El TJUE refuerza la protección de las víctimas de phishing: primero, el banco debe devolver el dinero
Protección de datos personales
La sentencia europea Tukowiecka distingue entre el reembolso inmediato de las operaciones no autorizadas y la determinación posterior de quién debe asumir las pérdidas.
Las víctimas de phishing bancario disponen de un nuevo argumento jurídico para reclamar la restitución del dinero sustraído mediante operaciones no autorizadas. La sentencia del Tribunal de Justicia de la Unión Europea (TJUE), de 15 de octubre de 2026, dictada en el asunto C-70/25, Tukowiecka, refuerza la distinción entre la obligación de devolver inmediatamente los importes defraudados y la discusión posterior sobre quién debe asumir definitivamente las pérdidas.
La resolución europea establece que la posible negligencia grave del cliente no debe confundirse con el derecho al reembolso inicial. Así, la entidad bancaria no puede denegar dicha restitución por el simple hecho de considerar que el usuario ha facilitado el fraude, sino que la responsabilidad definitiva deberá examinarse de acuerdo con las condiciones legalmente previstas.
La autenticación de la operación no acredita el consentimiento
Uno de los principios fundamentales en la protección de los usuarios de servicios de pago es que la autenticación de una operación no equivale necesariamente a su autorización. El hecho de que se hayan utilizado correctamente las credenciales bancarias del titular no demuestra, por sí mismo, que este haya consentido la transacción.
En este sentido, los artículos 36 y 44 del Real Decreto-ley 19/2018, de servicios de pago, establecen el marco de protección frente a las operaciones no autorizadas y las obligaciones probatorias de las entidades. La utilización de contraseñas, códigos de verificación u otros mecanismos de autenticación no exime automáticamente al banco de su responsabilidad.
Esta distinción resulta especialmente relevante en los casos de phishing y otros fraudes de suplantación de identidad, en los que los delincuentes obtienen los datos de las víctimas o las inducen a validar operaciones que no desean realizar.
El Tribunal Supremo ya había reforzado las garantías de los clientes
La doctrina europea se enmarca en una línea de protección que también encuentra respaldo en la jurisprudencia española. La Sentencia del Tribunal Supremo 571/2025, de 9 de abril, relativa a un caso de duplicación fraudulenta de la tarjeta SIM —conocido como SIM swapping—, confirmó la responsabilidad de Ibercaja en las circunstancias examinadas.
El Tribunal Supremo recordó que corresponde a la entidad financiera acreditar la autenticación de las operaciones, su correcto registro y la ausencia de deficiencias en el servicio. También es el banco quien debe probar el fraude o la negligencia grave que atribuya al cliente.
De este modo, la autenticación reforzada no se convierte en una justificación automática para rechazar una reclamación. Es necesario valorar las circunstancias concretas del fraude y el cumplimiento de las obligaciones de seguridad de la entidad.
Los bancos deben detectar operaciones sospechosas
La protección de los usuarios no se limita a verificar que las credenciales sean correctas. Las entidades también deben disponer de mecanismos capaces de identificar operaciones anómalas y reaccionar ante las advertencias de los titulares.
El artículo 2 del Reglamento Delegado (UE) 2018/389 contempla medidas de supervisión de las operaciones que deben tener en cuenta, entre otros factores, los patrones habituales de comportamiento del usuario. Los importes, la sucesión de transacciones y otros indicios de riesgo pueden ser relevantes para detectar actividades fraudulentas.
Esta obligación pone el foco en la eficacia real de los sistemas de seguridad bancaria: no basta con comprobar los códigos de acceso si no se identifican indicios que permitan advertir de un posible fraude.
Primero, el reembolso; después, la responsabilidad
La principal aportación de la sentencia Tukowiecka es la diferenciación entre dos momentos jurídicos regulados por los artículos 73 y 74 de la Directiva (UE) 2015/2366, sobre servicios de pago.
Por un lado, el artículo 73 regula el reembolso de las operaciones no autorizadas.
Por otro, el artículo 74 establece las condiciones en las que pueden atribuirse al cliente las pérdidas derivadas de estas operaciones.
Esta separación implica que la discusión sobre una eventual negligencia grave no debería impedir, por sí misma, la devolución inicial del dinero. Posteriormente, la entidad puede reclamar al cliente el importe correspondiente si acredita que se cumplen los requisitos legales para atribuirle la responsabilidad.
La normativa también contempla una excepción cuando existen motivos razonables para sospechar que el propio usuario ha cometido un fraude, siempre que dicha sospecha se comunique por escrito a la autoridad pertinente. En el ámbito español, el artículo 45 del Real Decreto-ley 19/2018 establece, con las excepciones legalmente previstas, la obligación de restituir el importe de la operación no autorizada inmediatamente y, como máximo, al final del día hábil siguiente. Asimismo, regula la comunicación al Banco de España de las sospechas de fraude.
Una protección más efectiva para las víctimas
El criterio reforzado por el TJUE tiene una consecuencia práctica importante: las víctimas de un fraude bancario no deberían tener que esperar a que se resuelva toda la controversia sobre su conducta para recuperar el dinero sustraído, siempre que se cumplan los requisitos legales para el reembolso.
La decisión no implica que el cliente quede exento de cualquier responsabilidad. Si posteriormente se demuestra que concurren las circunstancias previstas legalmente, el banco puede reclamarle las pérdidas. Lo que se diferencia es el derecho a la restitución inicial de la determinación definitiva de quién debe asumir el perjuicio económico.
En conjunto, la jurisprudencia del Tribunal Supremo y el criterio atribuido al TJUE refuerzan la necesidad de examinar cada caso de forma individualizada, exigir a las entidades bancarias que acrediten el cumplimiento de sus obligaciones y evitar que el uso de credenciales o la mera alegación de negligencia grave se conviertan en motivos automáticos para rechazar las reclamaciones.
El mensaje central es claro:
Ante una operación bancaria no autorizada, el reembolso y la responsabilidad definitiva son cuestiones diferentes. Primero deben aplicarse las reglas de restitución; después, si procede, determinar quién debe asumir las pérdidas.
