Sentencia del TJUE C-70/25: los bancos deben devolver el dinero de operaciones no autorizadas aunque aleguen negligencia grave
El Tribunal de Justicia de la Unión Europea ha aclarado que un banco no puede denegar el reembolso inmediato de una operación de pago no autorizada alegando que el cliente actuó con negligencia grave. Primero debe cumplir, como regla general, con la obligación de devolución prevista en la normativa; después, podrá reclamar al usuario las pérdidas si demuestra que incumplió sus obligaciones de forma deliberada o por negligencia grave.
La sentencia, dictada el 15 de octubre de 2026 en el asunto C-70/25, conocido como Tukowiecka, constituye un pronunciamiento relevante para las personas que han sufrido fraudes bancarios, especialmente aquellos en los que los delincuentes utilizan técnicas de phishing para obtener las credenciales de acceso a una cuenta.
La resolución aclara una cuestión fundamental: la obligación de devolver una operación no autorizada y la determinación de quién debe asumir definitivamente las pérdidas son cuestiones distintas.
En este artículo te explicamos qué ha resuelto el TJUE, qué relación tiene con la legislación española y en qué casos puede resultar útil si tu banco se ha negado a devolverte el dinero tras una estafa.
1. ¿Qué ha resuelto el Tribunal de Justicia de la Unión Europea en el asunto C-70/25?
La sentencia del TJUE de 15 de octubre de 2026 interpreta la Directiva (UE) 2015/2366, conocida como PSD2, que regula los servicios de pago en la Unión Europea.
El Tribunal analiza si una entidad bancaria puede negarse a devolver inmediatamente el importe de una operación de pago no autorizada cuando considera que el cliente hizo posible el fraude por haber actuado con negligencia grave.
La respuesta del Tribunal es clara: la entidad no puede rechazar el reembolso inmediato por ese motivo.
Según la interpretación del TJUE, cuando se produce una operación de pago no autorizada, el proveedor de servicios de pago debe devolver su importe inmediatamente y, como máximo, al final del día hábil siguiente a aquel en que haya observado la operación o recibido su notificación, siempre que el usuario la comunique sin demora injustificada.
El Tribunal también precisa que existe una excepción cuando el proveedor tiene motivos razonables para sospechar que el propio cliente ha cometido un fraude y comunica esos motivos por escrito a la autoridad nacional competente.
La mera alegación de negligencia grave del usuario no permite, por sí sola, denegar esa devolución inicial.
2. ¿Cuál fue el origen del caso C-70/25?
El litigio surgió en Polonia, después de que una clienta bancaria sufriera un fraude mediante suplantación de identidad.
La mujer había puesto un objeto a la venta en una plataforma de compraventa por internet. Una persona que aparentaba estar interesada en adquirirlo le envió un enlace fraudulento que supuestamente servía para confirmar la venta.
Al acceder al enlace, la víctima llegó a una página que imitaba la de su entidad bancaria e introdujo sus credenciales de acceso a la banca electrónica.
Los delincuentes utilizaron esos datos para realizar una transferencia no autorizada desde su cuenta por un importe equivalente a unos 700 euros.
La afectada comunicó lo sucedido al banco al día siguiente. Sin embargo, la entidad se negó a devolver el dinero porque consideraba que la clienta había actuado con negligencia grave al no proteger adecuadamente sus credenciales de seguridad.
La controversia llegó a un tribunal polaco, que planteó al TJUE si el banco podía rechazar el reembolso inmediato por esa razón.
El Tribunal europeo concluyó que no.
La resolución no determina quién debe asumir definitivamente las pérdidas en todos los casos, sino que aclara que la obligación inicial de reembolso no puede quedar condicionada a que el banco resuelva previamente la discusión sobre la posible negligencia grave del cliente.
3. ¿Qué significa la sentencia para las víctimas de phishing?
El phishing es una técnica de fraude mediante la cual los delincuentes se hacen pasar por una entidad legítima para conseguir que la víctima facilite información confidencial, acceda a una página falsa o realice determinadas acciones.
En ocasiones, los estafadores imitan la página web del banco, envían mensajes que aparentan proceder de la entidad o combinan diferentes técnicas de engaño para obtener las credenciales de acceso y ejecutar operaciones desde la cuenta de la víctima.
Cuando el fraude da lugar a una operación que el titular no ha autorizado, la sentencia C-70/25 refuerza una distinción especialmente importante.
El banco no puede condicionar el reembolso inicial a su valoración de la negligencia
La entidad no puede limitarse a afirmar que la víctima facilitó sus claves o que no actuó con suficiente precaución para rechazar, por ese único motivo, la devolución inmediata de una operación no autorizada.
La negligencia grave puede ser relevante para determinar quién debe soportar finalmente las pérdidas, pero no constituye, por sí sola, una excepción a la obligación inicial de reembolso.
La entidad puede reclamar posteriormente si acredita la responsabilidad del cliente
El TJUE no elimina la posibilidad de que el banco reclame posteriormente el importe al usuario.
