Phishing y fraude bancario: el TJUE refuerza el derecho al reembolso de las operaciones no autorizadas.

Las estafas digitales, y en particular el phishing, continúan siendo una de las principales preocupaciones para los consumidores que utilizan servicios bancarios en Internet.

El Tribunal de Justicia de la Unión Europea (TJUE), en su sentencia relativa al asunto C-70/25, ha abordado una cuestión fundamental: ¿puede una entidad bancaria negarse a devolver el dinero sustraído alegando que el cliente pudo actuar con negligencia grave?

La resolución refuerza la protección de los usuarios y aclara que la obligación de reembolso de las operaciones de pago no autorizadas debe cumplirse sin demora injustificada, sin que una mera sospecha de negligencia grave permita al banco aplazar la devolución.

¿Qué establece el TJUE sobre el reembolso del dinero sustraído por phishing?

La sentencia analiza el régimen de responsabilidad de las entidades de pago ante operaciones no autorizadas realizadas como consecuencia de un fraude digital.

El caso tiene su origen en una estafa sufrida por una mujer polaca que intentaba vender un objeto por Internet. Un supuesto comprador le facilitó un enlace fraudulento que permitió a los estafadores llevar a cabo operaciones de pago.

A partir de estos hechos, el TJUE examina la relación entre dos cuestiones distintas: la obligación inicial de devolver el dinero y la posibilidad de atribuir posteriormente al cliente la responsabilidad por las pérdidas sufridas.

¿En qué plazo debe devolver el banco el dinero?

Esta normativa, incorporada al ordenamiento jurídico español mediante el Real Decreto-ley 19/2018, de servicios de pago, dispone que el proveedor de servicios de pago debe devolver el importe de la operación no autorizada inmediatamente y, como máximo, al final del día hábil siguiente a aquel en que haya observado o recibido la notificación de la operación.

La normativa contempla una excepción específica cuando existen motivos razonables para sospechar que se ha cometido un fraude por parte del propio usuario, siempre que dichos motivos se comuniquen por escrito a la autoridad nacional competente.

Sin embargo, la mera sospecha de negligencia grave no equivale a esa excepción y no permite retrasar automáticamente el reembolso.

Por tanto, cuando un consumidor comunica una operación de pago no autorizada, la entidad debe actuar conforme a los plazos legales, sin convertir la investigación sobre la conducta del cliente en un motivo para aplazar la devolución.

¿Qué pueden hacer las víctimas de phishing si el banco rechaza el reembolso?

Si has sufrido una estafa digital y detectas movimientos bancarios que no has autorizado, es importante actuar con rapidez y conservar todas las pruebas disponibles.

Entre las principales actuaciones recomendables se encuentran:

• Comunicar el fraude al banco cuanto antes. Solicita el bloqueo de los instrumentos de pago afectados cuando proceda y comunica expresamente cuáles son las operaciones que no reconoces.
  
  
• Presentar una reclamación formal. Deja constancia de la solicitud de reembolso y conserva el justificante de presentación.
  
  
• Guardar todas las pruebas. Conserva mensajes, correos electrónicos, capturas de pantalla, justificantes bancarios y comunicaciones con la entidad.
  
  
• Valorar la presentación de una denuncia. Puede resultar útil para documentar los hechos y facilitar la investigación del fraude.
  
  
• Examinar las vías de reclamación disponibles. Si la entidad rechaza la devolución o no cumple sus obligaciones, puede ser necesario valorar las actuaciones extrajudiciales o judiciales procedentes.
  
  

La estrategia adecuada dependerá de las circunstancias concretas del fraude, de las operaciones realizadas y de las razones que haya alegado la entidad bancaria para rechazar el reembolso.

En Anna Zaragoza defendemos tus derechos y te ayudamos a valorar las opciones legales disponibles ante situaciones de fraude bancario.