Es la respuesta que reciben a diario miles de víctimas de fraude bancario: «usted facilitó sus claves, la culpa es suya, no le vamos a devolver nada». El Tribunal de Justicia de la Unión Europea acaba de declarar que esa negativa de entrada no es compatible con el Derecho europeo.

La sentencia del TJUE de 15 de octubre de 2026, asunto C-70/25, Tukowiecka, separa con claridad dos cuestiones que la banca venía mezclando de forma interesada: por un lado, devolver inmediatamente el importe de una operación no autorizada; por otro, decidir quién soportará definitivamente la pérdida.

La primera obligación no puede quedar suspendida porque el banco atribuya negligencia grave al cliente. Si este comunica la operación sin demora injustificada, la regla es restituir inmediatamente, como máximo al final del día hábil siguiente a aquel en que el banco la detectó o se le notificó. Solo después, y si es capaz de probarla, podrá el banco reclamar al cliente por esa negligencia.

El caso: una venta por internet y un enlace falso

Los hechos son de manual de phishing, y precisamente por eso la sentencia tiene un alcance práctico enorme. (El nombre «Tukowiecka» es ficticio: el Tribunal lo asigna para proteger la identidad de las partes).

1. Un falso comprador Una clienta de un banco polaco vendía un objeto en una plataforma de compraventa en línea. Un tercero se interesó por la compra y le envió un enlace, supuestamente de la plataforma, para «confirmar la venta».
2. Una web que imitaba la de su banco El enlace la llevó a una página que reproducía la de su entidad. Allí introdujo sus credenciales de banca en línea. Con ellas, el estafador transfirió a su propia cuenta el equivalente a unos 700 euros.
3. Aviso al día siguiente La clienta comunicó la operación fraudulenta a su banco al día siguiente.
4. El banco se niega a devolver La entidad rechazó el reembolso: a su juicio, la clienta había hecho posible la operación por negligencia grave, al no custodiar sus credenciales de seguridad personalizadas.
5. Cuestión prejudicial La clienta demandó, y el tribunal polaco preguntó a Luxemburgo si el banco está obligado a devolver inmediatamente aunque considere que el cliente actuó con negligencia grave. El TJUE responde que sí.

La doctrina: dos preguntas distintas, dos momentos distintos

El núcleo de la sentencia está en una distinción que el propio Tribunal formula de forma expresa: en el Derecho de la Unión cabe separar la cuestión de la devolución del importe de la operación no autorizada y la cuestión de quién debe soportar en último término las pérdidas.

El argumento de fondo es la protección del consumidor. Si bastara con que el banco invocara la negligencia para quedarse el dinero, la carga de iniciar un pleito —con su coste, su duración y sus molestias— recaería siempre sobre la víctima. El TJUE invierte ese esquema: el dinero vuelve primero a la cuenta del cliente, y es el banco quien, si cree tener razón, debe tomar la iniciativa.

Qué cambia en la práctica

¿Y en España?

La Directiva 2015/2366 (PSD2) está incorporada a nuestro ordenamiento por el Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago, que recoge el mismo esquema: obligación del proveedor de devolver inmediatamente el importe de la operación no autorizada y, en paralelo, el régimen de responsabilidad del ordenante cuando haya actuado de forma fraudulenta o con negligencia grave. Como la interpretación del TJUE vincula a los tribunales nacionales, la norma española debe aplicarse en el sentido fijado por esta sentencia.

Qué hacer si eres víctima de una operación no autorizada

Pasos recomendables

• Comunica la operación al banco de inmediato y bloquea tarjetas y accesos. La rapidez es condición del reembolso inmediato.
• Hazlo por un canal que deje constancia (escrito, correo, formulario de la banca en línea) y guarda el justificante con fecha y hora.
• Pide expresamente la devolución del importe conforme a la normativa de servicios de pago y a la sentencia del TJUE C-70/25.
• Presenta denuncia ante la Policía o la Guardia Civil y conserva mensajes, enlaces, capturas y correos del engaño.
• Si el banco no devuelve en plazo, reclama ante su Servicio de Atención al Cliente y, después, ante el Banco de España o por vía judicial.

Errores que conviene evitar

• Aceptar sin más el «es culpa suya» del banco: la negligencia no le autoriza a retener el reembolso.
• Dejar pasar el tiempo: la comunicación debe hacerse sin demora injustificada (y, en todo caso, dentro del plazo legal de 13 meses desde el cargo).
• Firmar documentos en los que reconozcas haber autorizado la operación o haber actuado con negligencia.
• Pensar que el asunto está cerrado tras el reembolso: el banco aún puede reclamar si prueba negligencia grave, por lo que conviene conservar toda la documentación.

Una sentencia con la vista puesta en el futuro reglamento europeo

La resolución sigue la línea que ya había anticipado el Abogado General Athanasios Rantos en sus conclusiones de marzo de 2026 y llega en pleno debate sobre el nuevo paquete normativo de servicios de pago (PSD3 y el Reglamento de servicios de pago), en el que el fraude por suplantación y el reparto de responsabilidades entre bancos y clientes ocupan un lugar central.

Hasta que ese marco esté en vigor, la doctrina Tukowiecka se convierte en una herramienta de primer orden para cualquier víctima de phishing, smishing, vishing o suplantación bancaria: el banco ya no puede responder con un simple «no» basado en la negligencia del cliente.