Sentencia TJUE C-70/25: phishing, devolución inmediata y negligencia grave
El Tribunal de Justicia de la Unión Europea ha dictado el 15 de octubre de 2026 su sentencia en el asunto C-70/25 (denominado Tukowiecka, nombre ficticio asignado por el propio Tribunal), sobre las operaciones de pago no autorizadas derivadas de un fraude por suplantación de identidad, lo que habitualmente llamamos phishing. La respuesta del Tribunal es clara en cuanto al momento de la devolución, pero deja abiertas —e incluso refuerza— las cuestiones que de verdad deciden quién soporta la pérdida.
Puntos clave
- Qué ha pasado: El TJUE declara que el proveedor de servicios de pago no puede negarse a devolver el importe de una operación no autorizada alegando que el cliente actuó con negligencia grave.
- El plazo: La devolución debe hacerse a más tardar al final del día hábil siguiente a aquel en que la entidad observa la operación o se le notifica, siempre que el cliente la haya comunicado sin demora injustificada.
- Lo que se mantiene: La entidad conserva el derecho a reclamar al cliente las pérdidas si prueba que se deben a un incumplimiento deliberado o gravemente negligente de sus obligaciones.
- La excepción: No hay obligación de devolución inmediata si existen motivos razonables para sospechar fraude del propio cliente y se comunican por escrito a la autoridad competente.
Qué ha resuelto el TJUE en el asunto C-70/25
Los hechos son los de un phishing de manual. Una clienta de un banco polaco tenía un objeto a la venta en una plataforma en línea. Un tercero, haciéndose pasar por comprador, le envió un enlace que aparentaba proceder de la plataforma para «confirmar la venta». El enlace llevaba a una página que imitaba la de su banco, donde la clienta introdujo sus claves de banca electrónica. Con ellas, el tercero ordenó una transferencia de unos 700 euros a su propia cuenta.
Al día siguiente la clienta lo comunicó al banco, que rehusó la devolución por entender que había hecho posible la operación al no proteger sus credenciales de seguridad personalizadas. El tribunal polaco preguntó al TJUE si, conforme a la Directiva (UE) 2015/2366 (PSD2), el banco debía devolver de inmediato pese a considerar que existía negligencia grave.
El TJUE responde afirmativamente. Según el artículo 73.1 de la Directiva, ante una operación no autorizada el proveedor debe devolver su importe inmediatamente y, a más tardar, al final del día hábil siguiente. La única excepción prevista es la sospecha fundada de fraude del cliente comunicada por escrito a la autoridad nacional. Que la entidad considere que hubo negligencia grave no figura entre las causas que permiten rehusar la devolución.
Devolver no es asumir la pérdida: los dos momentos de la sentencia
La parte más relevante del razonamiento, y la que menos se ha subrayado en la cobertura mediática, es que el Tribunal separa dos cuestiones que hasta ahora se resolvían a la vez:
- La devolución del importe, que debe producirse de inmediato.
- Quién asume en última instancia la pérdida, que se decide después.
En palabras del comunicado oficial, el derecho de la Unión permite distinguir la devolución de la operación no autorizada de la cuestión relativa a quién debe asumir finalmente las pérdidas. Así, en un primer momento la entidad devuelve; a continuación, podrá reclamar al cliente el reembolso de las pérdidas si demuestra que se deben a que este, deliberadamente o por negligencia grave, incumplió sus obligaciones, en particular la de proteger sus credenciales.
Es decir, la sentencia no traslada al banco el riesgo de la negligencia grave del cliente. Lo que traslada es el riesgo de liquidez y de cobro mientras se resuelve la controversia. La regla de fondo de la Directiva —el cliente gravemente negligente soporta las pérdidas— permanece intacta.
El Tribunal justifica esta solución en la protección del consumidor: si la entidad pudiera negarse de entrada, sería el cliente quien tendría que iniciar un procedimiento para recuperar su dinero, con los costes que ello supone. La consecuencia lógica, aunque la sentencia no lo diga con esas palabras, es que la iniciativa procesal pasa a la entidad.
Encaje en el derecho español: el Real Decreto-ley 19/2018
En España la PSD2 se transpuso mediante el Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago. Sus preceptos se corresponden con los que interpreta el TJUE:
- Artículo 45: obligación de devolver el importe de la operación no autorizada inmediatamente y, en cualquier caso, a más tardar al final del día hábil siguiente, salvo motivos razonables para sospechar fraude comunicados por escrito al Banco de España.
