Phishing bancario: el TJUE obliga al banco a devolver el dinero de inmediato (sentencia C-70/25)
El TJUE (C-70/25, 15 de octubre de 2026) cierra la puerta a los bancos: alegar "negligencia grave" del cliente ya no permite negarse a devolver el dinero de un phishing. Primero se devuelve; después, si acaso, el banco reclama probando el fraude o la negligencia grave.
Revisión jurídica: Gabriel Padilla Franco, ICAE n.º 1265 · 15 de octubre de 2026
El Tribunal de Justicia de la Unión Europea (TJUE) ha dictado hoy, 15 de octubre de 2026, una sentencia que cambia las reglas del juego para las víctimas de phishing bancario en toda la Unión Europea, incluida España. En el asunto C-70/25 (N.O. contra PKO BP S.A., ECLI:EU:C:2026:852), la Primera Sala responde con claridad: el banco no puede negarse a devolver de inmediato el importe de una operación no autorizada alegando que el cliente actuó con negligencia grave.
En palabras sencillas: primero devuelve el banco; después, si cree que hubo negligencia grave o fraude del cliente, tendrá que probarlo y reclamarlo. Se acabó eso de que la víctima de la estafa tenga que demandar para recuperar su dinero.
En este artículo explicamos qué ha decidido el TJUE, qué dice exactamente la Directiva de Servicios de Pago (PSD2), cómo encaja con la legislación española y —lo más importante— qué debe hacer si su banco le ha rechazado la devolución tras un phishing. Al final puede descargar, como suscriptor VIP, la traducción íntegra de la sentencia al castellano y al inglés en PDF.
El caso: un phishing de 3.000 zlotys que ha llegado a Luxemburgo
Los hechos son los que sufren a diario miles de clientes bancarios:
- Una clienta del banco polaco PKO BP puso un objeto a la venta en un portal de subastas online.
- Un estafador, haciéndose pasar por comprador interesado, le envió un enlace falso que imitaba al portal para "confirmar la venta".
- El enlace llevaba a una web que reproducía la apariencia de su banco. La clienta introdujo sus credenciales de banca online.
- Con esos datos, y con un código SMS que la propia víctima facilitó engañada, el estafador transfirió 3.000 zlotys (unos 705 euros) a su propia cuenta.
- Al día siguiente, la clienta detectó el fraude y lo comunicó inmediatamente al banco y a la policía.
- El banco se negó a devolver el dinero, alegando que la clienta había actuado con negligencia grave al no proteger sus credenciales.
El tribunal polaco de Koszalin planteó al TJUE la cuestión prejudicial: ¿puede un banco rechazar la devolución inmediata porque el cliente facilitó la operación por negligencia grave? La respuesta del TJUE es un no rotundo.
Qué dice la Directiva PSD2 (Directiva (UE) 2015/2366)
La sentencia interpreta tres artículos clave de la Directiva de Servicios de Pago:
- Artículo 73.1 — Obligación del banco: ante una operación de pago no autorizada, el banco debe reembolsar al cliente inmediatamente tras conocer la operación y, en todo caso, a más tardar al final del primer día hábil siguiente. Solo hay una excepción: que el banco tenga motivos razonables para sospechar fraude del propio cliente y los comunique por escrito a la autoridad nacional competente.
- Artículo 74.1 — Responsabilidad del cliente: el cliente soporta todas las pérdidas si resultan de su actuación fraudulenta o de un incumplimiento, intencionado o por negligencia grave, de sus obligaciones (por ejemplo, proteger sus datos de seguridad personalizados, artículo 69).
- Artículo 72.2 — Carga de la prueba: corresponde al banco aportar elementos que prueben el fraude o la negligencia grave del cliente. Que en los registros del banco conste que se usó el instrumento de pago no basta para probar que el cliente autorizó la operación.