¿Has sufrido una estafa por phishing y tu banco se niega a devolverte el dinero porque considera que actuaste con negligencia grave? Una sentencia del Tribunal de Justicia de la Unión Europea (TJUE), dictada el 15 de octubre de 2026 en el asunto C-70/25, Tukowiecka, aclara una cuestión importante: la entidad no puede denegar la devolución inmediata de una operación de pago no autorizada alegando, sin más, que el cliente actuó con negligencia grave.
La resolución distingue entre la obligación inicial de reembolsar el pago no autorizado y la posible responsabilidad posterior del usuario. Por eso, cada caso debe estudiarse atendiendo a cómo se produjo el fraude, qué operación se ejecutó y qué pruebas existen.
En resumen: qué establece el TJUE sobre el phishing y la devolución bancaria
- Devolución inmediata: como regla general, el proveedor de servicios de pago debe reembolsar una operación no autorizada inmediatamente y, como máximo, al final del siguiente día hábil desde que tiene conocimiento de ella o recibe la notificación.
- La negligencia grave no permite denegar automáticamente ese primer reembolso: el banco no puede basar la negativa inicial únicamente en que considera que el cliente incumplió sus obligaciones de seguridad.
- Posible responsabilidad posterior: la sentencia no significa que el usuario quede siempre exento de responsabilidad. En determinadas circunstancias, la entidad puede intentar exigirle el importe conforme a las reglas aplicables.
- La carga de la prueba importa: el uso registrado de una tarjeta o de un instrumento de pago, por sí solo, no demuestra necesariamente que la operación estuviera autorizada ni que el cliente actuara con negligencia grave.
- Hay que actuar pronto: las operaciones no autorizadas deben notificarse sin demora injustificada y, como regla general, dentro del plazo máximo de 13 meses desde la fecha del adeudo.
Tabla de contenidos
- Qué ha dicho el TJUE sobre el phishing
- Qué ocurrió en el caso Tukowiecka
- ¿Debe el banco devolver el dinero aunque alegue negligencia?
- Qué significa la negligencia grave y quién debe probarla
- Plazo para notificar una operación no autorizada
- Qué hacer si el banco rechaza la devolución
- Documentación que conviene conservar
- Cómo puede ayudarte Solvendi Abogados
- Fuentes
- Preguntas frecuentes
Qué ha dicho el TJUE sobre el phishing
En su sentencia de 15 de octubre de 2026, asunto C-70/25, Tukowiecka, el Tribunal de Justicia de la Unión Europea interpreta las reglas de la Directiva (UE) 2015/2366 sobre servicios de pago, conocida como PSD2, en relación con las operaciones no autorizadas.
La cuestión central es si el banco puede negarse a realizar el reembolso inmediato previsto en la normativa porque considera que el usuario hizo posible el fraude al incumplir sus obligaciones de seguridad con negligencia grave. El TJUE señala que esa alegación no permite, por sí sola, rechazar el reembolso inicial que corresponde por una operación no autorizada.
La sentencia también exige distinguir dos cuestiones que no son equivalentes: la obligación de reembolsar inicialmente la operación y la eventual responsabilidad final del cliente, que deberá analizarse conforme a las condiciones y reglas legales aplicables.
Qué ocurrió en el caso Tukowiecka
El asunto se originó después de que una usuaria fuera víctima de una técnica de phishing vinculada a una supuesta operación en una plataforma de compraventa online. La víctima recibió un enlace fraudulento, introdujo sus credenciales y facilitó un código recibido por SMS. Posteriormente se realizó una transferencia de 3.000 eslotis polacos (PLN), equivalentes aproximadamente a 705 euros.
La entidad bancaria rechazó devolver el dinero al considerar que la clienta había actuado con negligencia grave. El litigio llegó al TJUE para aclarar cómo deben interpretarse las obligaciones de reembolso del proveedor de servicios de pago y las reglas sobre responsabilidad del usuario.
