El TJUE obliga a los bancos a devolver el dinero de un fraude aunque aleguen negligencia grave del cliente

El Tribunal de Justicia de la Unión Europea (TJUE) ha dictado una sentencia de gran trascendencia para las víctimas de fraudes bancarios. En la resolución del pasado 15 de octubre de 2026 (asunto C-70/25), el tribunal europeo establece que los bancos están obligados a devolver inmediatamente los importes sustraídos mediante operaciones no autorizadas, incluso cuando consideren que el cliente ha actuado con negligencia grave y ha facilitado involuntariamente la actuación de los delincuentes.

La sentencia pone límites a una práctica habitual de las entidades financieras: rechazar las reclamaciones de las víctimas de ciberestafas argumentando que han sido negligentes en la protección de sus datos personales o credenciales bancarias.

Primero devolver el dinero, después determinar responsabilidades

El origen del pronunciamiento es el caso de una ciudadana polaca que sufrió una estafa mediante phishing. Después de poner un objeto a la venta en una plataforma digital, un falso comprador le envió un enlace que simulaba dirigirla a la página web de su banco. La mujer introdujo sus credenciales y los delincuentes las utilizaron para transferir unos 700 euros de su cuenta.

A pesar de comunicar el fraude al día siguiente, la entidad bancaria se negó a devolverle el dinero alegando que había actuado con negligencia grave.

El TJUE considera que esta circunstancia no justifica la negativa. La Directiva europea 2015/2366 sobre servicios de pago establece que el importe de una operación no autorizada debe reembolsarse inmediatamente y, como máximo, antes de que finalice el día hábil siguiente al momento en que el banco detecta la operación o recibe la notificación, siempre que el cliente haya comunicado los hechos sin demora injustificada.

La única excepción a esta obligación inmediata se produce cuando existen motivos razonables para sospechar que es el propio titular de la cuenta quien ha cometido un fraude. En ese caso, la entidad debe comunicar estos indicios por escrito a la autoridad competente, que en España es el Banco de España.

La resolución establece una distinción fundamental: la obligación inicial de devolver el dinero es independiente de la determinación posterior de quién debe asumir definitivamente las pérdidas. Por tanto, si el banco considera que el cliente ha incumplido deliberadamente o por negligencia grave sus obligaciones de seguridad, podrá reclamarle posteriormente los importes devueltos, pero deberá demostrar esa responsabilidad.

No cualquier negligencia justifica responsabilizar a la víctima

Este es uno de los aspectos más importantes de la sentencia. El TJUE no define qué constituye una negligencia grave, pero confirma que corresponde a la entidad financiera acreditarla, sin que una simple alegación pueda justificar la negativa al reembolso.

En este sentido, la resolución europea refuerza el criterio que ya expusimos en Col·lectiu Ronda a raíz de una importante sentencia del Tribunal Supremo de 2025.

En aquel caso, el Supremo confirmó la responsabilidad de Ibercaja por la sustracción de más de 80.000 euros mediante 17 transferencias bancarias no autorizadas. El tribunal rechazó que pudiera atribuirse negligencia a la clienta sin pruebas y puso el acento en el deber de las entidades de disponer de mecanismos de seguridad capaces de detectar operaciones inusuales o potencialmente fraudulentas.

La jurisprudencia del Supremo recuerda que la responsabilidad de los bancos en la protección de los fondos de sus clientes es especialmente exigente y que no basta con acreditar que se han utilizado correctamente los mecanismos de autenticación para demostrar que una operación ha sido realmente autorizada.

Así, haber sido víctima de un engaño, incluso cuando ello implica facilitar credenciales personales, no permite concluir automáticamente que se ha producido una negligencia grave. Es necesario valorar las circunstancias concretas y aportar pruebas suficientes de una conducta especialmente negligente.

Un pronunciamiento que refuerza los derechos de las víctimas de ciberfraudes

La sentencia del TJUE no introduce una nueva obligación de reembolso, ya prevista en la normativa europea y en la legislación española, sino que aclara su aplicación e impide que los bancos puedan eludirla mediante una atribución unilateral de responsabilidad al cliente.

El pronunciamiento tiene especial relevancia porque, hasta ahora, muchas personas afectadas por fraudes bancarios se veían obligadas a iniciar reclamaciones y procedimientos judiciales para recuperar un dinero que la normativa ya exigía devolver inmediatamente.

Con esta resolución, el TJUE refuerza la protección de las personas usuarias de los servicios bancarios y deja claro que la sospecha de negligencia grave no puede servir para trasladar a la víctima la carga inicial de reclamar judicialmente el dinero sustraído.

Ante una operación no autorizada, sigue siendo esencial comunicar los hechos al banco lo antes posible, conservar la documentación del fraude y exigir formalmente el reembolso. Una reclamación que las entidades no pueden rechazar simplemente culpabilizando a quien ha sufrido la estafa.