Fraude Bancario: el TJUE Refuerza la Protección Frente a Operaciones No Autorizadas
Los fraudes bancarios mediante técnicas de suplantación de identidad (phishing) plantean importantes interrogantes sobre la responsabilidad de las entidades financieras ante operaciones de pago no autorizadas. La controversia adquiere especial relevancia cuando el banco atribuye el fraude a una actuación gravemente negligente del usuario y utiliza este argumento para denegar el reembolso de las cantidades sustraídas.
Sobre esta cuestión se ha pronunciado el Tribunal de Justicia de la Unión Europea en su sentencia de 15 de octubre de 2026 (asunto C-70/25, Tukowiecka). El Tribunal aclara que la negligencia grave del cliente no permite a la entidad financiera eludir su obligación de reembolsar de forma inmediata una operación de pago no autorizada. Para ello, diferencia entre el deber inicial de devolución y la eventual responsabilidad del usuario por las pérdidas, precisando el alcance de las obligaciones de los proveedores de servicios de pago.
Marco jurídico: Responsabilidad Bancaria ante Operaciones de Pago No Autorizadas
La normativa europea y española establece un régimen específico de responsabilidad para las operaciones de pago no autorizadas. Como regla general, las entidades financieras deben devolver al usuario los importes cargados en su cuenta sin su consentimiento, sin perjuicio de los supuestos en los que la normativa permite atribuirle la responsabilidad por las pérdidas. Para determinar el alcance de esta obligación, resulta esencial distinguir entre el deber de reembolso de la entidad y la eventual responsabilidad del titular por su conducta.
En el ámbito europeo, esta materia se regula en la Directiva (UE) 2015/2366, sobre servicios de pago en el mercado interior (PSD2), especialmente en sus artículos 69 a 74. El artículo 69 establece las obligaciones del usuario, entre ellas utilizar el instrumento de pago conforme a las condiciones que regulan su emisión y utilización, adoptar las medidas razonables para proteger sus credenciales de seguridad personalizadas y comunicar sin demora indebida cualquier pérdida, sustracción, apropiación indebida o uso no autorizado del instrumento. A su vez, el artículo 71 exige que las operaciones no autorizadas se comuniquen al proveedor de servicios de pago tan pronto como el usuario tenga conocimiento de ellas y, en todo caso, dentro del plazo máximo de trece meses desde la fecha del adeudo, salvo las excepciones previstas legalmente.
Por su parte, el artículo 72 establece las reglas sobre la carga de la prueba. Corresponde al proveedor de servicios de pago acreditar que la operación fue autenticada, registrada correctamente y contabilizada, y que no se vio afectada por fallos técnicos u otras deficiencias. Además, cuando el usuario niega haber autorizado una operación, el mero registro de la utilización del instrumento de pago no basta necesariamente para demostrar su autorización ni que haya actuado fraudulentamente o con negligencia grave. En estos casos, la entidad debe aportar pruebas que acrediten la conducta que pretende imputarle.
En cuanto a las consecuencias de una operación no autorizada, el artículo 73 establece la obligación de reembolso inmediato. El proveedor de servicios de pago debe devolver el importe de la operación y restablecer la cuenta a la situación en la que se habría encontrado de no haberse ejecutado, como máximo, al final del día hábil siguiente a aquel en que haya observado o recibido la notificación. La única excepción prevista permite aplazar la devolución cuando el proveedor de servicios de pago tenga motivos razonables para sospechar la existencia de fraude y comunique esos motivos por escrito a la autoridad nacional competente.
Esta obligación de devolución, sin embargo, no determina necesariamente quién debe soportar las pérdidas de forma definitiva. El artículo 74 establece que el ordenante asumirá todas las pérdidas derivadas de operaciones no autorizadas cuando estas sean consecuencia de una actuación fraudulenta o del incumplimiento deliberado o por negligencia grave de una o varias de las obligaciones previstas en el artículo 69. Por tanto, la negligencia grave puede determinar la responsabilidad económica final del usuario, pero no constituye un motivo que permita a la entidad eludir su obligación inicial de reembolso.
En España, este régimen se incorpora al ordenamiento interno mediante el Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera. Sus artículos 43 a 46 regulan, respectivamente, la comunicación de las operaciones no autorizadas, la prueba de su autenticación y correcta ejecución, la obligación de reembolso y los supuestos en los que el usuario puede asumir las pérdidas. De este modo, la normativa nacional recoge la misma distinción que establece la Directiva PSD2 entre la obligación de devolución inmediata y la eventual responsabilidad del titular de la cuenta.
La Doctrina del TJUE: la Negligencia Grave no Justifica Denegar el Reembolso Inmediato
La sentencia del Tribunal de Justicia de la Unión Europea (asunto C-70/25, Tukowiecka), de 15 de octubre de 2026 , aborda una cuestión relevante en materia de fraude bancario: si una entidad financiera puede denegar el reembolso de una operación de pago no autorizada cuando considera que el propio usuario ha actuado con negligencia grave y ha facilitado su ejecución.
