La banca, obligada a dar más protección a las víctimas de estafas online
Una sentencia del Tribunal de Justicia de la Unión Europea obliga a los bancos a devolver el dinero robado por estafas online, aunque consideren que el cliente fue negligente al facilitar sus claves bancarias.
Caer en una estafa digital es una posibilidad que amenaza hoy a cualquier usuario de banca electrónica. En un contexto donde la ciberdelincuencia no deja de crecer, el Tribunal de Justicia de la Unión Europea (TJUE) ha dictado una sentencia trascendental que cambia las reglas del juego frente a las estafas financieras: las entidades bancarias están obligadas a reembolsar de forma inmediata el dinero sustraído a las víctimas de phishing, sin que puedan escudarse en la supuesta imprudencia o entrega de claves del cliente para denegar el reingreso inicial. (leer la sentencia aquí)
Hoy en día, bastan un enlace malicioso recibido por SMS, un correo electrónico aparentemente oficial o una web falsa de compraventa para que cualquier ciudadano, por precavido que sea, termine facilitando sin saberlo sus credenciales de acceso a la banca en línea.
Ante el aumento progresivo de los delitos informáticos en los últimos años, miles de usuarios afectados por el denominado phishing se encontraban de forma recurrente con la negativa de sus entidades a devolver los fondos, alegando que el cliente había actuado con «negligencia grave» al introducir sus contraseñas. La histórica resolución dictada por el TJUE el pasado 15 de octubre en el Asunto C-70/25 pone fin a esta praxis, dictaminando que la sospecha de negligencia por parte del usuario nunca justifica que el banco retenga el dinero ni obligue a la víctima a acudir a los tribunales para recuperarlo.
El caso que desencadenó esta decisión europea se originó a raíz de una estafa de apenas 700 euros sufrida por una mujer que puso a la venta un objeto en una plataforma de compraventa por Internet. Un falso comprador le facilitó un enlace fraudulento que imitaba la interfaz de su entidad financiera, donde la mujer introdujo sus claves electrónicas.
Tras percatarse del engaño al día siguiente y notificarlo inmediatamente a su banco, la entidad se negó rotundamente a reembolsarle los fondos, argumentando que la facilitación de las claves constituía una imprudencia atribuible de manera exclusiva a la clienta. El litigio derivó en una cuestión prejudicial ante el tribunal de Luxemburgo para aclarar si las entidades podían ampararse en dicha conducta para esquivar la devolución de los importes sustraídos.
La respuesta de la justicia europea ha sido tajante: basándose en el artículo 73.1 de la Directiva PSD2, el TJUE ha determinado que los proveedores de servicios de pago deben restituir el importe de una operación no autorizada de manera inmediata. El plazo legal máximo fijado para hacer efectivo este reingreso es el final del siguiente día hábil tras la detección o notificación de la estafa.
El tribunal remarca que la mera sospecha de que el cliente actuó con descuido no equivale a sospechar un fraude cometido intencionadamente por el propio usuario —conocido como autofraude—, el cual es el único supuesto legal que permitiría al banco suspender temporalmente el reembolso mientras lo comunica por escrito a las autoridades competentes.
El alcance de la sentencia radica en la inversión de la iniciativa procesal y de la carga probatoria. Hasta la fecha, los clientes se veían atrapados en una posición desprotegida, pues debían asumir la pérdida inicial de sus ahorros y contratar abogados para demandar a la entidad.
Tras la doctrina fijada por el TJUE, el banco debe ingresar el dinero primero. Si la entidad considera posteriormente que el cliente cometió una negligencia grave, será el propio banco quien deba acudir a los juzgados para reclamar la devolución de los fondos, asumiendo íntegramente la responsabilidad de probar que el usuario actuó de forma temeraria.
Acreditar esa imprudencia será una tarea cada vez más compleja para la banca. Al no existir una definición legal estricta de «negligencia grave», la jurisprudencia evalúa cada situación tomando como modelo el comportamiento de un usuario medio.
Teniendo en cuenta la creciente sofisticación técnica de los ciberdelincuentes —capaces de clonar plataformas bancarias con extrema precisión—, la justicia entiende que un error humano inducido por un engaño perfeccionado no puede tildarse de negligencia grave, sino de un descuido derivado de la propia vulnerabilidad del entorno digital.
En definitiva, la sentencia sitúa el foco en la responsabilidad de las entidades financieras respecto a la seguridad de sus canales digitales. Del mismo modo que las sucursales físicas cuentan con cajas fuertes y controles de acceso, la banca en línea exige implantar barreras de protección igualmente robustas en la nube.
Con esta resolución, el TJUE no solo protege el bolsillo de los ciudadanos ante un delito que puede golpear en cualquier instante a cualquiera, sino que exige a los bancos asumir el coste del riesgo operacional en los servicios electrónicos antes de responsabilizar al eslabón más débil: el consumidor.
Descarga gratis la guía de derechos frente a las estafas bancarias
Consulta esta guía práctica en PDF para conocer los derechos de los clientes ante las estafas bancarias online y saber cómo actuar si el banco se niega a devolver el dinero de una operación no autorizada.
[Descargar la guía gratuita en PDF]
