Sentencia del TJUE sobre phishing: El banco tiene que devolverte el dinero primero, aunque diga que fue culpa tuya

El Tribunal de Justicia de la Unión Europea ha dictado una sentencia el 15 de octubre de 2026 (asunto C-70/25). Según ella, si te roban dinero de la cuenta con phishing, el banco tiene que devolvértelo de inmediato, como muy tarde al final del día hábil siguiente a tu aviso. No puede negarse diciendo que fuiste negligente al dar tus claves. Si cree que lo fuiste, primero devuelve el dinero y después tendrá que reclamártelo y demostrarlo.

Es una de las respuestas más repetidas de los bancos cuando alguien sufre una estafa: «Usted facilitó sus claves, así que no le corresponde la devolución». Con esta sentencia, esa negativa inicial va contra el Derecho europeo.

En este artículo te explicamos qué ha dicho exactamente el TJUE, qué cambia en España, en qué casos se aplica y qué hacer si tu banco se niega a devolverte el dinero (Reclamar phishing bancario)

Lo que dice el Tribunal Europeo de forma resumida:

• Qué tribunal: el Tribunal de Justicia de la UE, sentencia de 15/10/2026, asunto C-70/25.
• Qué dice: ante una operación no autorizada, el banco debe devolver el dinero de inmediato (máximo, el día hábil siguiente).
• La «negligencia grave» ya no sirve para no pagar: el banco solo puede retrasar la devolución si sospecha que el fraude lo cometiste tú y lo comunica por escrito al Banco de España.
• Si el banco cree que fuiste negligente: primero te devuelve el dinero y después tiene que reclamártelo y probarlo.
• Qué hacer: avisa al banco cuanto antes, denuncia y reclama por escrito citando esta sentencia.

Qué ha dicho el TJUE en la sentencia C-70/25

El caso: una venta online, un enlace falso y 700 euros

La sentencia viene de una consulta (una cuestión prejudicial) que hizo un tribunal de Polonia, pero lo que resuelve se aplica igual en España y en toda la Unión Europea.

Los hechos te sonarán, porque es la misma estafa que vemos a diario en Wallapop, Vinted o Milanuncios:

1. Una clienta vendía un objeto en una plataforma de anuncios online.
2. Un supuesto comprador le envió un enlace para «confirmar la venta».
3. El enlace la llevó a una web que imitaba la de su banco, donde introdujo sus claves de banca online.
4. El estafador hizo una transferencia de unos 3.000 zlotis (alrededor de 700 euros) y la autorizó con un código SMS que también le sacó con engaños.
5. Al día siguiente, la clienta lo denunció a la policía y avisó al banco.
6. El banco se negó a devolverle el dinero porque, según él, había sido gravemente negligente al no proteger sus credenciales.

La pregunta: ¿puede el banco no devolver el dinero si cree que el cliente fue negligente?

El tribunal polaco preguntó al TJUE cómo encajan dos artículos de la Directiva europea de servicios de pago (PSD2):

• Artículo 73: obliga al banco a devolver de inmediato las operaciones que el cliente no ha autorizado.
• Artículo 74: dice que el cliente asume las pérdidas si actuó con fraude o con negligencia grave.

La pregunta era si el banco puede usar el artículo 74 para no aplicar el 73. Es decir, si le basta con alegar negligencia grave para no devolver el dinero.

La respuesta: primero se devuelve el dinero y después se discute

El TJUE responde que no. Sus conclusiones son estas:

• El reembolso es inmediato. El banco debe devolver el importe de inmediato y, como muy tarde, al final del día hábil siguiente a aquel en que tuvo conocimiento de la operación, siempre que el cliente haya avisado sin demora injustificada.
• Solo hay una excepción. El banco puede retrasar la devolución únicamente si tiene motivos razonables para sospechar que el fraude lo ha cometido el propio cliente y lo comunica por escrito a la autoridad competente (en España, el Banco de España).
• La negligencia grave no es esa excepción. Que el cliente haya facilitado sus claves engañado no es un fraude del cliente, así que no permite retrasar la devolución.
• Si no fuera así, la norma no serviría para nada. El tribunal se apoya en el principio de efectividad: si el banco pudiera negarse con solo alegar negligencia, la obligación de devolver de inmediato quedaría vacía.
• El banco puede reclamar después. Una vez devuelto el dinero, si el banco considera que hubo negligencia grave, puede reclamárselo al cliente. Pero tendrá que probarlo él.

El tribunal sigue así la propuesta que hizo el Abogado General Athanasios Rantos en sus conclusiones del 5 de marzo de 2026.

Qué cambia en España con esta sentencia

La ley española ya decía lo mismo, y ahora no hay margen para interpretarla de otra forma

En España, la directiva PSD2 está incorporada al Real Decreto-ley 19/2018, de servicios de pago. Su artículo 45 obliga al banco a devolver las operaciones no autorizadas «de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente».

La ley ya existía. Lo que hacían muchos bancos era interpretarla a su favor: alegaban negligencia grave del cliente y no devolvían nada hasta que un juez les obligaba. La sentencia del TJUE cierra esa vía, y los jueces españoles tienen que aplicar esta interpretación.

