El banco no puede rechazar la devolución inicial de una operación no autorizada alegando únicamente que el cliente facilitó sus claves. La responsabilidad definitiva por las pérdidas es una cuestión distinta.
Descubrir que alguien ha realizado transferencias o cargos sin autorización puede ser angustioso. La situación se agrava cuando el banco rechaza devolver el dinero porque considera que la víctima no protegió adecuadamente sus contraseñas o facilitó un código de seguridad a los estafadores.
La sentencia del Tribunal de Justicia de la Unión Europea de 15 de octubre de 2026, asunto C-70/25, Tukowiecka, aclara un aspecto decisivo: la negligencia grave atribuida al usuario no permite, por sí sola, negar el reembolso inmediato de una operación de pago no autorizada.
Eso no significa que el cliente quede liberado de toda responsabilidad. Significa que la devolución inicial del dinero y la determinación de quién debe soportar finalmente las pérdidas no pueden confundirse.
El caso: una venta por Internet que terminó en una transferencia fraudulenta
El litigio se originó cuando una usuaria puso un objeto a la venta en una plataforma de Internet. Un supuesto comprador le envió un enlace que aparentaba proceder de esa plataforma y servir para confirmar la venta.
El enlace conducía a una página que imitaba la de su banco. La víctima introdujo sus credenciales y, mediante el mismo engaño, el delincuente obtuvo también un código de confirmación enviado por SMS. Así consiguió transferir 3.000 eslotis, aproximadamente 705 euros, a una cuenta propia.
La usuaria descubrió el fraude al día siguiente y lo comunicó inmediatamente al banco y a la policía. Sin embargo, la entidad rechazó el reembolso alegando que había incumplido por negligencia grave sus obligaciones de custodia.
El tribunal que conocía del asunto planteó al TJUE si esa circunstancia permitía denegar la devolución inmediata. La respuesta fue negativa.
Primero, el reembolso; después, la responsabilidad definitiva
La sentencia interpreta los artículos 73.1 y 74.1 de la normativa europea de servicios de pago y diferencia dos obligaciones:
- El reembolso inicial: ante una operación no autorizada, deben restituirse los fondos conforme a los requisitos y plazos legales.
- La atribución definitiva de las pérdidas: si la entidad acredita un incumplimiento gravemente negligente del usuario, puede reclamar posteriormente lo que corresponda mediante las vías jurídicas disponibles.
Permitir que el banco retuviera el dinero por su propia apreciación de la negligencia obligaría al usuario a iniciar un procedimiento para recuperarlo y asumir los inconvenientes de esa reclamación. El TJUE considera que esa interpretación perjudicaría la protección que persigue la normativa europea.
El fallo tampoco declara que la clienta del caso actuara con negligencia grave: esa valoración corresponde al tribunal nacional.
¿Cuánto tiempo tiene el banco para devolver el dinero?
En España, el artículo 45 del Real Decreto-ley 19/2018 establece que el importe debe devolverse de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en que la entidad haya observado la operación o recibido su notificación, con los requisitos y excepciones legales.
No es exacto resumir esta regla como un plazo invariable de «24 horas»: la ley se refiere al final del siguiente día hábil.
La obligación de devolución no nace con esta sentencia. Ya existía. Lo que aclara el TJUE es que no puede dejarse sin efecto por la mera alegación de negligencia grave del cliente. El régimen español puede consultarse en el Real Decreto-ley 19/2018, especialmente sus artículos 43 a 46.
La excepción: sospechas razonables de fraude del propio usuario
El TJUE distingue entre ser víctima de un engaño, actuar con negligencia grave y participar fraudulentamente en los hechos.
La excepción al reembolso inmediato exige motivos razonables para sospechar un comportamiento fraudulento del propio usuario, comunicados por escrito a la autoridad nacional competente. En España, el artículo 45 exige comunicar esos motivos al Banco de España.
No basta con señalar que hubo una estafa cometida por un tercero: ese es precisamente el riesgo frente al que opera la protección. Tampoco puede equipararse automáticamente una sospecha de negligencia grave con una sospecha de fraude del cliente, según explica la sentencia.
