El TJUE obliga a los bancos a devolver en un día hábil el dinero sustraído en ciberataques
El Tribunal de Justicia de la Unión Europea (TJUE) ha establecido un nuevo marco de protección para los clientes de banca que sufren ciberataques: las entidades deben reembolsar el dinero sustraído en un plazo máximo de un día hábil desde la notificación, sin poder excusarse en una presunta negligencia del usuario. La sentencia, derivada de un caso en Polonia, invierte la carga de la prueba en favor de la víctima y llega en un momento en que España registra más de 430.000 estafas informáticas al año.
El fallo que tumba la excusa de la negligencia
El caso que originó la sentencia involucra a una usuaria polaca a la que sustrajeron 700 euros tras introducir sus datos en una página web clonada que imitaba una plataforma de compraventa. Su entidad se negó a devolverle el dinero alegando una supuesta negligencia grave, un argumento que el TJUE ha desestimado por completo.
Según el fallo, ninguna sospecha inicial de imprudencia permite al banco eludir o retrasar el reembolso. La lógica de los magistrados es clara: permitir que las entidades bloqueen los reembolsos de entrada dejaría sin efecto la protección al consumidor y obligaría a las víctimas a asumir largos y costosos procesos judiciales para recuperar lo que es legítimamente suyo.
Primero devolver, luego reclamar
El TJUE marca un protocolo claro: el banco debe reintegrar los fondos sustraídos de inmediato, con un límite máximo de un día hábil tras la notificación del cliente. Solo después de haber devuelto el dinero, la entidad podrá reclamar la cantidad si logra reunir pruebas concluyentes de que el cliente actuó de mala fe.
La sentencia detalla además que, si el usuario se niega a devolver ese abono, será el propio banco quien deba acudir a los tribunales para recuperarlo, asumiendo los costes del proceso. Esta inversión de la carga de la prueba responde a la lógica de que permitir que las entidades retengan los reembolsos bajo sospechas vaciaría de contenido la protección al consumidor.
El cambio frente a la práctica habitual de los bancos
La directiva europea de servicios de pago incluía una excepción que permitía a los bancos no pagar si existían sospechas fundamentadas de fraude o irregularidad por parte del cliente. Sin embargo, según el fallo, las entidades convirtieron esa excepción en la norma habitual para denegar devoluciones, un comportamiento que el TJUE ha corregido al invertir el proceso.
La decisión llega en un momento en que los tribunales españoles ya estaban frenando abusos bancarios. En abril de 2025, el Tribunal Supremo obligó a Ibercaja a devolver más de 56.000 euros a una víctima de SIM swapping, reprochando a la entidad que permitiera quince transferencias en una sola noche sin activar alarmas de seguridad. En Galicia, varios juzgados han condenado a bancos por casos de phishing al no apreciar negligencia grave en los estafados.
El impacto en España: más de 430.000 estafas informáticas al año
La sentencia tiene una relevancia especial para España, donde las estafas informáticas son un problema creciente. Según el Balance Trimestral de Criminalidad del Ministerio del Interior, el país registró más de 430.000 estafas informáticas durante el último año completo. Esta cifra subraya la urgencia de contar con un marco legal que proteja a los consumidores frente a los ciberataques y agilice la recuperación de los fondos sustraídos.
La nueva directiva, que ya marca el estándar de actuación en toda Europa, refuerza la posición del cliente y obliga a las entidades a asumir un papel más diligente en la verificación de operaciones sospechosas. La decisión del TJUE sienta un precedente vinculante para todos los Estados miembros, incluida España, donde los tribunales ya estaban adoptando una línea similar.
Sigue leyendo
- ciberseguridadUn hacker español desaconseja usar el nombre y apellidos en el correo: "expone tu identidad" y facilita el phishing
- ciberseguridadLa demanda de perfiles de ciberseguridad cae un 26% en EE. UU. mientras los especialistas en IA crecen un 268%
- ciberseguridadMicrosoft lanza Defender para escritorios Linux en vista previa pública
- ciberseguridadMeta confirma que resuelve el fallo de grabación sin permiso en sus gafas Ray-Ban, pero no explica su causa
