Rafael Fuentes Castro
Abogado. Área de Litigación.
La Sentencia del TJUE de 15 de octubre de 2026 (asunto C-70/25, Tukowiecka) separa con claridad el reembolso inmediato de una operación no autorizada de la eventual responsabilidad posterior del cliente.
El Tribunal de Justicia de la Unión Europea acaba de dictar una resolución de especial relevancia para las reclamaciones derivadas de fraudes bancarios y, en particular, para los cada vez más frecuentes supuestos de phishing.
La conclusión puede adelantarse desde el principio: ante una operación de pago no autorizada, el banco no puede negarse a devolver inmediatamente su importe por el mero hecho de considerar que el cliente actuó con negligencia grave.
Ahora bien, la sentencia no convierte en irrelevante la conducta del cliente. Lo que hace el TJUE —y ahí reside la verdadera importancia de la resolución— es separar dos planos jurídicos que no pueden confundirse: una cosa es la obligación inicial de reintegro y otra, distinta, determinar quién debe soportar definitivamente la pérdida.
Dicho de forma sencilla: primero se devuelve; después, en su caso, se discute la responsabilidad.
1. EL CASO: UNA VÍCTIMA DE PHISHING Y UNA TRANSFERENCIA NO AUTORIZADA
El litigio parte de un supuesto desgraciadamente habitual. Una cliente de un banco polaco estaba vendiendo un objeto a través de una plataforma digital. Un tercero, aparentando estar interesado en la compra, le remitió un enlace fraudulento que simulaba proceder de la propia plataforma.
La cliente accedió al enlace y fue redirigida a una página que reproducía fraudulentamente la web de su banco, donde introdujo sus credenciales de banca electrónica. Con esos datos, el tercero consiguió efectuar una transferencia no autorizada por un importe aproximado de 700 euros.
La cliente comunicó el fraude al día siguiente. La entidad se negó a devolver el dinero porque entendía que había sido la propia usuaria quien, con negligencia grave, había hecho posible la operación al no custodiar adecuadamente sus credenciales.
La cuestión prejudicial era, por tanto, muy concreta: ¿puede el banco negar desde el inicio el reembolso de una operación no autorizada porque considera gravemente negligente la conducta de su cliente?
El TJUE responde que no.
2. EL REEMBOLSO INMEDIATO ES LA REGLA
La Directiva (UE) 2015/2366, conocida como PSD2, establece un régimen específico para las operaciones de pago no autorizadas. Cuando el usuario comunica una operación de esta naturaleza, el proveedor de servicios de pago debe devolver su importe de inmediato y, en todo caso, a más tardar al final del día hábil siguiente.
La excepción es muy limitada: que existan motivos razonables para sospechar que el propio cliente ha cometido fraude y que esos motivos sean comunicados a la autoridad nacional competente.
Fuera de ese supuesto, el reintegro es obligatorio.
Y aquí aparece la precisión fundamental de la sentencia: que la entidad considere que el cliente actuó con negligencia grave —incluso por no haber protegido adecuadamente sus credenciales de seguridad— no le permite retener el dinero y rechazar el reembolso inmediato.
La entidad no puede, por tanto, convertir una valoración unilateral sobre la conducta de su cliente en una excepción que la Directiva no contempla.
3. PRIMERO SE DEVUELVE; DESPUÉS SE DISCUTE QUIÉN SOPORTA LA PÉRDIDA
Este es, a nuestro juicio, el verdadero núcleo de la resolución.
El TJUE distingue entre el derecho inicial del usuario a recuperar el importe de una operación que no ha autorizado y la cuestión posterior de quién debe soportar definitivamente el perjuicio económico.
La negligencia grave puede tener consecuencias. Si la entidad demuestra posteriormente que las pérdidas fueron consecuencia de un incumplimiento intencionado o gravemente negligente de las obligaciones del usuario, podrá reclamarle el correspondiente resarcimiento.
Pero no puede invertir el sistema y obligar al cliente a demandar para conseguir que se le devuelva un dinero que, conforme al régimen europeo, debe ser reintegrado inicialmente.
La diferencia no es menor. Admitir la tesis contraria permitiría que la mera invocación de la negligencia grave vaciase de contenido la obligación de reembolso inmediato y trasladaría a la víctima del fraude la carga económica y procesal de recuperar su dinero.
4. LA CARGA DE PROBAR LA NEGLIGENCIA GRAVE CORRESPONDE AL BANCO
La sentencia refuerza además una cuestión probatoria esencial: no corresponde al cliente demostrar que actuó diligentemente. Es la entidad quien debe acreditar la existencia de fraude o negligencia grave.
