Damos cuenta, en esta entrada, de la Sentencia de la Sala Primera de lo Civil del Tribunal Supremo núm. 571/2025, de 9 de abril de 2025 que nos parece una resolución paradigmática (un “leading case”) en la jurisprudencia civil y penal sobre la ciberdelincuencia y, en particular, sobre los fraudes informáticos en el mercado bancario por las siguientes razones: porque desarrolla con particular claridad una exposición exhaustiva de la normativa europea y española sobre los servicios de pago, porque aplica de forma materialmente justa la doctrina de la imputación de responsabilidad por el riesgo empresarial y porque sienta jurisprudencia en el tormentoso mundo de las intromisiones informáticas crecientes en las cuentas bancarias de los consumidores -de las que cualquier cliente bancario puede dar fe- y la completa indefensión en las que se encuentran los usuarios frente a las plataformas digitales.
En este blog nos hemos venido ocupando tanto de la normativa europea y española sobre los servicios de pago como de las numerosas Sentencias referidas a diferentes modalidades de fraudes informáticos en los mercados financieros (el lector interesado en profundizar en ambas materias puede consultar la nota bibliográfica final). Es por ello, por lo que nos parece particularmente oportuno dar cuenta de la reciente Sentencia de la Sala Primera de lo Civil del Tribunal Supremo núm. 571/2025, de 9 de abril de 2025 conforme al esquema que utilizamos habitualmente.
A) Identificación
La Sentencia núm. 571/2025, de 9 de abril de 2025 desestima el recurso de casación interpuesto por Ibercaja Banco S.A., contra la Sentencia n.º 996/2022, de 17 de noviembre, dictada por la Sección 5.ª de la Audiencia Provincial de Zaragoza en el recurso de apelación n.º 20/2022, que confirma (Casación, Número del procedimiento: 1151/2023, Ponente: Excmo. Sr. D. Manuel Almenar Belenguer) en un litigio que versaba sobre la suplantación de identidad (“phishing”). En concreto, se trataba de cinco transferencias a través de la banca digital y otras doce operaciones de Bizum; realizadas al amparo del contrato de banca electrónica «Ibercaja Directo», dos de las cuales se anularon al superar el máximo diario.
En la gestión del fraude sufrido por el actor, las sucesivas instancias judiciales apreciaron incumplimiento de las obligaciones contractuales asumidas por Ibercaja Banco S.A. en el contrato de banca a distancia y contrato de cuenta corriente y/o depósitos; ocasionando daños y perjuicios al demandante por importe de 56.474,63 euros, más los intereses dejados de percibir por dicha cantidad desde que se efectuaron las transferencias fraudulentas los días 17 y 18 de marzo de 2021.
B) Supuesto de hecho: “le puede ocurrir a Usted”
Sobre la base del “Resumen de antecedentes” que obra en el Fundamento de Derecho Primero de la Sentencia ofrecemos una cronología sintética del caso que resulta tan ilustrativa que nos lleva a advertir “le puede ocurrir a Usted”:
a) D. Martin es titular, junto con sus padres, D. Torcuato y D.ª Raquel , de la cuenta corriente y/o depósito n.º NUM000 , y, con su esposa Dña. Sonia, de la cuenta corriente n.º NUM001 , ambas abiertas en la entidad Unicaja Banco S.A.
b) Asimismo, D. Martin y Unicaja Banco S.A. suscribieron en fecha 31 de agosto de 2004 uncontrato de banca a distancia nº NUM002 ***.
c) En fecha 24 de febrero de 2021, a las 06:31 horas, D. Martin recibió un aviso de Google, en el que se le informaba que se había detectado una vulneración de su cuenta de correo electrónico @gmail, comprobándose un acceso no autorizado, ante lo cual, minutos después y como medida de prevención, a las 06:37 horas procedió al cambio de contraseña de la cuenta de correo.
d) El mismo 24 de febrero, a las 06:37, D. Martin recibió en su teléfono móvil, n.º NUM003 *****, varios mensajes SMS con códigos para la materialización a través del sistema digital de transferencias que no obedecían a órdenes emitidas por él, lo que puso en conocimiento del personal de la sucursal del banco.