- Artículo 46: el ordenante soporta con carácter general hasta 50 euros de pérdidas, pero soporta todas las pérdidas si se deben a actuación fraudulenta o al incumplimiento, deliberado o por negligencia grave, de sus obligaciones del artículo 41 (entre ellas, proteger sus credenciales).
- Artículo 44: corresponde a la entidad probar que la operación fue autenticada, registrada con exactitud y contabilizada. El mero registro del uso del instrumento de pago no basta necesariamente para acreditar que la operación fue autorizada ni que hubo negligencia grave; la entidad debe aportar elementos de prueba.
- Artículo 43: el cliente debe comunicar la operación sin demora injustificada y, en todo caso, dentro de los trece meses siguientes al adeudo, con las salvedades previstas en la norma.
La sentencia no modifica este esquema: aclara el orden en que se aplican los artículos 45 y 46. Primero se devuelve; después, si hay base para ello, se repite.
Lo que la sentencia no dice
La lectura que se está extendiendo —«el banco siempre tiene que devolver el dinero del phishing»— va más allá de lo resuelto. Conviene delimitar el alcance real del pronunciamiento.
No toda estafa es una operación no autorizada
El caso enjuiciado es uno en que un tercero obtiene las claves y ordena él mismo la transferencia. Es el supuesto típico de operación no autorizada.
Distinto es el caso, cada vez más frecuente, en que es el propio cliente quien ordena y confirma el pago, engañado sobre su finalidad: el falso empleado del banco que le pide «mover el dinero a una cuenta segura», el falso proveedor que cambia el IBAN de una factura, la falsa inversión. En esos supuestos la entidad puede sostener que la operación fue autorizada por el ordenante, aunque su consentimiento estuviera viciado por el engaño de un tercero. Si la operación es autorizada, no rige el régimen de devolución inmediata de los artículos 45 y 46.
Esa calificación no es automática —el artículo 44 impide deducirla solo del uso de las credenciales— y depende de qué vio, introdujo y confirmó el cliente en cada paso. Pero es, previsiblemente, la principal frontera de litigiosidad tras esta sentencia.
La sospecha fundada de fraude del cliente
El TJUE recuerda que la obligación de devolución inmediata cede cuando la entidad tiene motivos razonables para sospechar fraude del propio cliente y los comunica por escrito a la autoridad competente. La excepción exige indicios concretos —vínculos con el beneficiario, recepción posterior de los fondos, reclamaciones reiteradas con el mismo patrón—, no la simple apariencia de descuido. Utilizada con rigor, es una herramienta legítima frente a las reclamaciones simuladas, que también existen.
La notificación sin demora injustificada
La obligación de devolver presupone que el cliente comunicó la operación sin demora injustificada. En el caso enjuiciado lo hizo al día siguiente. Cuando la comunicación llega semanas o meses después, la entidad dispone de un argumento adicional, que habrá que valorar a la luz de los hechos y del artículo 43.
Qué va a pasar ahora
A nuestro juicio, la sentencia tendrá cuatro consecuencias prácticas inmediatas:
- Menos margen para la denegación de entrada. Rechazar una devolución por «operación validada con claves» o por negligencia grave del cliente será difícil de sostener ante el Banco de España y ante los juzgados, con el consiguiente riesgo de condena en costas.
- Más litigiosidad en sentido inverso. Si la entidad devuelve y considera que hubo negligencia grave, será ella quien deba reclamar. Previsiblemente aumentarán las acciones de repetición frente a clientes, muchas de cuantía reducida.
- El debate se desplaza a la calificación de la operación. Las entidades tenderán a examinar con más detalle si el pago fue autorizado, y los reclamantes a presentar como no autorizadas operaciones que el cliente confirmó. La prueba técnica de la autenticación será decisiva.
- Presión sobre los plazos internos. Decidir en un día hábil si se devuelve, si la operación fue autorizada o si hay indicios de fraude exige protocolos de revisión muy rápidos.
Queda por ver, además, cómo valorarán los tribunales españoles la efectividad real de la acción de repetición. Un derecho a recuperar lo devuelto que en la práctica resulte incobrable desplaza el riesgo de forma distinta a como lo concibió el legislador europeo. Es una cuestión que, previsiblemente, volverá a plantearse.
