El banco deberá devolver el cargo fraudulento en un día aunque alegue negligencia

El Tribunal de Justicia de la UE ha cerrado una de las vías que usaban las entidades para no reembolsar los fraudes en la banca digital. En su sentencia del 15 de octubre en el asunto C-70/25, establece que el proveedor de servicios de pago debe devolver el importe de una operación que el cliente no autorizó como tarde al cierre del día hábil siguiente a conocerla, aunque considere que el titular facilitó el engaño por negligencia grave. Quién soporta finalmente la pérdida se decide después, y probar esa negligencia corresponde a la entidad.

Una vendedora en internet perdió unos 700 euros en una web que imitaba a su banco

El litigio procede de Polonia. La titular de la cuenta había puesto a la venta un objeto en una plataforma de compraventa y un falso comprador le remitió un enlace, en apariencia de la propia plataforma, para confirmar la operación. El enlace la condujo a una página que reproducía la de su banco, donde introdujo sus claves de banca electrónica, y con ellas el estafador se transfirió el equivalente a unos 700 euros. Avisó a la entidad al día siguiente, pero esta rechazó la devolución porque, a su juicio, la clienta había descuidado la custodia de sus credenciales. El tribunal polaco que recibió la demanda trasladó la duda a Luxemburgo para saber qué exige la Directiva 2015/2366 de servicios de pago.

La sentencia separa la devolución inmediata del reparto final de las pérdidas

La respuesta distingue dos fases. En la primera, la entidad repone la cuenta dentro del plazo legal, siempre que el cliente haya comunicado el cargo sin demora injustificada. En la segunda, puede reclamarle lo abonado si demuestra que incumplió sus obligaciones de forma deliberada o por negligencia grave, en particular la de proteger sus credenciales de seguridad personalizadas. El convencimiento del banco de que hubo esa negligencia no le permite negarse de entrada. Según el tribunal, aceptarlo dejaría sin efecto útil la obligación de devolver de inmediato y forzaría al perjudicado a litigar, con el coste y las molestias que eso conlleva, para recuperar su dinero.

La norma europea solo admite una salvedad: que el proveedor tenga motivos razonables para sospechar que el fraude lo ha cometido el propio cliente y los comunique por escrito a la autoridad nacional competente. La resolución no zanja el pleito polaco, que vuelve al juez nacional, pero vincula a los demás tribunales de la Unión que deban resolver casos similares, incluidos los españoles.

El Real Decreto-ley 19/2018 ya fija el plazo de un día hábil en España

La directiva se incorporó al ordenamiento español con el Real Decreto-ley 19/2018, de servicios de pago, cuyo artículo 45 sigue el mismo esquema: devolución de inmediato y, como tarde, al cierre del día hábil siguiente a que la entidad detecte la operación o se le notifique, con una única excepción por sospecha de fraude que debe comunicarse por escrito al Banco de España. El artículo 44 atribuye al proveedor la carga de probar que el usuario actuó con fraude o negligencia grave y aclara que el registro del uso del instrumento de pago no basta, por sí solo, para acreditarlo. La ley no define qué es negligencia grave: lo han ido perfilando los tribunales, y el Supremo lo delimitó en una sentencia de abril de 2025.

El reparto de las pérdidas está en el artículo 46. Por regla general, el cliente puede tener que soportar hasta 50 euros cuando un tercero utiliza un instrumento extraviado, sustraído o apropiado indebidamente, y la totalidad solo si actuó de manera fraudulenta o incumplió sus obligaciones de forma deliberada o por negligencia grave. Para comunicar un cargo no autorizado dispone de un máximo de trece meses desde el adeudo, aunque debe hacerlo en cuanto tenga conocimiento de él.

Las empresas pueden pactar la carga de la prueba, pero no el plazo de devolución

El criterio no se limita a los particulares. Para la directiva, ordenante es cualquier titular de una cuenta que autoriza una orden de pago, sea una persona física o una sociedad, así que el fallo alcanza también a las compañías. La norma española permite que, cuando el usuario no es consumidor ni microempresa, las partes acuerden no aplicar en todo o en parte, entre otros, los artículos 44 y 46, es decir, la carga de la prueba y el tope de 50 euros, y que fijen un plazo de notificación distinto de los trece meses cuando el usuario no sea consumidor. El artículo 45, el de la devolución al día hábil siguiente, no figura en esa lista.

Para las entidades, el fallo obliga a separar en sus procedimientos el abono del cargo reclamado y la investigación posterior: la negligencia grave sigue siendo motivo para recuperar el dinero, pero no para retenerlo mientras se discute. Abogados especializados en ciberfraude recuerdan la otra cara de la sentencia, que no es un cheque en blanco para el cliente: este debe avisar a su banco sin demora en cuanto detecte la operación.