e) En fechas 27 de febrero y 2 y 12 de marzo de 2021, Google Play y Google Ads realizaron varios cargos no autorizados en la cuenta n.º NUM001 , por valor de 464,98 €, utilizando su tarjeta VISA n.º NUM004 ****, lo que D. Martin comunicó a la entidad bancaria, reiterando su preocupación por los SMS recibidos, al tiempo que presentaba la pertinente reclamación a Google, que la rechazó el 15 de marzo, al no haber podido confirmar que se hubiera producido algún tipo de actividad fraudulenta.
f) El 16 de marzo, D.ª Estefanía recibió un email de Google en su dirección de correo de @gmail con el siguiente mensaje: «Alerta de seguridad crítica, se ha bloqueado un intento de inicio de sesión. Alguien acaba de usar tu contraseña para intentar iniciar sesión en tu cuenta». Inmediatamente, procedió a cambiar la contraseña, y, al día siguiente, 17 de marzo, el actor acudió a la oficina bancaria, donde informó sobre lo sucedido y solicitó la cancelación de la tarjeta y la emisión de otra nueva.
g) Entre la noche del 17 y la mañana del 18 de marzo de 2021 se realizaron quince transferencias bancarias desde la cuenta corriente n.º NUM000 , de las cuales diez lo fueron a través de la plataforma Bizum (por importe de 500 € cada una) y cinco a través de la plataforma de banca electrónica «Ibercaja Directo» (por importes de 28.970 €, 19.870 €, 9.876 € y dos de 9.870 € cada una -78.456,20 € en total-), devengando 236,53€ en comisiones, lo que suma un cargo total de 83.692,73 €.
h) La mayoría de las mencionadas transferencias se efectuaron a favor de delincuentes conocidos por la Policía, a través de la línea de móvil NUM003 *****, titularidad de D.ª Estefanía , para lo cual se utilizó una tarjeta SIM que había sido duplicada el 17 de marzo, a las 17:29 horas, sin autorización de la titular, en el distribuidor Remedios (Murcia), lo que permitió al autor/es acceder a la información almacenada en la tarjeta, y recibir y utilizar el código solicitado para las sucesivas operaciones.
i) El demandante no supo lo sucedido hasta la mañana del día 18 de marzo, cuando el personal de la sucursal, alertado por una llamada del personal del Banco Santander S.A., que había detectado el ingreso realizado en una cuenta sospechosa, le preguntó si durante la noche había hecho transferencias por valor de 83.000 €, a loque respondió que no. Al acceder a la banca electrónica y comprobar la realidad de la información, el mismo día 18 presentó la correspondiente denuncia en la comisaría de la Policía Nacional, lo que motivó la incoación de las diligencias previas n.º 1017/21021 por el Juzgado de Instrucción n.º 11 de Zaragoza.
j) En atención a la reclamación del actor, Ibercaja Banco S.A. solicitó la restitución de las cantidades dispuestas a las distintas entidades de destino, consiguiendo la devolución de 27.218,10 €, que fueron reintegrados al actor.
C) Conflicto jurídico
Siguiendo con el “Resumen de antecedentes” que obra en el Fundamento de Derecho Primero de la Sentencia, podemos reconstruir los pasos del conflicto jurídico o “calvario judicial” que el consumidor debió recorrer: YYY
a) D. Martin interpuso una demanda en ejercicio de una acción de responsabilidad contractual frente a Ibercaja Banco S.A., en reclamación de 56.474,63 €, por los daños y perjuicios causados por el incumplimiento de las obligaciones asumidas por la demandada en el contrato de banca a distancia y en el contrato de cuenta corriente y/o depósito nº NUM000 , titularidad de D. Martin y de sus padres, D. Torcuato y D.ª Raquel , al haberse realizado quince transferencias bancarias no autorizadas, a través de la plataforma de banca electrónica «Ibercaja Directo».
b) La demandada Ibercaja Banco S.A. se opuso a la demanda alegando, en síntesis, los siguientes motivos exculpatorios:
b.1) Todas las transferencias realizadas cumplieron las exigencias impuestas en la normativa aplicable, ya que se ejecutaron con identificación correcta del titular o usuario de las cuentas de origen y empleo de un doble factor de autentificación, consistente en el envío mediante SMS de un código/clave, que debía incorporar el usuario-titular del servicio «Ibercaja Directo», para continuar, consentir, confirmar y hacer efectiva la operación (el SMS se envía de forma exclusiva y con validez temporal limitada al teléfono móvil facilitado por el titular para este tipo de comunicaciones y autorizaciones a fin de operar a través de la banca on-line).
