El TJUE cierra la puerta a la excusa de la negligencia grave para no devolver de inmediato el dinero del phishing

La Sala Primera del Tribunal de Justicia de la Unión Europea (TJUE), en su sentencia de 15 de octubre de 2026 (asunto C-70/25, Tukowiecka), ha aclarado una cuestión de enorme interés para los consumidores víctimas de phishing: si el banco puede negarse a devolver de inmediato el importe de una operación no autorizada alegando que el cliente actuó con negligencia grave.

La respuesta es negativa. El Tribunal concluye que la negligencia grave que el banco atribuya al cliente no le exime de la obligación de devolución inmediata. La entidad deberá devolver primero el dinero y solo después, si prueba esa negligencia, podrá reclamar al cliente el reembolso de las pérdidas.

Los hechos

El litigio tiene su origen en un fraude sufrido por la titular de una cuenta en un banco polaco. Un tercero, que fingía estar interesado en un objeto que ella vendía en un portal de subastas en línea, le envió un enlace que aparentaba proceder del portal. El enlace la condujo a una página que imitaba la de su banco, donde introdujo sus claves de banca electrónica.

Con esos datos, y con un código de confirmación recibido por SMS que obtuvo de la propia clienta mediante engaño, el estafador transfirió a su cuenta 3.000 eslotis (unos 705 euros). Al día siguiente, la clienta comunicó la operación al banco y a la policía.

El banco se negó a devolver el importe por considerar que la clienta había incumplido, por negligencia grave, su obligación de custodiar el instrumento de pago. Ante esa negativa, la consumidora demandó al banco y el tribunal polaco planteó la cuestión al TJUE.

En concreto, el Tribunal de Distrito de Koszalin preguntó al TJUE si un banco puede denegar la devolución inmediata del importe de una operación de pago no autorizada cuando considera que el cliente sufrió la pérdida por haber incumplido, por negligencia grave, su obligación de proteger el instrumento de pago y sus credenciales.

La decisión del Tribunal

El Tribunal de Justicia aborda la cuestión a partir de la interpretación conjunta de los artículos 73 y 74 de la Directiva (UE) 2015/2366 (PSD2), atendiendo, conforme a su jurisprudencia reiterada, a su tenor literal, al contexto en que se inscriben, a los objetivos que persiguen y a su génesis.

En el plano literal, el Tribunal recuerda que el artículo 73.1 impone al proveedor del ordenante la obligación de devolver el importe de la operación no autorizada de inmediato y, en todo caso, a más tardar al final del día hábil siguiente a aquel en que la haya observado o se le haya notificado. El precepto solo admite una excepción, que concurre cuando la entidad tiene motivos razonables para sospechar la existencia de fraude y los comunica por escrito a la autoridad nacional competente. De ello deduce que la mera sospecha de negligencia grave del ordenante no figura entre las causas que permiten eludir esa devolución.

Más compleja resulta la lectura del artículo 74.1, cuyo tenor, reconoce el Tribunal, no permite determinar sin ambigüedad el alcance de la excepción que contempla. Cabían dos interpretaciones: que la negligencia grave exime de la devolución inmediata, o bien que solo afecta a su carácter definitivo, de modo que el banco debe devolver primero y, en su caso, reclamar después.

El análisis sistemático inclina la balanza hacia la segunda. El considerando 71 de la Directiva únicamente contempla como excepción la sospecha fundada de fraude comunicada a la autoridad competente, y el artículo 72.2 atribuye al proveedor la carga de probar la negligencia grave del usuario. Para el Tribunal, ese reparto de la carga probatoria refleja la lógica general del régimen, orientada a reforzar la protección del ordenante, y confirma que ambos preceptos operan en fases distintas: el artículo 73 regula la devolución inmediata, mientras que el artículo 74 rige el reparto definitivo de la responsabilidad en un momento posterior.

La interpretación teleológica conduce a idéntico resultado. Admitir que la negligencia grave dispensa de la devolución inmediata privaría de efecto útil a esa obligación y forzaría al ordenante a tomar la iniciativa de reclamar ante los tribunales, asumiendo sus inconvenientes y, en particular, las eventuales costas. Semejante distribución de riesgos en perjuicio del cliente resulta, a juicio del Tribunal, difícilmente conciliable con el objetivo de garantizar una elevada protección de los consumidores. Ello no impide, sin embargo, que la entidad reclame posteriormente al ordenante las pérdidas sufridas si acredita la concurrencia de negligencia grave.

La génesis de la norma corrobora esta conclusión. La Directiva 2007/64 no contemplaba excepción alguna a la obligación de devolución inmediata, como tampoco la propuesta inicial de la Comisión. Fue durante el procedimiento legislativo cuando se introdujo la excepción específica por sospecha de fraude, sin que los Estados miembros puedan mantener o introducir disposiciones diferentes, habida cuenta del principio de plena armonización que consagra el artículo 107 de la Directiva.

Por último, el Tribunal descarta el argumento de los Gobiernos checo e italiano, según el cual esta interpretación eludiría los procedimientos de resolución alternativa de litigios del artículo 102. Esos mecanismos abarcan cualquier controversia relativa a los títulos III y IV de la Directiva y no pueden concebirse como un trámite obligatorio de verificación del cumplimiento por el usuario de las obligaciones del artículo 69.

Sobre estas bases, el Tribunal declara que los artículos 73.1 y 74.1 de la Directiva 2015/2366 deben interpretarse en el sentido de que un proveedor de servicios de pago no puede negarse a devolver inmediatamente al ordenante el importe de una operación de pago no autorizada por entender que este la hizo posible al incurrir en negligencia grave en el cumplimiento de sus obligaciones.

El encaje en el Derecho español

En España, la PSD2 se incorporó mediante el Real Decreto-ley 19/2018, de servicios de pago. Su artículo 45 recoge la misma obligación de devolución inmediata, cuya única excepción es la sospecha fundada de fraude comunicada por escrito al Banco de España. El artículo 44 atribuye al banco la prueba del fraude o de la negligencia grave del usuario, y el artículo 46 regula cuándo responde este de las pérdidas.

El Tribunal Supremo, en su sentencia 571/2025, de 9 de abril, ya calificó de cuasi objetiva la responsabilidad del banco y aclaró que el mero registro de las claves no prueba el consentimiento del cliente. Numerosas Audiencias Provinciales vienen apreciando la negligencia grave de forma restrictiva, al entender que el engaño propio del phishing la excluye con carácter general. La sentencia del TJUE añade una pieza clave: el orden en que deben actuar las partes.

Relevancia práctica de la Sentencia para los consumidores

Para el consumidor, la regla es ahora clara: primero se devuelve el dinero y después, en su caso, se discute la culpa. Basta con que la operación no esté autorizada y se comunique sin demora injustificada (y, en todo caso, dentro de los trece meses siguientes al adeudo).

Para las entidades, el banco no puede retener el importe mientras valora la conducta del cliente. Si quiere recuperar la pérdida, deberá reclamarla después y probar la negligencia grave. Solo la sospecha razonable de fraude del cliente, comunicada por escrito al Banco de España, permite suspender la devolución.

Las vías de reclamación salen reforzadas. El consumidor puede acudir al servicio de atención al cliente de su banco y, después, al Banco de España o a los tribunales. La negativa a devolver en plazo supone ahora el incumplimiento de una obligación interpretada de forma expresa por el TJUE.

En definitiva, la sentencia traslada al banco, y no a la víctima, la carga de tomar la iniciativa. Es una herramienta valiosa para todas las reclamaciones por phishing, smishing o vishing que hoy se rechazan alegando negligencia grave.