En España, el artículo 44 del Real Decreto-ley 19/2018 es claro. Cuando el usuario niega haber autorizado una operación, corresponde al proveedor demostrar que fue autenticada, registrada correctamente y contabilizada sin fallos técnicos.
Y, sobre todo, la utilización registrada de un instrumento de pago o de unas credenciales no basta, por sí sola, para demostrar que la operación fue autorizada ni que el cliente actuó con negligencia grave.
Autenticación y autorización no son conceptos equivalentes.
Que el sistema registre la introducción de una contraseña, la validación de un código o la superación de un mecanismo de autenticación reforzada no significa necesariamente que el cliente consintiera jurídicamente la operación que finalmente se ejecutó. Precisamente en muchos supuestos de phishing la eficacia del engaño consiste en conseguir que la víctima realice determinados actos creyendo que se encuentra ante una operativa legítima.
5. LA APLICACIÓN EN ESPAÑA: ARTS. 43 A 46 DEL REAL DECRETO-LEY 19/2018
La doctrina del TJUE encaja directamente con nuestro régimen interno.
El artículo 43 exige que el usuario comunique la operación no autorizada sin demora injustificada desde que tenga conocimiento de ella y, con carácter general, dentro del plazo máximo de trece meses desde el adeudo.
El artículo 45 obliga al proveedor de servicios de pago a devolver el importe de la operación no autorizada de inmediato y, como máximo, al final del día hábil siguiente. La excepción se limita a que existan motivos razonables para sospechar fraude del propio ordenante y se comuniquen por escrito al Banco de España.
Por su parte, el artículo 46 regula una cuestión diferente: los supuestos en los que el ordenante puede terminar soportando las pérdidas derivadas de operaciones no autorizadas.
La Sentencia Tukowiecka impide precisamente que se confundan ambos planos. La posible negligencia grave del cliente puede incidir en la atribución final del perjuicio, pero no elimina la obligación inicial de devolución.
6. ¿QUÉ CAMBIA EN LAS RECLAMACIONES POR PHISHING?
La trascendencia práctica es evidente.
En numerosas reclamaciones, la negativa bancaria se construye sobre un argumento casi automático: si el delincuente pudo superar determinados mecanismos de autenticación, necesariamente el cliente tuvo que facilitar datos, aceptar una notificación o pulsar un enlace y, por tanto, actuó con negligencia grave.
Tras la sentencia C-70/25, ese razonamiento no basta para justificar la negativa al reintegro inmediato.
El análisis debe ordenarse correctamente. Primero habrá que determinar si la operación fue autorizada. Si no lo fue, opera la obligación de devolución. Solo después podrá discutirse si la víctima incumplió deliberadamente o con negligencia grave sus obligaciones y si ese incumplimiento justifica que soporte finalmente la pérdida.
Y esa negligencia grave deberá probarse. No puede presumirse del mero hecho de que el fraude haya tenido éxito.
Por ello, en este tipo de procedimientos adquiere especial relevancia el análisis concreto del mecanismo de fraude: apariencia del mensaje o página utilizada, información mostrada al cliente, advertencias emitidas por la entidad, contenido de los SMS o notificaciones, funcionamiento de la autenticación reforzada y reacción del usuario una vez detectada la operación.
CONCLUSIÓN
La Sentencia del TJUE de 15 de octubre de 2026 supone un paso importante en la delimitación del régimen jurídico de las operaciones bancarias no autorizadas.
La idea central es sencilla: el banco no puede erigirse unilateralmente en juez de la conducta de su cliente para retener desde el primer momento el importe de una operación que este niega haber autorizado.
Ante una operación no autorizada, la regla es el reembolso inmediato.
Si posteriormente la entidad considera que el cliente actuó con negligencia grave, deberá acreditarlo y podrá reclamar, en su caso, que este soporte definitivamente las pérdidas. Pero son dos momentos jurídicos distintos y no pueden invertirse.
La doctrina establecida en el asunto C-70/25, Tukowiecka, será por ello una referencia obligada en las reclamaciones por phishing y otros fraudes bancarios, tanto para las entidades financieras como para nuestros tribunales.
REFERENCIAS
• TJUE, Sentencia de 15 de octubre de 2026, asunto C-70/25, Tukowiecka.
• Directiva (UE) 2015/2366 (PSD2), en particular arts. 73 y 74.
• Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago, arts. 43 a 46.
