El Tribunal de Justicia de la Unión Europea ha modificado sustancialmente el orden procesal con el que deben resolverse las reclamaciones derivadas de determinadas ciberestafas bancarias. En una sentencia dictada el 15 de octubre, el Tribunal establece que la posible negligencia grave de la víctima no permite al proveedor de servicios de pago negarse a devolver inmediatamente el importe de una operación no autorizada.
El pronunciamiento, correspondiente al asunto C-70/25, Tukowiecka, interpreta los artículos 73 y 74 de la Directiva europea 2015/2366 sobre servicios de pago, conocida como PSD2. La regla fijada por el Tribunal puede resumirse en una secuencia: primero debe restituirse el dinero y, posteriormente, se determinará quién debe soportar definitivamente la pérdida.
El litigio se originó en Polonia. Una clienta puso a la venta un objeto en una plataforma electrónica y recibió un mensaje de un supuesto comprador. Este le remitió un enlace que aparentaba proceder de la plataforma y que debía servir para confirmar la venta. La mujer accedió a una página que imitaba la de su banco e introdujo sus credenciales de banca electrónica. El tercero utilizó esos datos para transferir a su propia cuenta una cantidad equivalente a unos 700 euros. La clienta comunicó el fraude al banco al día siguiente, pero la entidad rechazó el reembolso al considerar que había actuado con negligencia grave al facilitar sus claves en una página fraudulenta.
Reintegro inmediato
El tribunal polaco que conocía del litigio preguntó al TJUE si esa supuesta negligencia permitía al banco denegar desde el principio la devolución. La respuesta ha sido negativa. Cuando se denuncia una operación de pago no autorizada, la entidad debe reintegrar el importe de inmediato y, en todo caso, como máximo al finalizar el día hábil siguiente a aquel en que haya detectado o recibido la comunicación de la operación.
La obligación presupone que el cliente haya informado al banco sin demora injustificada. El TJUE no ampara, por tanto, la inactividad del usuario una vez conocido el cargo. La rapidez en la comunicación sigue siendo esencial para bloquear los instrumentos de pago, conservar las pruebas y tratar de recuperar los fondos transferidos.
El fallo separa dos cuestiones que las entidades bancarias venían resolviendo de manera conjunta. La primera es la restitución inmediata de la cuenta cuando aparece una operación que el cliente niega haber autorizado. La segunda es la atribución definitiva de las pérdidas cuando el fraude fue posible por la conducta del propio usuario.
Alegación de negligencia en una segunda fase
Según el Tribunal, la alegación de negligencia grave solo pertenece a esta segunda fase. El banco puede reclamar posteriormente al cliente el importe previamente devuelto si demuestra que este incumplió deliberadamente o con negligencia grave sus obligaciones de protección de las credenciales de seguridad. La sentencia no elimina, por tanto, la responsabilidad del usuario, pero traslada a la entidad la iniciativa de reclamar y la carga de probarla.
La única excepción que permite suspender el reembolso inicial se produce cuando el proveedor dispone de motivos razonables para sospechar que el fraude ha sido cometido por el propio cliente. En ese supuesto deberá comunicar por escrito sus motivos a la autoridad nacional competente. No basta con que la entidad considere que la víctima facilitó el trabajo al ciberdelincuente: la excepción exige una sospecha fundada de fraude atribuible al ordenante, no una mera imprudencia frente a un tercero.
La interpretación responde, según el TJUE, al objetivo de asegurar una elevada protección de los consumidores. Permitir al banco retener el dinero mientras investiga si existió negligencia obligaría a la víctima a iniciar un procedimiento judicial para recuperar sus fondos y asumir sus costes, duración e incertidumbre. Con el sistema establecido por la Directiva, es la entidad la que debe restablecer inicialmente la cuenta y promover después la reclamación si considera que puede acreditar la responsabilidad del usuario.
Más allá de la simple falta de cuidado
El fallo no declara, sin embargo, que la banca deba asumir definitivamente todas las cantidades sustraídas mediante una ciberestafa. La devolución inmediata tiene carácter provisional respecto de la atribución final de la pérdida. Si la entidad acredita una negligencia grave, un concepto más exigente que la simple falta de cuidado, podrá obtener una sentencia que condene al cliente a reintegrar el dinero.
La resolución tampoco se extiende automáticamente a cualquier engaño digital. Su ámbito son las operaciones de pago no autorizadas, es decir, aquellas que el delincuente ejecuta utilizando las credenciales obtenidas de la víctima sin que esta haya consentido la concreta orden de pago.
La situación puede ser distinta cuando es el propio cliente quien, engañado, ordena y confirma personalmente una transferencia. Es lo que ocurre en determinadas falsas inversiones, fraudes sentimentales, estafas del proveedor o supuestos en los que el delincuente convence a la víctima para enviar el dinero a una supuesta cuenta segura. En estos casos será necesario determinar previamente si la operación puede considerarse no autorizada en el sentido de la normativa de pagos. La sentencia Tukowiecka no resuelve directamente esa categoría de fraudes.
Autenticación o autorización
La diferencia entre autenticación y autorización será uno de los principales campos de litigio. Que una operación se haya validado técnicamente mediante contraseña, código SMS o autenticación reforzada no demuestra necesariamente que el titular consintiera el pago concreto ni que actuara con negligencia grave. La entidad debe aportar los registros de la operación y probar tanto su correcta autenticación como, en su caso, el fraude o la negligencia grave del cliente.
En España, esta arquitectura ya figura en el Real Decreto-ley 19/2018 de servicios de pago. Su artículo 45 ordena devolver de inmediato las operaciones no autorizadas y fija como límite el final del siguiente día hábil. También dispone que, si existen motivos razonables para sospechar un fraude del propio ordenante, la entidad debe comunicarlos por escrito al Banco de España.
El artículo 44 atribuye al proveedor la carga de demostrar que la operación fue autenticada, registrada y contabilizada correctamente y que no estuvo afectada por un fallo técnico. Añade expresamente que el registro de la utilización del instrumento de pago no basta necesariamente para probar que el usuario autorizó la operación o actuó de manera fraudulenta o gravemente negligente.
Cambio de posición procesal
La novedad de la sentencia no reside, por tanto, en introducir una obligación de reembolso desconocida en España, sino en cerrar una interpretación utilizada para paralizarla. La entidad no puede convertir la excepción de negligencia grave, relevante para decidir quién soportará finalmente la pérdida, en una autorización para retener inicialmente el dinero.
Como interpretación del Derecho europeo, la resolución vincula al tribunal polaco que planteó la cuestión prejudicial y a los órganos judiciales de los demás Estados miembros que deban resolver controversias semejantes. También deberá aplicarse en los procedimientos españoles pendientes que todavía no hayan concluido mediante resolución firme. No supone, en cambio, la reapertura automática de litigios terminados con fuerza de cosa juzgada.
La consecuencia práctica es un cambio de posición procesal. Hasta ahora, numerosas víctimas recibían una negativa bancaria y debían demandar para obtener la devolución. Tras la sentencia, ante una operación realmente no autorizada y comunicada sin demora, el banco debe restituir primero la cuenta. Si considera que el cliente hizo posible el fraude mediante una conducta gravemente negligente, será la entidad la que deberá acreditarlo y reclamar después.
