Imagina la escena. Pones a la venta un objeto en una plataforma de segunda mano. Al poco, alguien te escribe interesado en comprarlo y te manda un enlace «para confirmar la venta». El enlace parece legítimo. Te lleva a una página que es idéntica a la de tu banco, introduces tus claves de banca electrónica y, sin saberlo, se las acabas de entregar a un estafador. Horas después, unos 700 euros han salido de tu cuenta hacia otra que no es la tuya.

Al día siguiente avisas al banco. Y la respuesta no es la que esperabas: «No vamos a devolverle nada. Usted fue negligente al entregar sus claves».

Esto es un caso habitual y además los hay mucho más complejos.

Esto es, en esencia, lo que ha llegado al Tribunal de Justicia de la Unión Europea (TJUE) en el asunto C-70/25, resuelto por sentencia del pasado 15 de octubre de 2026. Y la respuesta del Tribunal es clara: primero el banco devuelve; después, si procede, discute quién tuvo la culpa.

Qué ha decidido el Tribunal

Un tribunal polaco preguntó al TJUE si, conforme al Derecho de la Unión, el banco debe devolver de inmediato el importe de una operación no autorizada aunque considere que el cliente actuó con negligencia grave. El TJUE responde que sí.

La clave está en separar dos preguntas que, en la práctica, los bancos suelen mezclar:

1. ¿Quién devuelve el dinero ahora mismo? El banco, de forma inmediata.
2. ¿Quién soporta, en última instancia, la pérdida? Esa es una cuestión posterior, que se discute después y en la que el banco tiene que demostrar su tesis.

Para el TJUE, que el banco crea que el cliente fue gravemente negligente —por ejemplo, por no proteger adecuadamente sus credenciales de seguridad— no le autoriza a negarse a devolver.

La regla general y su única excepción

La sentencia se apoya en la Directiva (UE) 2015/2366 sobre servicios de pago (la conocida como PSD2), cuyo artículo 73.1 en España se recoge en el artículo 45 del Real Decreto-ley 19/2018, de servicios de pago.

Según esa regla, cuando se ejecuta una operación de pago no autorizada, el banco debe devolver el importe de inmediato y, como máximo, al final del día hábil siguiente a aquel en que tuvo conocimiento de la operación o se le notificó. Siempre, eso sí, que el cliente lo comunique sin demora injustificada.

Solo hay una excepción: que el banco tenga motivos razonables para sospechar que el fraude lo ha cometido el propio cliente y lo comunique por escrito a la autoridad nacional competente. Alegar que el cliente «se dejó engañar» no es lo mismo que sospechar que el cliente es el defraudador.

Primero devuelve, después reclama

Aquí conviene no quedarse con una lectura simplista. El Tribunal no dice que el cliente quede libre de toda responsabilidad pase lo que pase.

Lo que dice es que, una vez devuelto el dinero, el banco podrá reclamar al cliente el reembolso de las pérdidas si demuestra que estas se deben a que el cliente, deliberadamente o por negligencia grave, incumplió sus obligaciones, en particular la de proteger sus credenciales de seguridad personalizadas.

Y aquí está el segundo punto decisivo: la carga de la prueba recae en el banco. Es la entidad quien debe acreditar la negligencia grave; el cliente no tiene que demostrar su inocencia para recuperar su dinero.

Por qué es una buena noticia para los consumidores

El TJUE justifica este enfoque en el objetivo de garantizar una elevada protección de los consumidores. Su razonamiento es práctico: si el banco pudiera negarse desde el principio alegando negligencia grave, la obligación de devolución inmediata perdería su utilidad real y sería el cliente quien tendría que dar el primer paso, iniciando un procedimiento para reclamar lo que le corresponde, con los costes, el tiempo y el desgaste que eso supone.

Con la regla actual, la iniciativa procesal cambia de bando: es el banco quien, si quiere, tiene que ir a reclamar.

Qué puede significar en la práctica en España

No es raro que las entidades denieguen la devolución en fraudes de tipo phishing, smishing o vishing alegando que el cliente facilitó sus claves. A partir de esta sentencia, esa negativa inicial encuentra un obstáculo más serio. Algunas reflexiones:

• Es un argumento de peso en la reclamación. Tanto ante el servicio de atención al cliente de la entidad como ante el Banco de España o, en su caso, en vía judicial.
• No cierra el debate sobre la negligencia grave. El banco puede intentar probarla después de devolver. La valoración de qué es «negligencia grave» dependerá siempre de las circunstancias concretas de cada caso.
• Los hechos importan. No es lo mismo un cliente que facilita sus claves a una página perfectamente clonada que otro que comparte códigos tras múltiples avisos. Documentar bien cómo ocurrió el fraude es fundamental.

Y la vía penal

Detrás de un phishing o cualquier otro tipo de fraude hay, además, un posible delito de estafa informática (en el Código Penal -CP-, el artículo 248.2.a), que castiga a quien, con ánimo de lucro y valiéndose de una manipulación informática o artificio semejante, consigue una transferencia no consentida de un activo patrimonial en perjuicio de otro. También un posible delito de usurpación o suplantación de identidad (artículo 401 del CP) cuando se crean perfiles falsos o se usurpa la identidad de otra persona en redes sociales,

La reclamación al banco y la denuncia son vías distintas y compatibles: la primera busca recuperar el dinero de forma rápida; la segunda, perseguir a los autores. Conviene no esperar a que termine una para activar la otra.

Si te ocurre, qué hacer

1. Avisa al banco de inmediato y por un canal que deje constancia (teléfono con número de referencia y, además, comunicación escrita). El plazo de devolución parte de la notificación, y la norma exige hacerlo sin demora injustificada.
2. Bloquea el acceso y cambia las credenciales.
3. Conserva todas las pruebas: el mensaje, el enlace, capturas de pantalla, el justificante de la operación y las comunicaciones con el banco.
4. Reclama por escrito la devolución citando el artículo 45 del Real Decreto-ley 19/2018, y pide la respuesta también por escrito.
5. Denuncia los hechos.
6. Cuidado con lo que firmas: no aceptes documentos de renuncia o «cierre de incidencia o expediente» sin que alguien los revise.

Si has sufrido un fraude bancario y tu entidad te ha negado la devolución, cada caso tiene sus particularidades y los plazos importan. Una revisión profesional de tu situación a tiempo puede marcar la diferencia.