El Tribunal de Justicia de la Unión Europea (TJUE) ha reforzado la protección de las víctimas de phishing al establecer que los bancos no pueden negarse a devolver de inmediato el dinero sustraído mediante operaciones de pago no autorizadas alegando que el cliente pudo actuar con negligencia grave.
Un caso que crea jurisprudencia
En una sentencia emitida el 15 de octubre de 2026, el Tribunal de Justicia de la Unión Europea reiteró las obligaciones de los bancos respecto al reembolso en casos de estafas de phishing. Servicio Público presenta esta jurisprudencia, que proviene de un fraude que tuvo lugar en Polonia. En el caso ante el TJUE, un cliente de un banco polaco fue víctima de una estafa de phishing ( una técnica cibercriminal en la que un estafador se hace pasar por una organización de confianza mediante un mensaje engañoso ). Un estafador se hizo pasar por comprador interesado en un artículo que ofreció en una plataforma de ventas online. Le envió un enlace fraudulento presentado como originario de la plataforma y necesario para finalizar la venta.
Tras seguir el enlace, la clienta fue redirigida a una web falsa que imitaba la de su banco. Allí, introdujo sus datos de acceso a la banca online y un código de confirmación recibido por SMS. El estafador pudo transferir aproximadamente 700 € de la cuenta de la víctima a una cuenta que controlaba. Al día siguiente, la clienta denunció el fraude a su banco. Sin embargo, el banco se negó a devolverle el dinero, considerando que había sido gravemente negligente al revelar sus datos de seguridad.
La clienta ha iniciado un procedimiento legal para obtener el reembolso de las cantidades transferidas indebidamente de su cuenta.
A partir de entonces, el artículo 74 se aplica. Permite al banco pedir al cliente que asuma la pérdida, pero no exime al banco de reembolsar primero al cliente. Solo se contempla una excepción. El banco puede negarse a reembolsar en casos de sospecha grave de fraude por parte de su cliente, siempre que comunique estas razones por escrito a la autoridad nacional competente. Por tanto, el banco asume la carga de la prueba. Aparte de esta excepción, debe reembolsar al cliente y puede emprender acciones legales contra él. Corresponde al banco demostrar negligencia grave. Debe tenerse en cuenta la resolución del TJUE del 15 de octubre de 2026. Sin embargo, no dicta que la víctima pueda iniciar transferencias por sí misma, por ejemplo, bajo presión de un asesor falso. Estos llamados fraudes "autorizados" están fuera de su alcance.
En este caso, el Tribunal de Justicia de la Unión Europea dictaminó que el banco debe reembolsar al cliente de inmediato. Sin embargo, una vez reembolsado, el cliente aún puede ser demandado por su banco, lo que debe demostrar negligencia grave ante un juez.