El Tribunal de Justicia de la Unión Europea (TJUE) emitió en agosto una sentencia que aclara por fin cuándo los autónomos y demás usuarios de banca pueden recuperar su dinero cuando han sufrido una estafa digital. El fallo matiza y establece las condiciones para que los bancos se hagan cargo de este tipo de fraudes y devuelvan los fondos a las víctimas.
Cada vez son más frecuentes entre los autónomos las estafas financieras, especialmente algunos ataques como el phishing o el smishing, en los que los ciberdelincuentes consiguen las claves bancarias del negocio por distintas vías. Solo en 2024, el Instituto Nacional de Ciberseguridad de España (Incibe) gestionó más de 38 000 incidentes de fraude online, de los cuales 21.571 eran fraudes destinados fundamentalmente a empresas donde el delincuente intentaba obtener información confidencial haciéndose pasar por una entidad de confianza
En este contexto, el Tribunal Supremo español ya estableció en mayo que el banco está obligado a devolver el dinero a las víctimas de fraude. Aunque lo hizo sin precisar cuáles serían los límites y condiciones para que las entidades financieras se hagan cargo de estas estafas.
Ahora, en una reciente sentencia, el TJUE ha matizado el criterio, precisando que esa obligación podría verse limitada si el autónomo demora la comunicación del fraude o actúa con negligencia.
- Los autónomos deben comunicar de inmediato al banco el fraude para recuperar el dinero
- Otras condiciones para recuperar el dinero en caso de estafa
Los autónomos deben comunicar de inmediato al banco el fraude para recuperar el dinero
La sentencia del TJUE (asunto C-665/2023), de 1 de agosto de 2025, hace referencia al artículo 58 de la Directiva Comunitaria sobre Servicios de Pago, que exige la notificación de operaciones no autorizadas “sin tardanza injustificada”, y además establece un plazo límite de 13 meses desde el adeudo para reclamar.
Según el despacho Soca Torres Advocats, tras esta sentencia, los usuarios siguen teniendo derecho a recuperar su dinero, siempre que actúen con diligencia y notifiquen el incidente al banco “sin demora injustificada”. De hecho, el tribunal europeo aclara que cumplir con el plazo máximo de 13 tampoco bastaría siempre si se ha demorado la reacción inicial sin causa aparente.
Tanto es así que la obligación de devolver el dinero podría anularse si el cliente ha actuado con negligencia o dolo al tardar en informar a su banco. Los expertos de Soca Torres explicaron que “la notificación inmediata pretende evitar daños mayores derivados de fraudes sucesivos, mientras que el plazo de trece meses aporta seguridad jurídica a todas las partes».
El problema habría surgido cuando los bancos han interpretado la exigencia de inmediatez de forma estricta, denegando devoluciones a usuarios que reclamaban dentro del plazo máximo. Pero no con la rapidez que la entidad consideraba adecuada.
Deben comunicar cualquier incidente al banco «de inmediato»
En el mismo sentido, el despacho Iurispreven apunta que un usuario de servicios de pago “podría llegar a perder el derecho al reembolso si demora injustificadamente su notificación al banco, aun cuando dicha comunicación se realice dentro del plazo legal de 13 meses previsto por la normativa comunitaria”.
Según advirtieron los expertos, los autónomos que sospechen haber sido víctimas de una estafa digital deben adoptar una actitud activa y rápida: «revisar sus movimientos bancarios y alertar a la entidad tan pronto como detecten algo extraño, incluso antes de presentar una reclamación formal».
El Tribunal Europa asegura que esta condición tiene como propósito prevenir el fraude y limitar los efectos de las operaciones no autorizadas. «Permitir retrasos injustificados afectaría la seguridad jurídica y el equilibrio de intereses entre los clientes y las entidades financieras”
Otras condiciones para recuperar el dinero en caso de estafa
El fallo que emitió el Tribunal Supremo en mayo ya reconoció que los autónomos víctimas de fraudes digitales sí tienen derecho a que se les devuelva el dinero.
Según explicó la Organización de Consumidores y Usuarios (OCU), los bancos tienen una responsabilidad “cuasi objetiva” en casos de operaciones no autorizadas por el cliente. Esto implica que si el cliente no actuó con negligencia, debe asumir las pérdidas tras un fraude electrónico, como el phishing. Esto es, engañar a la víctima para que revele sus datos personales o bancarios.
Y para eludir esta responsabilidad, el banco debería demostrar que:
- La operación fue correctamente autenticada, registrada y contabilizada: Es decir, que los sistemas del banco funcionaron según lo previsto, y que el cliente siguió el proceso proporcionado por el banco.
- No hubo fallos técnicos ni deficiencias en el servicio: Aquí entrarían errores informáticos, mala praxis o falta de medidas de seguridad adecuadas.
- El cliente actuó con dolo o negligencia grave: O sea, que el cliente facilitó sus datos de forma temeraria o que fue cómplice.
