El Tribunal de Justicia de la UE obliga a los bancos a reembolsar inmediatamente a víctimas de ciberestafas

El Tribunal de Justicia de la Unión Europea ha dictado una sentencia que cambia la forma en que los bancos deben gestionar las reclamaciones de ciberestafas. La decisión obliga a las entidades a devolver el importe sustraído antes de iniciar cualquier proceso de investigación, modificando la carga de la prueba que antes recaía sobre el cliente.

Un caso que marcó la jurisprudencia

La polémica comenzó en Polonia, cuando una mujer que vendía un objeto en línea recibió un enlace que parecía provenir de la plataforma de venta. El enlace llevaba a una web clonada del banco de la víctima, donde introdujo sus credenciales. El estafador logró sustraer 700 euros. Al día siguiente, la cliente notificó al banco, que se negó a reembolsar el importe alegando negligencia grave por parte de la usuaria.

El Tribunal de Justicia de la UE falló a favor de la clienta, estableciendo que la negligencia no puede impedir la devolución inmediata. Si el cliente avisa sin demora, el banco debe devolver el dinero a más tardar al cierre del siguiente día hábil.

El marco normativo y la práctica de los bancos

La Directiva Europea de Servicios de Pago permite una excepción cuando el banco sospecha, con motivos razonables, que el cliente ha cometido fraude. En ese caso, la entidad debe notificar a la autoridad nacional y no tiene obligación de devolver el importe. Sin embargo, varios bancos habían convertido esta excepción en norma y se aferraban a la negligencia grave del usuario para evitar el reembolso.

El artículo 45 de la normativa ya obligaba a los bancos a devolver de inmediato las operaciones no autorizadas. Los tribunales comenzaron a frenar esta práctica, como en abril de 2025, cuando el Supremo obligó a Ibercaja a devolver 56.474 euros a una víctima de SIM swapping. Los jueces señalaron que quince transferencias en una noche no debían pasar desapercibidas.

La sentencia y su impacto en la práctica bancaria

El Tribunal Europeo distingue entre la devolución del dinero y la determinación de la responsabilidad. La devolución debe realizarse primero, y el banco debe abonar el importe de forma inmediata. Si el banco se niega a devolver el dinero, la obligación de devolución inmediata se pierde y el cliente tendría que demandar, con costes legales adicionales.

En caso de que el banco demuestre que el cliente actuó con mala fe o negligencia grave, puede reclamar la devolución del importe. Así, la carga de la prueba se traslada al banco, que debe demostrar la negligencia del usuario.

Datos sobre la magnitud del fraude

El fraude con tarjetas y transferencias bancarias representó casi el 28% de las reclamaciones admitidas por el Banco de España en 2025. Según el Balance Trimestral de Criminalidad de 2025 del Ministerio del Interior, se registraron 430.493 estafas informáticas en todo el año pasado.

La sentencia del Tribunal Europeo, al exigir la devolución inmediata, busca proteger a los usuarios y evitar que los bancos se aprovechen de la falta de conocimiento de los clientes sobre la seguridad digital.