Tu banco debe devolverte el dinero de una estafa aunque alegue negligencia

Pones a la venta algo en una plataforma de ventas en línea y un supuesto comprador te manda un enlace para «confirmar la venta». Te lleva a una página idéntica a la de tu banco, escribes tus claves y te faltan unos 700 euros. Al día siguiente avisas al banco y te contesta que no te devuelve nada, porque fuiste tú quien dio las claves. Le pasó a una clienta de un banco polaco, y el jueves 15 de octubre de 2026 el Tribunal de Justicia de la Unión Europea (TJUE) dijo que, cuando el cliente no ha autorizado un cargo, el banco tiene que devolverle el dinero primero y discutir la culpa después.

La sentencia, del asunto C-70/25, dice que si no autorizaste un cargo y avisas sin demora, el banco tiene que devolverte el importe de inmediato y, como muy tarde, al final del día hábil siguiente, aunque crea que fuiste muy descuidado con tus claves. Solo puede negarse si tiene motivos razonables para sospechar que el fraude lo cometiste tú y lo comunica por escrito a la autoridad, que en España es el Banco de España. Si después quiere recuperar ese dinero, tendrá que demostrar que hubo negligencia grave.

Qué dijo el Tribunal de Justicia

El caso llegó de un tribunal polaco. La clienta había puesto a la venta un objeto en una plataforma de subastas, y un falso comprador la llevó a una web que imitaba la de su banco, donde ella escribió sus datos de acceso. El estafador transfirió 3.000 eslotis (unos 700 euros) y autorizó la operación con un código por SMS que le había sacado con el engaño. Al día siguiente, ella avisó al banco y a la policía. El banco se negó a devolver la transferencia porque, en su opinión, la clienta la había hecho posible por negligencia grave al no proteger sus credenciales.

El juez preguntó al TJUE si eso bastaba para negarse, y la respuesta, que recoge el comunicado oficial del tribunal y que consta en la sentencia completa, fue que no. La directiva europea de servicios de pago (la 2015/2366, conocida como PSD2) solo prevé una excepción a la devolución inmediata, la sospecha razonable de que el fraude es del propio cliente, comunicada por escrito a la autoridad nacional. Los Estados miembros tampoco pueden añadir otras excepciones por su cuenta.

El tribunal separa dos preguntas. La primera es si el banco tiene que devolver el dinero, y la respuesta es sí, en ese plazo. La segunda es quién carga al final con la pérdida, y eso se decide más tarde. El banco puede reclamarte lo que perdió si demuestra que incumpliste tus obligaciones a propósito o por negligencia grave, por ejemplo al no proteger tus claves, y la prueba le corresponde a él.

El motivo es la protección del consumidor. Si el banco pudiera negarse de entrada alegando negligencia grave, la obligación de devolver se quedaría en nada y sería el cliente quien tendría que ir a juicio para recuperar su dinero, con lo que eso cuesta. El abogado general Athanasios Rantos ya lo había propuesto en sus conclusiones del 5 de marzo. A su juicio, si el cliente no devuelve el dinero cuando el banco se lo reclama, es el banco quien tiene que demandarle.

El TJUE no resuelve el pleito polaco, que decidirá el juez de allí. Su interpretación, en cambio, obliga a todos los tribunales de la Unión que juzguen casos parecidos, también a los españoles. El tribunal polaco preguntó por una operación «no autorizada», y el TJUE responde sobre ese supuesto. Si un pago confirmado con un código que te sacaron con engaño cuenta como no autorizado se decide caso por caso, y en España lo deciden los jueces.

