Si te vacían la cuenta con una ciberestafa, el banco debe devolverte el dinero primero y discutir después quién asume la pérdida. Lo acaba de sentenciar el Tribunal de Justicia de la UE y cambia tu margen ante el phishing.
He estado releyendo la sentencia con la calculadora en la mano y el dato que importa no es el fallo, sino el orden de los pasos. El Tribunal de Justicia de la Unión Europea (TJUE) deja claro que la devolución del dinero sustraído va primero y que la discusión sobre la culpa llega después. Nunca al revés.
El caso que ha llegado a Luxemburgo es de manual. Una mujer polaca vendía un objeto por internet y un supuesto comprador le envió un enlace para cerrar la operación. El mensaje parecía de la plataforma de venta, pero llevaba a una web clonada de su banco. Ella introdujo allí sus credenciales y el estafador se llevó unos 700 euros.
Al día siguiente avisó a su entidad. El banco le negó el reembolso alegando que había descuidado la custodia de sus claves. Ahora el TJUE le da la razón a la clienta: esa negligencia grave, dice la resolución, ‘no permite rehusar la devolución inmediata’.
Qué ha decidido el TJUE con el dinero de las ciberestafas
Aquí está la clave, y es una clave de procedimiento. El tribunal distingue entre devolver el dinero y decidir quién asume la pérdida. Lo primero va siempre primero. Si la entidad pudiera negarse de entrada, razona la sentencia, la obligación de devolución inmediata quedaría vacía de contenido y el cliente tendría que demandar a su banco para recuperar lo suyo, con los costes legales que eso supone.
Tu descuido ya no sirve como excusa automática: primero el banco abona el dinero y solo después, si quiere, discute de quién era la culpa.
El plazo que fija la resolución es el otro gran cambio. Si avisas sin demora, la entidad debe abonar el importe como muy tarde al cierre del siguiente día hábil. Traducido a la vida real: nada de meses de expediente ni de esperar a que el banco termine su investigación interna.
La directiva europea de servicios de pago ya obligaba, desde su artículo 45, a devolver de inmediato las operaciones no autorizadas. El problema era la puerta que dejaba abierta: la entidad puede negarse si sospecha con motivos razonables que el cliente ha cometido el fraude, y algunos bancos habían convertido esa excepción en la norma.
La letra pequeña: ahora es el banco quien debe probar tu negligencia
El cambio de fondo es la carga de la prueba. Hasta ahora, en la práctica, eras tú quien debía demostrar que no había habido descuido. Con esta doctrina es la entidad la que tiene que acreditar la mala fe, o la negligencia grave, o el dolo del cliente para poder reclamarle después el dinero.
Y ojo con el matiz, porque esto no es un cheque en blanco. Si el banco te devuelve el importe y después demuestra ante un juez que actuaste con mala fe o con negligencia grave, puede reclamártelo. En su voto particular, el abogado general Rantos apuntó que, si el cliente se niega a devolver ese pago indebido, será la entidad quien pueda acudir a los tribunales.
Este es el cambio, punto por punto:
| Situación | Antes de la sentencia | Con la doctrina del TJUE |
|---|---|---|
| Quién paga primero | El banco podía negarse y el cliente reclamaba | El banco abona y luego discute |
| Plazo del reembolso | Sin fecha clara | Cierre del siguiente día hábil |
| Carga de la prueba | El cliente debía justificar su inocencia | El banco debe probar tu negligencia |
| Si hay negligencia acreditada | Servía para denegar el reembolso | Sirve para reclamarte el dinero después |
Hay un límite que conviene tener claro: la protección cubre los pagos no autorizados, no los que tú mismo autorizas engañado por una promesa de rentabilidad imposible.
Lo que ya venían diciendo el Supremo y el Banco de España
La sentencia europea no llega a un terreno virgen. En abril de 2025, el Tribunal Supremo obligó a Ibercaja a devolver 56.474 euros a la víctima de un SIM swapping. Los jueces reprocharon que quince transferencias en una sola noche no hicieran saltar las alarmas de la entidad en ese mismo momento.
En Galicia, varios juzgados condenaron a distintos bancos en casos de phishing al no apreciar negligencia grave en las víctimas. La línea que se impone es razonable: se mide la diligencia del cliente con criterios normales, no se le exige detectar una web clonada casi perfecta.
Los números respaldan ese giro. El fraude con tarjetas y transferencias fue la primera causa de las reclamaciones admitidas por el Portal del Cliente Bancario del Banco de España en 2025, con casi el 28% del total. Y el Ministerio del Interior registró 430.493 estafas informáticas en ese mismo ejercicio, según su Balance Trimestral de Criminalidad.
¿Y qué significa todo esto cuando el problema te toca a ti? Que reclamar deja de ser una carrera de obstáculos. La mayoría de los clientes afectados prefiere tirar la toalla antes que pleitear por una cantidad pequeña, y ese desistimiento era, en la práctica, el mejor negocio de algunas entidades.
Mi lectura es que esto no arregla el fraude, pero mueve el coste al sitio correcto. Una entidad con incentivos para invertir en detectar operaciones raras, y no en discutir con el cliente en una oficina, protege mejor tu dinero. Eso sí, el aviso sin demora sigue siendo cosa tuya.
💶 El Impacto en tu Bolsillo
- Qué hacer hoy: Si detectas un cargo que no autorizaste, avisa a tu banco por escrito y guarda el resguardo: el reloj empieza a correr con ese aviso.
- Qué vigilar: Cómo aplican los juzgados españoles la doctrina del TJUE en los próximos meses y el goteo de reclamaciones ante el Banco de España.
- El error a evitar: Dar tu caso por perdido cuando la entidad alega tu negligencia: ahora es ella quien tiene que demostrarla.
