Una sentència recent del Tribunal de Justícia de la Unió Europea aclareix com han d’actuar les entitats bancàries davant d’una operació de pagament no autoritzada. El banc ha de retornar els diners de manera immediata i no pot retardar-ne el reemborsament al·legant que el client ha actuat amb negligència greu. Aquesta circumstància es podrà discutir posteriorment, però no impedeix la restitució inicial dels fons.

El cas que ha donat lloc a la sentència
La sentència va ser dictada pel Tribunal de Justícia de la Unió Europea el 15 d’octubre de 2026, en l’assumpte C-70/25, conegut com a *Tukowiecka*. El procediment es va iniciar arran d’una qüestió prejudicial plantejada per un tribunal polonès en un litigi entre una clienta i l’entitat bancària PKO BP S.A. L’afectada havia posat a la venda un objecte en una plataforma de comerç electrònic. Una persona que aparentava estar interessada a comprar-lo li va enviar un enllaç per confirmar l’operació. Aquest enllaç conduïa a una pàgina que imitava el web del seu banc.

La clienta va introduir les seves credencials bancàries en aquella pàgina. El defraudador va utilitzar la informació obtinguda per fer una transferència d’aproximadament 700 euros. La perjudicada va comunicar els fets al banc l’endemà, però l’entitat va rebutjar la devolució perquè considerava que havia actuat amb negligència greu en facilitar les seves dades de seguretat. Davant d’aquesta situació, el tribunal polonès va preguntar al TJUE si un proveïdor de serveis de pagament podia denegar el reemborsament immediat d’una operació no autoritzada quan considerés que el client havia incomplert greument les seves obligacions de seguretat.

La devolució immediata i la responsabilitat final són qüestions diferents
La principal aportació de la sentència consisteix a diferenciar dos moments jurídics.

En primer lloc, cal determinar si el banc està obligat a retornar immediatament l’import de l’operació no autoritzada. En segon lloc, es pot examinar qui ha d’assumir definitivament la pèrdua econòmica.

Segons el TJUE, la possible negligència greu del client no permet a l’entitat bancària suspendre la devolució inicial. El banc ha de reintegrar l’import de l’operació de pagament no autoritzada immediatament i, com a màxim, al final del dia hàbil següent a aquell en què n’hagi tingut coneixement o li hagi estat notificada.

Un cop efectuat el reemborsament, l’entitat podrà reclamar al client si considera que aquest ha incomplert deliberadament o per negligència greu les seves obligacions. Per fer-ho, haurà d’acreditar que la conducta de l’usuari ha estat la causa de la pèrdua.

La sentència no significa, per tant, que el client quedi exonerat de responsabilitat en tots els casos de *phishing*. Tampoc estableix que facilitar unes claus o un codi de confirmació no pugui constituir mai una negligència greu. El que impedeix és que el banc utilitzi aquest argument per retenir inicialment els diners i traslladar al perjudicat la càrrega d’iniciar un procés judicial per recuperar-los.

L’única excepció a la devolució immediata
L’article 73.1 de la Directiva (UE) 2015/2366, coneguda com a PSD2, preveu una excepció concreta. L’entitat pot ajornar la devolució si té motius raonables per sospitar que el mateix client ha comès un frau i comunica per escrit aquests motius a l’autoritat nacional competent. Aquesta excepció s’ha de distingir de la negligència greu. Una cosa és que l’usuari hagi estat descuidat a l’hora de protegir les seves credencials i una altra de ben diferent és que hagi participat fraudulentament en l’operació o estigui intentant obtenir una devolució indeguda.

Per tant, una sospita de negligència greu no és suficient per retenir els fons. La sentència interpreta conjuntament els articles 69, 73 i 74 de la Directiva i conclou que la controvèrsia sobre la responsabilitat definitiva s’ha de resoldre després del reemborsament.

El TJUE fonamenta aquesta conclusió en l’elevat nivell de protecció que persegueix la normativa europea. Si el banc pogués rebutjar inicialment el pagament, seria el consumidor qui hauria d’assumir els costos, el temps i els riscos d’una reclamació judicial. El Tribunal considera que aquesta conseqüència restaria eficàcia pràctica a l’obligació de devolució immediata.

Conseqüències per a les reclamacions per phishing
La sentència modifica de manera rellevant la posició pràctica des de la qual es tramiten aquestes reclamacions. Davant d’una operació no autoritzada, el banc no es pot limitar a afirmar que les claus s’han utilitzat correctament o que el client ha facilitat un codi rebut per SMS.

L’entitat ha de reemborsar primer els fons. Si posteriorment considera que hi ha hagut negligència greu, haurà de demostrar-ho i exercir la reclamació corresponent. Aquest sistema evita que la víctima es quedi sense els diners mentre es discuteix una responsabilitat que encara no ha estat acreditada.

L’aplicació d’aquest criteri a reclamacions anteriors s’haurà d’analitzar individualment. Caldrà comprovar, entre altres qüestions, quan va tenir lloc l’operació, quan va ser comunicada, si hi ha una reclamació prèvia, si l’acció continua vigent i si ja hi ha recaigut una resolució ferma. No es pot afirmar de manera general que totes les reclamacions rebutjades s’hagin de reobrir automàticament.

En cas de patir una operació fraudulenta, és convenient comunicar-la immediatament al banc a través d’un canal oficial, bloquejar els accessos afectats i presentar una reclamació per escrit. També és aconsellable conservar els missatges, correus electrònics, captures de pantalla, registres de trucades, justificants de les operacions i comunicacions mantingudes amb l’entitat. La denúncia policial pot ser rellevant, però no substitueix la reclamació adreçada al proveïdor de serveis de pagament.

Conclusió
La sentència del TJUE reforça la protecció dels usuaris davant de les operacions de pagament no autoritzades. El seu principal efecte consisteix a impedir que l’al·legació d’una suposada negligència greu retardi automàticament la devolució dels diners.

La responsabilitat final del client es podrà discutir posteriorment i dependrà de les circumstàncies de cada cas. Tanmateix, serà l’entitat bancària qui haurà de demostrar la conducta que li imputa i reclamar, si escau, les quantitats reemborsades. Davant d’una negativa a efectuar la devolució o d’una reclamació anterior que no s’hagi resolt, és aconsellable revisar la documentació i valorar jurídicament les possibilitats de reclamació.

Enllaç de la sentència