolución delimita el margen de actuación de las entidades financieras y refuerza de manera notable las garantías de los usuarios en el mercado interior europeo.
Antecedentes del caso: del fraude por phishing al litigio judicial
El litigio principal enfrentó a una ciudadana polaca (N.O.) con su entidad bancaria, PKO BP S.A. La demandante fue víctima de una estafa de phishing tras poner un objeto a la venta en un portal de subastas en línea. Un autor no identificado, haciéndose pasar por comprador, le envió un enlace falso que simulaba la apariencia de su banco. Tras introducir sus credenciales de acceso y facilitar un código de confirmación recibido por SMS, el defraudador realizó una transferencia no autorizada de 3.000 zlotys polacos (aproximadamente 705 euros).
Al día siguiente, al percatarse del fraude, la afectada lo comunicó de inmediato tanto a la entidad bancaria como a la policía. Sin embargo, el banco se negó a restituirle los fondos argumentando que el perjuicio derivaba de su propia negligencia grave al custodiar y poner a disposición sus datos de seguridad. Ante esta negativa, la demandante acudió al Tribunal de Distrito de Koszalin (Sąd Rejonowy w Koszalinie), el cual decidió suspender el procedimiento para plantear una cuestión prejudicial ante el TJUE. El órgano remitente cuestionaba si el banco podía retener el dinero alegando dicha culpa del usuario.
¿Ha sido víctima de una estafa bancaria y su banco se niega a devolver el dinero?
La normativa europea ampara su derecho al reembolso inmediato. En Curquejo Abogados analizamos su caso en Lanzarote y defendemos sus intereses frente a las entidades financieras.
Consúltenos su casoDoctrina jurídica y normas aplicadas: la separación entre el reembolso y la imputación de pérdidas
Para resolver la controversia, el TJUE centró su análisis en la interpretación sistemática, literal y teleológica de los artículos 69, 72, 73 y 74 de la Directiva (UE) 2015/2366 (sobre servicios de pago en el mercado interior, conocida como DSP2).
1. La obligación estricta de reembolso inmediato (Artículo 73)
El Tribunal recuerda que el artículo 73, apartado 1, de la Directiva 2015/2366 impone al proveedor de servicios de pago la obligación de reembolsar el importe de la operación no autorizada «inmediatamente después de haber tenido conocimiento de la operación o de haber sido informado de ella y, en todo caso, a más tardar al final del primer día hábil siguiente», salvo una única excepción expresa: que la entidad tenga motivos razonables para sospechar fraude por parte del propio ordenante y lo comunique por escrito a la autoridad competente. El texto comunitario no contempla ninguna otra excepción liberatoria de este deber temporal de restitución.
2. El reparto de responsabilidades (Artículo 74 y 72)
Por su parte, el artículo 74, apartado 1, regula el reparto definitivo de la pérdida económica. Si bien es cierto que el ordenante puede verse obligado a soportar la totalidad de las pérdidas si estas derivan de un comportamiento fraudulento o de un incumplimiento negligente grave de sus obligaciones de custodia (artículo 69), el TJUE subraya que esta previsión opera en una fase posterior.
El artículo 72, apartado 2, refuerza este esquema al obligar a la entidad a probar la negligencia grave del usuario. En palabras del Tribunal, los artículos 73 y 74 regulan momentos distintos:
«El artículo 73 de dicha Directiva impone al proveedor de servicios de pago una obligación de reembolso inmediato de ese importe, mientras que el artículo 74 distribuye la responsabilidad entre este proveedor y el ordenante».
3. El objetivo de protección al consumidor
El TJUE advierte que permitir a los bancos bloquear el reembolso inmediato ante la mera alegación de negligencia grave dejaría sin efecto útil la norma comunitaria. El consumidor se vería obligado a iniciar acciones judiciales, soportar costes procesales y asumir una carga desproporcionada que contradice el fin capital de la Directiva: garantizar un nivel elevado de protección a los consumidores en un mercado armonizado.