Qué cambia en España

En España, la directiva está en el Real Decreto-ley 19/2018, de servicios de pago. Su artículo 45 ya obliga a devolver el cargo no autorizado como muy tarde al final del día hábil siguiente, con fecha de valor no posterior a la del cargo, y la única salida que deja al banco es comunicar por escrito al Banco de España que sospecha fraude. El artículo 44 añade que es el banco quien debe probar que la operación se autenticó bien y que tú cometiste fraude o negligencia grave, y que su propio registro de la operación no basta por sí solo. Un día hábil es uno en el que el banco está abierto para operar, por lo que normalmente no cuentan los fines de semana ni los festivos. En las cuentas contratadas por internet vale el calendario de la plaza donde tiene su sede el banco (artículo 3.13 del mismo real decreto-ley).

El artículo 45 ya decía lo mismo, pero ahora lo confirma el tribunal que interpreta la directiva para toda la Unión, y «usted dio sus claves» no sirve como excusa para no devolver el cargo como muy tarde al final del día hábil siguiente. El fraude con tarjetas y transferencias fue la primera causa de las reclamaciones que admitió el Banco de España en 2025, casi el 28 %, y en los cuatro primeros meses de 2026 las reclamaciones recibidas subieron más de un 50 %, sobre todo por fraude, según su nota del 21 de julio de 2026.

El Tribunal Supremo iba en la misma dirección. En su sentencia 571/2025, del 9 de abril de 2025, sobre un duplicado de SIM, llamó «cuasi objetiva» a la responsabilidad del banco. También dijo que las operaciones hechas con tus claves y confirmadas con el código del SMS siguen siendo no autorizadas si niegas haberlas autorizado, y recordó, con la directiva, que la negligencia grave exige una falta de diligencia significativa.

Lo que la sentencia no arregla

Hay cuatro situaciones en las que la sentencia te ayuda menos de lo que parece.

• Si el pago lo hiciste tú, aunque fuera con engaño, el Banco de España lo considera una operación autorizada. Su ejemplo es pagar un producto anunciado en una web que nunca llega. El banco no puede anular ese pago sin el beneficiario, y si tu consentimiento estaba viciado lo decide un juez.
• Tienes que avisar sin demora y, como máximo, en los 13 meses siguientes al cargo (artículo 43). En agosto de 2025, en el asunto Veracash (C-665/23), sobre la directiva anterior (2007/64), el TJUE dijo que avisar con retraso puede costarte la devolución aunque estés dentro de esos 13 meses. Con una tarjeta extraviada, robada o usada sin permiso, solo la pierdes si el retraso fue deliberado o por negligencia grave. Probar la negligencia grave le corresponde al banco (artículo 44.3).
• La devolución no es definitiva. Si el banco demuestra fraude o negligencia grave, puede reclamarte todo lo perdido (artículo 46). Si no lo demuestra, como mucho te tocarían 50 euros en algunos casos de tarjeta perdida o robada, y nada si el banco no te pidió la autenticación reforzada (el código o la huella para confirmar el pago), salvo que el fraude fuera tuyo.
• Si el cliente es una empresa que no es microempresa (las microempresas tienen menos de 10 personas y no pasan de 2 millones de euros de facturación o de balance), su contrato puede dejar fuera la regla de la prueba y la del reparto de pérdidas, por el artículo 34. La devolución del artículo 45 no está en esa lista.

Qué puede hacer el banco después

La sentencia deja al banco una vía. Primero devuelve, y luego, si cree que fuiste muy descuidado, te reclama el dinero y lo demuestra. La diligencia que se le pide a él es alta, la de un «ordenado y experto comerciante», en palabras del Supremo. La directiva pone como ejemplo de negligencia grave guardar las claves junto a la tarjeta, a la vista de cualquiera. Dar un código por teléfono a quien dice ser tu banco puede considerarse negligencia grave o no, según las circunstancias, y al final lo decide un juez.

El Banco de España ya pedía en su compendio de buenas prácticas, actualizado en abril de 2026, que si el banco te hace un abono provisional mientras investiga te avise previamente de que es provisional y de que puede volver a cargártelo. Ese nuevo cargo, si llega, no debería retrasarse mucho, y el servicio de atención al cliente debería darte los documentos que prueban que la operación se autorizó. La sentencia dice que el banco puede reclamarte después lo perdido «por las vías legales establecidas a tales efectos», sin precisar cuáles, así que sigue sin estar claro si puede volver a cargarte el dinero por su cuenta o tiene que pedírtelo. El abogado general creía que, si te niegas a devolverlo, le toca al banco ir al juzgado.

