El Banco de España estudia dar indicaciones a la banca para aplicar la sentencia del fraude

Parte de la banca, tanto española como del resto de Europa, ha ralentizado la devolución del dinero defraudado de operaciones bancarias no autorizadas, aduciendo negligencias graves del cliente. El Tribunal de Justicia de la Unión Europea (TJUE) ha tomado cartas en el asunto y ha determinado que no hay excusas. Las entidades han de reembolsar el dinero a los usuarios a más tardar al final del siguiente día hábil. El Banco de España ha tomado nota y explica a este periódico por correo electrónico que está valorando el contenido de la sentencia para “emitir, si lo considera adecuado, las indicaciones que correspondan al sector con el fin de promover su aplicación homogénea, consistente, razonable y proporcionada”.

El fallo del pasado 15 de octubre ha enmendado la plana a las entidades financieras respecto a una parte de las operaciones fraudulentas. Su modus operandi habitual, de acuerdo con la Asociación de usuarios financieros en España (Asufin) y la Organización de Consumidores y Usuarios (OCU), es alegar supuestas negligencias de los clientes para rechazar reclamaciones y trasladar al afectado la carga de acudir a los tribunales para recuperar sus fondos, obligándoles a asumir largos procesos judiciales. La sentencia invierte el orden. El banco debe devolver primero el dinero y después, si así lo desea, probar la conducta negligente y reclamar el dinero al cliente.

La clave de bóveda de la argumentación de la banca, que asegura que el impacto de la sentencia será limitado, está en el distingo entre operación autorizada y no autorizada. La actual norma española de servicios de pago establece que “las operaciones de pago se considerarán autorizadas cuando el ordenante haya dado el consentimiento para su ejecución”. Y remata que, “a falta de tal consentimiento, la operación de pago se considerará no autorizada”. Un portavoz de la Asociación Española de Banca (AEB) aseguró a este diario que “el TJUE ha analizado el caso de una operación no autorizada por el cliente” y añadió que “la sentencia ratifica la normativa en vigor para los casos de operaciones no autorizadas”. Además, agregó que el marco actual “no modifica el régimen de responsabilidad del ordenante por incumplimiento negligente de la obligación de proteger sus datos”.

Asufin defiende que la diferencia entre autorizada y no autorizada supone solo un matiz y que es un argumento débil para evitar la devolución del dinero cuando el cliente ha sido engañado por un tercero (que se ha hecho pasar por empleado del banco, por una entidad pública o privada o por un familiar, por ejemplo) para dar su consentimiento a una operación. Por ejemplo, el caso en el que un padre o un abuelo recibe una solicitud a través de un mensaje de un ciberdelincuente que se hace pasar por su hijo o su nieto, en el que le solicita dinero a través de un Bizum o una transferencia.

La doctrina del Banco de España, hasta ahora, sigue al pie de la letra la normativa. De acuerdo con su última memoria de reclamaciones, la entidad debe devolver de inmediato el importe al ordenante, a más tardar al final del siguiente día hábil, y la única salvedad que contempla es que exista sospecha de fraude y lo comunique al supervisor. El organismo añade, en un recuadro distinto, que corresponde a la entidad demostrar que la operación fue correctamente autenticada y registrada, “salvo que pruebe que hubo fraude o negligencia grave del usuario”. A esa coletilla, que se refiere a la carga de la prueba y no al plazo de devolución, se agarraba una parte de las entidades. Ahora, el departamento de Conducta de Entidades del organismo que dirige José Luis Escrivá analiza la sentencia del TJUE, que deja una única excepción a la devolución inmediata: la sospecha de fraude del propio cliente, comunicada por escrito a la autoridad nacional.

El caso resuelto se refiere a la clienta de un banco polaco contactada por un estafador que se hizo pasar por un comprador de un artículo que ella había puesto a la venta en una plataforma de internet. Le envió un enlace que llevaba a una web que simulaba la de su banco y allí la víctima introdujo sus claves de banca electrónica. El defraudador transfirió unos 700 euros a su propia cuenta. La clienta avisó al banco al día siguiente y la entidad se negó a devolver el dinero, aduciendo que la estafada había incumplido su “obligación de conservar el instrumento de pago con la debida diligencia y de no ponerlo a disposición de personas no autorizadas”, según la sentencia. Para el TJUE, esa negativa no basta.

La resolución abre un frente económico para el sector, tanto por los fraudes futuros como por las reclamaciones anteriores que todavía puedan reabrirse, como publicó CincoDías el pasado 22 de octubre. El importe de las estafas en el Espacio Económico Europeo (los 27, más Islandia, Liechtenstein y Noruega) alcanzó los 4.200 millones, con más de 300 millones solo en España en 2024, según los últimos datos del Banco Central Europeo (BCE), la Autoridad Bancaria Europea (EBA) y el Banco de España. Existe ya una hoja de cómo actuar en caso de un ciberfraude.