Phishing: el banco debe devolver el dinero aunque alegue negligencia grave (TJUE, C‑70/25)

Por Sergio Baz Barrios, abogado · Actualizado el 23/10/2026

Respuesta directa: si le han vaciado la cuenta con phishing y no autorizó la operación, el banco tiene que devolverle el dinero de inmediato y, como máximo, al final del día hábil siguiente a aquel en que tenga conocimiento de ella. No puede negarse a hacerlo alegando que usted actuó con «negligencia grave». Así lo ha declarado el Tribunal de Justicia de la Unión Europea en su sentencia de 15 de octubre de 2026 (asunto C‑70/25). Si después la entidad considera que usted fue gravemente negligente, tendrá que probarlo y reclamarle el importe. Lo que no puede hacer es quedarse con el dinero mientras tanto.

Qué respondía hasta ahora el banco a quien sufría phishing

La escena se repite: llega un enlace que imita la web del banco, la víctima introduce sus claves o un código recibido por SMS y, al día siguiente, descubre una transferencia que no ha ordenado. Cuando reclama, recibe casi siempre la misma contestación: «usted facilitó sus credenciales, eso es negligencia grave y no le corresponde la devolución».

Con esa respuesta, muchas personas daban el asunto por perdido. Las que no lo hacían tenían que acudir a los tribunales para recuperar su dinero, con el coste y el tiempo que eso supone. El TJUE acaba de cuestionar ese modo de proceder.

El caso que ha resuelto el TJUE (asunto C‑70/25)

Una clienta de un banco polaco tenía un artículo a la venta en un portal de subastas por internet. Un supuesto comprador le envió un enlace para «confirmar la venta». La llevó a una página que imitaba la de su banco, donde introdujo sus datos de acceso. Con ellos y con un código de confirmación que obtuvo de ella mediante el engaño, el estafador se transfirió 3.000 eslotis, unos 705 euros.

Al día siguiente, la clienta avisó al banco y a la policía. El banco se negó a devolver el dinero porque consideraba que la clienta había incumplido, por negligencia grave, su deber de custodiar las claves. El juzgado de distrito de Koszalin (Polonia) preguntó al TJUE si eso era posible.

Qué ha dicho exactamente el Tribunal

El Tribunal responde que no. Un proveedor de servicios de pago no puede negarse a devolver de inmediato el importe de una operación no autorizada por entender que el cliente la hizo posible con una negligencia grave.

Solo hay una excepción a la devolución inmediata

La Directiva (UE) 2015/2366 (conocida como PSD2) solo permite al banco no devolver de inmediato en un supuesto: cuando tenga motivos razonables para sospechar que existe fraude y comunique esos motivos por escrito a la autoridad nacional competente. Sospechar que el cliente ha sido descuidado no es lo mismo que sospechar que ha cometido fraude. La sentencia deja claro que la negligencia grave, por sí sola, no permite retrasar la devolución.

Dos fases distintas: primero devolver y después, si procede, reclamar

La sentencia separa dos momentos:

1. Devolución inmediata (artículo 73 de la PSD2). El banco devuelve el importe y restituye la cuenta al estado en que estaría sin la operación, como tarde al final del día hábil siguiente.
2. Reparto de la responsabilidad (artículo 74 de la PSD2). Más adelante, si el banco considera que el cliente actuó con negligencia grave, puede reclamarle la pérdida por las vías legales. Le corresponde a él probar esa negligencia.

El Tribunal explica su criterio: si el banco pudiera retener el dinero alegando negligencia, sería el cliente, a menudo un consumidor, quien tendría que reclamar ante los tribunales y adelantar los costes. Esto es contrario al alto nivel de protección que persigue la Directiva.

Lo que la sentencia no dice

Conviene no exagerar su alcance. La sentencia no declara que facilitar las claves nunca sea negligencia grave, ni elimina la posibilidad de que el cliente tenga que asumir finalmente la pérdida. La negligencia grave sigue existiendo. Lo que cambia es el momento en que puede invocarse: deja de ser un motivo para no devolver y pasa a ser un argumento que el banco tendrá que defender y probar después.

Cómo se aplica en España

En España, la PSD2 se incorporó mediante el Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago. Su artículo 45 reproduce la regla de la Directiva: devolución inmediata y, como máximo, al final del día hábil siguiente, salvo que la entidad tenga motivos razonables para sospechar fraude y los comunique por escrito al Banco de España.

