Una reciente sentencia del Tribunal de Justicia de la Unión Europea aclara cómo deben actuar las entidades bancarias ante una operación de pago no autorizada. El banco debe devolver el dinero de forma inmediata y no puede retrasar el reembolso alegando que el cliente actuó con negligencia grave. Esta circunstancia podrá discutirse posteriormente, pero no impide la restitución inicial de los fondos.

El caso que ha dado lugar a la sentencia
La sentencia fue dictada por el Tribunal de Justicia de la Unión Europea el 15 de octubre de 2026, en el asunto C-70/25, conocido como Tukowiecka. El procedimiento se inició a raíz de una cuestión prejudicial planteada por un tribunal polaco en un litigio entre una clienta y la entidad bancaria PKO BP S.A. La afectada había puesto a la venta un objeto en una plataforma de comercio electrónico. Una persona que aparentaba estar interesada en comprarlo le remitió un enlace para confirmar la operación. Dicho enlace conducía a una página que imitaba la web de su banco.

La clienta introdujo sus credenciales bancarias en esa página. El estafador utilizó la información obtenida para realizar una transferencia de aproximadamente 700 euros. La perjudicada comunicó los hechos al banco al día siguiente, pero la entidad rechazó la devolución al considerar que había actuado con negligencia grave al facilitar sus datos de seguridad. Ante esta situación, el tribunal polaco preguntó al TJUE si un proveedor de servicios de pago podía denegar el reembolso inmediato de una operación no autorizada cuando entendiera que el cliente había incumplido gravemente sus obligaciones de seguridad.

La devolución inmediata y la responsabilidad final son cuestiones distintas
La principal aportación de la sentencia consiste en diferenciar dos momentos jurídicos.

En primer lugar, debe determinarse si el banco está obligado a devolver inmediatamente el importe de la operación no autorizada. En segundo lugar, puede examinarse quién debe soportar de manera definitiva la pérdida económica.

Según el TJUE, la posible negligencia grave del cliente no permite a la entidad bancaria suspender la devolución inicial. El banco debe reintegrar el importe de la operación de pago no autorizada inmediatamente y, como máximo, al final del día hábil siguiente a aquel en que haya tenido conocimiento de la operación o esta le haya sido notificada.

Una vez efectuado el reembolso, la entidad podrá reclamar al cliente si considera que este incumplió deliberadamente o por negligencia grave sus obligaciones. Para ello tendrá que acreditar que la conducta del usuario fue la causa de la pérdida.

La sentencia no significa, por tanto, que el cliente quede exonerado de responsabilidad en todos los casos de phishing. Tampoco establece que facilitar unas claves o un código de confirmación nunca pueda constituir negligencia grave. Lo que impide es que el banco utilice esa alegación para retener inicialmente el dinero y trasladar al perjudicado la carga de iniciar un proceso judicial para recuperarlo.

La única excepción a la devolución inmediata
El artículo 73.1 de la Directiva (UE) 2015/2366, conocida como PSD2, contempla una excepción concreta. La entidad puede posponer la devolución si tiene motivos razonables para sospechar que el propio cliente ha cometido un fraude y comunica por escrito esos motivos a la autoridad nacional competente. Esta excepción debe distinguirse de la negligencia grave. Una cosa es que el usuario haya sido descuidado al proteger sus credenciales y otra diferente que haya participado fraudulentamente en la operación o esté intentando obtener una devolución indebida.

Por ello, una sospecha de negligencia grave no basta para retener los fondos. La sentencia interpreta conjuntamente los artículos 69, 73 y 74 de la Directiva y concluye que la controversia sobre la responsabilidad definitiva debe resolverse después del reembolso.

El TJUE fundamenta esta conclusión en el elevado nivel de protección que persigue la normativa europea. Si el banco pudiera rechazar inicialmente el pago, sería el consumidor quien tendría que asumir los costes, el tiempo y los riesgos de una reclamación judicial. El Tribunal considera que esta consecuencia restaría utilidad práctica a la obligación de devolución inmediata.

Consecuencias para las reclamaciones por phishing
La sentencia modifica de forma relevante la posición práctica desde la que se tramitan estas reclamaciones. Ante una operación no autorizada, el banco no puede limitarse a afirmar que se utilizaron correctamente las claves o que el cliente facilitó un código recibido por SMS.

La entidad debe reembolsar primero los fondos. Si posteriormente considera que hubo negligencia grave, tendrá que demostrarla y ejercitar la reclamación correspondiente. Este sistema evita que la víctima quede privada del dinero mientras se discute una responsabilidad que todavía no ha sido acreditada.

La aplicación del criterio a reclamaciones anteriores deberá analizarse individualmente. Será necesario comprobar, entre otras cuestiones, cuándo ocurrió la operación, cuándo fue comunicada, si existe una reclamación previa, si la acción continúa vigente y si ha recaído una resolución firme. No puede afirmarse de forma general que todas las reclamaciones rechazadas deban reabrirse automáticamente.

En caso de sufrir una operación fraudulenta, es conveniente comunicarla inmediatamente al banco por un canal oficial, bloquear los accesos afectados y presentar una reclamación escrita. También resulta aconsejable conservar los mensajes, correos electrónicos, capturas de pantalla, registros de llamadas, justificantes de las operaciones y comunicaciones mantenidas con la entidad. La denuncia policial puede ser relevante, pero no sustituye la reclamación dirigida al proveedor de servicios de pago.

Conclusión
La sentencia del TJUE refuerza la protección de los usuarios frente a las operaciones de pago no autorizadas. Su principal efecto consiste en impedir que la invocación de una supuesta negligencia grave retrase automáticamente la devolución del dinero.

La responsabilidad final del cliente podrá discutirse con posterioridad y dependerá de las circunstancias del caso. Sin embargo, deberá ser la entidad bancaria quien pruebe la conducta imputada y reclame, si procede, las cantidades reembolsadas. Ante una negativa de devolución o una reclamación anterior no resuelta, resulta aconsejable revisar la documentación y valorar jurídicamente las posibilidades de reclamación.

Enlace a la sentencia