La justicia europea ha aclarado las reglas sobre la responsabilidad que tienen los bancos frente a las ciberestafas. El Tribunal de Justicia de la Unión Europea (TJUE) ha dictado este jueves una sentencia en la que establece que las entidades financieras no pueden negarse a devolver el dinero sustraído mediante una operación no autorizada alegando que el cliente actuó con negligencia grave. El máximo tribunal europeo obliga a los proveedores de servicios de pago a reembolsar el importe defraudado y dejar para después que la demostración de que el cliente no protegió sus credenciales de seguridad y la reclamación de las pérdidas ocasionadas.

La sentencia señala que la decisión de los bancos de no devolver el dinero sustraído por actividades de suplantación de identidad, phishing (suplantación de identidad de una empresa o persona) y otros engaños, aferrándose a que el cliente actuó con negligencia grave es contrario a la directiva europea sobre servicios de pago, cuyo objetivo es “garantizar un elevado nivel de protección de los consumidores”.

El fallo resuelve que el banco debe devolver el importe de una operación no autorizada inmediatamente y, como máximo, al final del día hábil siguiente a aquel en el que haya tenido conocimiento de ella. Eso sí, siempre que el cliente haya comunicado el fraude sin demora injustificada. La única excepción contemplada por el TJUE para suspender el reembolso es cuando la entidad tenga motivos razonables para sospechar que el propio cliente ha cometido un fraude y comunica por escrito esas razones a la autoridad nacional competente.

En esta línea, señala el tribunal que la carga de probar una conducta negligente recae en las entidades financieras y que es una vez efectuado el reembolso cuando el banco podrá reclamar al cliente el importe perdido si demuestra que este incumplió deliberadamente las obligaciones que le corresponden.

El TJUE ha respondido así a la cuestión prejudicial elevada por un tribunal polaco, que analiza el caso de una víctima de un fraude mediante suplantación de identidad en la venta de un artículo en una plataforma de comercio electrónico. Un supuesto comprador le envió un enlace fraudulento que aparentaba proceder de esa página para confirmar la operación. La mujer accedió a una web que imitaba la de su entidad bancaria e introdujo sus credenciales de acceso. Con ellas, el estafador transfirió a su propia cuenta una cantidad equivalente a unos 700 euros. La clienta comunicó el fraude al banco al día siguiente, pero la entidad se negó a devolver el dinero al considerar que había incumplido su obligación de proteger las credenciales de seguridad.

Casos similares ocurren diariamente por todo el mundo y supone una de las principales controversias en las reclamaciones por fraude bancario. La reciente sentencia del TJUE, que interpreta el derecho europeo, es vinculante en todos los Estados miembros de la UE.

En España, La Ley de Servicios de Pago, vigente desde 2009, y la jurisprudencia del Tribunal Supremo, en especial la sentencia dictada el 9 de abril de 2025, obliga a los bancos a asumir la responsabilidad por las operaciones no autorizadas, derivadas de la suplantación de identidad. Sin embargo, la normativa plantea unas excepciones a las que la banca se agarra para no reintegrar los importes sustraídos, como es la negligencia grave del usuario o que este no haya comunicado el fraude en un plazo razonable de tiempo.

Las principales entidades bancarias españolas aseguran en sus informes anuales que han reforzado el control destinado a contener el fraude y lanzado campañas de sensibilización y de formación de sus empleados para prevenir esta lacra. En diciembre de 2025, las patronales bancarias, la Asociación Española de Banca (AEB) y la Ceca, que agrupa las antiguas cajas de ahorros, y el Ministerio de Economía crearon la ‘Brigada Antifraude’ para impulsar medidas efectivas de lucha contra el fraude digital y reforzar la ciberseguridad.

Según los últimos datos del Ministerio del Interior, la cibercriminalidad representa el 20,2% de la criminalidad registrada en el país durante el primer semestre de 2026. Y las estafas informáticas concentran, en el mismo periodo, el 87,3% de toda la delincuencia informática.

Redacció: Núria Morcillo

Enllaç: https://cincodias.elpais.com/companias/2026-10-15/la-justicia-europea-obliga-a-la-banca-a-devolver-el-dinero-de-las-ciberestafas-aunque-el-cliente-haya-sido-negligente.html

Font: CincoDías

Fotografia: DACHARLIE (C GETTY IMAGES)

Madrid, 15 d'octubre de 2026