Las instituciones deben realizar inicialmente los pagos y informar posteriormente si consideran que el usuario es negligente, según lo ordenado por el TJCE. La decisión se aplicará a los casos de engaño a través de «phishing», representación falsa, uso indebido de credenciales o cualquier actividad ilícita.
Las instituciones deben realizar inicialmente los pagos y informar posteriormente si consideran que el usuario es negligente, según lo ordenado por el TJCE. La decisión se aplicará a los casos de engaño a través de «phishing», representación falsa, uso indebido de credenciales o cualquier actividad ilícita.
La justicia europea ha dado un giro a la batalla entre bancos y clientes por las ciberestafas que aboca a las entidades a pleitear contra sus propios usuarios en los casos en los que consideren que ha habido negligencia por su parte. Antes, en cualquier caso, deberán pagar. Fuentes del sector consultadas por este diario estiman que el impacto potencial para la banca española derivado de reclamaciones podría acercarse a los 1.000 millones de euros, aunque la cifra dependerá finalmente del volumen y del resultado de las reclamaciones.
La sentencia del Tribunal de Justicia de la UE (TJUE), dictada en el asunto C-70/25, resuelve el caso de una mujer polaca que sufrió una estafa al intentar vender un objeto por Internet. Un supuesto comprador le envió un enlace fraudulento que permitió a los estafadores realizar operaciones de pago. El fallo aclara que, cuando se denuncia una operación no autorizada, la entidad debe devolver el importe de forma inmediata y, en todo caso, como máximo al final del día hábil siguiente a aquel en que haya detectado o recibido la notificación de la operación.
Las mismas fuentes consideran que el fallo puede tener un «impacto importante» tanto en el sector financiero como en los consumidores, dado el enorme crecimiento de este tipo de fraudes en los últimos años, hasta el punto de que se han convertido en el tipo de reclamaciones reportadas al Banco de España. A nivel europeo, los fraudes en medios de pago alcanzaron los 4.200 millones de euros en 2024, según datos del BCE, el propio Banco de España y la patronal bancaria regional EBA; de ellos, 300 millones correspondieron a España.
«El impacto para el sector bancario puede ser relevante, tanto económico como operativo. La sentencia cambia, sobre todo, el momento en el que se discute quién debe soportar finalmente la pérdida. Ante una operación de pago no autorizada, la entidad financiera debe reembolsar inmediatamente el importe al cliente y no puede paralizar esa devolución alegando simplemente que éste pudo actuar con negligencia grave. Si posteriormente considera que existió esa negligencia, tendrá que acreditarla y, en su caso, reclamar al cliente», explica Ignacio Ripol, socio de Procesal y Compliance de Grant Thornton, a preguntas de EL MUNDO. «Esto puede traducirse en un incremento de los reembolsos iniciales y, previsiblemente, de las reclamaciones de clientes, además de obligar a las entidades a revisar sus procedimientos internos de gestión del fraude, investigación de operaciones y conservación de evidencias. En definitiva, el TJUE traslada con mayor claridad a la entidad financiera la carga inicial del riesgo, sin perjuicio de que posteriormente pueda discutirse quién debe soportar definitivamente la pérdida», añade.
Cambia la parte que inicia el procedimiento y es una de las diferencias clave que introduce el dictamen del TJUE. Para Ripol, lo verdaderamente relevante de la sentencia del TJUE es que separa claramente dos momentos: «una cosa es la obligación inmediata de reembolsar una operación no autorizada y otra distinta determinar quién debe soportar definitivamente la pérdida. Hasta ahora, la existencia de una posible negligencia grave del cliente podía utilizarse para rechazar inicialmente la devolución. El TJUE establece que, con carácter general, esa discusión debe producirse después, puesto que primero se devuelve y, si la entidad considera que existió negligencia grave, deberá probarla y reclamar posteriormente».
Visto desde la perspectiva de los consumidores, tal y como explica Marisa Protomartir, directora legal de la Asociación de Usuarios Financieros Asufin, «supone pasar de tener que demandar a los bancos para recuperar el dinero que le han defraudado a ser demandados por los bancos, siempre que la entidad pueda probar la negligencia y esté dispuesta a judicializar el asunto». Según datos de la organización, hasta ahora entre el 80% y el 90% de los tribunales daban la razón a los clientes, «de modo que ahora el banco debe reflexionar sobre la oportunidad de comenzar este tipo de procedimientos, muchos con pequeñas cuantías».
Por lo pronto, la organización ultima el envío de requerimientos a todas las entidades con las que tienen abiertos procesos de reclamación, tanto por vía jurídica como por vía extrajudicial. Según su presidenta, Patricia Suárez, quieren dejar claro a los bancos que «vamos en serio y queremos nuestro dinero» y quieren también que los consumidores «dejen de pagar este pato». A su juicio, este fallo debería servir de punto de inflexión para que el sector financiero refuerce aún más sus controles de seguridad y reflexione sobre la posibilidad de pedir responsabilidades a los partners y proveedores tecnológicos.
Desde el sector financiero restan dimensión a la sentencia del TJUE e inciden en que se alinea con la normativa actual, que ya contempla los reembolsos sobre las operaciones no autorizadas, es decir, las operaciones en las que el usuario no ha intervenido ni ha dado su consentimiento, sino que ha sido suplantado por un tercero. Por el contrario, explican esas mismas fuentes, la sentencia no aplica a operaciones autorizadas.
Según Ignacio Ripol, de Grant Thornton, el fallo «será especialmente relevante en fraudes como el phishing, la suplantación de identidad o la apropiación de credenciales, cuando el delincuente consigue ejecutar una operación que el cliente realmente no ha autorizado». En cambio, «la situación puede ser más compleja cuando es la propia víctima quien ordena materialmente la transferencia, aunque lo haga engañada por un tercero, como puede ocurrir en determinados fraudes del falso proveedor, del falso CEO o Business Email Compromise. En estos casos, una de las cuestiones fundamentales será determinar si jurídicamente estamos ante una operación de pago no autorizada. A nuestro juicio, es indiferente quién ejecute materialmente la transferencia. Lo relevante es si el cliente ha consentido realmente la operación. Cuando actúa engañado por un tercero, ya sea mediante una suplantación de identidad, un falso proveedor o un falso CEO, entendemos que estamos ciertamente ante una operación no autorizada».
La sentencia puede ser invocada en reclamaciones y procedimientos que todavía estén pendientes de resolución firme. No se trata de una nueva norma aplicable únicamente a los fraudes que se produzcan a partir de ahora, sino ante la interpretación que realiza el Tribunal de Justicia de la normativa europea sobre servicios de pago. «Esto puede resultar especialmente relevante para reclamaciones que fueron inicialmente rechazadas porque la entidad financiera atribuyó al cliente una negligencia grave y que todavía estén abiertas o pendientes de resolución. Distinto es el caso de procedimientos que ya hayan terminado mediante resolución judicial firme, que la sentencia del TJUE no permite reabrir automáticamente», explica Ripol. Por ello, considera que es un buen momento para revisar aquellas operaciones fraudulentas que nunca llegaron a reclamarse al banco o aquellas reclamaciones que fueron rechazadas por la entidad. La normativa establece, con carácter general, un plazo máximo de 13 meses desde la fecha del adeudo para comunicar al banco una operación no autorizada, por lo que resulta especialmente importante comprobar en cada caso si todavía se está dentro de plazo.
Actualidad Económica // elmundo
