El pasado día 15 de octubre de 2026, la Sala Primera del TJUE dictó su Sentencia en el asunto C-70/25 | [Tukowiecka] que trata de los servicios de pago ratificando la obligación del banco de devolver inmediatamente el importe de una operación de pago no autorizada aun cuando concurra negligencia grave del cliente en la custodia de las contraseñas de seguridad. Estamos, pues, ante una operación bancaria que se realiza millones de veces al día y contra las que previenen continuamente los bancos a su clientela, de ahí su importancia práctica y la oportunidad de dar cuenta sintética de su contenido.
A) Identificación de la Sentencia
Esta Sentencia del TJUE de 15 de octubre de 2026 resuelve una petición de decisión prejudicial planteada, con arreglo al artículo 267 TFUE, por el Tribunal de Distrito de Koszalin (Polonia) en el contexto de un litigio entre N.O., una clienta persona física, y PKO BPS.A., un banco; con referencia a la negativa de este último a devolver el importe de una operación de pago no autorizada por N.O.
La Sala Primera del TJUE interpreta la aplicación de normativa de los servicios de pago en el mercado interior establecida por la Directiva (UE) 2015/2366 (DSP 2) en casos de operaciones de pago no autorizadas discriminando entre la responsabilidad del banco proveedor de servicios de pago (art.73) y la responsabilidad del ordenante (art.73), En particular, precisa el alcance de la obligación de devolución inmediata que incumbe al banco proveedor de servicios de pago; las obligaciones del usuario de servicios de pago y el efecto de su eventual negligencia grave; y el reparto de la responsabilidad entre el proveedor de servicios de pago y el ordenante (art.69). Todo ello ante la negativa del banco proveedor de servicios de pago a devolver inmediatamente al ordenante el importe de una operación no autorizada por entender que dicho ordenante hizo posible esta operación por una negligencia grave en su custodia de las contraseñas de seguridad que permitió a un tercero practicar la modalidad delictiva del “phishing”.
Dado que la mayor parte de los servicios bancarios son de pago y dado el soporte digital en el que se presta la práctica totalidad de ellos y dada la tendencia de los tribunales españoles y europeos a incrementar la diligencia exigible y la exigencia de responsabilidad a los bancos; nos parece que estamos ante una Sentencia que tendrá un impacto muy notable en el mercado bancario europeo porque precisa el paradigma de la diligencia exigible a cada parte (banco y cliente) en sus relaciones de responsabilidad ante operaciones de pago no autorizadas. Por ello, damos cuenta sintética de su contenido en esta entrada.
Esta Sentencia del TJUE de 15 de octubre de 2026 es particularmente precisa y equilibrada cuando establece el reparto de las responsabilidades ante operaciones de pago no autorizadas. Para ello, distingue dos fases negociales:
a) En la primera fase, dice que la negligencia grave del cliente no exime al proveedor de servicios de pago de la obligación de devolver inmediatamente el importe de una operación de pago no autorizada.
b) En la segunda fase, añade que lo anterior no obsta para que el proveedor de servicios de pago pueda reclamar posteriormente al cliente el reembolso de las pérdidas derivadas de una negligencia grave cometida por este último.
B) Supuesto de hecho del litigio subyacente
Sobre la base de la descripción del “litigio principal y la cuestión prejudicial” que hace la Sentencia en sus apartados 14 y ss. podemos ofrecer la siguiente síntesis cronológica:
a) La Sra, N.O. (demandante en el litigio principal) celebró un contrato de de cuenta corriente con PKO BP, un banco establecido en Polonia.
b) La Sra, N.O. fue víctima de un fraude mediante suplantación de su identidad (phishing) cometido cuando un tercero fingió estar interesado en la compra de un objeto puesto a la venta por la clienta en una plataforma de ventas en línea. El tercero le envió un enlace fraudulento que aparentaba proceder de dicha plataforma y que estaba destinado a confirmar la venta.
b) Ignorante del engaño, la clienta siguió dicho enlace hasta un sitio de Internet que parecía ser el de su banco e introdujo allí sus claves de identificación al servicio de banca electrónica.
c) Esta operación de pago fue autorizada por el tercero mediante un código de confirmación transmitido por SMS y obtenido de la Sra, N.O. inducida por el engaño.
d) Con esas claves, el referido tercero pudo transferir un importe equivalente a unos 705 euros desde la cuenta bancaria de la clienta a su propia cuenta.
e) Al día siguiente, la Sra, N.O se dio cuenta de que había sido víctima de un fraude y comunicó inmediatamente la operación no autorizada a PKO BP y a la policía; sin que se llegara a identificar al autor del fraude.
f) La Sra, N.O, al notificar la operación fraudulenta a su banco, le solicitó la devolución a su cuenta del importe de la operación de pago no autorizada.
g) El banco PKO BP se negó a devolver a la Sra. N.O el importe de la operación no autorizada, fundándose, en particular, en que el perjuicio sufrido se debió a que, a raíz de una negligencia grave, esta última había incumplido su obligación de conservar el instrumento de pago con la debida diligencia, de proteger sus credenciales de seguridad personalizadas y de no ponerlas a disposición de personas no autorizadas.
