Una futura sentencia de la Unión Europea podría agilizar las devoluciones en los casos de 'pishing'

Las víctimas de estafas digitales como el 'phishing' podrían contar pronto con una protección jurídica sin precedentes gracias a la Unión Europea. Y es que el Tribunal de Justicia de la Unión Europea (TJUE) estudia actualmente un caso que podría obligar a los bancos a agilizar las devoluciones de dinero sustraído. Según las conclusiones del Abogado General, las entidades financieras deberían realizar reembolsos automáticos incluso ante sospechas de descuido por parte del usuario afectado. Esta postura busca equilibrar la balanza en un escenario donde los ataques de ciberdelincuentes son cada vez más sofisticados y difíciles de detectar. Si el tribunal confirma este criterio, el proceso de recuperación de fondos dejará de ser una carrera de obstáculos para los ciudadanos estafados por la ciberdelincuencia.

El cambio normativo afectaría directamente a cómo los proveedores de servicios gestionan los fraudes por enlaces falsos o suplantación de identidad. En la actualidad, el principal escollo para los usuarios es que los bancos suelen rechazar sistemáticamente el reembolso alegando una supuesta negligencia grave del cliente. Esta práctica obliga a la parte más débil del contrato a soportar el golpe económico inicial y a iniciar procesos judiciales costosos. Muchas personas terminan renunciando a su dinero debido al desgaste emocional y al tiempo que conlleva litigar contra una gran entidad financiera. Organizaciones de consumidores como la OCU denuncian que las entidades usan este argumento de forma genérica y sin aportar pruebas concretas de la falta de cuidado.

Este vacío legal permite en la actualidad que los bancos desplacen la responsabilidad al consumidor desde el primer momento de la reclamación. La futura sentencia europea pretende acabar con esta indefensión estructural permitiendo que el afectado recupere su liquidez de forma inmediata y sencilla. El Abogado General del TJUE, Athanasios Rantos, ha defendido concretamente y con claridad que el reembolso debe ser la prioridad absoluta tras una estafa. Sus conclusiones, aunque no son vinculantes para el tribunal, suelen marcar la línea que seguirá la sentencia definitiva en los próximos meses. Rantos sostiene que la normativa europea de servicios de pago exige que el banco devuelva el importe el mismo día hábil de la queja. 

Bajo esta premisa, la entidad no podría bloquear el dinero basándose únicamente en su propia sospecha subjetiva sobre el comportamiento del usuario. Se trata de un cambio de paradigma: primero se restablece el saldo de la cuenta y después se discute la culpabilidad. Esta interpretación refuerza los derechos financieros de los consumidores frente a la creciente ola de fraudes en la banca electrónica actual. El origen de esta controversia legal se encuentra en un juzgado de Polonia que elevó una cuestión prejudicial al alto tribunal comunitario. El caso involucra a una mujer que fue víctima de un engaño tras recibir un enlace falso que imitaba a su entidad bancaria. Los estafadores consiguieron sus claves de acceso y realizaron un pago no autorizado que el banco se negó a cubrir inicialmente.

La entidad argumentó que la divulgación de las credenciales, incluso bajo engaño, constituía una infracción grave de las obligaciones de seguridad. La afectada defendió ante los tribunales que solo el fraude propio o la mala fe probada deberían impedir el reintegro inmediato. Esta disputa ha servido para que el TJUE defina si la negligencia es motivo suficiente para retener fondos sustraídos fraudulentamente. La tesis defendida por el Abogado General distingue nítidamente entre la devolución inmediata y la responsabilidad final del incidente económico. El banco debe reintegrar el dinero sin dilaciones, pero esto no significa que el cliente quede exento de toda responsabilidad posterior. 

Es decir, si más adelante se demuestra que el usuario actuó con un descuido inexcusable, el banco podrá reclamar legalmente el importe devuelto. Este mecanismo evita que la simple acusación de negligencia sirva como excusa automática para que el banco no pague desde el inicio. El objetivo es que el usuario no cargue con la pérdida inicial mientras se resuelve la compleja investigación técnica del fraude. Es una estrategia de “reembolsar primero y discutir después” que garantiza la liquidez inmediata de las víctimas de estos delitos.

Futuro precedente obligatorio

Según el Derecho europeo, solo existe una excepción válida para que un banco frene el reembolso automático de una operación no autorizada. La entidad solo podría negarse si tiene motivos razonables para sospechar un fraude cometido por el propio usuario de la cuenta. En tal caso, el banco está obligado a comunicar sus sospechas por escrito al organismo supervisor nacional, como el Banco de España. Fuera de este supuesto, la sospecha de haber pinchado en un enlace malicioso no bastaría para retener el dinero. La carga de la prueba recae sobre la institución financiera, que debe demostrar ante un juez la negligencia específica del cliente. De este modo, se protege a los autónomos y consumidores de la indefensión que supone enfrentarse a algoritmos bancarios opacos.

En España, la situación es crítica debido al aumento exponencial de casos de 'phishing' que terminan en largas disputas sin resolución rápida. La OCU señala que muchas entidades rechazan los reembolsos de forma automática, obligando a los afectados a acudir al Banco de España. Sin embargo, el supervisor nacional reconoce a menudo que determinar la existencia de negligencia grave excede sus competencias administrativas. Esto deja a los ciudadanos en un callejón sin salida legal que solo se resuelve mediante demandas judiciales lentas y costosas. La futura sentencia del TJUE sentará un precedente obligatorio que todos los juzgados de la Unión Europea deberán acatar y aplicar. Los protocolos internos de las cajas y bancos españoles tendrán que ser revisados profundamente para cumplir con el nuevo marco protector.