Una vez realizado el reembolso, la entidad podrá exigir el reintegro de las pérdidas si demuestra que el cliente incumplió deliberadamente o por negligencia grave las obligaciones que le correspondían, incluida la protección de sus credenciales de seguridad personalizadas.
Por tanto, la sentencia no declara irrelevante la conducta del usuario. Lo que establece es que esa cuestión debe diferenciarse de la obligación inicial de devolver el dinero.
La carga de la prueba tiene un papel esencial
El Tribunal señala que corresponde al proveedor de servicios de pago demostrar la negligencia grave del cliente cuando pretenda fundamentar en ella una reclamación posterior de las pérdidas.
Esta precisión es importante porque evita que una simple afirmación de la entidad se convierta, por sí sola, en una justificación suficiente para denegar el reembolso inicial.
4. ¿Cómo afecta la sentencia C-70/25 a los bancos españoles?
Aunque el asunto se originó en Polonia, la interpretación del TJUE resulta relevante para España porque la normativa nacional sobre servicios de pago incorpora el marco europeo establecido por la Directiva PSD2.
En particular, el Real Decreto-ley 19/2018, de 23 de noviembre, regula las obligaciones de los proveedores de servicios de pago y los derechos de los usuarios.
Hay tres artículos que conviene conocer.
Artículo 44: prueba de la autenticación y de la operación
Este precepto regula la carga de la prueba en relación con las operaciones de pago que el usuario niega haber autorizado.
La utilización de un instrumento de pago registrado por el banco no demuestra necesariamente, por sí sola, que el titular autorizara la operación ni que actuara fraudulentamente o incumpliera sus obligaciones de forma deliberada o por negligencia grave.
La valoración debe realizarse conforme a la norma y a las circunstancias concretas del caso.
Artículo 45: devolución de operaciones no autorizadas
Este artículo establece la obligación de devolver el importe de una operación de pago no autorizada y, en su caso, restablecer la cuenta al estado en que se encontraría si no se hubiera ejecutado la operación.
La sentencia C-70/25 refuerza la importancia de distinguir esa obligación inicial de la controversia posterior sobre quién debe soportar definitivamente las pérdidas.
Artículo 46: responsabilidad del ordenante
Este artículo regula determinados supuestos en los que el usuario puede asumir pérdidas derivadas de operaciones de pago no autorizadas, incluidos los casos de actuación fraudulenta o incumplimiento de sus obligaciones con dolo o negligencia grave, conforme a los requisitos legales.
La sentencia europea no elimina este régimen de responsabilidad. Aclara que la posible negligencia grave del usuario no permite al banco denegar de entrada el reembolso inmediato por una operación no autorizada.
Puedes consultar el texto consolidado del Real Decreto-ley 19/2018 en el Boletín Oficial del Estado.
5. ¿Puedo reclamar si el banco ya ha rechazado la devolución del dinero?
Si tu entidad bancaria ha rechazado una reclamación por una operación que no autorizaste, la sentencia C-70/25 puede ser relevante para analizar los motivos de esa negativa.
Especialmente si el banco ha fundamentado su decisión en que facilitaste tus credenciales, introdujiste un código de seguridad o actuaste con negligencia grave, conviene revisar si ha diferenciado correctamente la obligación de reembolso de la posible responsabilidad posterior del usuario.
No obstante, antes de invocar la sentencia, es necesario comprobar qué tipo de operación se produjo y qué hechos pueden acreditarse.
Para valorar tu situación, conviene seguir estos pasos:
1. Solicita y conserva la respuesta del banco.
Guarda la contestación completa, la fecha de recepción, el número de expediente y los motivos concretos por los que la entidad ha rechazado la devolución.
2. Identifica las operaciones afectadas.
Anota las fechas, los importes y los destinatarios de las transferencias o pagos. Es importante determinar si las operaciones fueron ejecutadas por un tercero sin autorización o si las ordenaste personalmente bajo engaño.
3. Reúne las pruebas del fraude.
Conserva los extractos bancarios, justificantes de las operaciones, mensajes, correos electrónicos, registros de llamadas, capturas de las páginas fraudulentas y comunicaciones mantenidas con la entidad.
4. Comprueba cuándo notificaste el fraude.
La fecha en que detectaste las operaciones y el momento en que las comunicaste al banco pueden ser relevantes para analizar la aplicación del régimen de servicios de pago.
5. Valora una reclamación fundamentada.
La estrategia debe tener en cuenta la sentencia europea, la legislación española aplicable y las circunstancias concretas de los hechos. No basta con citar una resolución judicial sin comprobar si el supuesto encaja en el régimen jurídico que interpreta.
6. ¿La sentencia obliga al banco a devolver el dinero en cualquier tipo de estafa?
No. Esta precisión es esencial.
El asunto C-70/25 se refiere a operaciones de pago no autorizadas. La sentencia no establece que los bancos deban devolver automáticamente cualquier cantidad perdida como consecuencia de una estafa.
