El Tribunal de Justicia de la Unión Europea (TJUE, Court of Justice of the European Union) refuerza de forma considerable los derechos de los clientes bancarios tras ataques de phishing. Mediante sentencia de 15 de octubre de 2026 (asunto C-70/25), ha aclarado que los bancos u otros proveedores de servicios de pago no pueden negarse a reembolsar operaciones de pago no autorizadas alegando que el cliente hizo posible el fraude por negligencia grave.
Para las personas afectadas, esto supone una mejora decisiva de su posición jurídica: en principio, el banco debe reembolsar primero. Si, en última instancia, el cliente debe asumir por sí mismo el perjuicio ocasionado es una cuestión distinta y separada.
Phishing a través de una página bancaria falsa
La resolución del TJUE en el asunto C-70/25 se basaba en un caso típico de phishing.
Una clienta de un banco polaco ofreció un artículo en venta en una plataforma de compraventa en línea. Un supuesto interesado en la compra le envió un enlace que daba la impresión de proceder de la plataforma de venta y de servir para confirmar la operación. En realidad, el enlace conducía a un sitio web fraudulento que imitaba la página de su banco.
La clienta introdujo en la página web fraudulenta sus credenciales de acceso a la banca en línea. A continuación, los estafadores pudieron utilizar esos datos para transferir dinero desde la cuenta de la clienta a una cuenta propia.
El banco deniega el reembolso
La clienta comunicó el incidente a su banco ya al día siguiente. Sin embargo, este denegó el reembolso alegando que la clienta había hecho posible la operación de pago no autorizada por negligencia grave, al no haber protegido suficientemente sus credenciales de seguridad personalizadas.
¿Podía el banco denegar el reembolso inmediato?
El órgano jurisdiccional polaco remitente quiso saber del TJUE si un proveedor de servicios de pago puede denegar el reembolso de una operación de pago no autorizada por ese motivo.
El TJUE lo negó. La negligencia grave del cliente no faculta al banco para denegar el reembolso que, con arreglo al Derecho de la Unión, se debe en principio de forma inmediata. La cuestión de quién debe soportar definitivamente la pérdida económica debe valorarse por separado.
El efecto de la resolución no se limita a Polonia, ya que el TJUE interpreta de forma vinculante para todos los Estados miembros la Directiva (UE) 2015/2366 sobre servicios de pago (PSD2, Payment Services Directive 2). En consecuencia, la sentencia también es relevante en Alemania.
Obligación de reembolso del banco
Conforme al art. 73, apdo. 1, de la Directiva (UE) 2015/2366 sobre servicios de pago, en caso de una operación de pago no autorizada, el proveedor de servicios de pago está obligado, en principio, a reembolsar de inmediato al ordenante el importe. El reembolso debe efectuarse, a más tardar, al final del día hábil siguiente a aquel en que se haya tenido conocimiento de la operación de pago o se haya notificado esta. Se aplica una excepción, en particular, cuando el proveedor de servicios de pago tenga motivos razonables para sospechar que el propio ordenante ha cometido un fraude y comunique dichos motivos por escrito a la autoridad nacional competente.
Negligencia grave
En cambio, el banco no puede denegar el reembolso únicamente porque reproche al cliente una infracción por negligencia grave de sus obligaciones derivadas del art. 69 de la Directiva.
Esta disposición obliga a los usuarios de servicios de pago, entre otras cosas, a proteger adecuadamente sus credenciales de seguridad personalizadas. El incumplimiento de estas obligaciones puede tener consecuencias en materia de responsabilidad. Sin embargo, no elimina la obligación previa de reembolso del proveedor de servicios de pago.
El TJUE separa dos cuestiones jurídicamente distintas
Con ello, el TJUE separa dos cuestiones jurídicamente distintas:
-
Obligación de reembolso: ¿Debe el banco devolver inicialmente el importe de la operación de pago no autorizada?
-
Asunción definitiva de la pérdida: ¿Puede el banco exigir posteriormente que el cliente restituya el importe reembolsado por una infracción dolosa o gravemente negligente de sus obligaciones?
La novedad decisiva reside en la separación vinculante de estos dos pasos de examen. El banco no puede rechazar sin más una pretensión de reembolso alegando que el cliente actuó con negligencia grave en el manejo de sus datos de acceso.
Consecuencias de la sentencia del TJUE para los clientes bancarios
En la práctica, los bancos suelen rechazar el reembolso tras ataques de phishing alegando que el cliente actuó con negligencia grave al facilitar datos de acceso, introducir un TAN en un sitio web falso o confirmar una transacción supuestamente legítima.
Según la sentencia del TJUE, esta argumentación no basta para denegar el reembolso inmediato.
Para los clientes bancarios afectados, esto reviste una importancia considerable. Incluso si existe la sospecha de una infracción por negligencia grave de las obligaciones, el banco debe cumplir primero su obligación de reembolso. No puede adelantar el examen de la distribución definitiva de la responsabilidad para impedir la devolución del dinero.
§ 675u BGB relevante
Para el Derecho alemán es especialmente relevante el § 675u BGB (German Civil Code). Según esta norma, en caso de una operación de pago no autorizada, el proveedor de servicios de pago está obligado, en principio, a reembolsar de inmediato el importe de pago y, en su caso, a restablecer la cuenta de pago cargada al estado en que se habría encontrado de no haberse efectuado el cargo.
