Daños por phishing: primero paga el banco, después puede demandar

El caso

Una clienta bancaria en Polonia fue víctima de un ataque de phishing tras vender un objeto a través de una plataforma en línea: un supuesto comprador le envió un enlace que imitaba de forma engañosamente real la interfaz de la plataforma y, a continuación, la de su banco. Ella reveló sus credenciales de acceso, tras lo cual un tercero desconocido realizó un pago no autorizado desde su cuenta. El banco denegó el reembolso: reprochó a la clienta haber infringido con negligencia grave su obligación de custodiar diligentemente las credenciales de acceso.

El punto de partida legal

La segunda Directiva europea de servicios de pago establece en su art. 73, apartado 1, que un proveedor de servicios de pago debe, en principio, reembolsar de inmediato el importe de una operación de pago no autorizada, con una única excepción expresa: una sospecha fundada de fraude por parte del propio cliente, comunicada a las autoridades. La negligencia grave no figura en esta lista de excepciones; se regula solo en el art. 74, que determina cómo se reparte a continuación la responsabilidad entre el banco y el cliente. El tribunal polaco remitente quería saber del TJUE si un banco puede, no obstante, invocar ya la negligencia grave para denegar el reembolso inmediato.

La propuesta del abogado general

El abogado general Athanasios Rantos propuso al TJUE en sus conclusiones de 5.3.2026 (asunto C-70/25, Tukowiecka) responder negativamente. Según su lectura, ambas disposiciones regulan dos fases separadas: en primer lugar, el banco debe reembolsar el importe de inmediato y sin excepción, salvo que exista una sospecha de fraude comunicada; la cuestión de la negligencia grave no desempeña ningún papel en este primer paso. Solo después, en un segundo paso, puede el banco examinar si el cliente ha infringido sus obligaciones de diligencia con negligencia grave y debe, en su caso, hacer valer él mismo judicialmente contra el cliente la pretensión de resarcimiento resultante. Una interpretación contraria permitiría a los bancos eludir de hecho la excepción, estricta y de alcance limitado, invocando sin formalidades una conducta incorrecta del cliente, y obligaría al cliente a demandar él mismo para poder siquiera recuperar su dinero.

Divergencia respecto de la práctica alemana

Este punto de vista contradice la práctica alemana seguida hasta ahora: el BGH (Tribunal Supremo Federal de Alemania) y la opinión mayoritaria parten hasta ahora de que el banco puede negarse a cumplir su obligación de reembolso con arreglo a la buena fe (Treu und Glauben) si hace valer una pretensión propia de indemnización por negligencia grave del cliente; el cliente tiene entonces que demandar él mismo para recuperar su dinero. Si el TJUE siguiera al abogado general, este orden se invertiría: el reembolso iría primero y la demanda del banco —si es que está justificada— solo después.

Valoración

Importante para la valoración: las conclusiones de un abogado general no vinculan al Tribunal de Justicia, aunque este las siga en la mayoría de los casos. Hasta la resolución definitiva queda abierto si el TJUE asume esta línea y de qué manera, y si los tribunales alemanes aplican después tal criterio de conformidad con la Directiva. Para los clientes bancarios víctimas de un ataque de phishing, el alcance sería, no obstante, considerable: ya no tendrían que adelantar la prestación y demandar a su propia costa solo para volver a tener acceso a su dinero; el riesgo de litigar recaería entonces en el banco.