C) Conflicto jurídico subyacente
Los apartados 18 y ss, de la Sentencia nos permiten ofrecer una cronología sintética del conflicto:
a) Ante esta negativa, la clienta interpuso una demanda ante el Tribunal de Distrito de Koszalin (Polonia) -que es el órgano jurisdiccional remitente- dirigida a obtener la condena de PKO BP al pago de la cantidad de euros alegando, en apoyo de su demanda, que PKO BP, en su condición de proveedor de servicios de pago, estaba obligada a devolverle inmediatamente el importe de la operación de pago no autorizada, salvo que existieran motivos razonables para sospechar la existencia de un fraude cometido por la ordenante.
b) El banco PKO BP sostuvo, que el incumplimiento de las obligaciones que incumben al ordenante a raíz de una negligencia grave en la custodia de las contraseñas de seguridad, constituye también un motivo que exime al proveedor de servicios de pago de la obligación de devolver el importe de la operación de pago no autorizada. Alega, a este respecto, que puede apreciar de manera independiente todos los requisitos para que se genere su responsabilidad por tal operación y que está dispensada de dicha obligación de devolución siempre que demuestre la existencia de tal negligencia por parte del ordenante.
c) En tales circunstancias, el Tribunal de Distrito de Koszalin (Polonia) decidió suspender el procedimiento y plantear al TJUE una cuestión prejudicial en la que le pregunta, en esencia, si los artículos 73.1 y 74.1 de la Directiva 2015/2366 deben interpretarse en el sentidode que un proveedor de servicios de pago puede negarse a devolver inmediatamente a un ordenante el importe de una operación de pago no autorizada por entender que dicho ordenante hizo posible tal operación al cometer negligencia grave incumpliendo las obligaciones que le incumben en virtud del artículo 69 de la citada Directiva.
D) Declaración del TJUE
En su Sentencia de 15 de octubre de 2026, la Sala Primera del TJUE declara: “Los artículos 73, apartado 1, y 74, apartado 1, de la Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior y por la que se modifican las Directivas 2002/65/CE, 2009/110/CE y 2013/36/UE y el Reglamento (UE) n.º 1093/2010 y se deroga la Directiva 2007/64/CE, deben interpretarse en el sentido de que un proveedor de servicios de pago no puede negarse a devolver inmediatamente a un ordenante el importe de una operación de pago no autorizada por entender que dicho ordenante hizo posible tal operación al cometer una negligencia grave incumpliendo las obligaciones que le incumben en virtud del artículo 69 de la Directiva 2015/2366”.
E) Razonamiento que sustenta la declaración del TJUE
Podemos ofrecer una síntesis de dicho razonamiento del TJUE en forma del silogismo siguiente:
E.1) Premisa mayor: la configuración de la obligación del banco de devolver a la cuenta del cliente el importe de las operaciones de pago no autorizadas
La Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior (DSP 2) establece, en sus artículos 73 y 74, respectivamente, la responsabilidad del proveedor de servicios de pago y la del ordenante en caso de operaciones de pago no autorizadas (apartado 30 y ss.).
En particular, configura la obligación de devolver el importe de las operaciones de pago no autorizadas conforme a un principio de regla-excepción en el que:
a) La regla general consiste en que, en el caso de operación de pago no autorizada, el banco proveedor de servicios de pago está, en principio, obligado a devolver inmediatamente el importe de la operación con el límite temporal del final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación, siempre que el cliente lo notifique sin demora injustificada al referido proveedor de servicios de pago.
b) La excepción a dicha obligación de devolución inmediata -prevista en el art.73.1 de la DSP 2- reside en la hipótesis de que el banco proveedor de servicios de pago tenga motivos razonables para sospechar la existencia de un fraude cometido por el cliente y comunique dichos motivos por escrito a la autoridad nacional competente. El considerando 71 de la DSP 2 alude al supuesto en el que el proveedor de servicios de pago tenga motivos razonables para sospechar la existencia de un fraude cometido por el usuario de servicios de pago y comunique, por escrito, los motivos objetivos en los que se basan tales sospechas a la autoridad nacional competente, lo que parece corroborar -a juicio del TJUE (apartado 39)- la interpretación según la cual la única excepción a la obligación de devolución inmediata es la de fraude prevista expresamente en el artículo 73.1 de dicha DSP 2.
El TJUE razona “a sensu contrario” para inferir que dicho precepto no establece ninguna excepción a la obligación de devolución inmediata en caso de sospecha de que el ordenante hizo posible una operación de pago no autorizada al cometer negligencia grave incumpliendo las obligaciones que le incumben en virtud del artículo 69 de la citada Directiva (apartado 34).