El litigio tiene su origen en un fraude de suplantación de identidad. La afectada, que estaba vendiendo un artículo a través de una plataforma de compraventa en línea, recibió un enlace fraudulento que la condujo a una página que imitaba la de su entidad bancaria. Allí introdujo sus credenciales de acceso y fue inducida a facilitar un código de confirmación recibido por SMS, lo que permitió a un tercero realizar una transferencia no autorizada de 3.000 eslotis polacos. Aunque comunicó lo sucedido al banco y a la policía al día siguiente, la entidad rechazó devolver el importe al considerar que había incurrido en negligencia grave al revelar sus datos de seguridad.
A raíz de esta controversia, el órgano jurisdiccional polaco planteó al TJUE si la entidad podía ampararse en la negligencia grave del usuario para eludir la obligación de reembolso inmediato establecida en el artículo 73 de la Directiva PSD2.
Para responder, el Tribunal distingue entre la obligación inicial de devolver los fondos y la eventual responsabilidad del usuario por las pérdidas. Mientras que el artículo 73 impone al proveedor de servicios de pago el deber de reembolsar de inmediato las operaciones no autorizadas, el artículo 74 contempla la posibilidad de que el ordenante asuma finalmente las consecuencias económicas cuando haya actuado fraudulentamente o incumplido deliberadamente o por negligencia grave sus obligaciones.
Sobre esta base, el TJUE concluye que la negligencia grave no constituye un motivo autónomo para denegar el reembolso inmediato. La excepción prevista en el artículo 73 exige que existan motivos razonables para sospechar que el propio usuario ha cometido un fraude y que la entidad comunique esa sospecha por escrito a la autoridad nacional competente. No cabe, por tanto, equiparar la negligencia grave del cliente con el fraude ni ampliar los supuestos en los que puede dejarse de cumplir la obligación de devolución.
El Tribunal considera, además, que supeditar el reembolso a una valoración previa de la conducta del usuario desvirtuaría el sistema de protección establecido por la normativa europea. El cliente no debe verse obligado a acudir a los tribunales para obtener la devolución de los fondos mientras se resuelve si su comportamiento fue gravemente negligente. Esa cuestión pertenece al ámbito de la responsabilidad por las pérdidas y no puede convertirse en un obstáculo para el cumplimiento de la obligación inicial de reembolso.
Esto no significa que la conducta del usuario carezca de relevancia. El artículo 74 mantiene su eficacia y permite atribuirle las pérdidas cuando se demuestre que actuó fraudulentamente o incumplió deliberadamente o por negligencia grave las obligaciones que le corresponden. En consecuencia, una vez realizado el reembolso, la entidad podrá reclamar al usuario las cantidades que procedan si acredita que concurren los presupuestos legales para exigirle esa responsabilidad.
En relación con esta acreditación, el TJUE recuerda que la carga de la prueba corresponde al proveedor de servicios de pago, conforme al artículo 72 de la Directiva. El hecho de que la operación se haya autenticado mediante las credenciales o los mecanismos de seguridad del cliente no demuestra, por sí solo, que este la autorizara ni que actuara con negligencia grave. La entidad debe aportar pruebas que permitan acreditar que el usuario actuó fraudulentamente o incumplió sus obligaciones con dolo o negligencia grave.
De este modo, el Tribunal establece una distinción esencial: la negligencia grave puede determinar quién soporta finalmente las pérdidas, pero no justifica que la entidad financiera deniegue el reembolso inmediato de una operación no autorizada. La sentencia refuerza así la separación entre la obligación de restituir inicialmente los fondos y la posterior determinación de la responsabilidad económica del usuario.
Consecuencias Prácticas: Obligaciones de las Entidades Financieras y Protección de los Usuarios
La sentencia Tukowiecka establece un criterio relevante para la tramitación de las reclamaciones por operaciones de pago no autorizadas. Las entidades financieras no pueden denegar el reembolso inmediato por el mero hecho de que el usuario haya facilitado sus credenciales o haya incurrido en negligencia grave. Su obligación inicial de devolución debe cumplirse en los términos previstos por la normativa, sin perjuicio de que puedan exigir posteriormente al cliente la responsabilidad por las pérdidas si acreditan que concurren los requisitos legales para ello.
Desde la perspectiva de los usuarios, esta interpretación refuerza la protección frente a los fraudes basados en la suplantación de identidad y evita que se les trasladen automáticamente sus consecuencias económicas desde el primer momento. No obstante, siguen siendo fundamentales la comunicación de cualquier operación no autorizada sin demora indebida y la adopción de medidas razonables para proteger las credenciales de seguridad.
En definitiva, el TJUE recuerda que la obligación de reembolso inmediato y la eventual responsabilidad del usuario por las pérdidas operan en planos distintos. La entidad financiera no puede convertir la posible negligencia grave del cliente en un motivo para denegar la devolución inicial de los fondos, sin perjuicio de que pueda reclamar posteriormente las cantidades que correspondan si acredita los requisitos legales.
