Durante años, numerosas víctimas de estafas bancarias se han encontrado con una segunda desgracia después de perder sus ahorros: la negativa de su banco a devolverles el dinero, argumentando que habían facilitado sus contraseñas, aceptado un mensaje fraudulento o incumplido sus obligaciones de seguridad. La responsabilidad terminaba desplazándose hacia el ciudadano, mientras la entidad financiera se consideraba liberada de asumir las consecuencias del fraude.
Una sentencia del Tribunal de Justicia de la Unión Europea, dictada el 15 de octubre de 2026, cuestiona esa práctica y establece una obligación que puede modificar significativamente la forma en que los bancos gestionan las reclamaciones. Ante una operación de pago no autorizada, la entidad deberá devolver inmediatamente el dinero, como máximo al finalizar el siguiente día hábil desde que tenga conocimiento de los hechos, salvo las excepciones legales expresamente previstas.
El pronunciamiento no convierte a los bancos en responsables definitivos de cualquier estafa ni garantiza el reembolso de todos los engaños digitales, pero introduce una distinción decisiva: una cosa es devolver inicialmente el dinero y otra determinar posteriormente quién debe soportar las pérdidas.
Un engaño de 700 euros que puede cambiar miles de reclamaciones
El origen de la resolución se encuentra en Polonia, donde una mujer puso a la venta un artículo a través de una plataforma digital y recibió el contacto de un supuesto comprador. El estafador le remitió un enlace que simulaba dirigirla a una página legítima, pero que terminó llevándola a una falsificación de la web de su banco.
La mujer introdujo sus credenciales de acceso y el delincuente las utilizó para realizar una transferencia de aproximadamente 700 euros a otra cuenta.
Cuando la víctima comunicó lo ocurrido, al día siguiente, su banco rechazó la devolución porque consideraba que había actuado con negligencia grave al facilitar información personal.
El asunto terminó ante la Justicia europea, que ha aclarado cómo deben interpretarse los artículos 73 y 74 de la Directiva de Servicios de Pago.
La sentencia, correspondiente al asunto C-70/25, establece que la sospecha de negligencia grave del usuario no permite al banco eludir su obligación inicial de reintegro. La entidad deberá devolver primero el dinero y, si posteriormente considera que el cliente incumplió gravemente sus obligaciones, podrá reclamar la recuperación de las pérdidas, siempre que demuestre esa conducta.
Existe una excepción: cuando el banco tenga motivos razonables para sospechar que el propio cliente ha cometido un fraude y comunique esos motivos por escrito a la autoridad competente.
En España, esa autoridad es el Banco de España.
La obligación existía desde 2018, pero ahora Europa aclara cómo aplicarla
La trascendencia de la sentencia no reside en la creación de un derecho completamente nuevo. El artículo 45 del Real Decreto-ley 19/2018 ya obligaba a las entidades financieras españolas a reembolsar sin demora las operaciones no autorizadas, estableciendo el mismo límite temporal del siguiente día hábil.
Sin embargo, los bancos han utilizado con frecuencia las disposiciones relativas a la responsabilidad del usuario para justificar su negativa inicial a devolver determinadas cantidades.
La Justicia europea aclara ahora que la posible negligencia grave debe analizarse separadamente de la obligación inmediata de restitución.
No significa que las entidades pierdan su derecho a defenderse, sino que no pueden convertir una acusación todavía no demostrada contra su cliente en motivo suficiente para retener el dinero desde el primer momento.
Además, corresponde al banco acreditar esa negligencia grave. La utilización de contraseñas correctas, códigos enviados al móvil o sistemas de autenticación reforzada no demuestra automáticamente que el titular consintiera la operación ni que actuara de forma gravemente negligente.
Esta interpretación refuerza una línea jurisprudencial que ya había encontrado respaldo en los tribunales españoles.
En abril de 2025, el Tribunal Supremo, mediante su sentencia 571/2025, examinó un fraude mediante duplicación de tarjeta SIM y recordó que las entidades tienen obligaciones activas de seguridad y prevención. En aquel caso, el banco no había reaccionado adecuadamente ante operaciones anómalas y advertencias previas del cliente.
El tribunal destacó que los sistemas de seguridad deben ser capaces de detectar comportamientos inusuales y que las advertencias genéricas no bastan para trasladar automáticamente toda la responsabilidad al usuario.
Más de 318 millones defraudados en España y 4.200 millones en Europa
Las cifras ayudan a comprender la dimensión económica del problema.
Según el informe conjunto del Banco Central Europeo y la Autoridad Bancaria Europea publicado en diciembre de 2025, las operaciones fraudulentas alcanzaron los 4.200 millones de euros durante 2024 en el conjunto del Espacio Económico Europeo, frente a los 3.500 millones registrados en 2023.
En España, el importe superó los 318 millones de euros, de los cuales aproximadamente 153 millones correspondieron a transferencias fraudulentas y 141 millones a operaciones con tarjetas. El resto se distribuyó principalmente entre retiradas de efectivo, domiciliaciones y dinero electrónico.