Encaja con lo que ya venía diciendo el Tribunal Supremo

La sentencia europea refuerza la línea del Tribunal Supremo, que en su sentencia 571/2025, de 9 de abril, condenó a una entidad a devolver más de 56.000 euros robados mediante un duplicado fraudulento de la tarjeta SIM (SIM swapping). El Supremo ya había dicho que:

• La responsabilidad del banco por operaciones no autorizadas es prácticamente objetiva.
• Es el banco quien tiene que probar que el cliente fue gravemente negligente.
• Los bancos deben tener sistemas capaces de detectar y bloquear operaciones sospechosas.

Lo que añade el TJUE es el orden: esa discusión sobre la negligencia no puede retrasar la devolución. Primero se devuelve el dinero y después se discute.

Quién tiene que demandar a quién

Es el cambio más importante en la práctica. Hasta ahora, cuando el banco se negaba a devolver el dinero, era la víctima la que tenía que demandar para recuperarlo, con lo que eso supone de tiempo y de dinero.

Con esta sentencia, lo normal debería ser lo contrario: el banco devuelve el dinero y, si quiere recuperarlo, es él quien tiene que reclamártelo y demostrar que fuiste gravemente negligente.

¿A qué estafas se aplica esta sentencia?

Sí se aplica: operaciones que tú no autorizaste

La sentencia se refiere a operaciones no autorizadas, es decir, las que hace un tercero con tus datos sin tu consentimiento real. Son los casos más habituales de fraude bancario:

• Phishing: email falso que te lleva a una web que imita a tu banco.
• Smishing: SMS falso («su cuenta ha sido bloqueada, pulse aquí»).
• Vishing: llamada de un falso empleado del banco que te pide códigos.
• SIM swapping: duplicado fraudulento de tu tarjeta SIM para recibir tus códigos.
• Cargos con tu tarjeta que no has hecho tú.

Casos dudosos: cuando eres tú quien hace la transferencia

Hay estafas en las que es la propia víctima la que ordena la transferencia, engañada. Por ejemplo, cuando un falso empleado te convence de mover tu dinero a una «cuenta segura» o en la estafa del «hijo en apuros». Si la operación se considera autorizada, el artículo 45 no se aplica de la misma forma y la reclamación se plantea por otras vías, como los deberes de vigilancia del banco o la detección de operaciones sospechosas.

La frontera entre lo que es una operación autorizada y lo que no lo es depende mucho de cada caso. Por eso conviene que un abogado lo revise antes de dar la reclamación por perdida.

Lo que la sentencia no dice

Para no crear falsas expectativas, conviene tener claro que:

• No dice qué es «negligencia grave». Esto lo seguirán decidiendo los jueces caso por caso. La sentencia solo fija el orden: primero devolver y después discutir.
• No te libera de toda responsabilidad. Si el banco consigue demostrar después que fuiste gravemente negligente, podría reclamarte lo que te devolvió.
• Tienes que avisar rápido. La obligación del banco depende de que comuniques el fraude sin demora injustificada, y en todo caso dentro de los 13 meses siguientes al cargo.

Qué hacer si te han robado dinero con phishing: paso a paso

1. Avisa al banco inmediatamente

Llama al teléfono de incidencias de tu banco (búscalo tú en su web oficial o en tu tarjeta, nunca en el SMS o el email que recibiste) y pide que bloqueen tus tarjetas y el acceso a la banca online. Apunta la fecha, la hora y el número de incidencia.

2. Pon una denuncia

Denuncia en la Policía Nacional, la Guardia Civil o la policía autonómica. Puedes empezarla online, pero tendrás que firmarla en comisaría. Lleva capturas de los mensajes, de la web falsa y de los movimientos.

3. Reclama la devolución por escrito

Presenta una reclamación por escrito al Servicio de Atención al Cliente del banco y guarda el justificante. Pide expresamente la devolución inmediata del importe según el artículo 45 del Real Decreto-ley 19/2018 y la sentencia del TJUE de 15 de octubre de 2026 (asunto C-70/25).

Modelo de texto para tu reclamación

El día [fecha] se realizaron en mi cuenta [IBAN] las operaciones que detallo a continuación [importe, fecha, beneficiario], que no he autorizado. Comuniqué los hechos a la entidad el día [fecha] y los denuncié ante [cuerpo policial] el día [fecha], cuya copia adjunto.

De acuerdo con el artículo 45.1 del Real Decreto-ley 19/2018 y con la sentencia del Tribunal de Justicia de la Unión Europea de 15 de octubre de 2026 (asunto C-70/25), solicito la devolución inmediata del importe de [X] euros, a más tardar al final del día hábil siguiente a esta comunicación. La alegación de una posible negligencia por mi parte no permite a la entidad suspender ni denegar esta devolución.

