El Tribunal de Justicia de la Unión Europea (TJUE) ha reforzado la protección de las víctimas de phishing al establecer que los bancos no pueden negarse a devolver de inmediato el dinero sustraído mediante operaciones de pago no autorizadas alegando que el cliente pudo actuar con negligencia grave, esto es, se establece que las entidades bancarias deben reembolsar las operaciones de pago no autorizadas como máximo al final del siguiente día hábil, sin poder alegar una posible negligencia grave del cliente para retrasar la devolución.
La sentencia, dictada en el asunto C-70/25, resuelve el caso de una mujer polaca que sufrió una estafa al intentar vender un objeto por Internet. Un supuesto comprador le envió un enlace fraudulento que permitió a los estafadores realizar operaciones de pago.
El fallo aclara que, cuando se denuncia una operación no autorizada, la entidad debe devolver el importe de forma inmediata y, en todo caso, como máximo al final del día hábil siguiente a aquel en que haya detectado o recibido la notificación de la operación.
El TJUE concluye que la mera sospecha de negligencia grave del cliente no constituye una excepción que permita al banco suspender ese reembolso.
Primero, devolver; después, determinar la responsabilidad.
En este sentido, se establece que corresponde al proveedor de servicios de pago demostrar que la operación fue autenticada, registrada y contabilizada correctamente y que no se vio afectada por un fallo técnico u otra deficiencia del servicio.
La resolución supone un avance para los usuarios que sufren operaciones fraudulentas y que, hasta ahora, podían verse obligados a acudir a los tribunales para recuperar su dinero cuando el banco alegaba una posible negligencia grave.
El TJUE recuerda que la devolución inmediata debe ser la regla y no una excepción. Permitir que las entidades la denieguen por la mera sospecha de una conducta negligente vaciaría de contenido la protección que establece la normativa europea de servicios de pago.
Si el banco incumple esta obligación, el usuario podrá reclamar judicialmente la devolución, tras cumplir, cuando proceda, el requisito de acudir previamente a un medio adecuado de solución de controversias (MASC).
La sentencia refuerza así la protección de los consumidores frente a la ciberdelincuencia y establece una distinción fundamental: el banco debe devolver primero el dinero y, si considera que el cliente es responsable, acreditar esa responsabilidad posteriormente.
Fuente: Articulo de opinión escrito por Juan Carlos Añón, abogado y presidente de la Sección de Consumo del Colegio de la Abogacía de Valencia en la web de Abogacía Española.
Española