Las estadísticas revelan además una transformación de las modalidades de estafa. Los delincuentes ya no dependen exclusivamente del robo directo de tarjetas o contraseñas, sino que recurren cada vez más a la manipulación psicológica de las víctimas para obtener sus datos o conseguir que realicen determinadas operaciones.
La sofisticación de los engaños obliga a reconsiderar hasta dónde llega la responsabilidad de los bancos en la protección de los ahorros depositados por sus clientes.
Las entidades conocen los movimientos habituales de las cuentas, disponen de sistemas automatizados y cuentan con herramientas para detectar operaciones especialmente sospechosas. Su obligación de seguridad no puede reducirse a recomendar a los ciudadanos que tengan cuidado con los mensajes que reciben.
No todas las estafas quedan protegidas por la devolución inmediata
La sentencia también exige evitar una interpretación excesivamente amplia.
No es lo mismo que un delincuente utilice unas contraseñas robadas para ordenar una transferencia sin consentimiento del titular que conseguir que la propia víctima realice un envío de dinero después de engañarla.
En el primer supuesto, la protección reforzada del artículo 73 puede resultar directamente aplicable. En el segundo, cuando existe una orden de pago efectivamente autorizada por el cliente, aunque haya sido inducida mediante engaño, la situación jurídica es diferente y la devolución no queda automáticamente garantizada por esta sentencia.
Esta distinción será especialmente relevante ante estafas en las que los delincuentes se hacen pasar por empleados bancarios, familiares necesitados de ayuda o representantes de organismos oficiales.
La obligación de comprobar cada caso continuará siendo esencial y los afectados deberán acreditar los hechos mediante las pruebas disponibles.
¿Pueden recuperar su dinero quienes ya sufrieron una estafa?
La nueva interpretación del TJUE también puede tener consecuencias para reclamaciones anteriores, particularmente aquellas en las que los bancos rechazaron la devolución alegando negligencia grave.
Pero no supone que todos los procedimientos terminados puedan reabrirse automáticamente.
La legislación española establece que las operaciones no autorizadas deben comunicarse al banco sin demora injustificada y, con carácter general, dentro de los trece meses siguientes al cargo, salvo determinados supuestos en los que la entidad no haya proporcionado la información exigida.
Por otra parte, las acciones civiles pueden estar sujetas a plazos de prescripción que, con carácter general, son de cinco años para las acciones personales sin plazo especial, aunque su aplicación depende de las características del caso.
Es importante no confundir ambos plazos: disponer de una posible acción judicial no elimina automáticamente la obligación de haber comunicado a tiempo una operación no autorizada.
Quienes hayan sufrido un fraude deben informar inmediatamente a su entidad, solicitar el bloqueo de los instrumentos de pago comprometidos, reclamar formalmente la devolución y conservar mensajes, justificantes, movimientos bancarios y cualquier otra prueba del engaño.
Si el banco rechaza la reclamación o no responde en los quince días hábiles previstos para los servicios de pago, puede acudirse al Banco de España, sin perjuicio de las acciones judiciales correspondientes.
Los bancos tendrán que demostrar que sus sistemas también protegen al cliente
La sentencia europea llega cuando la banca insiste en que la prevención del fraude debe extenderse a las compañías telefónicas y a las grandes plataformas tecnológicas, utilizadas frecuentemente para suplantar identidades y captar víctimas.
La reclamación tiene una base razonable: muchas operaciones delictivas comienzan fuera de los sistemas financieros y necesitan respuestas coordinadas entre distintos sectores.
Sin embargo, esa necesidad de colaboración no elimina las responsabilidades que la legislación atribuye a quienes gestionan el dinero de los ciudadanos.
Las entidades financieras deberán revisar sus procedimientos de devolución, sus protocolos de prevención y los mecanismos con los que acreditan una eventual negligencia grave.
Algunas estimaciones difundidas por fuentes del sector sitúan el impacto potencial de las reclamaciones en España cerca de los 1.000 millones de euros, pero esa cantidad no constituye una obligación de pago verificada ni una previsión oficial, puesto que depende del número de expedientes admisibles, su cuantía y las responsabilidades finalmente acreditadas.
El efecto económico definitivo todavía es incierto.
Lo que sí ha quedado aclarado es el criterio jurídico: cuando se produce una operación no autorizada, el banco no puede utilizar sin más una acusación de negligencia grave para negar el reembolso inmediato.
La sentencia europea no elimina la responsabilidad de los ciudadanos sobre la seguridad de sus datos, pero impide que esa responsabilidad se convierta en una excusa automática para desentenderse del dinero sustraído.
En un sistema financiero cada vez más digitalizado, proteger los ahorros no puede depender únicamente de que una persona sea capaz de identificar todos los engaños diseñados por delincuentes especializados. También exige que las entidades que custodian esos fondos cumplan sus obligaciones de seguridad, restitución y prueba.
Añadir DiarioSabemos como fuente preferida de Google de forma gratuita
Mantente informado con las últimas noticias de actualidad.