El banco no puede negarse a devolver el importe de una operación no autorizada alegando que su cliente fue gravemente negligente. Así lo ha establecido el Tribunal de Justicia de la Unión Europea en su sentencia de 15 de octubre de 2026, asunto C‑70/25: primero se devuelve, y sólo después, la entidad puede reclamar al cliente si prueba esa negligencia.
Para quien ha sido víctima de phishing, smishing o una suplantación de su banco, el cambio es copernicano. La discusión sobre la conducta del cliente no desaparece, pero deja de ser una razón para retener el dinero.
El caso concreto: un falso comprador y una web clonada
La demandante, clienta de un banco polaco, había anunciado un artículo en una plataforma de subastas en línea. Un supuesto comprador le envió un enlace para «confirmar la venta» que la llevó a una página que suplantaba a la de su banco.
Allí introdujo sus datos de acceso a la banca en línea. Con ellos, y con un código de confirmación por SMS obtenido mediante el mismo engaño, el estafador transfirió 3.000 zlotys (unos 705 euros) a su propia cuenta.
Al día siguiente, la clienta avisó al banco y a la policía. La entidad se negó a devolver el importe porque consideró que había incumplido, por negligencia grave, su deber de custodiar las credenciales. Ella demandó, y el Tribunal de Distrito de Koszalin planteó la cuestión prejudicial.
La única excepción es la sospecha de fraude del propio cliente
El artículo 73.1 de la Directiva (UE) 2015/2366 (PSD2) obliga al proveedor de servicios de pago a devolver el importe de una operación no autorizada de inmediato. En todo caso, antes del final del día hábil siguiente a aquél en que tenga conocimiento de ella o se le notifique.
La norma prevé una sola excepción: que la entidad tenga motivos razonables para sospechar fraude y los comunique por escrito a la autoridad nacional competente; en nuestro caso sería ante el Banco de España. El Tribunal subraya que no existe ninguna otra, y en particular ninguna basada en la negligencia grave del cliente.
La distinción no es banal. Sospechar fraude supone pensar que el propio cliente ha actuado de mala fe. Apreciar negligencia grave supone admitir que fue víctima del engaño, aunque se le reproche no haber protegido sus claves.
El Tribunal apoya esta lectura en el considerando 71 de la Directiva y en su génesis. La directiva anterior no contenía ninguna excepción, y la de sospecha de fraude se introdujo expresamente durante la tramitación de la PSD2, sin margen para que los Estados añadan otras.
Devolver primero, discutir después
La clave de la sentencia está en separar dos momentos. El artículo 73 impone la devolución inmediata; el artículo 74 regula, en una fase posterior, quién deber soportar finalmente la pérdida.
Si el cliente actuó con negligencia grave, el artículo 74.1 le obliga a asumir todas las pérdidas, sin el límite general de 50 euros. Pero esa consecuencia se hace valer después, y no como excusa para no reembolsar al consumidor. La secuencia queda de la siguiente manera:
1. El cliente comunica la operación no autorizada sin demora indebida, y como máximo dentro de los 13 meses siguientes al cargo.
2. El banco devuelve el importe antes del final del día hábil siguiente, salvo que sospeche fraude del cliente y lo comunique por escrito a la autoridad competente.
3. Si la entidad entiende que hubo negligencia grave, puede reclamar al cliente lo devuelto.
4. Para ganar esa reclamación, el banco debe probar la negligencia grave; el simple registro de la operación no basta.
En la práctica, la negligencia grave no desaparece, simplemente deja de ser un motivo para retener el dinero y pasa a ser, en su caso, el fundamento de una reclamación posterior que la entidad tendrá que sostener y acreditar.
¿Quién tiene que demandar a quién?
El efecto más relevante de la sentencia es de carácter procesal. Si el banco pudiera retener el dinero alegando negligencia grave, sería el cliente quien tendría que demandar, asumir los costes del proceso y rebatir una valoración hecha unilateralmente por la entidad.
El Tribunal considera que ese reparto es difícil de conciliar con el alto nivel de protección del consumidor que persigue la Directiva. El propio juzgado polaco había constatado que los bancos no demandaban a los clientes por negligencia grave, mientras que los clientes sí demandaban, y en gran número, a los bancos.
Hasta ahora, mientras se discutía la negligencia, el dinero quedaba en la entidad y era el cliente quien debía acudir a los tribunales.
Tras la sentencia, el dinero vuelve a la cuenta del cliente. Si la entidad quiere recuperarlo, es ella quien debe reclamar y probar la negligencia grave como fundamento de su pretensión.
La existencia de procedimientos extrajudiciales de reclamación no altera esta conclusión. Y conviene no perder de vista el reverso: si la entidad acredita la negligencia grave, podrá recuperar lo devuelto.
Queda una cuestión abierta en los procedimientos ya iniciados. No está claro si el banco podrá seguir oponiendo la negligencia grave como simple defensa, o si deberá hacerlo por vía de reconvención o en un proceso posterior. La sentencia no lo resuelve, y habrá que ver cómo lo interpretan los tribunales españoles.
En Palazón Abogados seguimos de cerca la aplicación de esta doctrina por los tribunales españoles. Si usted ha sufrido cualquier tipo de estafa, contáctenos: cada asunto requiere un análisis individualizado.
