Responsabilidad contractual de la banca por phishing: artículos 1101 y 1104 CC a la luz de la STS 571/2025

1. Un mismo hecho, dos vías de responsabilidad

Cuando un cliente sufre un fraude bancario por phishing, smishing, vishing o SIM swapping, la práctica se ha centrado casi siempre en la vía administrativa-financiera: PSD2 (Directiva 2015/2366) y su transposición mediante el Real Decreto-ley 19/2018, que imponen al banco una responsabilidad cuasiobjetiva por operaciones no autorizadas, salvo fraude o negligencia grave del cliente.

Analizamos ya esa vertiente en detalle en nuestro artículo sobre [phishing bancario y responsabilidad de las entidades](https://bufetepadillatorrevieja.com/es/blog/phishing-bancario-bank-liability-spain) y en el estudio sobre [ciberestafas, banca y responsabilidad TJUE](https://bufetepadillatorrevieja.com/es/blog/tjue-ciberestafas-banca-responsabilidad-fraude-online-2026).

Sin embargo, la reciente Sentencia del Tribunal Supremo 571/2025, de 9 de abril, refuerza también una segunda línea de ataque, autónoma y complementaria: la responsabilidad contractual derivada de los artículos 1101 y 1104 del Código Civil. Este artículo se centra exclusivamente en esa segunda vía.

2. La relación banco-cliente como contrato de resultado reforzado

El contrato de cuenta corriente, de depósito y de servicios de pago es, en esencia, un contrato bancario complejo que combina prestaciones de custodia, gestión de fondos y ejecución de órdenes de pago. El banco no es un mero intermediario neutral: es un profesional del tráfico financiero que percibe una remuneración y asume, por naturaleza, la obligación de conservar y proteger el patrimonio confiado por el cliente.

Sobre este contrato pivotan dos preceptos clave:

• Artículo 1101 CC: "Quedan sujetos a la indemnización de los daños y perjuicios causados los que en el cumplimiento de sus obligaciones incurrieren en dolo, negligencia o morosidad, y los que de cualquier modo contravinieren al tenor de aquéllas."
• Artículo 1104 CC: "La culpa o negligencia del deudor consiste en la omisión de aquella diligencia que exija la naturaleza de la obligación y corresponda a las circunstancias de las personas, del tiempo y del lugar. Cuando la obligación no exprese la diligencia que ha de prestarse en su cumplimiento, se exigirá la que correspondería a un buen padre de familia."

La jurisprudencia lleva décadas modulando el estándar del "buen padre de familia" cuando el deudor es un profesional cualificado. En el sector bancario, el nivel de diligencia exigible no es el del ciudadano medio, sino el de un experto en seguridad financiera con recursos técnicos, humanos y regulatorios muy superiores a los del consumidor.

3. Lo que aporta la STS 571/2025 en clave contractual

Aunque la STS 571/2025 se apoya expresamente en el RDL 19/2018, su razonamiento resulta plenamente proyectable al terreno del artículo 1101 CC. La Sala destaca:

1. El banco asume una posición contractual de garante de la seguridad de las operaciones y de la integridad de los fondos.
2. La carga de la prueba de la autorización, del funcionamiento correcto de sus sistemas y de la ausencia de fallos técnicos recae sobre la entidad, no sobre el cliente.
3. La simple constancia registral de la operación no basta para acreditar consentimiento válido ni exonerar al banco.
4. Solo cabe exoneración en supuestos excepcionales de fraude o negligencia grave probada del usuario.