Saltar al contenido
Analizamos las Conclusiones del Abogado General del Tribunal de Justicia de la Unión Europea sobre la responsabilidad de los bancos en casos de phishing (Asunto C-70/25, Tukowiecka).
El TJUE se pronuncia sobre la responsabilidad de los bancos frente al phishing: devolución inmediata primero, discusión después.
Las estafas de phishing bancario son, a día de hoy, uno de los fraudes más extendidos en toda Europa. Miles de personas caen cada año en engaños a través de correos electrónicos, mensajes de texto, llamadas telefónicas o páginas web fraudulentas que imitan a su entidad bancaria, con el único objetivo de hacerse con sus credenciales de acceso y vaciarles la cuenta.
Lo que muchas de estas víctimas se encuentran después es una segunda frustración: cuando acuden a su banco a reclamar, la respuesta habitual es que la operación fue autorizada por ellas mismas al haber facilitado sus datos. En otras palabras, el banco les dice que la culpa es suya.
Sin embargo, esta situación podría estar a punto de cambiar de forma significativa, gracias a unas conclusiones muy relevantes que el Abogado General del Tribunal de Justicia de la Unión Europea (TJUE) acaba de presentar.
¿Qué ha ocurrido? El caso que ha llegado al TJUE
El pasado 5 de marzo de 2026, el Abogado General Athanasios Rantos presentó sus conclusiones en el Asunto C-70/25, conocido como el caso Tukowiecka. Se trata de una cuestión prejudicial planteada por un tribunal polaco (el Sąd Rejonowy w Koszalinie) en relación con un caso de phishing bancario.
Los hechos son tremendamente comunes: una mujer, titular de una cuenta bancaria en la entidad PKO BP, fue víctima de un fraude de phishing mientras intentaba vender un objeto a través de una plataforma de compraventa de segunda mano. Un supuesto comprador le envió un enlace que reproducía la interfaz de la plataforma y, a continuación, la de su propio banco. Al introducir sus datos de acceso, el defraudador pudo ejecutar una operación de pago no autorizada desde su cuenta.
La víctima actuó diligentemente: comunicó de inmediato lo ocurrido tanto al banco como a la policía. No obstante, el banco se negó a devolver el importe de la operación, al considerar que no se trataba de una operación no autorizada, ya que la propia clienta había facilitado sus datos bancarios.
La normativa aplicable: la Directiva de Servicios de Pago (PSD2)
Para comprender el alcance de estas conclusiones, es fundamental conocer el marco normativo que regula estas situaciones. Se trata de la Directiva (UE) 2015/2366 sobre servicios de pago en el mercado interior, conocida como PSD2, que en España se transpuso principalmente a través del Real Decreto-ley 19/2018, de 23 de noviembre.
Esta Directiva contiene dos artículos clave en la materia que nos ocupa:
El artículo 73 establece la regla general: cuando se produce una operación de pago no autorizada, el proveedor de servicios de pago (el banco) debe devolver de inmediato el importe de dicha operación al ordenante. El plazo máximo es el final del día hábil siguiente a aquel en que se tuvo conocimiento de la operación no autorizada.
El artículo 74, por su parte, regula la responsabilidad del ordenante. En él se establece que el usuario soportará las pérdidas derivadas de operaciones no autorizadas hasta un máximo de 50 euros, salvo que haya actuado de forma fraudulenta o con negligencia grave en el incumplimiento de sus obligaciones, en cuyo caso soportaría todas las pérdidas.
Vídeo:
¿Qué propone el Abogado General?
La conclusión principal del Abogado General es clara y muy favorable para los consumidores:
El banco está obligado a realizar la devolución inmediata del importe de la operación no autorizada como primera medida. Esta es una obligación imperativa que no puede eludirse.
La única excepción que permite a un banco retrasar la devolución es que tenga motivos razonables y documentados para sospechar que existe fraude por parte del propio usuario (es decir, que el usuario esté intentando defraudar al banco), en cuyo caso debe comunicarlo a la autoridad nacional competente.
