El TJUE obliga a la banca a devolver el dinero de las ciberestafas antes de discutir la negligencia del cliente. La sentencia, dictada en el asunto C-70/25, traslada a las entidades la carga inicial del riesgo y abre la puerta a que sean ellas las que demanden a sus propios usuarios.
Qué dice exactamente la sentencia del TJUE
El fallo resuelve el caso de una mujer polaca que intentaba vender un objeto por internet. Un supuesto comprador le remitió un enlace fraudulento y los estafadores ejecutaron operaciones de pago con sus credenciales. El Tribunal de Justicia de la Unión Europea concluye que, ante una operación no autorizada, la entidad debe reembolsar el importe de forma inmediata y, en todo caso, como máximo al final del día hábil siguiente a aquel en que haya detectado o recibido la notificación del fraude.
El cambio es de procedimiento, no de fondo. Hasta ahora, la posible negligencia grave del cliente servía a los bancos para paralizar la devolución y forzar al usuario a litigar. Con esta interpretación, primero se paga y después se discute. Si la entidad considera que hubo descuido, deberá acreditarlo y reclamar el importe por la vía civil.
‘La sentencia cambia el momento en el que se discute quién debe soportar finalmente la pérdida’, explica Ignacio Ripol, socio de Procesal y Compliance de Grant Thornton. El abogado subraya que la resolución separa dos momentos que la práctica bancaria había fundido: la obligación inmediata de reembolsar y la determinación posterior de responsabilidades.
Para el consumidor, el giro es notable. ‘Supone pasar de tener que demandar a los bancos para recuperar el dinero a ser demandados por los bancos’, resume Marisa Protomartir, directora legal de Asufin. La asociación calcula que hasta ahora entre el 80% y el 90% de los tribunales daban la razón al cliente, de modo que el banco deberá pensar dos veces antes de abrir un pleito por pequeñas cuantías.
La sentencia no crea una obligación nueva de pagar: cambia el orden de los factores y, con ello, quién asume el coste financiero del litigio.
El impacto no aparecerá en una línea concreta de la cuenta de resultados. Se repartirá entre provisiones, costes de litigación y, sobre todo, tiempo de gestión en unos departamentos de fraude que ya trabajan al límite de su capacidad.
Durante años el banco fue juez y parte del fraude; ahora tendrá que convencer a un juez de que el cliente se equivocó.
Mil millones en juego para la banca española
Fuentes del sector sitúan el impacto potencial para la banca española cerca de 1.000 millones de euros en reclamaciones. La cifra es una estimación abierta: depende del volumen de expedientes que se presenten y del resultado final de los pleitos.
Para dimensionarla conviene mirar el fraude declarado. Los fraudes en medios de pago alcanzaron 4.200 millones de euros en 2024 en Europa, según datos del BCE, el Banco de España y la patronal EBA; de ellos, unos 300 millones correspondieron a España. El importe en disputa multiplica por más de tres el fraude anual registrado en el país.
Las entidades restan alcance al fallo y recuerdan que la sentencia no toca las operaciones autorizadas, aquellas en las que el cliente consintió el pago. Ahí está la frontera que se va a pelear en los juzgados: separar la suplantación del engaño consentido.
Esa distinción es menos nítida de lo que parece. En los fraudes del falso proveedor o del falso consejero delegado, la víctima ordena materialmente la transferencia. La tesis del tribunal invita a mirar el consentimiento real y no quién pulsó el botón.
Asufin ultima el envío de requerimientos a todas las entidades con las que mantiene procesos abiertos, por vía judicial y extrajudicial. Su presidenta, Patricia Suárez, quiere que el sector sepa que la reclamación va en serio y que el consumidor deje de asumir el coste del fraude.
Hay un detalle operativo que puede mover más dinero que la propia sentencia: el plazo. La norma concede 13 meses desde el adeudo para comunicar una operación no autorizada. Muchas reclamaciones rechazadas en su día por presunta negligencia siguen vivas y pueden reactivarse. Las que acabaron con resolución judicial firme, no.
El riesgo real no es el reembolso, es la evidencia
La cifra de 1.000 millones impresiona, pero a mi juicio el coste relevante es otro. Un banco puede provisionar una reclamación; lo que no se provisiona es la incapacidad de demostrar qué hizo el cliente la noche que autorizó una operación. La sentencia convierte la trazabilidad en un activo de balance.
Aquí el sector llega con deberes pendientes. Los registros de sesión, las grabaciones de las llamadas y los correos del falso proveedor existen, pero rara vez están organizados para sostener un pleito dos años después. Reconstruir esa cadena cuesta más que pagar. Ese es el cálculo que harán muchos departamentos jurídicos antes de decidir si demandan a un cliente de 600 euros.
Hay una contradicción que merece señalarse. Las patronales sostienen que la sentencia se limita a interpretar la norma vigente y que nada cambia en el día a día. Si fuera así, el TJUE no habría tenido que pronunciarse. La práctica de paralizar devoluciones alegando negligencia estaba extendida, y esa es precisamente la conducta que el fallo desactiva.
El precedente importa también fuera de nuestras fronteras. El caso llegó desde Polonia, pero afecta a los 27 Estados miembros y a cualquier proveedor de servicios de pago. En un contexto en el que el fraude digital crece más rápido que la capacidad de las entidades para detectarlo, la pregunta de fondo es si el modelo actual de reparto de responsabilidades es sostenible en el tiempo.
Mi lectura es que el sector absorberá el golpe sin sobresaltos contables, pero con dos efectos duraderos. El primero, una revisión de los protocolos de onboarding y de las alertas antifraude, que se traducirá en más fricción para el cliente legítimo. El segundo, un traslado de presión hacia los proveedores tecnológicos y hacia los partners que gestionan pasarelas de pago. Ahí es donde debería estar la siguiente discusión, y no en el folleto de reclamaciones.
El primer termómetro serán las resoluciones de las audiencias provinciales que apliquen la doctrina, previsiblemente a lo largo del primer trimestre de 2027. Si los jueces españoles exigen a los bancos un estándar de prueba alto, el coste se quedará del lado de las entidades. Si lo rebajan, la sentencia habrá cambiado poco más que el calendario procesal.
Veredicto Merca2
Cotización al cierre o apertura: La sentencia no ofrece una cifra desagregada por entidad, de modo que el mercado no puede descontarla banco a banco. Los cerca de 1.000 millones en disputa equivalen a más de tres veces los 300 millones de fraude anual registrado en España, un ratio que el consenso del sector todavía no incorpora a sus modelos.
Clave técnica: El reloj corre a favor del cliente. La entidad tiene hasta el final del día hábil siguiente a la notificación para devolver, y el usuario cuenta con 13 meses desde el adeudo para reclamar. Los bancos que no puedan reconstruir la trazabilidad de una operación en ese plazo asumirán la pérdida, con independencia de la letra pequeña del contrato.
Apunte macro: El fraude en medios de pago alcanzó 4.200 millones de euros en Europa en 2024, de los que 300 millones se registraron en España, según BCE, Banco de España y EBA. Cualquier encarecimiento de los reembolsos presiona la ratio de eficiencia de un sector que afronta el ciclo de bajadas de tipos con el margen de intereses en revisión.
