La excepción: sospechas fundadas de fraude del propio cliente
La obligación de devolución inmediata no es absoluta. La normativa europea contempla una excepción cuando el proveedor de servicios de pago tiene motivos razonables para sospechar que el propio cliente está cometiendo un fraude y comunica esas sospechas a la autoridad nacional competente.
En España, el artículo 45 del Real Decreto-ley 19/2018 exige que esos motivos se comuniquen por escrito al Banco de España. No basta, por tanto, con que la entidad considere que el usuario fue imprudente al seguir un enlace fraudulento o facilitar determinadas credenciales.
La distinción resulta especialmente relevante en las estafas que emplean técnicas de suplantación de identidad bancaria. Los delincuentes pueden utilizar páginas que imitan las originales, llamadas que aparentan proceder del teléfono de la entidad o mensajes integrados en conversaciones previas de SMS. Sin embargo, la existencia de estos mecanismos de engaño no determina automáticamente si hubo o no negligencia grave: esa valoración debe realizarse atendiendo a las circunstancias y a las pruebas disponibles.
Más de 429.000 estafas informáticas registradas en España durante 2025
La sentencia llega en un contexto de elevada incidencia del fraude digital. Según el Informe sobre la Cibercriminalidad en España 2025 del Ministerio del Interior, las fuerzas de seguridad registraron 429.677 estafas informáticas durante ese año, casi nueve de cada diez de los 488.426 ciberdelitos conocidos. Los fraudes informáticos aumentaron un 4 % respecto a 2024.
Montero de Cisneros Abogados, considera que la resolución puede modificar la forma en que se gestionan las reclamaciones bancarias. «Durante años, la palabra ‘negligencia’ ha funcionado como un muro. Muchos afectados ni siquiera reclamaban porque su banco les decía, desde la primera llamada, que la culpa era suya», señala.
Los datos del primer semestre de 2026 mantienen la importancia de esta modalidad delictiva. El Balance de Criminalidad del Ministerio del Interior contabiliza 214.621 estafas informáticas entre enero y junio, equivalentes al 87,3 % de las infracciones relacionadas con la ciberdelincuencia durante ese periodo. Las cifras incluyen distintas modalidades de fraude informático y no exclusivamente operaciones bancarias no autorizadas.
El informe anual de 2025 también identifica a las personas de entre 51 y 65 años como el grupo de edad más frecuente entre las víctimas de ciberdelincuencia, tanto hombres como mujeres.
Cómo reclamar al banco después de sufrir una estafa
La sentencia refuerza la importancia de comunicar cuanto antes cualquier operación que el titular de una cuenta no haya autorizado. José Montero recomienda notificar el fraude al banco sin demora, preferiblemente por escrito y dejando constancia de la fecha y la hora. También aconseja solicitar el bloqueo de tarjetas y accesos comprometidos, presentar una denuncia ante las fuerzas de seguridad y conservar los mensajes, correos electrónicos, capturas de pantalla, registros de llamadas y extractos relacionados con los hechos.
Cuando se trate de una operación de pago no autorizada, el afectado puede solicitar expresamente la aplicación del artículo 45 del Real Decreto-ley 19/2018 y de la interpretación establecida por el TJUE en el asunto C-70/25. Si la entidad no atiende la solicitud, puede presentar una reclamación ante su servicio de atención al cliente y, posteriormente, acudir al Banco de España o a la vía judicial, según corresponda.
La sospecha de negligencia grave del afectado no permite rechazar inicialmente la devolución, aunque el banco puede reclamar posteriormente el dinero si demuestra su responsabilidad.
El pronunciamiento europeo no significa que cualquier pérdida económica derivada de una estafa deba ser reembolsada automáticamente. La obligación analizada se refiere a operaciones de pago no autorizadas, por lo que resulta esencial distinguirlas de aquellas transferencias que el propio cliente haya ordenado bajo engaño, cuya valoración jurídica puede ser diferente.
La novedad de la sentencia tampoco consiste en crear un nuevo plazo de devolución, ya previsto en la legislación española, sino en aclarar que las entidades no pueden utilizar una acusación de negligencia grave como justificación inicial para incumplirlo. La eventual responsabilidad del usuario debe determinarse después y sobre la base de pruebas, sin confundirla con la obligación inmediata de reembolso.
Artículo redactado con asistencia de IA (Ref. APA: OpenAI. (2026). ChatGPT (GPT-6, 11 de noviembre)).
