(Cinco Días, 16-10-2026) | Mercantil, civil y administrativo
El Tribunal de Justicia de la Unión Europea (TJUE) ha aclarado las obligaciones de las entidades financieras cuando sus clientes son víctimas de fraudes bancarios. En una sentencia dictada el 15 de octubre de 2026, el tribunal establece que los bancos deben devolver de forma inmediata el dinero sustraído mediante operaciones no autorizadas, aunque consideren que el afectado ha actuado con negligencia grave. La resolución refuerza la protección de los usuarios de servicios financieros frente a las estafas digitales, especialmente aquellas relacionadas con la suplantación de identidad o phishing, una modalidad de fraude en la que los delincuentes consiguen acceder a información bancaria mediante páginas web, mensajes o comunicaciones falsas.
Según el TJUE, las entidades no pueden rechazar inicialmente el reintegro de las cantidades sustraídas basándose únicamente en que el cliente no protegió adecuadamente sus claves de acceso. La normativa europea sobre servicios de pago obliga a efectuar primero la devolución y permite investigar posteriormente las circunstancias en las que se produjo el fraude. En concreto, el banco debe restituir el importe de la operación no autorizada sin demora y, como máximo, al finalizar el siguiente día hábil desde que detecte la operación o reciba la correspondiente notificación, siempre que el usuario haya comunicado los hechos sin retrasos injustificados.
La única excepción que permite suspender este reembolso inmediato se produce cuando la entidad dispone de motivos razonables para sospechar que el propio cliente ha participado fraudulentamente en la operación. En ese supuesto, deberá trasladar por escrito sus sospechas a la autoridad nacional competente. El tribunal distingue así entre la obligación inicial de devolver el dinero y la responsabilidad definitiva por las pérdidas económicas ocasionadas. Una vez realizado el reintegro, la entidad financiera podrá reclamar al cliente las cantidades devueltas si consigue acreditar que este incumplió deliberadamente o por negligencia grave sus obligaciones de seguridad, especialmente las relacionadas con la protección de sus credenciales bancarias.
La carga de demostrar esa conducta corresponde al banco, que no puede considerar automáticamente que existe negligencia grave por el simple hecho de que el usuario haya facilitado información personal o haya sido engañado por los delincuentes. El pronunciamiento europeo tiene su origen en un litigio planteado ante la justicia polaca por una mujer que sufrió una estafa mientras intentaba vender un producto a través de una plataforma de comercio electrónico. Un supuesto comprador contactó con ella y le facilitó un enlace que aparentaba proceder de la propia plataforma para confirmar la compraventa. Al acceder, la víctima fue redirigida a una página que imitaba la de su banco, donde introdujo sus datos de acceso.
Los estafadores utilizaron posteriormente esa información para realizar una transferencia no autorizada de aproximadamente 700 euros a una cuenta bajo su control. La afectada comunicó lo sucedido a su entidad financiera al día siguiente. Sin embargo, el banco rechazó devolverle el dinero al considerar que había incumplido su deber de proteger las claves personales de seguridad. Ante esta negativa, el asunto llegó a los tribunales polacos, que solicitaron al TJUE una interpretación de la normativa europea para determinar si la posible negligencia grave del cliente permitía a la entidad eludir su obligación de reembolso inmediato.
La justicia europea ha concluido que esa circunstancia no justifica la negativa inicial del banco, aunque deja abierta la posibilidad de exigir posteriormente responsabilidades al usuario si se demuestra que actuó con negligencia grave o incumplió deliberadamente sus obligaciones. La sentencia tiene especial relevancia para España, donde las controversias sobre la responsabilidad de las entidades financieras en operaciones fraudulentas han dado lugar a numerosas reclamaciones judiciales.
La legislación española sobre servicios de pago ya contempla la devolución de las operaciones no autorizadas, aunque las entidades pueden invocar determinadas circunstancias para cuestionar su responsabilidad, entre ellas la negligencia grave del cliente o el retraso injustificado en la comunicación del fraude. En este ámbito, el Tribunal Supremo también se ha pronunciado sobre las obligaciones de seguridad de las entidades bancarias, especialmente en una sentencia de 9 de abril de 2025 relacionada con operaciones realizadas mediante suplantación de identidad.
La nueva interpretación del TJUE aporta mayor claridad sobre el procedimiento que deben seguir los bancos ante este tipo de reclamaciones, al establecer que la investigación de una posible negligencia del usuario no puede utilizarse, por sí sola, para retrasar la devolución inicial del dinero. El fallo también llega en un contexto de creciente preocupación por la ciberdelincuencia y por el aumento de las estafas realizadas a través de medios digitales. Según los datos del Ministerio del Interior correspondientes al primer semestre de 2026, la ciberdelincuencia representa el 20,2% del total de infracciones penales registradas en España. Dentro de esta categoría, las estafas informáticas concentran el 87,3% de los delitos.
Ante esta situación, las principales entidades financieras españolas han reforzado sus sistemas de detección y prevención del fraude, incorporando controles de seguridad y desarrollando campañas informativas destinadas a concienciar a los clientes sobre los riesgos asociados al uso de los servicios bancarios digitales.
En diciembre de 2025, el Ministerio de Economía, la Asociación Española de Banca (AEB) y CECA impulsaron la denominada Brigada Antifraude, una iniciativa de colaboración orientada a mejorar la prevención de los delitos financieros digitales y fortalecer la ciberseguridad.
La sentencia del TJUE supone un nuevo respaldo a los derechos de los usuarios que sufren operaciones bancarias no autorizadas, al establecer que las entidades financieras deben atender prioritariamente la devolución de los fondos y resolver posteriormente las posibles responsabilidades. No obstante, el pronunciamiento no implica que los clientes queden exentos de cumplir sus obligaciones de seguridad. Si el banco demuestra que existió una actuación deliberada o una negligencia grave que contribuyó a provocar las pérdidas, podrá reclamar su importe por las vías correspondientes. Con esta interpretación, el tribunal europeo busca garantizar una mayor protección de los consumidores y establecer un criterio común para las entidades financieras de los Estados miembros de la Unión Europea.