La información de las entradas de blog es meramente divulgativa, y en ningún caso sustituye al asesoramiento y valoración profesional de las cuestiones que tratan.
La sentencia del Tribunal de Justicia de la Unión Europea (Sala Primera) de 15 de octubre de 2026, asunto C-70/25, cierra la puerta a una respuesta que muchas víctimas de phishing conocen bien: negar la devolución inmediata de la operación fraudulenta con el argumento de que el cliente fue gravemente negligente al facilitar sus claves. El Tribunal responde que el banco no puede hacerlo. Primero devuelve; después, si quiere, discute.
El caso es el de tantos otros. Una clienta de un banco polaco que vendía un objeto en un portal de subastas recibió de un falso comprador un enlace que simulaba confirmar la venta; terminó en una página que imitaba la de su banco, introdujo allí sus datos de acceso a la banca electrónica y facilitó el código recibido por SMS. El autor, nunca identificado, transfirió a su propia cuenta unos 705 euros. Ella lo comunicó al día siguiente al banco y a la policía. El banco se negó a devolver el dinero alegando su negligencia grave.
La sentencia interpreta la Directiva (UE) 2015/2366, cuyo artículo 73 tiene su reflejo en el art. 45 del Real Decreto-ley 19/2018, de servicios de pago. Interesa a toda empresa que opere con banca electrónica, aunque no a todas por igual.
Qué ha dicho el Tribunal de Justicia: el banco devuelve primero
El Tribunal distingue dos momentos. El primero es la devolución inmediata: el banco del ordenante debe reintegrar el importe de la operación no autorizada, a más tardar al final del día hábil siguiente a aquel en que la haya observado o se le haya notificado. El precepto solo contempla una excepción: que el banco tenga motivos razonables para sospechar la existencia de fraude y los comunique por escrito a la autoridad nacional, que en España es el Banco de España. La sospecha de negligencia grave del cliente no es una excepción (apdos. 31, 33 y 34).
El segundo momento es el reparto definitivo de la pérdida, que regula el artículo 74 de la Directiva (art. 46 RDL 19/2018) y que el Tribunal sitúa «en una fase posterior» (apdo. 42). Si el banco considera que el cliente actuó con negligencia grave, podrá reclamarle después el reembolso, y será él quien tenga que probarla (apdos. 40 y 46). Admitir lo contrario, razona el Tribunal, tendría como consecuencia
«no solo privar de efecto útil a la obligación de devolución inmediata al ordenante, sino también obligar al usuario a tomar la iniciativa de reclamar su derecho, en su caso, ante los tribunales competentes y a soportar los consiguientes inconvenientes, en particular, las eventuales costas procesales» (apdo. 45).
La sentencia no exonera al cliente descuidado: invierte el orden. La carga de litigar deja de recaer en la víctima y pasa al banco. En España, la Sala de lo Civil del Tribunal Supremo ya había atribuido a esta responsabilidad un carácter «cuasi objetivo» y había declarado que la expresión «operaciones no autorizadas» incluye las iniciadas con las claves del usuario y confirmadas con el SMS enviado por el propio sistema, «siempre que éste niegue haberlas autorizado» (STS (Civil) 571/2025, de 9 de abril de 2025, núm. rec. 1151/2023, FJ Segundo).
¿Vale también para la empresa? Consumidor, microempresa y contrato
El fallo habla de «un ordenante», sin distinguir. Pero el razonamiento del Tribunal descansa en el objetivo de la Directiva de asegurar «una elevada protección de los consumidores» (apdos. 44 y 45). Y el legislador español no trata igual a todas las empresas.
El art. 34.1 del Real Decreto-ley 19/2018 permite que, cuando el usuario no sea consumidor ni microempresa (menos de diez personas y volumen de negocios o balance anual no superior a dos millones de euros, art. 3.25), las partes pacten que no se apliquen, total o parcialmente, entre otros, el art. 44 —la carga de la prueba que pesa sobre el banco— y el art. 46 —el régimen de responsabilidad del ordenante—. También permite fijar con quien no sea consumidor un plazo de notificación distinto del de trece meses del art. 43. El art. 45, en cambio, no figura en esa lista.
De ahí resulta un mapa desigual:
- El empresario individual y la microempresa gozan del régimen completo.
- La pequeña, mediana o gran empresa conserva, en principio, el derecho a la devolución inmediata, pero su contrato marco puede haberle trasladado la prueba o el riesgo definitivo de la pérdida. ¿Qué queda de una devolución inmediata que el banco puede recuperar después sin cargar con la prueba de la negligencia? La sentencia no lo aborda, porque el caso no lo planteaba.
Hay un segundo matiz que el empresario no debe perder de vista. La STS 571/2025 exige al banco la diligencia del «ordenado y experto comerciante», «sobre todo en una relación empresario/consumidor», y le reprocha no haber detectado operaciones anómalas; pero advierte también que operaciones que en empresas con un objeto social concreto «pueden calificarse como ordinarias, deben inmediatamente levantar sospechas» cuando afectan a personas físicas. El argumento del fallo de los sistemas de alerta pesa menos cuando la víctima es una sociedad.
