La sentencia C-70/25 del Tribunal de Justicia de la UE impone al banco el reembolso inmediato del phishing sin discutir antes la negligencia del cliente.
EN 30 SEGUNDOS
- ¿Qué ha resuelto el tribunal? El TJUE, en la sentencia C-70/25 de 15 de octubre de 2026, declara que la entidad de pago debe devolver de inmediato el importe de una operación no autorizada por phishing aunque considere que el cliente incurrió en negligencia grave.
- ¿Qué base jurídica aplica? El artículo 73.1 de la Directiva (UE) 2015/2366 (PSD2), con una única excepción: motivos razonables de fraude atribuible al propio titular, comunicados por escrito a la autoridad nacional competente.
- ¿Qué impacto tiene? Invierte la posición procesal de las partes: el usuario no debe litigar para cobrar; es la entidad la que debe demandar después para recuperar el importe.
Un enlace fraudulento, 700 euros y una negativa bancaria
La controversia arranca en Polonia. Una mujer puso a la venta un objeto en una plataforma de compraventa por internet. Un supuesto comprador contactó con ella y le remitió un enlace que aparentaba proceder de la propia plataforma para confirmar la operación. El destino era una página que suplantaba la web de su entidad financiera.
La usuaria introdujo sus credenciales de banca electrónica y los delincuentes las emplearon para transferir 700 euros desde su cuenta. Al día siguiente, descubierto el fraude, lo comunicó a su banco y reclamó la devolución. La entidad la rechazó.
El argumento fue que la propia clienta había facilitado la estafa al teclear sus contraseñas en una página fraudulenta. El juzgado polaco que conoció de la demanda planteó una cuestión prejudicial para determinar si la negligencia grave del titular permite al proveedor de servicios de pago incumplir la obligación de reembolso inmediato.
El fallo: el reembolso es previo a cualquier discusión sobre la culpa
La respuesta es que no. El artículo 73.1 de la Directiva (UE) 2015/2366, la PSD2, establece que ante una operación no autorizada el proveedor debe reembolsar su importe inmediatamente, con plazo máximo al final del día hábil siguiente a la detección o a la notificación, siempre que el cliente haya comunicado los hechos sin demora injustificada.
El tribunal separa dos planos que la práctica bancaria había superpuesto. Sospechar negligencia grave no equivale a sospechar fraude del titular de la cuenta. La única excepción que habilita a suspender el reembolso inmediato exige motivos razonables para sospechar un fraude cometido por el propio cliente y la comunicación por escrito de esos motivos a la autoridad nacional competente.
La obligación de reembolso del artículo 73.1 de la PSD2 es autónoma y previa: la entidad no puede condicionarla al juicio sobre la conducta del cliente.
El fallo no elimina la responsabilidad posterior del consumidor. Si la entidad acredita en un procedimiento declarativo que el cliente incumplió sus obligaciones de seguridad, podrá reclamarle el importe. El banco pasa a ser demandante y el cliente demandado.
La negligencia grave, un concepto sin definición legal
El término central del litigio no aparece definido en ninguna norma. La abogada especializada en litigios y ciberfraude Vanesa Fernández señala que la negligencia grave «no está en ningún artículo de ninguna ley» y que su contorno se ha fijado por vía jurisprudencial tomando como referencia al usuario medio.
Ese estándar obliga a examinar la calidad del engaño y su capacidad de confundir a un consumidor medio. La sentencia del Tribunal Supremo de 9 de abril de 2025 se apoya en ese parámetro, conforme a la lectura de la letrada. «No basta con un simple error humano ante un engaño que realmente es sofisticado», añade.
La carga de la prueba corresponde íntegramente a la entidad. «Quien tiene que demostrar y aportar la prueba de que tú has sido negligente es el banco», subraya Fernández, que advierte de la dificultad creciente de ese esfuerzo conforme se sofistican los fraudes y se consolida la autenticación reforzada de cliente como obligación del proveedor.
La Doctrina del Tribunal
La resolución deslinda dos relaciones jurídicas distintas: la obligación de reembolso derivada de una operación no autorizada y la eventual responsabilidad del usuario por incumplimiento de sus deberes de custodia. La primera es inmediata y no admite condición; la segunda exige un procedimiento en el que la entidad asume la iniciativa y la prueba. La doctrina anterior permitía, en la práctica, que la mera alegación de negligencia operara como excepción de oposición al pago.
El criterio se construye sobre el art. 73.1 de la Directiva (UE) 2015/2366 y sobre la finalidad tuitiva de la norma: la autenticación reforzada es una carga del proveedor de servicios de pago, no un deber trasladable al ordenador de la operación. El método interpretativo es literal y teleológico, sin que el tribunal acuda a la analogía con el régimen de responsabilidad extracontractual.
El impacto es de práctica procesal, no normativo. La regla ya está incorporada al ordenamiento español a través de la Ley 16/2009 de servicios de pago, en la redacción dada por el Real Decreto-ley 19/2018; los juzgados de primera instancia que conozcan de reclamaciones de banca online disponen ahora de un criterio expreso para rechazar la negligencia como causa de oposición al reembolso.
La sentencia prejudicial vincula al órgano jurisdiccional remitente y opera como criterio de interpretación para el resto de tribunales de la Unión; contra ella no cabe recurso. El procedimiento polaco continuará ante el juez de origen y corresponderá al banco, si lo estima oportuno, abrir un litigio posterior sobre la conducta de la clienta. En España, la línea del Tribunal Supremo sobre el usuario medio fija el estándar de esa prueba, según los datos disponibles en el Poder Judicial.
FICHA DEL CASO
- El caso: Cuestión prejudicial planteada por un órgano judicial polaco sobre el reembolso de una operación de pago no autorizada mediante phishing, con un importe de 700 euros, y sobre la incidencia de la negligencia grave del titular en esa obligación.
- Datos importantes: Sentencia C-70/25, de 15 de octubre de 2026; artículo 73.1 de la Directiva (UE) 2015/2366 (PSD2); importe discutido de 700 euros; no consta en la información disponible la formación del tribunal ni voto particular.
- Fecha de los juicios: Hechos anteriores a la resolución; sentencia del TJUE dictada el 15 de octubre de 2026; el procedimiento nacional prosigue ante el órgano remitente. No consta fecha de vista.
- Personas acusadas y por qué: N/A. No existen acusados identificados: la demandante es una consumidora polaca y la demandada su entidad de pago, en un litigio civil sobre reembolso de una operación no autorizada.
