Negligencia grave en fraudes bancarios: cómo ha cambiado la jurisprudencia (STS 571/2025 y Audiencias 2024-2026)

Cuando el banco se niega a devolver el dinero de una estafa alega casi siempre "negligencia grave" del cliente. La STS 571/2025, de 9 de abril, y las últimas sentencias de Audiencias Provinciales han elevado mucho ese listón: ser engañado no es lo mismo que ser gravemente negligente. Analizamos los casos en los que el banco paga y aquellos en los que el cliente pierde.

Lo esencial en treinta segundos

Si le han vaciado la cuenta mediante *phishing*, *smishing* (SMS falso) o *vishing* (llamada suplantando al banco), la regla legal de partida es que el banco debe devolverle el dinero de inmediato. La excepción es que el banco pruebe que usted actuó con fraude o negligencia grave. Esa excepción es la batalla real de todos los pleitos de ciberfraude, y la jurisprudencia reciente la ha estrechado mucho.

La STS 571/2025, de 9 de abril, fija el criterio que hoy usan las Audiencias Provinciales: que un tercero consiga sus claves no significa, por sí solo, que usted haya sido gravemente negligente. La negligencia grave exige una conducta inexcusable, no un simple error humano frente a un engaño sofisticado.

1. Qué dice la ley antes de mirar las sentencias

El marco es el Real Decreto-ley 19/2018, de servicios de pago (transposición de la Directiva PSD2):

  • Art. 36: usted debe notificar la operación no autorizada sin demora injustificada y, como máximo, en 13 meses desde el adeudo.
  • Art. 44: si usted niega haber autorizado la operación, corresponde al banco probar que la operación fue autenticada, registrada y contabilizada correctamente. Y el registro de la autenticación no basta por sí solo para probar que el cliente autorizó, ni que actuó de forma fraudulenta o con negligencia grave.
  • Art. 45: el banco debe devolver el importe de inmediato y, a más tardar, al final del día hábil siguiente a la notificación, dejando la cuenta como si el cargo no se hubiera producido.
  • Art. 46: el cliente solo soporta la pérdida cuando ha actuado de forma fraudulenta o con negligencia grave en el cumplimiento de sus obligaciones de custodia de credenciales.

Dos consecuencias prácticas que se olvidan a menudo:

  1. La carga de la prueba es del banco, no del cliente. No es usted quien tiene que demostrar que fue diligente.
  2. La devolución debe ser inmediata; el banco no puede retener el dinero "mientras investiga" durante meses.

2. El estándar del Supremo: STS 571/2025, de 9 de abril

Es la resolución de referencia en la delimitación del concepto de negligencia grave, y de ella se extraen cuatro criterios:

  1. El acceso de un tercero a las claves no implica negligencia grave. Es un hecho, no una conclusión jurídica.
  2. La negligencia grave exige una conducta inexcusable. No basta un error humano ante un engaño elaborado: las técnicas actuales de *phishing* engañan incluso a usuarios cautelosos.
  3. La diligencia exigible al banco no es la del "buen padre de familia" del art. 1104 CC, sino la de un ordenado y experto comerciante. El proveedor de servicios de pago es un profesional con medios técnicos: se le exige más que al cliente.
  4. No valen las alegaciones genéricas del banco. Debe acreditar, con el registro concreto de la operación y datos objetivos, que hubo negligencia grave.

Ese cuarto punto es el que decide la mayoría de los pleitos: los bancos comparecen con un informe interno estándar que dice "operación autenticada con firma digital y clave OTP" y los tribunales responden que eso prueba que la operación se ejecutó, no que el cliente fuera gravemente negligente.