El límite que más afecta al empresario: la transferencia ordenada por engaño
Todo lo anterior presupone una operación no autorizada: el delincuente obtiene las credenciales y ordena él mismo la transferencia. Pero la estafa que más sufren las empresas es otra. Un correo que suplanta a un proveedor comunica un «cambio de cuenta bancaria»; un supuesto directivo ordena un pago urgente y confidencial. En estos casos es la propia empresa, engañada, la que ordena el pago a través de su banca electrónica. Y según el art. 36.1 del Real Decreto-ley 19/2018, la operación se considera autorizada «cuando el ordenante haya dado el consentimiento para su ejecución». No hay devolución inmediata que reclamar.
Queda entonces la vía penal, que plantea su propio interrogante. El art. 249.1.a) del Código Penal castiga como estafa informática a quien, mediante manipulación informática o artificio semejante, consiga «una transferencia no consentida». Cuando quien transfiere es la víctima engañada, ¿estamos ante una estafa informática o ante la estafa común del art. 248, en la que el engaño produce error e induce al acto de disposición? Ya abordamos la estructura de este delito en «La adaptación de los amigos de lo ajeno: las estafas informáticas y el SIM swapping».
Lo decisivo para recuperar el dinero suele ser, sin embargo, la responsabilidad civil subsidiaria del art. 120.3 del Código Penal, porque el autor rara vez es identificable o solvente. La Sala de lo Penal ha declarado que, en estos fraudes,
«excluyendo actuaciones dolosas o gravemente negligentes por parte de los clientes, la entidad bancaria es responsable de ofrecer y poner en práctica un sistema seguro, de manera que las consecuencias negativas de los fallos en el mismo no deberán ser trasladados al cliente» (STS 327/2016, de 20 de abril de 2016, núm. rec. 1439/2015).
Y ha añadido que el entorno digital que el banco crea como plataforma de sus servicios colma el requisito del «establecimiento» que exige el precepto (STS 49/2020, de 12 de febrero de 2020, núm. rec. 10169/2019, FJ Cuarto).
La misma doctrina puede volverse contra la empresa. En la STS 136/2025, de 19 de febrero de 2025, núm. rec. 6434/2022, unos delincuentes suplantaron el correo de un empleado de un concesionario y lograron que otro concesionario pagara a una cuenta ajena. El concesionario suplantado había detectado el día anterior un incidente similar y no avisó a sus contrapartes. La Audiencia Provincial lo condenó como responsable civil subsidiario y el Supremo lo confirmó: la Sala considera que el sistema informático de la empresa queda abarcado por el término «establecimiento» (FJ Primero) y que la falta de aviso fue el hecho omisivo que propició el fraude (FJ Segundo). Una brecha en el correo propio puede convertir a la empresa en responsable.
Phishing y devolución inmediata: qué hacer cuando sucede
Si detecta una salida de fondos que su empresa no ha ordenado, o una transferencia hecha por engaño, el tiempo cuenta:
- Avise a su banco de inmediato y por escrito. La rectificación exige comunicarlo «sin demora injustificada» y, en todo caso, dentro de los trece meses siguientes al adeudo (art. 43 RDL 19/2018), salvo pacto distinto si su empresa no es consumidora. Pida además que se intente retener el importe en la entidad de destino.
- Si la operación no la ordenó usted, reclame la devolución del art. 45 con cita de la STJUE C-70/25. Una negativa basada solo en que se usaron sus claves o su código SMS no se ajusta a la sentencia. Pregunte si el banco ha comunicado al Banco de España motivos razonables de sospecha de fraude: es la única excepción admitida.
- Denuncie sin esperar. La denuncia permite rastrear y bloquear las cuentas de destino y abre la vía de la responsabilidad civil subsidiaria. Si conviene denuncia o querella, lo analizamos en «Fraude dentro de la empresa; ¿policía o juzgado?», y la competencia territorial en estos delitos, en «Juzgado competente para investigar estafas por internet».
- Conserve la prueba: correos con sus cabeceras, SMS, capturas, registros de acceso y la conversación con el banco. Si el banco alega después negligencia grave, tendrá que probarla; usted debe poder rebatirla.
- Revise su contrato marco. Si su empresa no es microempresa, compruebe si se pactó la exclusión de los arts. 43, 44 o 46.
- Si la brecha está en su propio sistema, avise a clientes y proveedores con pagos pendientes de que verifiquen cualquier cambio de cuenta. Callar puede costar caro.
En nuestra página sobre el delito de estafa explicamos cómo actuamos en estos procedimientos, tanto en la acusación como en la defensa.
Conclusión
La STJUE C-70/25 desactiva la negativa automática a devolver, que obligaba a la víctima a litigar para recuperar su dinero. Pero deja abiertas cuestiones que afectan de lleno al empresario. ¿Hasta dónde llega la devolución inmediata cuando el contrato ha desplazado al cliente empresarial la prueba y el riesgo definitivo? ¿Qué protección le queda a la empresa cuando es ella, engañada, quien ordena el pago? ¿Qué diligencia se exigirá a la propia empresa, cuyo sistema informático la Sala de lo Penal ya considera su «establecimiento»?
La lección práctica es doble. Frente al banco, la sentencia es una herramienta que conviene invocar desde la primera reclamación. Frente a terceros, la seguridad de los sistemas propios ha dejado de ser un asunto técnico: es también una fuente de responsabilidad.
Plantee su duda o cuestión aquí.