b.2) Todas las operaciones vía Bizum se llevaron a cabo a través de una aplicación Ibercaja Pay, a la que se accede con el mismo usuario y clave de Ibercaja Directo, comprobándose que el dispositivo es el mismo que se usó para efectuar el alta en el servicio.
b.3) El control y las medidas de seguridad que la normativa impone a la entidad bancaria no debe alcanzar a la falta de seguridad o vulnerabilidad que pueda tener el actor en sus dispositivos o a la falta de cautela en el uso o actuaciones que puedan facilitar a un tercero el uso de sus claves o de las contraseñas recibidas, mediante el acceso a páginas web o click en enlaces que puedan permitir a terceros el acceso a los datos de su dispositivo o de sus contactos, o datos o informaciones extraídos de sus propios correos electrónicos, que puedan comprometer sus claves de Google o la duplicidad o clonación de su tarjeta, o datos bancarios, que posibilitaran el control de su dispositivo por terceros.
b.4) Es responsabilidad del titular o usuario el mantenimiento actualizado de los dispositivos que utilice para operar en el servicio «Ibercaja Directo» (ordenador, móvil…), con los adecuados niveles de seguridad.
b.5) En el supuesto enjuiciado, el actor introdujo sus claves en reiteradas ocasiones para acceder al sistema, así como los códigos que se le enviaron por SMS para dar conformidad a las operaciones que realizaba, por lo que ningún incumplimiento cabe imputar a la entidad bancaria.
b.6) En este caso, posiblemente se ha producido una suplantación de identidad o «phishing», pero las operaciones se autorizaron al haber cumplido el doble factor de autenticación, sin detectarse incidencia alguna, y, por tanto, conforme a lo dispuesto en el art. 44 del RD-ley 19/2018. Acreditada dicha circunstancia (la doble autenticación), no corresponde a la entidad bancaria demandada determinar si las operaciones de pago cuestionadas las autentificó un cliente o un tercero que disponía de los datos, o incluso del dispositivo móvil utilizado.
b.6) En última instancia, en los contratos de banca digital y de cuenta corriente y/o depósitos se prevé expresamente (cláusula 8ª) que la demandada queda exenta de los perjuicios que se pudieran derivar por intromisiones ilegítimas de terceros en el sistema elegido por el cliente, fuera del control de Ibercaja Banco
c) El Juzgado de Primera Instancia n.º 7 de Zaragoza dictó Sentencia n.º 292/2021, de 29 de octubre que estimo la demanda y condeno al banco demandado a abonar al actor la cantidad reclamada. Esta estimación se produjo tras un examen exhaustivo de la legislación aplicable y el análisis detallado de la actuación del demandante y de la demandada que le llavron a concluir: “aunque el sistema de banca electrónica de la demandada y la operativa del mismo se adecúa a la legislación aplicable, lo cierto es que, al no haberse acreditado negligencia grave del usuario, la entidad bancaria debe responder del reintegro de las cantidades dispuestas de forma fraudulenta, sin que corresponda a los clientes/usuarios prevenir ni averiguar las modalidades de riesgos que el sistema conlleva”.
d) La Sección 5.ª de la Audiencia Provincial de Zaragoza, dictó Sentencia de fecha 17 de noviembre de 2022 en la que desestima el recurso de apelación del banco demandado por razones fácticas y jurídicas:
d.1) En cuanto a los hechos, la Audiencia declara probado que las transferencias fueron realizadas por delincuentes, que duplicaron la tarjeta SIM de la esposa del perjudicado, accediendo a la información confidencial almacenada en ella y tomando el control de su banca digital, en lo que se conoce como una modalidad de estafa denominada «SIM swapping».
d.2) En cuanto a lo jurídico, la Audiencia recuerda que la Ley de Servicios de Pago establece un sistema de responsabilidad cuasi objetiva de la entidad proveedora de los servicios de pago, conforme al cual, tratándose de operaciones no autorizadas, salvo actuación fraudulenta, incumplimiento deliberado o negligencia grave del ordenante, la responsabilidad será del proveedor del servicio de pago.
e) Ibercaja Banco S.A. interpuso recurso de casación contra la expresada sentencia.
