Si un estafador et buida el compte fent servir les teves claus, el banc t'ha de tornar els diners, encara que ho consideri una negligència del client. Això és el que ha dit el Tribunal de Justícia de la Unió Europea en la sentència de 15 d'octubre de 2026 (assumpte C-70/25).
Es tracta d'una situació habitual. Reps un missatge que sembla del teu banc, d'una botiga en línia o d'un comprador de Wallapop. Cliques l'enllaç i introdueixes les teves claus en una pàgina falsa. L'endemà et falten diners. Reclames al banc i la resposta és sempre la mateixa: "Vostè va facilitar les seves credencials. Va actuar amb negligència greu. No li tornarem res."
El Tribunal de Justícia diu que aquesta resposta no és vàlida, almenys d'entrada. Primer, el banc ha de retornar els diners. Després, si vol, pot intentar recuperar-los, però haurà de demostrar que tu vas actuar amb negligència.
El cas: una venda per Internet que va acabar en estafa
L'afectada era una clienta del banc polonès PKO BP. Tenia un objecte a la venda en un portal de subhastes en línia. Un suposat comprador la va contactar i li va enviar un enllaç "per confirmar la venda". L'enllaç portava a una pàgina que imitava la web del seu banc. Ella hi va posar les claus de la banca en línia.
L'estafador va fer una transferència de 3.000 zlotys (uns 705 €) al seu propi compte. La va validar amb el codi SMS que també li havia obtingut amb l'engany.
L'endemà, la clienta se'n va adonar i ho va comunicar immediatament al banc i a la policia. El banc es va negar a retornar els diners. Al·legava que ella havia incomplert, per negligència greu, el deure de custodiar les seves credencials.
La clienta va demandar el banc. El jutjat polonès va preguntar al Tribunal de Justícia de la UE si el banc podia negar-se a tornar els diners amb aquest argument.
Què diu el Tribunal: primer tornar-ho, després ja discutirem
La resposta és clara: el banc no pot negar-se a tornar immediatament els diners d'una operació no autoritzada perquè consideri que el client va ser negligent.
La sentència es basa en tres idees.
La devolució és immediata. Quan hi ha una operació que tu no has autoritzat i l'avises sense demora, el banc ha de retornar l'import de seguida. Com a màxim, al final del dia hàbil següent a l'avís. També ha de deixar el compte com estaria si l'operació no s'hagués fet.
Només hi ha una excepció. El banc pot retenir la devolució només si té motius raonables per sospitar que el frau l'ha comès el mateix client. A més, ha de comunicar aquests motius per escrit a l'autoritat competent. Sospitar que has estat descuidat no és el mateix que sospitar que ets un estafador. El Tribunal ho diu expressament: la llei no preveu cap excepció per negligència greu (apartats 33 i 34).
La negligència greu es discuteix després, i l'ha de provar el banc.
En resum, el Tribunal canvia l'ordre de les coses. Ja no ets tu qui ha de perseguir el banc per recuperar els diners. És el banc qui, si vol, t'haurà de perseguir a tu.
Però com arriba a aquesta conclusió?
Hi arriba per quatre camins que porten al mateix lloc:
El que diu la norma. La Directiva europea de serveis de pagament (coneguda com a PSD2) només preveu una excepció a la devolució immediata: la sospita de frau del client. No en preveu cap per negligència.
Com encaixa amb la resta de la llei. La mateixa Directiva diu que, quan el client nega haver autoritzat una operació, és el banc qui ha de provar la negligència greu. Seria incoherent que el banc pogués decidir pel seu compte que hi ha negligència i, amb això, quedar-se els diners.
La finalitat de la llei, que és protegir el consumidor. Si el banc pogués negar-se d'entrada, la devolució immediata no serviria de res. El client hauria de prendre la iniciativa, anar a judici i assumir-ne el cost i les molèsties. El Tribunal considera aquest resultat difícil de conciliar amb una bona protecció del consumidor.
La història de la norma. La Directiva anterior, de 2007, no tenia cap excepció. Quan es va fer la nova, el legislador europeu en va afegir una de sola, la del frau. A més, els Estats no en poden afegir d'altres pel seu compte.
El Tribunal també desmunta un argument dels governs txec i italià. Segons ells, el client hauria de passar abans per un sistema extrajudicial de reclamacions (a Espanya, el Banc d'Espanya). El Tribunal respon que aquests sistemes serveixen per a qualsevol conflicte. No són un filtre previ per verificar si el client va ser negligent.