Implicaciones prácticas para los proveedores de servicios de pago
La sentencia no obliga a las entidades a renunciar a sus derechos, sino a ejercerlos en otro orden. Algunas pautas:
- Clasificar la reclamación desde el primer día. Distinguir entre operación no autorizada, operación autorizada obtenida mediante engaño y posible reclamación fraudulenta. Cada categoría tiene un régimen distinto.
- Preservar la prueba técnica. Registros de autenticación reforzada, dispositivo e IP, mensajes y avisos de seguridad mostrados, secuencia de pantallas y confirmaciones. El artículo 44 exige algo más que el registro de uso de las credenciales, y es esta prueba la que sostendrá después la repetición.
- Devolver con reserva expresa. Cuando proceda la devolución pese a indicios de negligencia grave, conviene comunicar al cliente por escrito que se efectúa en cumplimiento del artículo 45 y que la entidad se reserva las acciones del artículo 46. La devolución no es un reconocimiento de responsabilidad.
- Documentar la excepción de fraude. Si se invoca, la comunicación al Banco de España debe recoger motivos concretos y verificables.
- Diseñar la recuperación por importes. Para reclamaciones de cuantía reducida y documentación sólida, el procedimiento monitorio puede ser una vía proporcionada; para carteras, una gestión agregada con criterios homogéneos.
Conclusión
La STJUE de 15 de octubre de 2026 (C-70/25) fija una regla de procedimiento nítida: alegar la negligencia grave del cliente no permite retener la devolución de una operación no autorizada. Pero no altera el reparto final de las pérdidas. El cliente gravemente negligente sigue respondiendo de ellas, la entidad conserva su derecho a reclamarlas y la excepción por sospecha de fraude sigue vigente.
El efecto real de la sentencia es reubicar la controversia: del momento de la devolución a la calificación de la operación como autorizada o no, y a la calidad de la prueba que la entidad sea capaz de aportar. En ese terreno es donde se decidirán, a partir de ahora, la mayoría de estos asuntos.
Análisis basado en el comunicado de prensa n.º 147/26 del Tribunal de Justicia de la Unión Europea sobre la sentencia de 15 de octubre de 2026, asunto C-70/25. Última actualización: octubre 2026.
Preguntas frecuentes
- ¿Qué dice la sentencia del TJUE C-70/25 sobre el phishing?
- La sentencia de 15 de octubre de 2026 declara que, ante una operación de pago no autorizada notificada sin demora injustificada, el proveedor de servicios de pago debe devolver su importe a más tardar al final del día hábil siguiente, aunque considere que el cliente hizo posible la operación por negligencia grave. La negligencia no justifica negarse a devolver, pero sí permite a la entidad reclamar después la pérdida al cliente si la prueba.
- ¿Puede el banco recuperar el dinero devuelto si el cliente fue negligente?
- Sí. El TJUE distingue entre la devolución del importe y la cuestión de quién asume en última instancia la pérdida. Tras devolver, la entidad puede reclamar al cliente el reembolso de las pérdidas si demuestra que se deben a un incumplimiento deliberado o gravemente negligente de sus obligaciones, en particular la de proteger sus credenciales. La carga de esa prueba corresponde a la entidad.
- ¿Hay algún caso en que el banco no tenga que devolver de inmediato?
- Sí. La Directiva 2015/2366 y el artículo 45 del Real Decreto-ley 19/2018 prevén una excepción: que el proveedor tenga motivos razonables para sospechar la existencia de fraude cometido por el propio cliente y comunique esos motivos por escrito a la autoridad competente, que en España es el Banco de España. Una simple sospecha de descuido no basta.
- ¿Se aplica la sentencia a cualquier estafa bancaria?
- No. La sentencia se refiere a operaciones no autorizadas: en el caso enjuiciado, un tercero obtuvo las claves de la clienta y ordenó la transferencia él mismo. Cuando es el propio cliente quien ordena y confirma un pago, aunque lo haga engañado sobre su finalidad, la entidad puede sostener que la operación fue autorizada, y entonces no rige este régimen de devolución inmediata. Esa calificación depende de los hechos de cada caso.
Mario Miralbell