El Tribunal de Justícia de la Unió Europea (TJUE) ha reforçat la protecció de les víctimes de phishing en establir que els bancs no poden negar-se a retornar immediatament els diners sostrets mitjançant operacions de pagament no autoritzades al·legant que el client va poder actuar amb negligència greu.
Un cas que crea jurisprudència
En una sentència emesa el 15 d'octubre de 2026, el Tribunal de Justícia de la Unió Europea va reiterar les obligacions dels bancs respecte al reemborsament en casos d'estafes de phishing. Servei Públic presenta aquesta jurisprudència, que prové d'un frau que va tenir lloc a Polònia. En el cas davant el TJUE, un client d'un banc polonès va ser víctima d'una estafa de phishing (una tècnica cibercriminal en la qual un estafador es fa passar per una organització de confiança mitjançant un missatge enganyós). Un estafador es va fer passar per comprador interessat en un article que va oferir en una plataforma de vendes online. Li va enviar un enllaç fraudulent presentat com a originari de la plataforma i necessari per finalitzar la venda.
Després de seguir l'enllaç, la clienta va ser redirigida a una web falsa que imitava la del seu banc. Allà, va introduir les seves dades d'accés a la banca online i un codi de confirmació rebut per SMS. L'estafador va poder transferir aproximadament 700 € del compte de la víctima a un compte que controlava. L'endemà, la clienta va denunciar el frau al seu banc. No obstant això, el banc es va negar a retornar-li els diners, considerant que havia estat greument negligent en revelar les seves dades de seguretat.
La clienta ha iniciat un procediment legal per obtenir el reemborsament de les quantitats transferides indegudament del seu compte.
A partir de llavors, l'article 74 s'aplica. Permet al banc demanar al client que assumeixi la pèrdua, però no eximeix el banc de reemborsar primer el client. Només es contempla una excepció. El banc pot negar-se a reemborsar en casos de sospita greu de frau per part del seu client, sempre que comuniqui aquestes raons per escrit a l'autoritat nacional competent. Per tant, el banc assumeix la càrrega de la prova. A part d'aquesta excepció, ha de reemborsar el client i pot emprendre accions legals contra ell. Correspon al banc demostrar negligència greu. S'ha de tenir en compte la resolució del TJUE del 15 d'octubre de 2026. No obstant això, no dicta que la víctima pugui iniciar transferències per si mateixa, per exemple, sota pressió d'un assessor fals. Aquests anomenats fraus "autoritzats" estan fora del seu abast.
En aquest cas, el Tribunal de Justícia de la Unió Europea va dictaminar que el banc ha de reemborsar el client immediatament. No obstant això, una vegada reemborsat, el client encara pot ser demandat pel seu banc, la qual cosa ha de demostrar negligència greu davant un jutge.