Debe distinguirse entre dos situaciones.
Cuando un tercero realiza una operación no autorizada
Por ejemplo, cuando un delincuente obtiene las credenciales bancarias de la víctima y realiza una transferencia que esta no ha autorizado.
En estos casos, la normativa de servicios de pago sobre operaciones no autorizadas puede resultar aplicable. La sentencia C-70/25 aclara que la entidad no puede denegar el reembolso inmediato basándose únicamente en su afirmación de que el usuario incurrió en negligencia grave.
Cuando la propia víctima ordena una transferencia bajo engaño
Por ejemplo, cuando una persona cree estar realizando una inversión legítima y transfiere voluntariamente el dinero a una cuenta indicada por el estafador.
Este supuesto requiere un análisis diferente. El hecho de que la transferencia se haya realizado como consecuencia de un engaño no significa automáticamente que sea una operación no autorizada a efectos de la normativa de servicios de pago.
Por ello, la sentencia C-70/25 no garantiza por sí sola la recuperación del dinero en todas las estafas de inversión, falsas plataformas financieras o transferencias ordenadas personalmente por la víctima.
En estos casos será necesario estudiar las circunstancias y los posibles fundamentos jurídicos de una reclamación.
7. ¿Qué ocurre si el banco dice que fui negligente por facilitar mis claves?
La respuesta debe analizarse atendiendo al tipo de operación y a la fase en la que se encuentra la reclamación.
Si se trata de una operación de pago no autorizada, el banco no puede utilizar la mera alegación de negligencia grave para denegar el reembolso inmediato en los términos aclarados por el TJUE.
La entidad podrá, en su caso, reclamar posteriormente las pérdidas si acredita que el cliente incumplió deliberadamente o por negligencia grave sus obligaciones.
Por tanto, es importante no confundir estas dos cuestiones:
- La devolución inicial: debe realizarse conforme al régimen legal de las operaciones no autorizadas, sin que baste invocar una posible negligencia grave del usuario para rechazarla.
- La responsabilidad definitiva: puede requerir un análisis posterior de la conducta del cliente y de las pruebas disponibles.
Esta distinción resulta especialmente relevante en los fraudes en los que los delincuentes emplean técnicas sofisticadas de suplantación de identidad para generar confianza y conseguir que la víctima facilite sus datos.
8. ¿Qué importancia tiene la sentencia para las reclamaciones bancarias?
La sentencia C-70/25 aporta una aclaración relevante sobre el funcionamiento del régimen de reembolso de las operaciones no autorizadas.
Su importancia reside en que separa la obligación inicial del proveedor de servicios de pago de la determinación posterior de quién debe asumir las pérdidas.
Para las personas afectadas por fraudes bancarios, esta interpretación puede ayudar a cuestionar determinadas negativas de las entidades, especialmente cuando se fundamentan exclusivamente en la supuesta negligencia grave del usuario.
Sin embargo, la resolución no sustituye el análisis individualizado de cada reclamación. Será necesario comprobar si las operaciones fueron realmente no autorizadas, cuándo se comunicó el fraude, qué pruebas existen y qué normativa resulta aplicable.
La sentencia tampoco garantiza que cualquier reclamación vaya a prosperar ni elimina la posibilidad de que el banco exija posteriormente responsabilidades cuando concurran los requisitos legales.
9. VICTIFIN: analiza tu caso si el banco se niega a devolverte el dinero
Si has sufrido una estafa bancaria y tu entidad ha rechazado la devolución del dinero alegando que actuaste con negligencia grave, es importante examinar los motivos de esa decisión antes de dar el asunto por cerrado.
La sentencia del TJUE en el asunto C-70/25 puede ser relevante cuando se trata de operaciones de pago no autorizadas. No obstante, su aplicación dependerá de las circunstancias del fraude y de la documentación disponible.
En VICTIFIN trabajamos para orientar a las personas afectadas por fraudes financieros y ayudarles a conocer las posibles vías de actuación.
Si el banco ha rechazado tu reclamación, puedes ponerte en contacto con la asociación a través de nuestra página web y explicar tu situación para consultar qué opciones podrían valorarse.
Que el banco haya rechazado tu reclamación no significa necesariamente que no existan alternativas. Lo importante es estudiar los hechos, identificar el régimen jurídico aplicable y valorar las posibilidades reales de actuación, sin promesas de recuperación que no puedan garantizarse.
Fuentes jurídicas oficiales
- Tribunal de Justicia de la Unión Europea: sentencia de 15 de octubre de 2026, asunto C-70/25, Tukowiecka, ECLI:EU:C:2026:852. Consultar el expediente en CURIA.
- TJUE: comunicado de prensa n.º 147/26, de 15 de octubre de 2026. Leer el comunicado oficial en español.
- Directiva (UE) 2015/2366, sobre servicios de pago en el mercado interior, especialmente los artículos 69, 73 y 74.
- Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera. Consultar el texto consolidado en el BOE.