E.2) Premisa menor: circunstancias del litigio subyacente: no consta el fraude de la clienta, sino su negligencia grave
De las circunstancias obrantes en autos se infiere que el banco proveedor de servicios de pago consideró que la clienta titular de la cuenta de pago u ordenante, -en los términos de la DSP 2, que la define como la persona física o jurídica titular de una cuenta de pago que autoriza una orden de pago a partir de dicha cuenta (arts.4.8, 73.1 y 74.1)- hizo posible la operación no autorizada debido a su negligencia grave consistente en no haber adoptado las medidas necesarias para proteger sus credenciales de seguridad personalizadas; pero no logro acreditar el fraude en su conducta.
E.3) Conclusión: la negligencia grave de la clienta-ordenante no le permite al banco rehusar la devolución inmediata; sin perjuicio de reclamarle, después, las pérdidas derivadas de esa operación
La aplicación del principio de la regla/excepción de la DSP 2 lleva al TJUE a distinguir dos momentos o fases negociales que son:
a) En la primera fase, el TJUE dice que la negligencia grave del cliente no exime al proveedor de servicios de pago de la obligación de devolver inmediatamente el importe de una operación de pago no autorizada. Así, en un primer momento, el banco proveedor de servicios de pago está obligado a hacer la devolución inmediata porque la negligencia grave de la clienta-ordenante no es razón suficiente para rehusar la devolución inmediata.
b) En la segunda fase, el TJUE añade que lo anterior no obsta para que el banco proveedor de servicios de pago pueda reclamar posteriormente al cliente el reembolso de las pérdidas derivadas de una negligencia grave cometida por este último. En esta segunda fase y una vez devuelto por el banco el importe a la cuenta del cliente; dicho banco podrá, en su caso, reclamar al cliente el reembolso de las pérdidas ocasionadas si demuestra que estas se deben a que el cliente, deliberadamente o por negligencia grave, incumplió las obligaciones que le incumben y, en particular, la de proteger la seguridad de sus credenciales de seguridad personalizadas. Para reclamar con éxito al cliente, el banco proveedor de servicios de pago deberá probar que hubo negligencia grave por parte del cliente.
A estos últimos efectos, procede constatar que el TJUE ha declarado que la tardanza injustificada del cliente en comunicar la operación de pago no autorizada a su banco proveedor de servicios de pago puede ser calificada de negligencia grave del usuario, quien se verá privado del derecho a obtener la devolución de las pérdidas ocasionadas. Así lo ha dicho en su Sentencia de 1 de agosto de 2025 (Asunto C-665/23 | Veracash) cuya la declaración 3) dice: “Los artículos 58, 60, apartado 1, y 61, apartado 2, de la Directiva 2007/64, en relación con el artículo 56, apartado 1, letra b), de esta, deben interpretarse en el sentido de que, cuando, por un lado, existan operaciones de pago no autorizadas sucesivas a raíz de la utilización de un instrumento de pago extraviado, robado o sustraído, o de la utilización no autorizada de tal instrumento, y, por otro lado, el ordenante, aunque respetando el plazo de trece meses desde la fecha del adeudo, tardó, en parte, en notificarlas a su proveedor de servicios de pago, deliberadamente o por negligencia grave, en principio, dicho ordenante solo se verá privado del derecho a obtener la devolución de las pérdidas ocasionadas como consecuencia de las operaciones que haya tardado en notificar a su proveedor de servicios de pago deliberadamente o por negligencia grave” (el lector interesado en este Sentencia puede consultar la entrada de este blog de 3 de septiembre de 2025 sobre los “Servicios de pago: privación del derecho a obtener la devolución de una operación de pago no autorizada por el usuario gravemente negligente”.
El planteamiento bifásico responde a la apreciación del TJUE de que el Derecho de la UE permite distinguir la cuestión relativa a la devolución del importe de la operación de pago no autorizada de la relativa a quién debe asumir, en última instancia, las pérdidas derivadas de esa operación. Este enfoque es conforme con el objetivo de garantizar una elevada protección de los consumidores porque permitir al proveedor de servicios de pago negarse de entrada a proceder a la devolución alegando una negligencia grave del cliente privaría de efecto útil a la obligación de devolución inmediata y obligaría al propio cliente a tomar la iniciativa e instar un procedimiento para reclamar su derecho, con los costes e inconvenientes que ello le pudiera ocasionar.
En conclusión, la protección del usuario de servicios de pago digitales se obtiene, en estos casos de operaciones de pago no autorizadas, gracias a un doble mecanismo: temporal, porque su cuenta se mantiene a salvo con la devolución inmediata del importe transferido; y procesal, porque se desplaza al banco el deber de accionar contra el cliente y probar, en su caso, cumplidamente su negligencia grave.