Casi medio millón de euros en Albacete

El caso más reciente lo contó la Policía Nacional el viernes 16 de octubre de 2026. Según su nota de prensa, que recogieron Europa Press y COPE, una empresa de Albacete perdió 468.950 euros después de que alguien que se presentó como empleado del servicio de seguridad y antifraude de su banco la llamara para avisarle de unas transferencias inusuales. Para «paralizar y retroceder» esas operaciones, le pidió los códigos de seguridad que iban llegando al móvil, y con ellos se autorizaron las transferencias. La Policía Nacional recuperó 215.662 euros con requerimientos a los bancos que recibieron el dinero y los devolvió a la cuenta de origen.

La Policía llama a este engaño «llamada enmascarada» o spoofing, y su nota no dice qué número vio la empresa en la pantalla. Contra una llamada con el número falseado no sirve el prefijo 400, que desde el sábado 17 de octubre de 2026 identifica las llamadas comerciales, ni una web como Soy Yo, que te dice de qué empresa es un número, pero no si es esa empresa la que te llama.

La nota no dice si la empresa ha reclamado a su banco el resto, y sería un caso de frontera. Según la propia nota, al compartir los códigos la empresa estaba autorizando las transferencias, y esa sería la defensa del banco. La empresa podría alegar que quien las ordenó fue el estafador. Si se consideran no autorizadas, la sentencia obliga a devolver primero, salvo sospecha de fraude, y a discutir la negligencia después. Si la empresa no es una microempresa, su contrato puede haber cambiado además las reglas sobre quién prueba qué.

Cómo reclamar si te pasa

Lo que sigue es información general, no asesoramiento para tu caso. Si hay mucho dinero en juego, consulta con una asociación de consumidores o con un abogado.

1. Avisa al banco en cuanto veas el cargo, por sus canales oficiales (la app o el teléfono de su web o del dorso de la tarjeta), y pide que bloqueen la tarjeta o el acceso. El banco tiene que darte gratis un medio para avisar y, si lo pides, una prueba de que avisaste, que debe guardar 18 meses (artículo 42). En nuestro artículo sobre los duplicados de SIM tienes los teléfonos de los grandes bancos.
2. Denuncia en la Policía Nacional o la Guardia Civil. Los bancos suelen pedir la denuncia y un formulario con los datos de la operación, algo que el Banco de España ve razonable.
3. Pide por escrito la devolución del cargo no autorizado, citando el artículo 45 del Real Decreto-ley 19/2018 y la sentencia del TJUE del 15 de octubre de 2026 (asunto C-70/25). Guarda copia de todo.
4. Si no te lo devuelven, reclama por escrito al servicio de atención al cliente o al defensor del cliente del banco. En servicios de pago tiene 15 días hábiles para contestarte, y un mes como máximo en casos excepcionales (artículo 69).
5. Si la respuesta no te convence o no llega en plazo, reclama al Banco de España, en su sede electrónica, en su registro o por correo, como explica su guía para reclamar. Si eres consumidor, tienes un año desde la reclamación al banco. En 2025 solo admitió algo más de un tercio de las 30.970 reclamaciones que recibió, sobre todo porque no habían pasado antes por el banco o no eran de su competencia.
6. Si nada de eso funciona, queda la vía judicial.

El informe del Banco de España llega en un máximo de cuatro meses y no obliga al banco, según la Orden ECC/2502/2012. Aun así, en 2025 más de la mitad de las reclamaciones admitidas acabaron a favor del cliente, por acuerdo con el banco (el 33 %) o con un informe favorable (el 20 %). El servicio de reclamaciones tampoco admite las que obliguen a probar hechos que solo se pueden probar ante un juez, ni sigue con la tuya si el asunto ya está en los tribunales (artículos 10.1 y 10.4 de la misma orden). Si el banco insiste en que fuiste gravemente negligente, la discusión puede acabar en el juzgado.