La negligencia grave del usuario, por sí sola, no constituye un motivo válido para que el banco niegue la devolución inmediata. Si el banco considera que el usuario ha sido gravemente negligente, podrá reclamarle la cantidad en una fase posterior, incluso por vía judicial, pero primero debe devolver.
En otras palabras, el Abogado General establece un procedimiento en dos fases claramente diferenciadas: una primera fase de devolución inmediata (artículo 73) y una segunda fase de reparto de responsabilidad (artículo 74), en la que será el banco quien deba demostrar la negligencia grave del usuario si quiere recuperar lo devuelto.
¿Qué es la negligencia grave en estos casos?
El concepto de negligencia grave es fundamental en esta materia. La Directiva PSD2 establece que el usuario tiene la obligación de tomar las medidas razonables para proteger sus credenciales de seguridad y de notificar sin demora a su proveedor de servicios de pago cuando tenga conocimiento de una operación no autorizada.
Sin embargo, no todo descuido constituye negligencia grave. La jurisprudencia, tanto nacional como europea, ha ido perfilando este concepto. No es lo mismo ser víctima de un engaño sofisticado —como una web que replica perfectamente la de nuestro banco o una llamada con suplantación del número de teléfono de la entidad— que apuntar la contraseña junto al instrumento de pago.
Lo relevante es que la carga de la prueba recae sobre el banco: es la entidad la que debe demostrar que el usuario actuó con negligencia grave, no al revés.
Conexión con la jurisprudencia española: la STS 1671/2025
Estas conclusiones del Abogado General están en línea con la reciente Sentencia del Tribunal Supremo español de 9 de abril de 2025 (STS 1671/2025), en la que nuestro Alto Tribunal resolvió un caso de SIM swapping estableciendo que la responsabilidad del banco es cuasi objetiva y que solo la negligencia grave del usuario, debidamente acreditada por la entidad, puede eximir al banco de su obligación de devolver el dinero.
La diferencia con las conclusiones del Abogado General es que estas van un paso más allá al separar con claridad las dos fases del procedimiento: la devolución inmediata primero, y la discusión sobre la responsabilidad después.
¿Qué significa esto para los consumidores?
Si el TJUE confirma la interpretación del Abogado General —algo que ocurre en la mayoría de los casos—, las consecuencias prácticas serán muy significativas:
Los bancos ya no podrán negarse a devolver el dinero de forma inmediata cuando un cliente sea víctima de phishing, limitándose a alegar que el propio cliente facilitó sus datos.
Si un banco quiere sostener que hubo negligencia grave, deberá demostrarlo en un procedimiento posterior, asumiendo la carga de la prueba.
La protección del consumidor frente a los fraudes bancarios digitales se verá reforzada a nivel de toda la Unión Europea, con efectos directos en España a través de la Ley de Servicios de Pago.
Un apunte importante: esto aún no es la sentencia definitiva
Es necesario señalar que las conclusiones del Abogado General no son la sentencia del TJUE. Se trata de una propuesta motivada que el Tribunal tendrá en cuenta al dictar su resolución. No obstante, la experiencia demuestra que en la gran mayoría de los casos, el TJUE sigue la línea marcada por el Abogado General, por lo que existen motivos fundados para el optimismo.
Desde Iurisfirma Abogados seguiremos atentos a la evolución de este asunto y os informaremos en cuanto se conozca la sentencia definitiva.
¿Has sido víctima de phishing o de un fraude bancario?
Si tu banco se niega a devolverte el dinero tras haber sido víctima de una estafa, es importante que sepas que tienes opciones. En Iurisfirma Abogados te ofrecemos una consulta gratuita por videoconferencia en la que podemos analizar tu caso y orientarte sobre las posibilidades de reclamación.
Puedes reservar tu consulta directamente desde ESTE ENLACE o contactar con nosotros a través del correo electrónico [email protected] o del formulario de contacto de nuestra web, www.iurisfirma.es.
Deja tu comentario