D) Doctrina jurisprudencial
D.1) Fallo
La Sala Primera de lo Civil del Tribunal Supremo acuerda: “1.º- Desestimar el recurso de casación interpuesto por Ibercaja Banco S.A., (…) contra la Sentencia n.º 996/2022, de 17 de noviembre, dictada por la Sección 5.ª de la Audiencia Provincial de Zaragoza en el recurso de apelación n.º 20/2022, que confirmamos.2.º- Imponer a Ibercaja Banco S.A. las costas del recurso de casación”.
D.2) Razones para desestimar el recurso de casación y declarar la responsabilidad del banco
Para intentar ofrecer a los lectores de este blog la explicación más clara de la somos capaces, procedemos a exponer la exhaustiva fundamentación de la Sentencia comentada en forma de silogismo:
a) Premisa mayor: normativa aplicable
a.1) La normativa europea y española sobre los servicios de pago y la jurisprudencia del TJUE que la interpreta
El Fundamento de Derecho Segundo de la Sentencia comienza su razonamiento sentando las bases de la normativa europea y española sobre los servicios de pago y la jurisprudencia del TJUE que la interpreta:
a.1.1) En cuanto a la normativa europea, transcribe la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior, que derogó la Directiva 2007/64/CE, en sus Considerandos (7, 70, 71, 72, 91 y 96) y artículos (64, 69, 70, 71 y 72) pertinentes para resolver el recurso. Así como los preceptos pertinentes del Reglamento Delegado (UE) 2018/389 de la Comisión, de 27 de noviembre de 2017, por el que se complementa la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo en lo relativo a las normas técnicas de regulación para la autenticación reforzada de clientes y unos estándares de comunicación abiertos comunes y seguros.
a.1.2) En lo que se refiere a la normativa española, reproduce preceptos del Real Decreto Ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, cuyos arts. 36 y 41 a 46 reproducen casi miméticamente los preceptos de la Directiva.
a.1.3) Por último, y en cuanto a la jurisprudencia del TJUE que interpreta la Directiva (UE) 2015/2366, cita los apartados pertinentes de la Sentencia del Tribunal de Justicia de 2 de septiembre de 2021(C-337/20) que, con ocasión de examinar el alcance del art. 58 de la anterior Directiva 2007/64, aporta -siquiera sea de modo indirecto- unas pautas orientativas sobre la diligencia exigible al usuario de los servicios de pago.
a.2) Conclusiones de la Sala
El análisis de la normativa europea y española sobre los servicios de pago y la jurisprudencia del TJUE que la interpreta le permite a la Sala, llegar a las conclusiones siguientes, que expone en el Fundamento de Derecho Segundo de la Sentencia:
“1.º El usuario de servicios de pago debe adoptar todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas y, en caso de extravío, sustracción o apropiación indebida del instrumento de pago o de su utilización no autorizada, ha de notificarlo al proveedor de servicios de pago de manera inmediata, tan pronto tenga conocimiento de ello.
2.º En caso de que se produzca una operación de pago no autorizada o ejecutada incorrectamente, si el usuario de servicios de pago se lo comunica sin demora injustificada, el proveedor debe proceder a su rectificación y reintegrar el importe de inmediato, salvo que tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España.
3.º Cuando un usuario niegue haber autorizado una operación de pago ya ejecutada o alegue que ésta se ejecutó de manera incorrecta, incumbe al proveedor la carga de demostrar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado por el proveedor de servicios de pago.
4.º El mero hecho del registro por el proveedor de la utilización del instrumento de pago no bastará, necesariamente, para demostrar que la operación de pago fue autorizada por el ordenante, ni que éste ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave una o varias de sus obligaciones, correspondiendo al proveedor la prueba de que el usuario del servicio de pago cometió fraude o negligencia grave.
En suma, la responsabilidad del proveedor de los servicios de pago, en los casos de operaciones no autorizadas o ejecutadas incorrectamente, tiene carácter cuasi objetivo, en el doble sentido de que, primero, notificada la existencia de una operación no autorizada o ejecutada incorrectamente, el proveedor debe responder salvo que acredite la existencia de fraude; y, segundo, cuando el usuario niegue haber autorizado la operación o alegue que ésta se ejecutó incorrectamente, corresponde al proveedor acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio, sin que el simple registro de la operación baste para demostrar que fue autorizada nique el usuario ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave.