Paso	Plazo	Norma
Avisar al banco del cargo no autorizado	Sin demora y, como máximo, 13 meses desde el cargo	Artículo 43 del Real Decreto-ley 19/2018
Devolución del cargo	Al final del día hábil siguiente al aviso, como muy tarde	Artículo 45 y sentencia C-70/25
Respuesta del servicio de atención al cliente	15 días hábiles (un mes, en casos excepcionales)	Artículo 69 del Real Decreto-ley 19/2018
Reclamación al Banco de España	Hasta un año después de reclamar al banco (consumidores)	Ley 7/2017, artículo 18
Informe del Banco de España	Hasta cuatro meses; no obliga al banco	Orden ECC/2502/2012, artículo 12

La reforma europea que viene

La UE prepara un reglamento de servicios de pago que irá más lejos. En el acuerdo provisional del 27 de noviembre de 2025, el Parlamento Europeo y los Gobiernos pactaron que, si un estafador se hace pasar por un empleado de tu banco, el banco te devuelva todo siempre que lo denuncies a la policía y se lo comuniques. Todavía no está en vigor. Falta la aprobación formal, y el observatorio legislativo del Parlamento sitúa la votación en el pleno del 14 de diciembre de 2026, una fecha orientativa.

A la clienta polaca, su banco se negó a devolverle el dinero porque, según él, había sido gravemente negligente al dar sus claves en una web falsa. Tras la sentencia, esa respuesta ya no basta para negarse a devolvérselo. Será el juez polaco quien aplique la sentencia a su caso, pero si el banco quiere que pague ella, tendrá que demostrar esa negligencia grave.

Fuentes

• Tribunal de Justicia de la Unión Europea: sentencia de la Sala Primera del 15 de octubre de 2026 en el asunto C-70/25 (ECLI:EU:C:2026:852), en la edición provisional de EUR-Lex.
• Tribunal de Justicia de la Unión Europea: comunicado de prensa 147/26 sobre la sentencia del asunto C-70/25 (15 de octubre de 2026), comunicado 31/26 sobre las conclusiones del abogado general (5 de marzo de 2026) y comunicado 97/25 sobre la sentencia Veracash, asunto C-665/23 (1 de agosto de 2025).
• EUR-Lex: Directiva (UE) 2015/2366, sobre servicios de pago en el mercado interior.
• BOE: Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago (artículos 3, 34, 42, 43, 44, 45, 46 y 69), y Orden ECC/2502/2012, sobre los servicios de reclamaciones (artículos 10 y 12).
• Tribunal Supremo, Sala Primera: sentencia 571/2025, de 9 de abril (Roj STS 1671/2025), consultable en el buscador del CENDOJ.
• Banco de España: cómo presentar una reclamación, nota de prensa sobre la Memoria de Reclamaciones de 2025 (21 de julio de 2026) y Compendio de criterios de buenas prácticas bancarias (abril de 2026, páginas 138 a 141).
• Parlamento Europeo: nota sobre el acuerdo de servicios de pago (27 de noviembre de 2025, en inglés) y ficha del procedimiento 2023/0210(COD).
• Policía Nacional, nota de prensa del 16 de octubre de 2026 sobre la estafa a una empresa de Albacete, según Europa Press («Policía Nacional recupera 215.662 euros estafados a una empresa de Albacete con ‘llamada enmascarada’») y COPE («El timo de la ‘llamada enmascarada’: estafan casi medio millón de euros a una empresa de Albacete»).
• Imagen de portada: foto de las torres del Tribunal de Justicia de la Unión Europea, en Luxemburgo, de FrDr (Wikimedia Commons), con licencia CC BY-SA 4.0; recortada y con texto de Ping Cero. La portada se comparte con la misma licencia.