Máximo tribunal de la UE: los bancos deben reembolsar a las víctimas de fraude primero, incluso si fueron negligentes

El Tribunal de Justicia de la Unión Europea (TJUE) dictaminó el 15 de octubre de 2026 que los bancos y otros proveedores de servicios de pago no pueden retrasar ni rechazar el reembolso a un cliente afectado por una transacción no autorizada solo porque sospechen que el cliente fue gravemente negligente. El fallo fue pronunciado en el Caso C-70/25, N.O. contra PKO BP S.A., en respuesta a una solicitud de pronunciamiento prejudicial de un tribunal de distrito en Koszalin, Polonia, presentada el 3 de febrero de 2025.

Qué ocurrió en el caso subyacente

El caso comenzó con una cliente de un banco polaco, identificada en los documentos del tribunal solo como N.O., que fue víctima de un estafador que se hacía pasar por un comprador en una plataforma de ventas en línea. El estafador envió un enlace de pago fraudulento disfrazado de mensaje de la plataforma. Después de que la cliente hiciera clic en el enlace e introdujera sus credenciales bancarias en una página de inicio de sesión falsa, el estafador transfirió aproximadamente €700 de su cuenta. Su banco, PKO BP, se negó a reembolsarla, argumentando que había sido gravemente negligente al introducir sus credenciales en la página falsa.

Lo que el Tribunal decidió

El TJUE estableció que la ley de servicios de pago de la UE —la Directiva de Servicios de Pago (Directiva 2015/2366, conocida como PSD2)— requiere que un banco reembolse inmediatamente el monto de una transacción no autorizada, y no más tarde que el final del día hábil siguiente al informe del cliente, independientemente de si el banco cree que el cliente actuó con negligencia grave. El Tribunal consideró que permitir que los bancos retuvieran el reembolso mientras investigan reclamaciones de negligencia despreciaría la obligación de reembolso y obligaría a las víctimas a acudir a los tribunales simplemente para recuperar su propio dinero.

La sentencia no impide que los bancos intenten después recuperar el monto reembolsado. Si un banco cree que el cliente deliberada o negligentemente no protegió sus credenciales de seguridad personalizada, puede presentar una reclamación contra el cliente posteriormente —pero la carga de probar esa negligencia recae en el banco, típicamente ante un juez, en lugar de en el cliente en el momento del fraude.

Por qué importa en toda la UE

Puesto que la PSD2 es una directiva de la UE aplicada en los 27 estados miembros, la sentencia es una orientación vinculante para los tribunales nacionales y reguladores de todo el bloque, no solo en Polonia. Las organizaciones de consumidores dicen que el efecto práctico es significativo porque muchos bancos han invertido rutinariamente la secuencia que la ley pretendía: investigar la negligencia sospechada primero y pagar solo después, si es que pagan. El grupo de consumidores belga Test-Achats/Testaankoop llamó a la decisión un punto de inflexión. Su portavoz, Julie Frère, resumió la obligación como "Les banques doivent payer d'abord, discuter ensuite" ("los bancos deben pagar primero, discutir después"), diciendo que confirma una regla que los bancos habían estado eludiendo en la práctica.

The Brussels Times informó que la sentencia desafía directamente la práctica actual en los bancos belgas, varios de los cuales se han negado a reembolsar inmediatamente mientras investigan si un cliente fue descuidado con los detalles de inicio de sesión o códigos de un solo uso. El comentario legal sobre el caso, incluido el análisis publicado por el medio español Ara, señala que la respuesta del Tribunal se aplica específicamente al plazo de reembolso establecido en la PSD2, que la sentencia se refiere a 'proveedores de servicios de pago' en términos más generales en lugar de solo bancos, y que deja a los proveedores libres de litigar la negligencia grave por separado, después de que el dinero ya haya sido devuelto.

La escala del problema

La sentencia llega cuando las pérdidas por fraude de pago han ido aumentando en toda la UE y el Espacio Económico Europeo. Un informe conjunto de la Autoridad Bancaria Europea y el Banco Central Europeo encontró que las pérdidas totales por fraude de pago alcanzaron €4.2 mil millones en 2024, en comparación con €3.5 mil millones en 2023 y €3.4 mil millones en 2022 — un aumento aproximado del 20% de 2023 a 2024. Dentro de ese total, el fraude vinculado a transferencias de crédito aumentó un 16% interanual a €2.2 mil millones, y el fraude en tarjetas emitidas por la UE y el EEE aumentó un 29% a aproximadamente €1.33 mil millones. Para el fraude de transferencia de crédito específicamente, el mismo informe encontró que los usuarios de servicios de pago soportaron aproximadamente el 85% de las pérdidas resultantes, en gran medida porque las estafas engañan a las personas para que autoricen la transferencia ellas mismas.

Qué sigue siendo poco claro

La sentencia se ocupa de transacciones no autorizadas — casos donde alguien más accedió o desviaba el dinero del cliente, como en el phishing. No cambia el trato legal separado de situaciones donde un banco tiene motivos objetivos para sospechar que el cliente autorizó el pago o fue cómplice del fraude, lo que aún puede justificar retener un reembolso. Con qué rapidez los bancos individuales en toda la UE cambian sus procedimientos internos de reembolso en respuesta a la sentencia, y si los reguladores nacionales la aplicarán activamente, seguía siendo incierto a partir del 16 de octubre de 2026.