Profundizando en este último punto, la expresión «operaciones no autorizadas» incluye aquellas que se han iniciado con las claves de usuario y contraseña del usuario -necesarias para acceder al sistema de banca digital- y confirmado mediante la inserción del SMS enviado por el propio sistema al dispositivo móvil facilitado por el usuario, siempre que éste niegue haberlas autorizado, en cuyo caso el banco deberá acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio que presta.
A este respecto, la mención «deficiencia del servicio» no significa error o fallo del sistema informático o electrónico -posibilidad que estaría prevista en el concepto de «fallo técnico»-, sino que abarca cualquier faltade diligencia o mala praxis en la prestación del servicio, en el entendimiento de que el grado de diligencia exigible al proveedor de los servicios de pago no es el propio del buen padre de familia, sino que la naturaleza de la actividad y los riesgos que entraña el servicio que se presta, sobre todo en una relación empresario/consumidor, obliga a elevar el nivel de diligencia a un plano superior, como es el del ordenado y experto comerciante.
Lógicamente, las buenas prácticas pasan por adoptar las medidas de seguridad necesarias para garantizar el correcto funcionamiento del sistema de servicios de pago, entre las cuales destacan las orientadas a detectar de forma automática la concurrencia de indicios de que puede tratarse de una operación anómala y generar una alerta o un bloqueo temporal (v.gr. reiteración de transferencias sin solución de continuidad, horario en que se producen, importe de las mismas, destinatarios, antecedentes en el uso de la cuenta…), o las dirigidas a incrementar el control y vigilancia cuando se han recibido noticias o alertas de un posible aumento del riesgo”.
b) Premisa menor: el cliente no incurrió en un incumplimiento deliberado o en una negligencia grave
El silogismo se completa cuando el Fundamento de Derecho Segundo de la Sentencia nos dice:
“Sin embargo, lejos de haber acreditado tales extremos, la prueba practicada evidencia lo contrario.
La secuencia fáctica permite observar que (i) tres semanas antes, el demandante informó a la entidad de la recepción en su dispositivo móvil de diversos mensajes SMS en los que se indicaban otros tantos códigos para validar transferencias desde su cuenta y que él no había solicitado; (ii) en fechas 27 de febrero y 2 y 12de marzo de 2021, Google Play y Google Ads realizaron varios cargos no autorizados en la cuenta titularidad de D. Martin y su esposa en Ibercaja Banco S.A., utilizando su tarjeta VISA, lo que el demandante comunicó a la entidad bancaria; (iii) el 16 de marzo, D.ª Estefanía recibió un email de Google en la que se alertaba de que «Alguien acaba de usar tu contraseña para intentar iniciar sesión en tu cuenta», por lo que procedió a cambiar la contraseña, y, al día siguiente, 17 de marzo, el actor acudió a la oficina bancaria, donde informó sobre lo sucedido y solicitó la cancelación de la tarjeta y la emisión de otra nueva; y (iv) en la noche del 17 al18 de marzo de 2021, se realizaron quince transferencias bancarias desde la cuenta corriente titularidad de D. Martin y sus padres, de las cuales diez lo fueron a través de la plataforma Bizum (por importe de 500 €cada una) y cinco a través de la plataforma de banca electrónica «Ibercaja Directo» (por importes de 28.970€, 19.870 €, 9.876 € y dos de 9.870 € cada una).
