La STJUE de 15 de octubre de 2026, asunto C-70/25, aborda una cuestión muy interesante que pone en relación dos obligaciones contempladas en la Directiva (UE) 2015/2366 (PSD2): la restitución del importe de una operación no autorizada y la eventual responsabilidad del ordenante por haber incumplido sus deberes de seguridad en la custodia de sus claves. El Tribunal diferencia ambos planos y rechaza que la entidad pueda supeditar el reembolso inicial a una valoración previa de la conducta del cliente.
El origen del litigio
El asunto trae causa de un fraude por phishing. Una consumidora recibió un enlace que aparentaba dirigirla a una plataforma de compraventa y, desde allí, accedió a una página que imitaba la de su entidad bancaria. Tras introducir sus credenciales, un tercero obtuvo también un código de confirmación enviado por SMS y realizó una transferencia desde la cuenta de la víctima. La clienta comunicó el fraude a la policía y al banco al día siguiente, pero la entidad denegó la restitución alegando negligencia grave en la custodia de las credenciales.
La controversia llegó a los tribunales y dio lugar a una cuestión prejudicial sobre la interpretación de los artículos 73.1 y 74.1 de la Directiva 2015/2366.
Dos planos jurídicos diferenciados
Conforme al artículo 73.1, una vez comunicada sin demora injustificada la operación no autorizada, el proveedor de servicios de pago debe devolver el importe de inmediato y, en todo caso, a más tardar al final del día hábil siguiente. La normativa contempla una excepción cuando existan motivos razonables para sospechar que el cliente ha cometido fraude, siempre que la entidad comunique esa sospecha por escrito a la autoridad nacional competente.
En cambio, el artículo 74.1 se refiere a quién debe soportar finalmente las pérdidas. El ordenante puede responder de ellas si actuó fraudulentamente o incumplió deliberadamente o por negligencia grave las obligaciones del artículo 69 de la Directiva, entre ellas la adopción de medidas razonables para proteger sus credenciales de seguridad personalizadas.
En España, el artículo 45.1 del Real Decreto-ley 19/2018 recoge asimismo la obligación de reembolso inmediato, con el límite temporal indicado.
Alcance de la sentencia
La resolución impide utilizar la alegación de la negligencia grave del usuario como fundamento para denegar o retrasar el reembolso inicial. La determinación de si el cliente incumplió sus deberes de seguridad pertenece al análisis de la responsabilidad definitiva, no al cumplimiento preliminar de la obligación de restitución.
Esto no supone que la conducta del usuario resulte irrelevante ni que quede excluida su responsabilidad. Si la entidad considera que concurren fraude o negligencia grave, podrá plantear posteriormente la reclamación correspondiente, pero deberá acreditar los hechos en que la sustenta. La carga de probar el incumplimiento alegado corresponde al proveedor de servicios de pago.
Consecuencias prácticas
Para las entidades bancarias, la sentencia exige separar operativamente la gestión del reembolso de la investigación sobre la conducta del cliente: la mera invocación de una falta de diligencia no basta para paralizar la restitución.
Para los usuarios, se mantiene la importancia de comunicar el incidente sin demora indebida y de preservar la información disponible sobre la operación y el fraude.
En suma, el pronunciamiento ordena temporalmente las consecuencias jurídicas: primero, el reembolso en los términos previstos para las operaciones no autorizadas; después, si la entidad lo reclama, el examen y la prueba de la eventual responsabilidad del ordenante.
En Ribón Abogados comprendemos la inquietud que surge al ser víctima de estas estafas. Ya sea por phishing u otros métodos fraudulentos, si tu dinero ha sido transferido sin tu consentimiento y la entidad bancaria no responde, estamos a tu disposición.
Contacta con nuestro equipo de expertos que, con más de 20 años de experiencia en la defensa de los derechos del consumidor, te acompañarán en cada paso para recuperar el capital defraudado.
Imagen de Mohamed Hassan en Pixabay.
