Ortega y García Abogados analiza el fallo del TJUE sobre el obligado reembolso bancario por phishing

El Tribunal de Justicia de la Unión Europea lo ha declarado hoy en el asunto C-70/25: el reembolso es obligatorio a más tardar al final del día hábil siguiente a la notificación del fraude. Solo después, y si prueba esa negligencia, la entidad podrá reclamar el dinero al cliente.

Una clienta de un banco polaco recibió de un falso comprador de una plataforma de venta un enlace que imitaba la web de su banco. Introdujo sus claves y el defraudador las usó para ordenar un pago desde su cuenta. Al día siguiente lo comunicó al banco, que rechazó devolver el dinero por considerar que ella había sido gravemente negligente al facilitar sus credenciales.

Un tribunal de distrito de Koszalin (Polonia) preguntó si esa negativa es compatible con la Directiva (UE) 2015/2366, de servicios de pago (PSD2). La respuesta es negativa. El Tribunal separa dos cuestiones distintas:

El proveedor de pago debe reembolsar la operación no autorizada de inmediato, como máximo al final del día hábil siguiente. Que considere negligente al cliente no le permite rehusar ese reembolso.

Una vez devuelto el dinero, el banco puede pedir al cliente que asuma las pérdidas si prueba que actuó de forma fraudulenta o incumplió, deliberadamente o por negligencia grave, sus deberes de custodia de las credenciales.

El banco solo puede no devolver de inmediato si tiene motivos razonables para sospechar fraude del propio cliente y los comunica por escrito a la autoridad nacional.

Según el Tribunal, permitir otra cosa vaciaría de contenido la obligación de reembolso y obligaría a la víctima a pleitear para recuperar su dinero.

La sentencia sigue la línea que el Abogado General Athanasios Rantos propuso en sus conclusiones de 5 de marzo de 2026. La PSD2 está incorporada en el Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago, cuyo artículo 45 ya recoge la devolución inmediata. Sin embargo, la negativa a reembolsar alegando que el cliente «facilitó sus claves» es una respuesta habitual de las entidades ante el phishing, el vishing o el smishing.

A partir de hoy, los jueces españoles deben interpretar la norma conforme a la sentencia, que vincula a todos los tribunales nacionales.

Hasta ahora, el banco retenía el dinero y era la víctima quien tenía que reclamar, a menudo en los tribunales. Ahora el banco debe devolver primero; si cree que hubo negligencia grave, es él quien tendrá que probarla y, si el cliente no restituye, demandarle.

Valoración del despacho
"Es una sentencia de enorme alcance práctico. Hasta ahora, muchas víctimas de fraude bancario daban su dinero por perdido cuando el banco les contestaba que habían sido negligentes. El Tribunal de Justicia deja claro que esa respuesta no basta: primero se devuelve el dinero y después, si acaso, se discute", señala el letrado Juan Jo Ortega, de Ortega y García Abogados.

El informe pericial, desde la primera reclamación
Según el letrado Juan Jo Ortega, la práctica del despacho es acompañar ya a la primera reclamación el informe de un perito que descarta la negligencia del cliente. Ello hace que, en muchas ocasiones, el banco se vea obligado a devolver el dinero sin necesidad de acudir a los tribunales, además ese informe servirá a partir de ahora como defensa frente a una reclamación posterior del banco, por tanto, todos los clientes de Ortega y García abogados están cubiertos.

"Para quien ya tiene una reclamación denegada por este motivo, la sentencia es un argumento de peso para volver a exigir el reembolso", añade.

Sobre Ortega y García Abogados
Ortega y García Abogados es un despacho especializado en Litigación y Arbitraje.

Más información en www.abogadosortegaygarcia.com.