Estos precedentes ponían de manifiesto, para cualquier observador medio, razonablemente atento y perspicaz, y más aún, para un empleado de banca, que alguien había conseguido acceder a las cuentas del actor, y, por ende, que disponía de sus claves de usuario y contraseña, lo que hubiera debido motivar una reacción inmediata, que pasaba cuando menos por la modificación de las claves y/o códigos. Nada se hizo. Al no adoptarse medida de protección alguna, tan solo restaba que los autores encontraran la manera de eludir el último obstáculo, esto es, la vía para recibir directamente el código de confirmación de la operación”.
c) Conclusión: desestimación del recurso de casación del banco
El silogismo llega a su fin cuando el Fundamento de Derecho Segundo de la Sentencia nos dice:
“Llegado este punto, nos encontramos, de un lado, ante una conducta diligente del titular de la cuenta, que informó, inmediata y reiteradamente, al personal de entidad de lo que estaba sucediendo, cumpliendo la obligación que expresamente le imponía la normativa comunitaria y nacional; y, de otro lado, ante un servicio que se presta defectuosamente por el proveedor, tanto por no tomar en consideración la información recibida pese a su gravedad, como por omitir la adopción de medidas que posibilitaran la detección de eventuales maniobras fraudulentas.
Por consiguiente, no se aprecia infracción del art. 36.1 del Real Decreto Ley 19/2018, lo que comporta la desestimación del motivo”.
Procede añadir que el Banco articuló un segundo motivo de casación en el que denunció “la infracción de los arts. 44 y 45 del Real Decreto Ley 19/2018, de servicios de pago, el primero porque la prueba practicada acredita que operación de pago fue autenticada, registrada con exactitud y contabilizada, y no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado por el proveedor de los servicios de pago; y, el segundo, porque no es de aplicación al presente caso, ya que se trata de operaciones autorizadas, al haberse dado el consentimiento de conformidad con las condiciones contractuales conocidas y aceptadas por el actor mediante la firma de los contratos”.
Este segundo motivo fue desestimado por las razones expuestas en el Fundamento de Derecho Tercero de la Sentencia que, en síntesis, dice: “En el supuesto enjuiciado fallan ambos presupuestos. En primer lugar, la entidad demandada debía probar, no solo que la operación no se vio afectada por un fallo técnico, sino que no se ha producido una prestación defectuosa del servicio, cuestión que ya ha sido objeto de análisis con ocasión de examinar el anterior motivo, concluyendo que el servicio no se prestó correctamente”.
Nota bibliográfica:
Sobre la ciberdelincuencia en el mercado bancario y, en especial sobre el “phishing” bancario: el lector interesado puede consultar las entradas de este blog del de 17 de abril de 2017 sobre “FINTECH, ciberseguridad, manipulaciones de dominios de internet, “pishing” y responsabilidad bancaria: Jurisprudencia civil y penal reciente”; de 27 de julio de 2023 sobre el “Código de Buen Gobierno de la Ciberseguridad elaborado del Foro Nacional de Ciberseguridad y difundido por la CNMV” y de 24 de agosto de 2023 sobre la “Captura de los datos de un cliente (“phishing”), cargos fraudulentos en su cuenta bancaria y responsabilidad del banco por los daños causados: decisiones judiciales recientes y relevantes”. Así como nuestro estudio “Ciberdelincuencia con criptoactivos: algunos casos paradigmáticos recientes en España”, RDBB 163, julio-septiembre 2021, pp. 279-290. Sobre la regulación de los servicios de pago: El lector puede consultar las entradas de este blog de 4 y 5 de diciembre de 2018 sobre el “Impacto del Real Decreto-ley 19/2018 en el mercado de valores” y el “Impacto del Real Decreto-ley 19/2018 en el mercado bancario” y las entradas de 11, 16 y 23 de enero de 2019 sobre los “Servicios de pago (1). Su regulación por el Real Decreto-ley 19/2018. Aspectos generales”; los “Servicios de pago (2). Su regulación por el Real Decreto-ley 19/2018. Estructura del mercado”; y los “Servicios de pago (3). Su regulación por el Real Decreto-ley 19/2018. Funcionamiento del mercado”. Para profundizar en la materia también puede consultar nuestros estudios “La segunda Directiva de servicios de pago” en la Revista de Estabilidad Financiera (Banco de España, Eurosistema) n.º 35, 11/2018, pp. 57-80 / The second payment services Directive” in the Financial Stability Review. Issue n.º 35, pp. 57-78; y “La regulación de los servicios de pago por el Real Decreto-ley 19/2018, de 23 de noviembre. Una visión panorámica”, en la RDBB n.º 155 (2019), pp. 9-36 y “La nueva directiva sobre servicios de pago (DSP 2) y su aplicación desde el 13 de enero de 2018”, en la RDBB N.º 150 (2018), pp. 255 a 260