Además, otras normas españolas completan el régimen:

• El artículo 43 exige comunicar la operación no autorizada al banco sin demora injustificada y, en todo caso, en un plazo máximo de trece meses desde el cargo.
• El artículo 44 dispone que el mero registro de la operación no basta para demostrar que el cliente la autorizó ni que actuó con negligencia grave. Corresponde a la entidad probar el fraude o la negligencia grave.
• El artículo 46 regula cuándo el cliente soporta las pérdidas: hasta 50 euros con carácter general y en su totalidad en caso de fraude o negligencia grave. Si el banco no exigió la autenticación reforzada, el cliente solo responde si actuó de forma fraudulenta.

La PSD2 es, en este punto, una directiva de armonización plena, y las sentencias prejudiciales del TJUE vinculan a los jueces nacionales al interpretar la norma. Por ello, este criterio debe aplicarse también al artículo 45 del Real Decreto-ley 19/2018. Habrá que ver cómo lo aplican en la práctica las entidades, el Banco de España y los tribunales españoles.

Qué hacer si ha sufrido phishing

1. Avise al banco de inmediato por su canal oficial, bloquee tarjetas y accesos y pida justificante de la comunicación.
2. Presente denuncia en la Policía o la Guardia Civil y guarde el número de atestado.
3. Conserve todas las pruebas: SMS, correos, capturas de la página falsa, registro de llamadas y movimientos de la cuenta. No borre nada del teléfono.
4. Reclame por escrito la devolución al servicio de atención al cliente, citando el artículo 45 del Real Decreto-ley 19/2018 y la sentencia del TJUE de 15 de octubre de 2026 (C‑70/25). El banco debe responder en un plazo de quince días hábiles, ampliable a un mes en situaciones excepcionales (artículo 69).
5. Si la respuesta es negativa o no llega, puede acudir al servicio de reclamaciones del Banco de España o a la vía judicial. Lo recomendable es que un abogado valore antes el caso.

Si quiere conocer con más detalle cómo funcionan estos fraudes y qué pruebas suelen ser relevantes, puede leer nuestra guía Phishing bancario: qué puede reclamar si le roban el dinero de su cuenta.

Preguntas frecuentes

¿En cuánto tiempo tiene que devolverme el dinero el banco?

De inmediato y, como máximo, al final del día hábil siguiente a aquel en que el banco detecte la operación no autorizada o usted se la notifique (artículo 45 del Real Decreto-ley 19/2018).

¿Puede el banco negarse a devolverlo porque di mis claves o un código SMS?

No, no puede usar eso para retrasar la devolución. Según el TJUE, la sospecha de negligencia grave no permite retener el dinero. Solo la sospecha razonable de fraude, comunicada por escrito al Banco de España, permite al banco no devolver de inmediato.

Si me devuelven el dinero, ¿pueden reclamármelo después?

Sí. Si el banco considera que actuó con negligencia grave, puede reclamarle la pérdida posteriormente, pero tendrá que probarlo. Cada caso depende de cómo se produjo el engaño y de las medidas de seguridad que aplicaba la entidad.

¿Tengo un plazo para avisar al banco?

Debe hacerlo sin demora injustificada en cuanto conozca la operación y, en todo caso, dentro de los trece meses siguientes al cargo (artículo 43 del Real Decreto-ley 19/2018). Cuanto antes avise, mejor.

¿La sentencia se aplica a casos anteriores a octubre de 2026?

Las sentencias del TJUE interpretan la norma tal y como debía aplicarse desde su entrada en vigor, por lo que en principio pueden invocarse en reclamaciones y procedimientos en curso. Cómo afecte a cada caso concreto debe analizarse individualmente.

Le ayudamos a reclamar

En Asesores Otefisa, nuestros abogados y abogadas revisan su caso y le explican con claridad si hay base para reclamar y cuál es la vía más adecuada. Cada caso es distinto y no podemos garantizar un resultado. Lo que sí le ofrecemos es una valoración honesta antes de que dé ningún paso.

Consulte a nuestro equipo jurídico o escríbanos desde la página de contacto. Estamos en C. Bohime, 8-10, Local, 28901 Getafe (Madrid).

Fuente: sentencia del Tribunal de Justicia (Sala Primera) de 15 de octubre de 2026, asunto C‑70/25, Tukowiecka (edición provisional publicada en EUR-Lex). Este artículo tiene carácter informativo y no sustituye al asesoramiento jurídico personalizado.