El TJUE reforça la protecció de les víctimes de phishing: primer, el banc ha de retornar els diners
Protecció de dades personals
La sentència europea Tukowiecka diferencia el reemborsament immediat de les operacions no autoritzades de la determinació posterior de qui n’ha d’assumir les pèrdues.
Les víctimes de phishing bancari disposen d’un nou argument jurídic per reclamar la restitució dels diners sostrets mitjançant operacions no autoritzades. La sentència del Tribunal de Justícia de la Unió Europea (TJUE), de 15 d’octubre de 2026, dictada en l’assumpte C-70/25, Tukowiecka, reforça la distinció entre l’obligació de retornar immediatament els imports defraudats i la discussió posterior sobre qui n’ha d’assumir definitivament les pèrdues.
El pronunciament europeu estableix que la possible negligència greu del client no s’ha de confondre amb el dret al reemborsament inicial. Així, l’entitat bancària no pot denegar aquesta restitució pel simple fet de considerar que l’usuari ha facilitat el frau, sinó que la responsabilitat definitiva s’haurà d’examinar d’acord amb les condicions legalment previstes.
L’autenticació de l’operació no acredita el consentiment
Un dels principis fonamentals en la protecció dels usuaris de serveis de pagament és que l’autenticació d’una operació no equival necessàriament a la seva autorització. El fet que s’hagin utilitzat correctament les credencials bancàries del titular no demostra, per si mateix, que aquest hagi consentit la transacció.
En aquest sentit, els articles 36 i 44 del Reial decret llei 19/2018, de serveis de pagament, estableixen el marc de protecció davant les operacions no autoritzades i les obligacions probatòries de les entitats. La utilització de contrasenyes, codis de verificació o altres mecanismes d’autenticació no eximeix automàticament el banc de responsabilitat.
Aquesta distinció resulta especialment rellevant en els casos de phishing i altres fraus de suplantació d’identitat, en què els delinqüents obtenen les dades de les víctimes o les indueixen a validar operacions que no volen efectuar.
El Tribunal Suprem ja havia reforçat les garanties dels clients
La doctrina europea s’emmarca en una línia de protecció que també troba suport en la jurisprudència espanyola. La Sentència del Tribunal Suprem 571/2025, de 9 d’abril, relativa a un cas de duplicació fraudulenta de la targeta SIM —conegut com a SIM swapping—, va confirmar la responsabilitat d’Ibercaja en les circumstàncies examinades.
El Tribunal Suprem va recordar que correspon a l’entitat financera acreditar l’autenticació de les operacions, el seu registre correcte i l’absència de deficiències del servei. També és el banc qui ha de provar el frau o la negligència greu que atribueixi al client.
D’aquesta manera, l’autenticació reforçada no es converteix en una justificació automàtica per rebutjar una reclamació. Cal valorar les circumstàncies concretes del frau i el compliment de les obligacions de seguretat de l’entitat.
Els bancs han de detectar operacions sospitoses
La protecció dels usuaris no es limita a verificar que les credencials siguin correctes. Les entitats també han de disposar de mecanismes capaços d’identificar operacions anòmales i reaccionar davant els avisos dels titulars.
L’article 2 del Reglament delegat (UE) 2018/389 preveu mesures de supervisió de les operacions que han de tenir en compte, entre altres factors, els patrons habituals de comportament de l’usuari. Els imports, la successió de transaccions i altres indicis de risc poden ser rellevants per detectar activitats fraudulentes.
Aquesta obligació posa el focus en l’eficàcia real dels sistemes de seguretat bancària: no n’hi ha prou amb comprovar codis d’accés si no s’identifiquen indicis que permetin advertir d’un possible frau.
Primer, el reemborsament; després, la responsabilitat
La principal aportació de la sentència Tukowiecka és la diferenciació entre dos moments jurídics regulats pels articles 73 i 74 de la Directiva (UE) 2015/2366, sobre serveis de pagament.
1. D’una banda, l’article 73 regula el reemborsament de les operacions no autoritzades.
2. De l’altra, l’article 74 estableix les condicions en què es poden atribuir al client les pèrdues derivades d’aquestes operacions.
Aquesta separació implica que la discussió sobre una eventual negligència greu no hauria d’impedir, per si mateixa, la devolució inicial dels diners. Posteriorment, l’entitat pot reclamar al client l’import corresponent si acredita que es compleixen els requisits legals per fer-lo responsable.
La normativa també preveu una excepció quan hi ha motius raonables per sospitar un frau del mateix usuari, sempre que aquesta sospita es comuniqui per escrit a l’autoritat pertinent. En l’àmbit espanyol, l’article 45 del Reial decret llei 19/2018 estableix, amb les excepcions legalment previstes, l’obligació de restituir l’import de l’operació no autoritzada immediatament i, com a màxim, al final del dia hàbil següent, així com el règim de comunicació de les sospites de frau al Banc d’Espanya.
Una protecció més efectiva per a les víctimes
El criteri reforçat pel TJUE té una conseqüència pràctica important: les víctimes d’un frau bancari no haurien d’haver d’esperar que es resolgui tota la controvèrsia sobre la seva conducta per recuperar els diners sostrets, quan es compleixen els requisits legals per al reemborsament.
La decisió no implica que el client quedi exempt de qualsevol responsabilitat. Si posteriorment es prova que concorren les circumstàncies previstes legalment, el banc pot reclamar-li les pèrdues. El que es diferencia és el dret a la restitució inicial de la determinació definitiva de qui ha d’assumir el perjudici econòmic.
En conjunt, la jurisprudència del Tribunal Suprem i el criteri atribuït al TJUE reforcen la necessitat d’examinar cada cas de manera individualitzada, exigir a les entitats bancàries que acreditin el compliment de les seves obligacions i evitar que l’ús de credencials o la mera al·legació de negligència greu es converteixin en motius automàtics per rebutjar les reclamacions.
El missatge central és clar:
Davant d’una operació bancària no autoritzada, el reemborsament i la responsabilitat definitiva són qüestions diferents. Primer cal aplicar les regles de restitució; després, si escau, determinar qui ha d’assumir les pèrdues.