4. Si el banco se niega o no contesta

Si el banco no te devuelve el dinero o te contesta con el argumento de la negligencia grave:

• Banco de España: puedes presentar una reclamación cuando hayan pasado los plazos de respuesta del banco. Ten en cuenta que, según la OCU, el Banco de España considera que valorar la negligencia grave excede sus competencias, y su informe no obliga al banco.
• Vía judicial: es la vía que de verdad obliga al banco a pagar. Con esta sentencia, el argumento de la negligencia ya no justifica la negativa inicial, y si ganas el banco puede ser condenado también a pagar los intereses y las costas. Te explicamos cómo funciona en nuestra página sobre cómo reclamar una estafa de phishing.

Si demandas, puedes seguir tu caso desde casa. Te explicamos cómo en nuestra guía sobre cómo consultar tus procedimientos judiciales online.

Cómo te ayuda Asesority si tu banco no te devuelve el dinero

En Asesority llevamos desde 2013 reclamando a los bancos en nombre de sus clientes. Si has sufrido un fraude bancario y tu entidad se niega a devolverte el dinero, te ayudamos a reclamar al banco por phishing. Nuestro equipo:

• Estudia tu caso gratis y te dice si la operación se puede considerar no autorizada.
• Reclama al banco citando la nueva doctrina del TJUE y del Tribunal Supremo.
• Te representa en el juzgado si el banco no paga.
• Gestiona el cobro, incluidos los intereses y las costas.

¿Tu banco te ha dicho que la estafa fue culpa tuya? Ahora tiene que devolverte el dinero primero. Consulta tu caso gratis →

Preguntas frecuentes sobre la sentencia del TJUE y el phishing

¿Qué dice la sentencia del TJUE sobre el phishing?

Que el banco debe devolver de inmediato, como muy tarde el día hábil siguiente, el dinero de las operaciones que el cliente no ha autorizado, aunque crea que el cliente fue gravemente negligente. Solo puede retrasar la devolución si sospecha que el fraude lo cometió el propio cliente y lo comunica a la autoridad competente.

¿Cuánto tiempo tiene el banco para devolverme el dinero de una estafa?

Hasta el final del día hábil siguiente a aquel en que tuvo conocimiento de la operación no autorizada, normalmente el día en que tú le avisas. Así lo dice el artículo 45 del Real Decreto-ley 19/2018, y lo ha confirmado el TJUE.

¿El banco puede negarse a devolverme el dinero porque di mis claves?

No puede negarse a la devolución inicial. Si considera que fuiste gravemente negligente, primero tiene que devolverte el dinero y después reclamártelo, demostrando él esa negligencia.

¿Qué es la negligencia grave en el phishing?

Es un descuido especialmente grave en la custodia de tus claves. La sentencia no lo define, y los tribunales españoles lo valoran caso por caso. En la práctica, los jueces tienen en cuenta lo sofisticada que fue la estafa y si el banco tenía sistemas para detectarla.

¿Puede el banco quitarme después el dinero que me ha devuelto?

Solo si demuestra que actuaste con fraude o con negligencia grave. La carga de la prueba es del banco, no tuya.

¿Se aplica esta sentencia en España si el caso era de Polonia?

Sí. Las sentencias del TJUE que interpretan una directiva europea vinculan a los jueces de todos los países de la UE, y la PSD2 está incorporada en España mediante el Real Decreto-ley 19/2018.

¿Sirve para estafas de SMS, llamadas o duplicado de SIM?

Sí, siempre que la operación la haya hecho un tercero sin tu autorización real: smishing, vishing, SIM swapping o cargos con tu tarjeta que no hiciste tú.

¿Y si fui yo quien hizo la transferencia, engañado por un estafador?

En ese caso la operación podría considerarse autorizada y la reclamación se plantea de otra forma. No la des por perdida sin que un abogado la revise.

¿Cuánto tiempo tengo para reclamar?

Debes avisar al banco sin demora injustificada, en cuanto detectes el cargo, y como máximo dentro de los 13 meses siguientes a la operación.

¿Tengo que demandar al banco para recuperar mi dinero?

No debería ser necesario: el banco tiene que devolvértelo sin juicio. Si aun así se niega, la vía judicial es la que le obliga a pagar, con intereses y, en su caso, costas.

La sentencia del TJUE de 15 de octubre de 2026 da la vuelta a cómo se gestionaban hasta ahora muchas reclamaciones por phishing. El banco ya no puede quedarse tu dinero mientras discute si fuiste negligente: primero te lo devuelve y luego, si quiere, lo discute. Si tu entidad no lo está cumpliendo, tienes argumentos más sólidos que nunca para reclamar.

¿Te han robado dinero de tu cuenta? Consulta tu caso gratis →

Fuentes

• Sentencia del Tribunal de Justicia de la UE de 15 de octubre de 2026, asunto C-70/25.
• Conclusiones del Abogado General Rantos, asunto C-70/25 (comunicado CURIA, 5 de marzo de 2026)
• Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago, artículos 44 a 46.
• Sentencia del Tribunal Supremo 571/2025, de 9 de abril.

Escrito por David Alfaya Massó
Abogado, CEO & Fundador de Asesority
Experto en reclamaciones bancarias y cancelar deudas