El pronunciamiento europeo no convierte automáticamente cualquier fraude online en un caso de devolución garantizada. Su alcance depende de que estemos ante una operación no autorizada y de las circunstancias concretas acreditadas en cada procedimiento.
¿Debe el banco devolver el dinero aunque alegue negligencia?
Según la interpretación realizada por el TJUE, el proveedor de servicios de pago debe reembolsar, como regla general, el importe de una operación no autorizada inmediatamente y, en todo caso, a más tardar al final del siguiente día hábil desde que advierte la operación o recibe la notificación del usuario.
La entidad no puede evitar esa obligación inicial alegando simplemente que el cliente incumplió sus obligaciones de seguridad con negligencia grave. La Directiva contempla una excepción cuando existen motivos razonables para sospechar que el propio usuario ha cometido fraude: en ese supuesto, el proveedor debe comunicar por escrito los motivos a la autoridad nacional pertinente, conforme a las condiciones legales aplicables.
Es importante no interpretar la sentencia como una obligación de devolución incondicional en cualquier situación. La calificación de la operación como autorizada o no autorizada, la existencia de indicios de fraude del propio usuario y las posibles acciones posteriores de la entidad pueden resultar determinantes.
Qué significa la negligencia grave y quién debe probarla
La negligencia grave se refiere a un incumplimiento especialmente relevante de las obligaciones de cuidado y seguridad exigibles al usuario. No debe presumirse automáticamente por el mero hecho de que el fraude haya tenido éxito o de que el usuario haya utilizado sus credenciales o un código de verificación.
La normativa establece reglas probatorias específicas. Que el banco registre el uso de un instrumento de pago no basta necesariamente, por sí solo, para demostrar que el titular autorizó la operación o que actuó fraudulentamente o con negligencia grave. El proveedor de servicios de pago debe aportar los elementos que le corresponden para acreditar esos extremos.
Además, aunque la obligación inicial de reembolso y la responsabilidad final sean cuestiones diferentes, la entidad podría intentar reclamar posteriormente al usuario en los supuestos permitidos por la normativa. Por ello, conviene analizar las pruebas y las comunicaciones del banco antes de concluir cuál será el resultado final.
Plazo para notificar una operación no autorizada
Si detectas una transferencia, un cargo o un pago que no has autorizado, debes comunicarlo al banco sin demora injustificada. La Directiva (UE) 2015/2366 establece, como regla general, un plazo máximo de 13 meses desde la fecha del adeudo para notificar la operación no autorizada, sujeto a las condiciones previstas en la propia normativa.
No es recomendable esperar a reunir toda la documentación antes de avisar. Comunica el incidente por un canal que deje constancia, solicita el bloqueo de los instrumentos comprometidos cuando proceda y guarda el número de incidencia o el justificante de la reclamación.
Qué hacer si el banco rechaza la devolución
Si la entidad se niega a devolverte el dinero alegando que facilitaste tus datos o que actuaste con negligencia, puedes seguir estos pasos:
- Comunica la operación cuanto antes. Informa al banco de que no reconoces o no autorizaste el pago y pide que registre formalmente la incidencia.
- Protege tus cuentas. Cambia las credenciales comprometidas y solicita el bloqueo o la sustitución de tarjetas, claves o instrumentos de pago cuando sea necesario.
- Presenta una reclamación por escrito. Identifica las operaciones discutidas, sus importes y fechas, y solicita el reembolso conforme a la normativa de servicios de pago.
- Pide una respuesta motivada. Si el banco rechaza la solicitud, conserva su contestación y la explicación concreta en la que basa la negativa.
- Valora las vías de reclamación disponibles. Según el caso, puede ser pertinente acudir al servicio de atención al cliente de la entidad, al organismo supervisor competente o a la vía judicial, previa valoración jurídica.
- Consulta con un profesional. Un análisis de la operación, las pruebas y la respuesta del banco puede ayudar a determinar la estrategia más adecuada.
Documentación que conviene conservar
Para estudiar una posible reclamación, resulta útil reunir la documentación disponible sobre el fraude y la respuesta de la entidad:
- Extractos bancarios en los que aparezcan los cargos o transferencias discutidos.
