Una reciente sentencia del Tribunal Supremo da derecho a los usuarios de entidades bancarias, incluidos los autónomos y pequeños negocios, a recuperar el dinero que les haya sido robado a consecuencia de un fraude online.
Según Juan Ignacio Navas, abogado especializado en banca y fundador del despacho Navas & Cusí Abogados, «el fallo considera que si estos pagos no son autorizados, incluso aunque el banco no tenga culpa directa en el robo, la entidad debe reembolsar el importe salvo que demuestre que el cliente actuó con negligencia grave».
La Organización de Consumidores y Usuarios (OCU), que ha calificado la sentencia como “histórica”, recordó que los afectados deben comunicar el fraude lo antes posible y pueden reclamar si el banco se niega a devolver el dinero.
Los autónomos tienen derecho a recuperar su dinero si sufren un fraude, dice el Supremo
Según la OCU, los bancos tienen una responsabilidad “cuasi objetiva” en casos de operaciones no autorizadas por el cliente. Esto implica que si el cliente no actuó con negligencia, debe asumir las pérdidas tras un fraude electrónico, como el phishing -engañar a la víctima para que revele sus datos personales o bancarios-.
La Sentencia 571/2025 del Tribunal Supremo establece que, si se produce un fraude y el cliente lo comunica sin demora, el proveedor de servicios de pago está obligado a reembolsar el dinero, salvo que demuestre lo contrario.
En caso de phishing -robo de datos con suplantación de identidad- u otros fraudes similares, las entidades bancarias deberán reponer el dinero sustraído en cuanto se tenga conocimiento de los hechos, excepto si se prueba que el cliente actuó de forma negligente o fraudulenta.
Este criterio refuerza la protección de consumidores, autónomos y pequeños negocios que sufren ciberfraudes sin haber incurrido en errores graves. No es el cliente quien debe demostrar que no realizó la operación, sino el banco quien debe probar que la transacción fue correctamente autenticada y ejecutada.
La OCU también recordó que las entidades deben contar con sistemas de seguridad eficaces para detectar comportamientos sospechosos y bloquear o verificar operaciones de alto riesgo. Aunque el banco no sea responsable directo del robo, el usuario tampoco debe asumir el perjuicio económico.
En qué casos puede el banco eludir la responsabilidad
Según contó la OCU, la Sentencia 571/2025 del Tribunal Supremo deja claro que, ante una operación fraudulenta, corresponde al banco demostrar que:
- La operación fue correctamente autenticada, registrada y contabilizada: Es decir, que los sistemas del banco funcionaron según lo previsto, y que el cliente siguió el proceso proporcionado por el banco.
- No hubo fallos técnicos ni deficiencias en el servicio: Aquí entrarían errores informáticos, mala praxis o falta de medidas de seguridad adecuadas.
- El cliente actuó con dolo o negligencia grave: O sea, que el cliente facilitó sus datos de forma temeraria o que fue cómplice.
Según Juan Ignacio Navas, con darse alguno de estos tres supuestos ya sería suficiente para que el banco saliese indemne.
El experto aclaró que «un ciudadano podría estar actuando de forma negligente al apuntar la contraseña de su banca electrónica en un papel o en el móvil, por ejemplo. Y si el banco lo demuestra la responsabilidad legal pasaría a ser del cliente».
El fallo respalda también lo recogido en el artículo 1265 del Código Civil, que establece que el consentimiento será nulo si se ha prestado por error, violencia, intimidación o dolo.
Asimismo, coincide con el criterio de la Autoridad Bancaria Europea, que incluye entre las operaciones fraudulentas aquellas en las que el usuario fue manipulado o engañado para dar su consentimiento.
Aumentan un 166% las reclamaciones por phishing
Según publicó la OCU recientemente, los ciberdelitos siguen aumentando de forma exponencial.
Según datos de este organismo independiente, el año pasado recibieron un 166% más de reclamaciones de usuarios a los que habían robado datos sensibles o contraseñas de forma telemática.
Esta cifra representa más del doble y casi el triple de usuarios afectados en 2024 que en 2023. Según la OCU, el repunte coincide con las filtraciones de datos de grandes varias empresas con millones de clientes.
Tal y como apuntó la organización, “el problema no es sólo que hayan fallado sus protocolos de seguridad, sino que no siempre comunican las filtraciones con la rapidez debida para que sus clientes puedan ponerse en guardia”.
