El Tribunal de Justicia de la Unión Europea (TJUE) ha dictado el 19 de octubre de 2026, una sentencia en el asunto C70/25, en la que establece que las entidades financieras no pueden negarse a devolver el dinero sustraído mediante una operación no autorizada alegando que el cliente actuó con negligencia grave. El máximo tribunal europeo obliga a los proveedores de servicios de pago a reembolsar el importe defraudado y dejar para después que la demostración de que el cliente no protegió sus credenciales de seguridad y la reclamación de las pérdidas ocasionadas.
La sentencia señala que la decisión de los bancos de no devolver el dinero sustraído por actividades de suplantación de identidad, phishing (suplantación de identidad de una empresa o persona)y otros engaños, aferrándose a que el cliente actuó con negligencia grave es contrario a la directiva europea sobre servicios de pago, cuyo objetivo es “garantizar un elevado nivel de protección de los consumidores”.
El fallo resuelve que el banco debe devolver el importe de una operación no autorizada inmediatamente y, como máximo, al final del día hábil siguiente a aquel en el que haya tenido conocimiento de ella. Eso sí, siempre que el cliente haya comunicado el fraude sin demora injustificada. La única excepción contemplada por el TJUE para suspender el reembolso es cuando la entidad tenga motivos razonables para sospechar que el propio cliente ha cometido un fraude y comunica por escrito esas razones a la autoridad nacional competente.
En esta línea, señala el tribunal que la carga de probar una conducta negligente recae en las entidades financieras y que es una vez efectuado el reembolso cuando el banco podrá reclamar al cliente el importe perdido si demuestra que este incumplió deliberadamente las obligaciones que le corresponden.
El TJUE ha respondido así a la cuestión prejudicial elevada por un tribunal polaco, que analiza el caso de una víctima de un fraude mediante suplantación de identidad en la venta de un artículo en una plataforma de comercio electrónico. Un supuesto comprador le envió un enlace fraudulento que aparentaba proceder de esa página para confirmar la operación. La mujer accedió a una web que imitaba la de su entidad bancaria e introdujo sus credenciales de acceso. Con ellas, el estafador transfirió a su propia cuenta una cantidad equivalente a unos 700 euros. La clienta comunicó el fraude al banco al día siguiente, pero la entidad se negó a devolver el dinero al considerar que había incumplido su obligación de proteger las credenciales de seguridad.
En España, La Ley de Servicios de Pago, vigente desde 2009, y la jurisprudencia del Tribunal Supremo, en especial la sentencia dictada el 9 de abril de 2025, obliga a los bancos a asumir la responsabilidad por las operaciones no autorizadas, derivadas de la suplantación de identidad. Sin embargo, la normativa plantea unas excepciones a las que la banca se agarra para no reintegrar los importes sustraídos, como es la negligencia grave del usuario o que este no haya comunicado el fraude en un plazo razonable de tiempo.