- Fecha, importe, destinatario y datos de la operación, si constan.
- Mensajes SMS, correos electrónicos, conversaciones y enlaces relacionados con el engaño.
- Capturas de pantalla de la web o plataforma fraudulenta, si las conservas.
- Justificante de la comunicación al banco y número de incidencia.
- Reclamación presentada y respuesta escrita de la entidad.
- Denuncia policial, si se ha interpuesto.
No borres mensajes ni enlaces relevantes antes de conservar una copia. Evita también compartir contraseñas, códigos de un solo uso o datos bancarios completos por canales no seguros.
Cómo puede ayudarte Solvendi Abogados
En Solvendi Abogados podemos estudiar la documentación relacionada con una posible operación de pago no autorizada y valorar las opciones de reclamación frente a la entidad bancaria.
- Revisión del caso: análisis de los movimientos bancarios, de cómo se produjo el fraude y de la respuesta del banco.
- Estudio de la reclamación: valoración de la normativa aplicable y de las pruebas disponibles.
- Orientación sobre los siguientes pasos: explicación de las vías que podrían resultar adecuadas en función de las circunstancias concretas.
La viabilidad y el resultado de una reclamación dependen de las circunstancias de cada caso. El análisis previo permite valorar la situación sin dar por garantizada la recuperación del dinero.
Consulta nuestras áreas de práctica o contacta con el despacho para explicar lo ocurrido.
Fuentes
- Tribunal de Justicia de la Unión Europea, sentencia de 15 de octubre de 2026, asunto C-70/25, Tukowiecka.
- Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, sobre servicios de pago en el mercado interior (PSD2), en particular las disposiciones relativas a operaciones no autorizadas, obligaciones del usuario y responsabilidad del proveedor.
Preguntas frecuentes
Si me han estafado por phishing, ¿el banco tiene que devolverme el dinero?
Si se trata de una operación de pago no autorizada, la normativa prevé, como regla general, el reembolso inmediato. Sin embargo, hay que analizar las circunstancias, la naturaleza de la operación y las excepciones legales aplicables. No todos los pagos realizados después de un engaño se califican automáticamente como operaciones no autorizadas.
¿Puede el banco negarse a devolver el dinero por negligencia grave?
La sentencia del TJUE indica que la entidad no puede rechazar el reembolso inicial de una operación no autorizada únicamente porque considere que el usuario actuó con negligencia grave. La posible responsabilidad posterior del cliente es una cuestión distinta y debe examinarse conforme a la normativa aplicable.
¿Qué plazo tengo para comunicar el fraude al banco?
Debes notificar la operación sin demora injustificada. Como regla general, la Directiva establece un límite máximo de 13 meses desde la fecha del adeudo, sujeto a sus condiciones. Lo más prudente es avisar a la entidad en cuanto detectes el movimiento.
Si he introducido un código SMS, ¿pierdo el derecho a reclamar?
No puede concluirse automáticamente que pierdas el derecho a reclamar por haber introducido un código. Es necesario analizar qué autorizaba ese código, qué información se mostró, cómo se produjo el engaño y si la operación puede considerarse autorizada conforme a las circunstancias y a la normativa aplicable.
¿La sentencia garantiza que recuperaré todo el dinero?
No. La resolución aclara la interpretación de determinadas obligaciones de reembolso, pero no garantiza el resultado de todos los casos de phishing. La respuesta depende de los hechos, las pruebas y las reglas jurídicas aplicables a la operación concreta.
¿Qué hago si el banco ya ha rechazado mi reclamación?
Conserva la respuesta escrita de la entidad, los justificantes de la operación y todas las pruebas del fraude. Con esa documentación puede valorarse si procede insistir en la reclamación, acudir a otra vía disponible o estudiar una acción judicial.
Contenido informativo general. La aplicación de la normativa depende de las circunstancias de cada caso y debe ser revisada por un profesional antes de adoptar decisiones legales.
