Tribunal de Justicia de la UE: tras el phishing, el banco reembolsa primero y discute después la «negligencia grave» del cliente. Qué hacer en Francia si sale dinero de su tarjeta o cuenta, y los plazos aplicables

Qué ocurrió

El 2 de noviembre de 2026, Service-public.gouv.fr publicó una explicación sobre una sentencia del Tribunal de Justicia de la Unión Europea (CJUE) del 15 de octubre de 2026 relativa al reembolso a las víctimas de phishing.

El caso procede de Polonia. Una mujer vendía un artículo en un mercado en línea. Un falso comprador le envió un enlace que imitaba el del mercado y la llevó a una copia falsa del sitio web de su banco, donde introdujo sus credenciales de banca en línea. El estafador transfirió unos 700 € (3000 eslotis) a su propia cuenta, obteniendo el código de confirmación por SMS a través de la misma página falsa. Ella denunció el fraude a su banco y a la policía al día siguiente. El banco se negó a reembolsarla, alegando que había actuado con negligencia grave (négligence grave) y que no había protegido su instrumento de pago.

Qué decidió el tribunal

Según Service-public, el tribunal se basó en la Directiva europea sobre servicios de pago (2015/2366):

• el banco debe reembolsar una operación no autorizada en cuanto tenga conocimiento de ella, y a más tardar al final del siguiente día hábil. La negligencia grave del cliente no figura entre los motivos de denegación;
• el banco puede trasladar la pérdida al cliente, pero solo después de reembolsar. La excepción es una sospecha seria de que el cliente es el estafador, que el banco debe justificar por escrito ante la autoridad supervisora nacional;
• corresponde al banco probar la negligencia grave, ante un tribunal, si decide reclamar el dinero.

En resumen: primero se reembolsa, después se discute. En el derecho francés, el reembolso inmediato de una operación no autorizada está previsto en el artículo L133-18 del Code monétaire et financier, que cita el Instituto Nacional del Consumo (INC).

La salvedad clave: operaciones «no autorizadas»

La sentencia se refiere a operaciones a las que el pagador no dio su consentimiento: un estafador accedió a la tarjeta o a la cuenta y se llevó el dinero. No se refiere al llamado fraude «autorizado», en el que la víctima realiza ella misma la transferencia bajo presión, por ejemplo de un falso «asesor del banco». Tenga presente esta distinción desde el primer minuto: determina en qué normas se puede apoyar.

Qué hacer si ha salido dinero

Los pasos siguientes siguen la página F34800 de Service-public y al INC:

1. Bloquear la tarjeta de inmediato (faire opposition): mediante el número de su banco o la línea interbancaria 0892 705 705 (0,35 € por minuto más el coste de la llamada). El INC recomienda después confirmar el bloqueo por carta certificada con acuse de recibo, indicando el número de referencia del bloqueo.
2. Impugnar las operaciones ante el banco y solicitar el reembolso. Conservar el número de referencia.
3. Conservar las pruebas: el propio mensaje, una captura de pantalla del sitio falso, el número de teléfono, la dirección de la página.
4. Denunciarlo en la plataforma Perceval (a través de service-public.fr, identificándose con FranceConnect) si se utilizaron los datos de la tarjeta sin conocimiento del titular. La plataforma emite un justificante que debe adjuntarse a la solicitud de reembolso al banco. Perceval no gestiona el robo de la tarjeta física.
5. Presentar una denuncia (plainte) en una comisaría o gendarmería, o por escrito al fiscal de la República.
6. Revisar otras cuentas en línea, cambiar las contraseñas y activar la autenticación en dos pasos.

Los intentos de phishing por SMS o llamada a un teléfono móvil pueden denunciarse al 33 700; los correos sospechosos, a Signal Spam; los enlaces sospechosos, a Phishing Initiative.

Plazos en Francia

Según el INC (artículos L133-18, L133-23 y L133-24 del Code monétaire et financier):

• hay que actuar «sin demora» una vez descubierta la operación, y a más tardar 13 meses después del adeudo en los pagos dentro del Espacio Económico Europeo. Para un pago fuera de él, el límite es de 70 días, que un contrato puede ampliar a 120;
• el banco debe reembolsar no solo el importe, sino también los gastos relacionados, incluidos los intereses por descubierto y las comisiones por incidencias de pago;
• si el cliente, deliberadamente o por negligencia grave, incumplió sus obligaciones, puede que no haya reembolso, pero es el banco quien debe probarlo. El INC da un ejemplo: en 2020 la Cour de cassation consideró que responder a un correo con señales evidentes de falsificación era negligencia grave;

Un error frecuente es esperar a que el banco «lo resuelva», o no impugnar en absoluto una operación suponiendo que un descuido propio excluye el reembolso. La sentencia europea dice precisamente que ese descuido no permite, por sí solo, al banco retener el reembolso. Estas son reglas generales, no una valoración de ninguna situación individual; en un caso controvertido, un abogado o una asociación de consumidores pueden ayudar.

Contexto

Para quienes acaban de llegar, el riesgo es mayor: los mensajes sobre un «reembolso», un «pago urgente», un «problema con la entrega de un paquete» o una «alerta de seguridad de la cuenta» llegan en un idioma al que todavía se están acostumbrando, lo que hace más difícil detectar las falsificaciones. El consejo de Service-public es sencillo: no haga clic en los enlaces y no comparta datos personales o bancarios en respuesta a un mensaje inesperado.