Lo novedoso de aquel caso es que el banco no solo fue condenado a reintegrar la cantidad fraudulentamente sustraída, sino también, tal como habíamos solicitado en la demanda, al pago de una indemnización por daños morales (concretamente, 2.280,60 euros) por el injustificado perjuicio psíquico causado a su propia clienta al negarse a devolver el dinero y atribuirle responsabilidad en lo sucedido. La doble victimización era evidente: la víctima sufre el delito y, después, el desamparo de su propio banco.

Ahora, el 15 de octubre de 2026, el Tribunal de Justicia de la Unión Europea (TJUE) ha resuelto el caso de una ciudadana polaca que introdujo sus claves en una web falsa a través de un enlace fraudulento. El estafador transfirió unos 705 euros y su banco rehusó devolverlos alegando negligencia grave; lo habitual, lo que ha venido sucediendo en todos estos casos desde 2020.

Sin embargo, el Tribunal europeo declara en su sentencia que el proveedor de servicios de pago (que es normalmente el banco) no puede negarse a reembolsar al cliente de manera inmediata una operación no autorizada. Solo en el caso de sospechas fundadas sobre la existencia de una actuación fraudulenta del propio cliente, que debe ser comunicada por escrito a la autoridad competente (en nuestro país, el Banco de España), queda habilitado el banco para negar la devolución.

En todos los demás casos, el banco debe devolver sin demora el importe sustraído por los ciberdelincuentes. Incluso en el caso de negligencia grave del cliente: el banco debe reponer el dinero y solo después, si lo considera justificado, reclamara su cliente.

El Real Decreto-ley 19/2018, de servicios de pago, exige al proveedor devolver la operación no autorizada a más tardar al final del día hábil siguiente a la notificación (art. 45) y le atribuye la prueba de la autenticación, advirtiendo de que el mero registro de la operación no basta para demostrar que fue autorizada ni que hubo negligencia del cliente (art. 44).

Por tanto, en realidad, la sentencia del TJUE no establece ninguna nueva obligación para los bancos, pero sí supone un importante recordatorio de cuál tiene que ser su respuesta cuando un cliente es víctima de una de esas estafas informáticas.

Las entidades bancarias ya no tienen excusa. Cuando llega un correo o mensaje que imita los del banco o llama alguien simulando ser del departamento de seguridad de la entidad o llega un aviso en la cadena de SMS del banco avisando de un cargo sospechoso o un falso comprador o vendedor lleva a la víctima desde una plataforma de anuncios a una pasarela falsa..., entre otros muchos casos que maquinan los cada vez más sofisticados piratas informáticos, si se produce unailegítima disposición de dinero, la entidad bancaria tiene un deber claro: devolver el dinero sin demora.

La premisa es clara: primero se reintegra la cantidad sustraída y después se discute. Negarse a devolver el dinero invocando la negligencia del cliente incumple la ley y puede generar responsabilidad adicional, incluido el pago de indemnización por daño moral. Ahora más que nunca.

Por tanto, lo que defendimos en 2020 está plenamente vigente. Esperemos que los bancos tomen buena nota de la resolución dictada por la máxima instancia judicial europea y no sigan obligando a sus clientes a iniciar un largo y costoso peregrinaje judicial después de haber sido víctimas de un delito.