El TJUE obliga a devolver de inmediato el dinero sustraído por phishing, aunque el banco alegue negligencia grave del cliente

El Tribunal de Justicia de la Unión Europea ha resuelto una cuestión que afecta a miles de reclamaciones bancarias al año en Europa: cuando un cliente sufre una operación de pago no autorizada tras caer en un fraude de phishing, el banco no puede negarse a devolver el dinero alegando que el cliente actuó con negligencia grave. La sentencia del asunto C-70/25 (Tukowiecka), dictada el 15 de octubre de 2026, interpreta la Directiva (UE) 2015/2366 de servicios de pago (DSP2) y fija una regla clara: primero se devuelve el importe y solo después se discute quién asume la pérdida.

Los hechos: un enlace fraudulento y 700 euros sustraídos

El caso parte de una clienta de un banco polaco que puso un objeto a la venta en una plataforma en línea. Un tercero, fingiendo interés en la compra, le envió un enlace que aparentaba proceder de la plataforma y que conducía a un sitio que imitaba al de su banco. La clienta introdujo allí sus claves de banca electrónica y el estafador transfirió un importe equivalente a unos 700 euros a su propia cuenta. Al día siguiente, la clienta notificó la operación a su banco, que se negó a reintegrarla: a su juicio, ella había hecho posible el fraude al incumplir gravemente su deber de proteger sus credenciales de seguridad personalizadas.

El tribunal polaco planteó al TJUE la cuestión prejudicial: ¿obliga el Derecho de la Unión al proveedor de servicios de pago a devolver inmediatamente el importe aunque considere que hubo negligencia grave del cliente? La respuesta del Tribunal de Justicia es afirmativa.

Devolver primero, discutir después

La sentencia articula dos planos que la práctica bancaria tendía a fundir. El primero es la obligación de devolución inmediata del artículo 73.1 de la Directiva: ante una operación no autorizada notificada sin demora injustificada, el proveedor debe reintegrar el importe a más tardar al final del día hábil siguiente. La única excepción prevista es que existan motivos razonables para sospechar un fraude cometido por el propio cliente, comunicados por escrito a la autoridad nacional competente. La alegación de negligencia grave del cliente no está entre las causas que permiten rehusar la devolución.

El segundo plano es la atribución final de la pérdida. Conforme al artículo 74 de la Directiva, el usuario puede llegar a soportar las pérdidas si actuó fraudulentamente o incumplió, deliberadamente o por negligencia grave, sus obligaciones de seguridad. Pero esa discusión se produce a posteriori: el proveedor devuelve el importe y, si lo estima procedente, reclama al cliente el reembolso, soportando la carga de probar la negligencia grave. El artículo 72 refuerza ese esquema probatorio: corresponde al proveedor demostrar que la operación fue autenticada, registrada y contabilizada correctamente y que no se vio afectada por un fallo técnico.

El Tribunal justifica el resultado en el objetivo de elevada protección del consumidor: permitir al banco negar de entrada la devolución privaría de efecto útil a la obligación de reintegro inmediato y obligaría al cliente a litigar para recuperar su dinero, con los costes que ello conlleva.

Trasposición española: artículos 45 y 46 del Real Decreto-ley 19/2018

En España, la DSP2 se incorporó mediante el Real Decreto-ley 19/2018, de servicios de pago. Su artículo 45 recoge la obligación de devolución inmediata y su artículo 46 regula la responsabilidad del pagador, en términos paralelos a los artículos 73 y 74 de la Directiva. La doctrina Tukowiecka es, por tanto, directamente proyectable a las reclamaciones españolas por operaciones no autorizadas: despachos de consumo y bancario que tramiten estos expedientes cuentan ya con un argumento europeo contundente frente a la respuesta bancaria más frecuente, la presunta negligencia del cliente al facilitar sus claves.

Para el ejercicio diario, la sentencia sugiere ajustar los escritos de reclamación previa y las demandas: conviene separar expresamente el reintegro inmediato (que no admite excepción por negligencia) de la eventual responsabilidad final del usuario (que el banco debe probar), y documentar la fecha y hora de la notificación, porque el plazo del reintegro corre desde ella. Es un argumento que se suma al arsenal que ya repasamos en nuestra guía sobre el procedimiento abreviado contencioso-administrativo y en el análisis de la Ley Orgánica del Derecho de Defensa, y conecta con la protección de credenciales que tratamos en IA y secreto profesional.

Qué sigue

El asunto volverá al tribunal polaco, que deberá resolver el litigio concreto conforme a la interpretación fijada. Mientras tanto, la sentencia ya es vinculante para todos los órganos jurisdiccionales nacionales que conozcan de problemas similares, y previsiblemente se incorporará a la argumentación de las reclamaciones por phishing, smishing y spoofing bancario en toda la UE. Más análisis en la sección de actualidad jurídica.