Sentencia del TJUE sobre «phishing»: la mera alegación de negligencia grave no aplaza automáticamente el reembolso de un pago no autorizado

La sentencia del 15 de octubre

El comunicado de prensa del Tribunal de Justicia del 15 de octubre de 2026 en el asunto C-70/25, Tukowiecka aborda un pago no autorizado cometido mediante «phishing». En él se aclara que la alegación de negligencia grave del cliente no faculta, por sí sola, a la entidad bancaria para aplazar el reembolso inmediato exigido por la Directiva de servicios de pago. El Tribunal distingue esta obligación inicial de la potestad del banco para reclamar la restitución con posterioridad si se acredita la responsabilidad correspondiente.

El nombre del asunto es ficticio, tal como precisa el propio comunicado del Tribunal. Este comunicado constituye una reseña oficial de la sentencia, no el texto resolutivo vinculante en sí. El presente artículo se centra en la distinción jurídica expuesta en dicho comunicado y en las disposiciones de la directiva, sin pretender disponer del acervo probatorio completo examinado por el órgano jurisdiccional remitente.

Reembolso inmediato y responsabilidad definitiva

Los artículos 73 y 74 de la Directiva 2015/2366 regulan fases distintas de un litigio por operaciones de pago no autorizadas. El régimen de reembolso inmediato exige, con carácter general, abonar el importe a más tardar al final del día hábil siguiente a aquel en que el proveedor tenga constancia de la operación o le haya sido notificada. La excepción prevista contempla motivos fundados para sospechar fraude cometido por el cliente, comunicados a la autoridad nacional pertinente. La negligencia grave y el fraude del cliente no deben considerarse alegaciones equivalentes ni intercambiables.

En un litigio posterior todavía puede dilucidarse si el cliente actuó de forma deliberada o mediando negligencia grave y si, por consiguiente, debe soportar el perjuicio patrimonial. La consecuencia práctica reside en separar quién sostiene la carga financiera mientras se investigan los hechos y a quién corresponde la pérdida definitiva. Por tanto, un reembolso provisional o urgente no equivale a una resolución firme que declare que el cliente jamás podrá incurrir en responsabilidad.

La autorización es una cuestión fáctica y jurídica

Los supuestos de «phishing» pueden abarcar comportamientos muy diversos: sustracción de credenciales, operaciones iniciadas directamente por un tercero o engaño al cliente para que valide una transferencia. Tales situaciones no deben tratarse bajo una única categoría indiferenciada. La cuestión primordial estriba en determinar qué orden de pago fue verdaderamente autorizada, si es que lo fue alguna, con arreglo al marco legal aplicable. La información técnica registrada por la entidad y la versión de los hechos aportada por el cliente deben valorarse de forma conjunta.

Entre los elementos probatorios relevantes figuran el mensaje o la página web empleados, las marcas de tiempo, la operación cuestionada, los requerimientos de autenticación, las comunicaciones cursadas a la entidad y el momento exacto del aviso. Conviene preservar las evidencias eludiendo cualquier interacción posterior con el presunto defraudador. La reclamación debe identificar con precisión la operación no autorizada y la medida de restablecimiento solicitada, superando la mera afirmación de que el cliente «sufrió una estafa». La subsunción jurídica de los hechos resulta determinante para establecer la normativa aplicable.

Uso de una cuenta de la UE desde Georgia

Residir o permanecer temporalmente en Georgia no determina, por sí solo, el régimen normativo de servicios de pago que rige una cuenta. Es preciso examinar el proveedor, la relación contractual, la operación efectuada y el ámbito de aplicación territorial. Una persona que opere una cuenta de pago radicada en la UE desde Tiflis puede encontrarse en una situación jurídica distinta a la de quien recurre a una cuenta georgiana para ordenar una transferencia transfronteriza. La interpretación del Derecho de la Unión fijada por el Tribunal de Justicia no debe interpretarse como un nuevo plazo legal de reembolso aplicable en el ordenamiento jurídico de Georgia.

Tratándose de una entidad proveedora georgiana, las normas locales sobre servicios de pago y los correspondientes mecanismos de reclamación precisan un análisis autónomo. La jurisprudencia comunitaria puede constituir un elemento comparativo ilustrativo, mas no reconfigura por sí misma un contrato sujeto a Derecho georgiano ni atribuye competencia general a los tribunales de la UE sobre cualquier conflicto. Si intervienen varios proveedores, procede determinar cuál ejecutó materialmente el servicio litigioso y ante qué instancia compete formalizar la queja.

Pautas prácticas para la reclamación

• Notificar los hechos al proveedor a la mayor brevedad, detallando la operación, el importe exacto y la fecha.
• Custodiar los mensajes fraudulentos, extractos bancarios y cualquier comprobante del proceso de autenticación.
• Solicitar al proveedor que aclare si califica la operación como debidamente autorizada y en qué evidencias técnicas se fundamenta.
• Diferenciar la petición de reembolso inmediato de cualquier eventual controversia posterior sobre la responsabilidad en el fondo.
• Encauzar la reclamación a través de las vías administrativas, del defensor del cliente o de la sede judicial competente tras revisar el marco contractual y territorial de la cuenta.

La relevancia de esta sentencia estriba en que impide desatender la obligación inicial de reintegro ante una escueta imputación de negligencia dentro del marco normativo comunitario aplicable. Para conocer otro supuesto de relevancia en la operativa bancaria internacional, puede consultar nuestro análisis sobre la cooperación bancaria entre Georgia y los EAU.

Fecha de comprobación jurídica

Fuentes y normativa comprobadas a 15 de octubre de 2026. Los cambios posteriores no se incorporan automáticamente. La aplicación de las normas depende de los hechos de cada caso.