El TJUE obliga al banco a devolver de inmediato un pago no autorizado, aunque atribuya al cliente una negligencia grave.
El Tribunal de Justicia de la Unión Europea, en su sentencia de 15 de octubre de 2026 dictada en el asunto C-70/25, ECLI:EU:C:2026:852, interpreta el régimen de responsabilidad previsto en la Directiva (UE) 2015/2366 sobre servicios de pago.
La resolución establece que el proveedor de servicios de pago debe devolver inmediatamente el importe de una operación no autorizada, aunque sostenga que el cliente facilitó el fraude por haber actuado con negligencia grave.
Un fraude mediante suplantación de identidad
El litigio se originó después de que una clienta de un banco polaco pusiera un objeto a la venta en una plataforma en línea. Un tercero, que aparentaba estar interesado en adquirirlo, le remitió un enlace fraudulento para confirmar la operación.
La clienta accedió a una página que simulaba ser la de su entidad bancaria e introdujo sus credenciales de banca electrónica. El tercero utilizó esos datos para transferir desde su cuenta un importe equivalente a unos 700 euros.
La operación fue comunicada al banco al día siguiente, pero la entidad rechazó devolver el dinero al considerar que la clienta había incumplido gravemente su obligación de proteger sus credenciales de seguridad.
La devolución debe efectuarse de inmediato
El TJUE distingue entre la devolución inicial del importe sustraído y la determinación posterior de quién debe asumir definitivamente las pérdidas.
Cuando una operación de pago no ha sido autorizada y el cliente la comunica sin demora injustificada, el proveedor debe reintegrar su importe inmediatamente y, como máximo, al final del día hábil siguiente a aquel en el que haya observado la operación o recibido la notificación.
La única excepción indicada por el Tribunal se produce cuando el proveedor tiene motivos razonables para sospechar que el propio cliente cometió un fraude y comunica esos motivos por escrito a la autoridad nacional competente. La mera alegación de una posible negligencia grave no permite denegar el reintegro inicial.
El banco podrá reclamar posteriormente
La devolución inmediata no determina por sí sola quién soportará finalmente el perjuicio. Después de reintegrar el dinero, el proveedor podrá reclamar al cliente el reembolso de las pérdidas si demuestra que este incumplió deliberadamente o por negligencia grave sus obligaciones, especialmente la de proteger sus credenciales de seguridad personalizadas.
La carga de acreditar el fraude o la negligencia grave corresponde al proveedor de servicios de pago.
Impacto práctico
La sentencia impide que las entidades bancarias condicionen el reintegro inmediato a la resolución previa de la controversia sobre la conducta del cliente. Primero deberán devolver el importe de la operación no autorizada y, posteriormente, podrán reclamarlo si prueban una actuación deliberada o gravemente negligente.
El criterio refuerza la protección del consumidor frente a fraudes digitales como la suplantación de identidad y evita que tenga que iniciar un procedimiento para obtener inicialmente la restitución del dinero sustraído.