Publicado: octubre 28, 2026, 3:00 am
Las estafas digitales en España están a la orden del día. Según datos oficiales del Ministerio del Interior, las Fuerzas y Cuerpos de Seguridad del Estado registraron en 2025 un total de 488.426 ciberdelitos, un 5,1% más que en 2024, lo que supone ya casi el 20% de la criminalidad total.
Estos fraudes se realizan mediante lo que se conoce como phishing, una técnica de suplantación de identidad mediante la cual los ciberdelincuentes se hacen pasar por empresas, bancos o instituciones de confianza para robar dinero o datos personales.
Hasta ahora, las víctimas de una estafa de este tipo primero debían reclamar -en ocasiones el asunto llegaba a los tribunales- al banco, que intentaba retener el dinero sustraído hasta haber realizado las comprobaciones oportunas y determinar si hubo o no negligencia por parte del cliente. Pero todo ha cambiado ahora.
La sentencia del Tribunal Superior de Justicia de la Unión Europea (TJUE) sobre el asunto C-70/25, dictada el pasado 15 de octubre de 2026, obliga a las entidades bancarias a reembolsar el dinero robado como muy tarde al final del día hábil siguiente al que se haya detectado la operación de pago no autorizada. En caso de que el banco considerase que existió negligencia grave por parte del cliente, deberá demostrarlo posteriormente y reclamar por las vías legales oportunas.
«Es una sentencia de enorme alcance práctico. Hasta ahora, muchas víctimas de fraude bancario daban su dinero por perdido cuando el banco les contestaba que habían sido negligentes. El Tribunal deja claro que esa respuesta no basta: primero se devuelve el dinero y después, si acaso, se discute», ha señalado el letrado Juanjo Ortega, de Ortega y García Abogados.
En concreto, el fallo del TJUE responde a una consulta de un tribunal polaco sobre la negativa de una entidad financiera a devolver el dinero a una clienta víctima de phishing a la que robaron unos 700 euros, por considerar negligencia grave que hubiera introducido sus credenciales en una web que imitaba la de la misma entidad.
Desde la Organización de Consumidores y Usuarios (OCU) se ha aplaudido la decisión del tribunal europeo, ya que este colectivo viene denunciando desde hace años «la estrategia de muchas entidades de alegar supuestas negligencias de sus clientes para rechazar reclamaciones y trasladar al afectado la carga de acudir a los tribunales para recuperar sus fondos, obligándoles a asumir largos procesos judiciales».
Esta situación, ha asegurado la OCU, es «contraria a la propia normativa europea de servicios de pago (PSD2)- Directiva (UE) 2015/2366-, que establece que, cuando se produce una operación no autorizada, corresponde al proveedor de servicios de pago restituir el importe sustraído».
El argumento de la negligencia grave
En España, la PSD2 está traspuesta por el Real Decreto-ley 19/2018, de 23 de noviembre de servicios de pago, que recoge que el usuario tiene derecho a la devolución inmediata de cualquier operación de pago no autorizada. El problema es que los bancos se amparaban para no devolver el dinero en lo que se conoce como negligencia grave, un concepto que no está recogido en ninguna ley y que se ha ido definiendo por la jurisprudencia.
La negligencia grave es un nivel extremo de descuido o una conducta inexcusable por parte del usuario, como guardar el PIN apuntado junto a la tarjeta bancaria de forma visible. Por contra, caer en una web falsa que imita a tu banco, hacer clic en un enlace de un SMS fraudulento o responder a una llamada de un supuesto empleado del banco no se considera negligencia grave. No obstante, en toda reclamación por phishing, quien tiene que demostrar tu negligencia grave es el banco.
