• El Tribunal de Justicia de la Unión Europea declara la obligación de los bancos de devolver inmediatamente las operaciones de pago no autorizadas, incluso cuando atribuyan al cliente una negligencia grave.
• La Sentencia aplica el principio solve et repete, “paga y luego reclama”, y refuerza la protección de los clientes frente a los fraudes bancarios.
La sentencia del Tribunal de Justicia de la Unión Europea (TJUE) de 15 de octubre de 2026 refuerza la seguridad jurídica de los pagos digitales al aplicar el principio solve et repete a la obligación de devolución inmediata en los casos de phishing bancario. La resolución confirma que un banco no puede negarse a devolver inmediatamente el importe de una operación de pago no autorizada por entender que el cliente ordenante hizo posible tal operación al cometer una negligencia grave.
Esto último cobra especial relevancia ante la ausencia de una definición legal precisa de la “negligencia grave del ordenante”. Según Fernando Zunzunegui, abogado especializado en servicios de pago, la banca se ha venido amparando con frecuencia en este concepto jurídico indeterminado para denegar la devolución inmediata de los importes transferidos como consecuencia de un engaño. Hacer recaer sobre los consumidores la carga de acudir a los tribunales para recuperar los fondos sustraídos mediante engaño resulta contrario al buen funcionamiento del sistema de pagos y al objetivo de la normativa europea de garantizar un elevado nivel de protección de los consumidores.
En este contexto, el TJUE declara que “un proveedor de servicios de pago no puede negarse a devolver inmediatamente a un ordenante el importe de una operación de pago no autorizada por entender que dicho ordenante hizo posible tal operación al cometer una negligencia grave incumpliendo las obligaciones que le incumben en virtud del artículo 69 de la Directiva 2015/2366”. La única excepción se produce cuando el banco tiene motivos razonables para sospechar de un fraude cometido por el propio cliente y lo comunica al Banco de España.
El efecto útil de la devolución inmediata impide no solo que el banco invoque unilateralmente la negligencia grave para no devolver, sino también que ponga como excepción para no devolver la existencia de autorización por parte del cliente. Cuando el cliente niegue el consentimiento, el mero registro de la operación no basta para demostrar que la operación de pago ha sido autorizada por el cliente ordenante.
Zunzunegui destaca que, son las entidades las que disponen de medios y recursos para intentar recuperar los fondos frente a los responsables del fraude, incluidos los defraudadores y, cuando corresponda, las entidades beneficiarias, las compañías telefónicas o las plataformas de internet.
Zunzunegui explica que, hasta ahora, los afectados por estos sofisticados fraudes de ingeniería social eran remitidos a la comisaría o a la Guardia Civil, donde denunciaban haber sido engañados por un tercero, circunstancia que servía a los bancos para rechazar sus reclamaciones y al Banco de España para inadmitirlas por considerar que se trataba de un fraude ajeno a sus competencias. De este modo, los clientes se veían obligados a acudir a los tribunales para recuperar su dinero. Según señala Zunzunegui, tras la sentencia, si el cliente reclama directamente al banco por una operación no consentida y este no efectúa la devolución, podrá acudir al Banco de España sin la existencia de una denuncia previa que pueda utilizarse como motivo de inadmisión. De este modo. el supervisor deberá examinar la aplicación de la legislación de servicios de pago y de la jurisprudencia europea que obliga a la devolución inmediata, salvo que existan motivos razonables para sospechar un fraude del cliente.
Esta jurisprudencia impone revisar, caso por caso, los casos en los que el banco ya ha rechazado la devolución. Lo que aconseja acudir a un abogado especializado en fraudes en servicios de pagos. Se calcula en 1.000 millones de euros el importe a devolver como consecuencia de esta sentencia.
Finalmente, concluye que, a la luz de esta sentencia, los bancos tendrán que revisar sus procedimientos internos y la gestión de los litigios derivados del phishing y de otros fraudes de ingeniería social. También deberán mejorar sus procedimientos de recuperación
de los fondos sustraídos. De este modo, el TJUE contribuye a fortalecer la confianza de los consumidores en los servicios de pago.
Fernando Zunzunegui analiza la sentencia sobre phishing en Capital Radio
Fernando Zunzunegui explica el alcance de esta sentencia y sus consecuencias prácticas en dos intervenciones en Capital Radio: una dirigida a los consumidores afectados por fraudes bancarios, en la que explica cómo reclamar la devolución de los fondos, y otra más extensa, que aborda también las implicaciones jurídicas para las entidades proveedoras de servicios de pago y las compañías de telecomunicaciones.
Phishing bancario: cómo reclamar al banco
Entrevista de Luis Vicente Muñoz a Fernando Zunzunegui en Capital Radio. Una explicación breve y práctica para los consumidores afectados por operaciones de pago no autorizadas, sobre el derecho al reembolso inmediato y cómo reclamar su devolución al banco.
Phishing bancario: consecuencias de la sentencia del TJUE
Intervención de Fernando Zunzunegui en el programa Ventaja Legal, con Arcadio García Montoro, emitido en Capital Radio. Un análisis jurídico más completo de la STJUE de 15 de octubre de 2026, sus consecuencias para los consumidores y sus implicaciones para los proveedores de servicios de pago y las compañías de telecomunicaciones.
