(Cinco Días, 26-10-2026) | Mercantil, civil y administrativo
Las ciberestafas se han convertido en un nuevo foco de conflicto entre la banca española y sus clientes, después de las controversias por las participaciones preferentes, las cláusulas suelo y los gastos hipotecarios. La reciente sentencia del Tribunal de Justicia de la Unión Europea (TJUE), que aclara cómo deben actuar las entidades ante las operaciones de pago no autorizadas, ha abierto la puerta a nuevas reclamaciones y podría tener un importante impacto económico para el sector. Asociaciones como la Asociación de Usuarios Financieros (Asufin) y la Organización de Consumidores y Usuarios (OCU) ya han puesto en marcha iniciativas para reclamar la devolución del dinero. Mientras tanto, las quejas por fraude presentadas ante el Banco de España han aumentado este año y la patronal bancaria AEB sostiene que el fallo europeo apenas modifica la normativa española vigente.
La principal novedad de la resolución del tribunal con sede en Luxemburgo es que obliga a los bancos a reembolsar en un plazo de 24 horas el importe de las operaciones no autorizadas, sin que puedan aplazar la devolución alegando la posible negligencia del cliente. Los especialistas consultados aclaran que la sentencia no cambia el reparto de responsabilidades entre la entidad y el usuario, sino el orden en que deben abordarse. Hasta ahora, los bancos podían utilizar la conducta del cliente como argumento para retrasar o denegar el reintegro, una cuestión que, en caso de conflicto, puede acabar resolviéndose ante los tribunales. El cambio afecta, por tanto, a quién debe iniciar el procedimiento judicial para determinar las responsabilidades.
La abogada especializada en ciberfraude Vanesa Fernández considera que el elemento diferencial es el orden en el que se produce la devolución. A su juicio, las entidades tendrán que valorar si les resulta conveniente acudir a los tribunales para reclamar posteriormente el dinero y demostrar que el usuario incurrió en negligencia. La estrategia de los bancos también dependerá de la disposición de los afectados a emprender acciones judiciales. Por su parte, Diego Zapatero, abogado y socio responsable del área de phishing de Asoban Abogados, prevé un aumento de los litigios, ya que numerosos afectados cuyos expedientes estaban paralizados o habían sido rechazados por sus entidades han retomado las reclamaciones. A estos casos se suman los procedimientos de los últimos cinco años que todavía no hayan prescrito.
Desde la Asociación Española de Banca (AEB) defienden que la sentencia europea se refiere a operaciones realizadas sin autorización del cliente y confirma, en esencia, las obligaciones que ya recoge la legislación vigente. La patronal, que representa a entidades como Santander, BBVA y Sabadell, sostiene que la resolución no altera la responsabilidad de los usuarios que incumplan por negligencia sus obligaciones de proteger los datos y credenciales bancarios. En los supuestos en que se acredite una negligencia grave, considera que las pérdidas derivadas de las operaciones no autorizadas deberán ser asumidas por el cliente.
Sin embargo, Carol Rodríguez, directora de Regulación Financiera de finReg360, cree que la resolución refuerza la posición de los consumidores cuyas reclamaciones todavía no se han resuelto mediante una sentencia firme. Las entidades se enfrentan a una situación más compleja, dado que les corresponde demostrar que las operaciones fueron correctamente autenticadas y registradas y, cuando proceda, que existió fraude o negligencia grave por parte del usuario. La experta recuerda que el plazo general para reclamar judicialmente es de cinco años, sin perjuicio de los plazos específicos para comunicar las operaciones no autorizadas.
La normativa actual tiene, no obstante, un horizonte temporal limitado. Fuentes del sector financiero apuntan a que el marco cambiará previsiblemente en el verano de 2028, con la entrada en vigor de un nuevo reglamento europeo sobre servicios de pago. Según fuentes jurídicas, la propuesta de la Comisión Europea no reduce las garantías actuales ni contradice la sentencia del TJUE, sino que amplía su alcance al incluir el reembolso de determinados fraudes basados en la suplantación de empleados bancarios, que hasta ahora se consideran operaciones autorizadas. En el Reino Unido, la devolución del dinero en fraudes relacionados con pagos autorizados es obligatoria desde octubre de 2024, con un límite de 85.000 libras por caso, cerca de 100.000 euros.
Las asociaciones de consumidores ya están intensificando sus actuaciones. Patricia Suárez, presidenta de Asufin, sostiene que hasta ahora buena parte del coste de los ciberfraudes recaía sobre los ciudadanos. A su entender, las entidades financieras deben reforzar también sus exigencias de responsabilidad a las plataformas tecnológicas y las compañías de telecomunicaciones, cuyos servicios pueden intervenir en el desarrollo de estas estafas. La asociación prevé remitir requerimientos masivos a los bancos para reclamar el reintegro inicial del dinero en todos los expedientes que mantiene abiertos, tanto en la fase extrajudicial como en la judicial.
La OCU afirma que las entidades rechazan el 60% de las reclamaciones por fraude que recibe y que el argumento más habitual es la supuesta negligencia grave del cliente. Los datos del Banco Central Europeo (BCE) y de la Autoridad Bancaria Europea (EBA) reflejan la dimensión económica del problema. En España, las pérdidas por fraude bancario ascendieron a 318 millones de euros en 2024, de los que los usuarios asumieron cerca de dos tercios. En el conjunto de Europa, las pérdidas soportadas por los clientes alcanzaron los 2.500 millones de euros, frente a un volumen total de fraude de 4.200 millones.
Tanto Asufin como la OCU han solicitado que las entidades devuelvan el dinero de forma automática. La OCU ya planteó esta exigencia en marzo, después de conocerse las conclusiones del abogado general del TJUE sobre el caso, y ha reiterado su petición tras la publicación de la sentencia, reclamando el reembolso íntegro e inmediato de las cantidades sustraídas. La resolución también puede influir en la gestión de las quejas por parte de los servicios de atención al cliente de los bancos y en los criterios aplicados por el Banco de España. Según Rodríguez, los afectados podrán invocar el nuevo pronunciamiento europeo ante el servicio de reclamaciones del supervisor, lo que podría complicar la posición de las entidades financieras.
En su última memoria de reclamaciones, el Banco de España señala que corresponde a la entidad demostrar que una operación no autorizada fue correctamente autenticada y registrada. No obstante, contempla una excepción cuando el banco acredita que el usuario actuó de forma fraudulenta o incurrió en negligencia grave, argumento que las entidades han utilizado para rechazar reclamaciones. A la luz de la sentencia europea, se espera que el supervisor revise los criterios que aplica a este tipo de casos.