Análisis del fallo
El Tribunal concluye de forma contundente que el sistema configurado por el Derecho de la Unión Europea no tolera que el proveedor convierta su sospecha de negligencia en un portillo para incumplir la devolución inicial de los fondos. El fallo establece formalmente que:
«Un proveedor de servicios de pago no puede negarse a reembolsar inmediatamente a un ordenante el importe de una operación de pago no autorizada alegando que dicho ordenante habría hecho posible esa operación por negligencia grave, incumpliendo las obligaciones que le incumben en virtud del artículo 69 de la Directiva 2015/2366».
Consecuencias prácticas para las entidades financieras y los usuarios
Impacto operativo de la resolución en la Unión Europea:
-
Inversión de la carga procesal y temporal: La regla general pasa por el «principio de primero devuelvo y luego reclamo». Las entidades bancarias estarían obligadas a restituir el dinero de inmediato al cliente tras la notificación de la estafa.
-
Vía posterior para los bancos: Si el proveedor considera que el cliente actuó con negligencia grave (por ejemplo, facilitando claves tras caer en un engaño sofisticado de phishing), deberá abonar primero la cantidad y, con posterioridad, iniciar las acciones legales oportunas contra el ordenante para reclamar la devolución de dicha pérdida.
-
Mayor protección y confianza: Se evita que el peso económico y procesal de litigar recaiga inicialmente sobre el consumidor, trasladando al profesional especializado la necesidad de activar los mecanismos judiciales ordinarios si desea exigir responsabilidades por culpa del usuario.
Conclusión
La sentencia del TJUE consolida una interpretación rigurosa y tuitiva de los servicios de pago en la Unión Europea. Al separar claramente la obligación legal de restitución inmediata de la posterior discusión sobre la negligencia grave del ordenante, el Tribunal dota de plena eficacia a los derechos de los consumidores. Las entidades bancarias ya no pueden escudarse en presuntas culpas de los clientes para retener o negar la devolución inicial de los fondos sustraídos fraudulentamente.
Preguntas Frecuentes sobre Estafas Bancarias y Phishing
¿Qué debe hacer un banco si he sido víctima de una estafa por phishing en Lanzarote?
Conforme a la jurisprudencia reciente del TJUE y la normativa europea, el banco está obligado a reembolsarle de forma inmediata el importe de la operación de pago no autorizada. Posteriormente, si la entidad considera que existió negligencia grave por su parte, deberá iniciar las vías legales oportunas para reclamar, pero el abono inicial es imperativo. En Curquejo Abogados le asesoramos en Lanzarote para exigir el cumplimiento de este derecho.
¿Puede el banco negarse a devolver el dinero alegando negligencia grave del cliente?
No de forma inmediata. Aunque las entidades suelen denegar el reembolso automático escudándose en una supuesta negligencia grave del usuario (como caer en engaños de phishing y facilitar códigos SMS), el Tribunal de Justicia de la Unión Europea ha dictaminado que la entidad no puede eludir su obligación de restitución inmediata bajo este pretexto.
¿Cuánto tiempo tengo para reclamar una transferencia no autorizada a mi banco?
La ley establece que el usuario de servicios de pago debe informar al proveedor sin demora injustificada y, como máximo, en un plazo de 13 meses a partir de la fecha del adeudo en cuenta para obtener la rectificación de la operación no autorizada.
¿Dónde encontrar abogados especialistas en reclamaciones bancarias en Lanzarote?
En Curquejo Abogados, despacho referente en Lanzarote, contamos con abogados expertos en Derecho Bancario y reclamaciones por fraude informático y phishing, preparados para estudiar su caso y exigir la devolución íntegra de sus fondos.
La primera valoración es honesta, con coste claro desde el principio.
Pide tu consulta
Este artículo tiene carácter meramente informativo y divulgativo, y no constituye asesoramiento jurídico personalizado. Cada caso tiene sus propias circunstancias, por lo que recomendamos consultar tu situación concreta antes de tomar cualquier decisión.