Utilizar las claves correctas no prueba por sí solo la autorización
En estas reclamaciones es fundamental distinguir entre autenticación técnica y autorización de la operación.
Que se utilizara una contraseña o un código de seguridad no demuestra necesariamente que el titular consintiera el pago concreto. Tampoco acredita automáticamente que actuara con negligencia grave.
El artículo 44 del Real Decreto-ley 19/2018 atribuye al proveedor la prueba del fraude o de la negligencia grave del usuario y establece que el registro de utilización del instrumento de pago no basta necesariamente para demostrar la autorización.
Por ello, deben examinarse las circunstancias del engaño, los mensajes recibidos, el contenido de las confirmaciones y los registros de la operación. Ni la acusación del banco equivale a una prueba ni haber sufrido phishing elimina por sí mismo las obligaciones de seguridad del usuario.
¿Se aplica a cualquier estafa bancaria?
No. La sentencia se refiere a operaciones de pago no autorizadas.
Una transferencia realizada por un delincuente con credenciales obtenidas mediante engaño puede plantear un problema distinto al de un pago que el propio titular ordena tras ser engañado sobre su finalidad o destinatario.
Lo decisivo es determinar si existió consentimiento válido para la operación concreta. La sentencia no resuelve todas las modalidades de fraude ni permite afirmar que cualquier pérdida derivada de una estafa deba devolverse automáticamente.
El phishing por correo electrónico, los SMS fraudulentos y las llamadas que suplantan al banco pueden dar lugar a operaciones no autorizadas, pero la calificación exige estudiar cómo se produjo cada pago.
Qué hacer si detectas movimientos que no has autorizado
Actuar con rapidez y conservar las pruebas facilita la protección de la cuenta y la reclamación:
- Comunica inmediatamente las operaciones al banco. Identifica los movimientos y conserva el justificante del aviso. No esperes a que termine una investigación policial.
- Protege los accesos comprometidos. Solicita el bloqueo de los instrumentos afectados y cambia las credenciales por canales oficiales y seguros.
- Guarda las pruebas. Conserva mensajes, correos, enlaces, capturas, extractos y comunicaciones con la entidad.
- Presenta una reclamación escrita. Explica lo sucedido y solicita el reembolso de las operaciones no autorizadas.
- Denuncia los hechos. Aporta la documentación disponible y conserva copia de la denuncia.
- Revisa la respuesta del banco. Si rechaza la devolución, conviene analizar los motivos y las pruebas que invoca antes de decidir cómo continuar.
El artículo 43 del Real Decreto-ley 19/2018 exige notificar las operaciones sin demora injustificada desde que se conocen y establece, como regla general, un máximo de trece meses desde el adeudo, con la excepción legal por falta de información del proveedor. Ese límite no significa que se pueda esperar trece meses después de descubrir el fraude ni debe confundirse con el plazo para presentar una demanda.
¿Y si el banco ya rechazó la devolución?
La sentencia puede aportar un argumento relevante cuando la negativa se basa en una supuesta negligencia grave. Sin embargo, no convierte todas las reclamaciones anteriores en casos ganados ni permite dar por reabiertos los asuntos resueltos mediante sentencia firme.
Es necesario revisar las fechas, la notificación del fraude, la naturaleza de las operaciones, la documentación y el estado de cualquier procedimiento previo.
Una protección más clara, no una devolución incondicional
La principal aportación de esta sentencia es impedir que la discusión sobre la negligencia grave se utilice para bloquear el reembolso inicial legalmente exigible.
El banco conserva la posibilidad de reclamar si acredita los presupuestos de responsabilidad del usuario, pero no puede utilizar esa posibilidad como motivo autónomo para retener inicialmente el dinero.
Si has sufrido operaciones que no reconoces y tu entidad rechaza devolver su importe, un análisis individualizado permitirá comprobar si la respuesta respeta la normativa y qué opciones existen para defender tus derechos.
