Un enlace falso y 700 euros sustraídos
El litigio se originó en Polonia, donde una mujer que vendía un artículo en una plataforma de compraventa por internet fue contactada por un supuesto comprador que le envió un enlace para confirmar la operación. El TJUE describe que la página de destino imitaba la de su entidad bancaria y que la víctima, convencida de estar en un entorno legítimo, introdujo sus credenciales de acceso a la banca electrónica.
Con esos datos y un código de confirmación obtenido por SMS, el estafador transfirió a su propia cuenta unos 3.000 eslotis, equivalentes a unos 700 euros. La afectada comunicó la operación a su banco y a la policía al día siguiente, pero PKO BP rechazó el reembolso al considerar que la clienta había incurrido en negligencia grave.
La cuestión prejudicial del tribunal de Koszalin
El Sąd Rejonowy w Koszalinie (Tribunal de Distrito de Koszalin) elevó al TJUE una cuestión prejudicial sobre la interpretación de los artículos 73 y 74 de la Directiva (UE) 2015/2366, de servicios de pago (PSD2), relativa a la responsabilidad del proveedor de servicios de pago y a la del ordenante, así como sobre el artículo 69, que regula las obligaciones del usuario. En esencia, se preguntaba si el banco puede negarse a la devolución inmediata alegando que el cliente facilitó la operación fraudulenta por negligencia grave.
La respuesta: devolver primero, discutir después
La sentencia, dictada por la Sala Primera el 15 de octubre de 2026 (ECLI:EU:C:2026:852), con el eslovaco Marko Bošnjak como juez ponente, separa con claridad dos cuestiones que, según recogen los comentarios especializados sobre el fallo, la práctica bancaria venía mezclando: la obligación de devolver inmediatamente el importe de una operación no autorizada y la cuestión distinta de quién debe soportar en último término la pérdida.
El Tribunal concluye que la entidad de pago debe devolver de inmediato el importe de una operación no autorizada por phishing aunque considere que el cliente incurrió en negligencia grave. La devolución es la regla general y solo admite la excepción de que el proveedor tenga motivos razonables para sospechar un fraude cometido por el propio titular y lo comunique por escrito a la autoridad nacional competente.
Plazo máximo y carga de la prueba
Según la doctrina fijada, cuando el cliente comunica sin demora una operación de pago no autorizada, el banco debe reembolsar el importe de inmediato y, como muy tarde, al finalizar el siguiente día hábil desde que tuvo conocimiento de ella. Si posteriormente la entidad quiere imputar al cliente las pérdidas derivadas de una negligencia grave, deberá demostrarlo en un procedimiento propio: la carga de acreditar esa conducta corresponde al proveedor de servicios de pago, no al usuario.
Sin cambios normativos en España
La sentencia no obliga a modificar la legislación española, puesto que la Directiva PSD2 fue incorporada al ordenamiento interno mediante el Real Decreto-ley 19/2018, de servicios de pago. Su artículo 45.1 ya establece que, en caso de operación de pago no autorizada, el proveedor devolverá a éste el importe de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación. El pronunciamiento de Luxemburgo refuerza, no obstante, la exigencia de que las entidades no condicionen ese reembolso a una valoración previa de la conducta del cliente, una práctica que, según los despachos que han comentado el fallo, numerosas entidades financieras venían aplicando para rechazar reclamaciones por ciberfraudes.