El titular de la cuenta no queda excluido en principio de responsabilidad
La sentencia del TJUE no significa que, tras cualquier ataque de phishing, los clientes queden liberados definitivamente y en cualquier circunstancia de la responsabilidad económica.
El art. 74, apdo. 1, de la Directiva prevé, bajo determinados requisitos, la responsabilidad del ordenante por operaciones de pago no autorizadas cuando este haya incumplido determinadas obligaciones de forma dolosa o por negligencia grave.
Por ello, una vez efectuado el reembolso, el banco puede en principio intentar reclamar al cliente la pérdida sufrida. No obstante, para ello debe alegar y probar los requisitos de la correspondiente pretensión.
Responsabilidad del cliente bancario conforme al § 675v BGB
En el Derecho alemán debe tenerse en cuenta, en particular, el § 675v BGB (German Civil Code). La norma regula la responsabilidad del ordenante en caso de uso abusivo de un instrumento de pago y distingue, entre otros aspectos, según el grado de culpa.
De acuerdo con ello, puede considerarse una responsabilidad del ordenante por la totalidad del daño ocasionado si este hizo posible la operación de pago no autorizada con intención fraudulenta o incumplió sus obligaciones de forma dolosa o por negligencia grave. El TJUE aclaró que el proveedor de servicios de pago puede reclamar posteriormente al cliente el reembolso de las pérdidas atribuibles a su negligencia grave. Por tanto, el dinero inicialmente reembolsado puede volver a reclamarse mediante una acción de regreso, debiendo alegarse por separado los requisitos de dicha pretensión.
La reclamación de devolución constituye así un trámite propio y posterior en el tiempo: el banco debe reembolsar primero el perjuicio y solo después puede reclamar el importe por una vía separada. Para ello, debe demostrar al cliente una conducta indebida. La carga de la prueba del dolo o de la negligencia grave recae, por tanto, en este segundo paso sobre el banco, mientras que el cliente dispone entretanto del importe reembolsado.
Para la práctica, esto significa que la cuestión de si un cliente actuó realmente con negligencia grave sigue siendo relevante. Pero ya no decide si el banco puede denegar el reembolso inicialmente adeudado, sino que puede ser determinante para la posterior distribución del daño.
Examen necesario caso por caso
Siempre debe examinarse el supuesto concreto. No toda introducción de datos de acceso en un sitio web falso constituye automáticamente negligencia grave. Deben tenerse en cuenta, por ejemplo, el diseño de la presencia en Internet fraudulenta, la forma de contacto, posibles advertencias, la autorización concreta de la transacción y la posibilidad de reconocer el engaño.
Sentencia también interesante para casos antiguos de phishing
La sentencia también resulta interesante para clientes bancarios cuyas solicitudes de reembolso ya fueron rechazadas antes del 15 de octubre de 2026.
Quien haya recibido una denegación tras un ataque de phishing basada esencialmente en el reproche de negligencia grave debería hacer revisar si aún pueden ejercitarse pretensiones.
El TJUE no ordenó en su resolución ninguna limitación temporal de los efectos de la sentencia. Esto apunta, en principio, a que la interpretación del Derecho de la Unión también debe tenerse en cuenta en litigios aún abiertos.
No todos los casos pueden reabrirse
Sin embargo, de ello no se desprende que todos los casos concluidos puedan reabrirse automáticamente. Que sea posible formular de nuevo la reclamación depende, entre otras cosas, de la prescripción, de la firmeza de resoluciones judiciales, de eventuales acuerdos transaccionales y de las demás circunstancias del caso concreto.
En los casos antiguos debe comprobarse, por tanto, en particular, si la pretensión aún es exigible y qué medidas jurídicas se han adoptado ya.
Esto rige especialmente para casos antiguos de phishing que fueron rechazados únicamente con referencia a la negligencia grave, siempre que no hayan prescrito ni hayan sido resueltos mediante sentencia firme. Una nueva reclamación frente al proveedor de servicios de pago puede considerarse, en particular, cuando la denegación se basó exclusivamente en el reproche de culpa y la operación fue indiscutiblemente no autorizada.
Paso importante a favor de las víctimas de phishing
Con su sentencia de 15 de octubre de 2026 en el asunto C-70/25, el TJUE refuerza la posición de los clientes bancarios que han sido víctimas de operaciones de pago no autorizadas.
El mensaje central es: el banco no puede denegar el reembolso inmediato únicamente con el argumento de que el cliente hizo posible el fraude por negligencia grave.
Con ello se impide que el reembolso dependa de entrada de un examen de culpabilidad que a menudo es complejo y controvertido.
No obstante, la sentencia no significa que todo reembolso deba permanecer definitivamente en poder del cliente. Una infracción dolosa o gravemente negligente de las obligaciones puede seguir dando lugar a responsabilidad del cliente si se cumplen los requisitos legales. Sin embargo, esta cuestión debe examinarse separadamente de la obligación de reembolso inicialmente existente.
Valoración de MTR Legal
Los ataques digitales a cuentas bancarias afectan regularmente a cuestiones de Derecho bancario y de servicios de pago, a menudo vinculadas a delimitaciones complejas relativas a la autorización y a la distribución del riesgo. MTR Legal Rechtsanwälte acompaña a sus clientes cuando surgen cuestiones jurídicas en relación con cargos en cuenta poco claros, incidentes de acceso o accesos bloqueados a la banca en línea, y ofrece asesoramiento jurídico en Derecho bancario.