Què NO diu la sentència
Els titulars diuen que "el banc sempre ha de pagar el phishing". No és ben bé així. La sentència és important, però té límits que convé conèixer abans de reclamar.
No diu que el banc hagi d'assumir sempre la pèrdua. El que decideix és l'ordre: primer tornar, després discutir. Si el banc demostra en un procediment posterior que vas actuar amb negligència greu, pot acabar recuperant els diners.
Només val per a operacions no autoritzades. Aquesta és la distinció clau.
- Operació no autoritzada: l'estafador fa servir les teves claus per moure els diners sense que tu ho ordenis. Aquest és el cas de la sentència.
- Operació autoritzada: ets tu qui fa la transferència o el Bizum, enganyat. Per exemple, un fals empleat del banc et convenç que "protegeixis" els estalvis passant-los a un altre compte. En aquest cas, la sentència no s'aplica directament.
Hi ha zones grises. Què passa si vas facilitar el codi SMS que valida l'operació? En el cas polonès, la clienta també el va donar, i es considera que l'operació era no autoritzada. Però el Tribunal no va entrar a analitzar-ho. Els bancs continuaran discutint aquest punt i cada cas s'haurà de mirar a fons.
L'excepció de frau continua existint. El banc pot retenir la devolució si sospita raonablement que el frau l'ha fet el mateix client, i ho comunica a l'autoritat. Ara bé, el que no pot fer és disfressar de "sospita de frau" el que en realitat és una acusació de descuit.
Cal avisar ràpidament. El dret a la devolució depèn que comuniquis l'operació sense demora injustificada. El termini màxim absolut és de 13 mesos des del càrrec, però com més aviat avisis, millor.
I a Espanya, què canvia?
El cas és polonès, però la sentència interpreta una Directiva europea d'harmonització plena. Per tant, obliga igualment els bancs i els jutges espanyols.
A Espanya, la PSD2 es va incorporar amb el Reial decret llei 19/2018, de serveis de pagament. Els articles que importen són aquests:
| Article RDL 19/2018 | Què regula | Com hi incideix la sentència |
|---|---|---|
| Art. 43 | Termini per comunicar l'operació no autoritzada (màxim 13 mesos) | Cal haver avisat sense demora |
| Art. 44 | Prova: el registre de l'operació no prova per si sol que l'autoritzessis ni que fossis negligent | Reforça que la negligència l'ha de provar el banc |
| Art. 45 | Devolució immediata, com a màxim al final del dia hàbil següent | És la regla que el TJUE blinda: només cedeix davant sospita de frau del client |
| Art. 46 | Responsabilitat del client: fins a 50 €, o tota la pèrdua si hi ha frau o negligència greu | Es discuteix després de la devolució, no abans |
La regla de la devolució immediata ja existia a Espanya. El que canvia és que els bancs perden l'argument que feien servir per no complir-la. Fins ara, moltes entitats contestaven "negligència greu" i es quedaven els diners mentre el client no anés a judici. Després de C-70/25, aquesta resposta és contrària al dret de la Unió.
Què has de fer si et passa
- Bloqueja i avisa el banc immediatament. Truca al telèfon d'incidències, bloqueja targetes i accessos, i canvia les claus. Apunta l'hora i el nom de qui t'atén.
- Reclama per escrit el mateix dia o l'endemà. Digues clarament que no has autoritzat l'operació i demana la devolució. Cita l'art. 45 del Reial decret llei 19/2018 i la sentència del TJUE de 15 d'octubre de 2026 (assumpte C-70/25). Guarda'n el justificant.
- Denuncia a la policia. Aporta la denúncia al banc. No esperis el resultat de la investigació per reclamar.
- Conserva totes les proves. Captures dels missatges, l'enllaç fals, la pàgina on vas posar les dades, els SMS rebuts i els moviments del compte.
- Si el banc no torna els diners o no contesta, presenta reclamació.
- Valora la via judicial. Davant una negativa basada en "negligència greu", la sentència et dona un argument molt sòlid per reclamar la devolució. Si el banc vol discutir la teva negligència, l'haurà de provar ell.
En resum
La sentència C-70/25 no converteix el phishing en un risc que sempre paga el banc. El que fa és posar ordre: primer el banc torna els diners, després, si vol, discuteix i prova la teva negligència. Per a la víctima, això vol dir deixar de ser qui ha de litigar per recuperar el que és seu.
Si el teu banc s'ha negat a retornar-te una operació que no vas autoritzar, revisa la resposta. Probablement ja no s'aguanta.
