El Tribunal Supremo de España ha emitido una sentencia que refuerza significativamente la protección de los usuarios en operaciones de banca digital. En su fallo del 9 de abril de 2025, correspondiente a la sentencia nº 571/2025, la Sala de lo Civil determinó que la autenticación técnica de una operación no implica necesariamente que esta haya sido autorizada por el cliente. Esta decisión surge en un contexto donde las estafas a través de 'phishing', 'smishing', 'vishing' y la duplicación de tarjetas SIM han causado pérdidas millonarias a los usuarios de servicios bancarios digitales.
Históricamente, las entidades bancarias han argumentado que si se introducían correctamente las credenciales y se validaba el código de confirmación, la responsabilidad recaía sobre el cliente en caso de fraude. Sin embargo, esta perspectiva ha sido cada vez más cuestionada en los tribunales. La reciente sentencia establece que si un cliente niega haber autorizado un pago, es la entidad quien debe probar, no solo que la operación fue autenticada, sino también que no hubo fallos técnicos ni deficiencias en el servicio, y que el cliente no actuó de forma fraudulenta o con negligencia grave.
El caso que llevó a esta resolución se inició cuando un cliente había alertado a su entidad sobre movimientos y mensajes sospechosos. Posteriormente, delincuentes duplicaron la tarjeta SIM de su cónyuge y, en una sola noche, realizaron numerosas transferencias a través de Bizum por un total superior a 83.000 euros. La entidad bancaria no detectó la actividad sospechosa, sino que fue otro banco quien alertó sobre la cuenta receptora implicada.
El Tribunal Supremo desestimó el recurso interpuesto por la entidad bancaria y confirmó la obligación de devolver las cantidades sustraídas. La importancia de esta sentencia radica no solo en el resultado favorable para el cliente, sino también en la doctrina que establece, interpretando el Real Decreto-ley 19/2018, de 23 de noviembre, sobre Servicios de Pago en línea, alineándose con la normativa europea. Se subraya que los proveedores de servicios de pago no pueden limitarse a afirmar que el sistema funcionó correctamente o que se usaron las credenciales adecuadas.
Esta doctrina ya ha comenzado a influir en resoluciones posteriores, lo que sugiere un cambio significativo en la forma en que las entidades deben manejar las reclamaciones de los usuarios y su responsabilidad en operaciones fraudulentas.
Contexto: El crecimiento de la banca digital en España ha llevado a un aumento de los delitos cibernéticos, lo que ha generado un debate sobre la responsabilidad de las entidades financieras en la protección de sus clientes. La normativa europea ha impulsado cambios en la regulación del sector, con el objetivo de aumentar la seguridad en las transacciones online. La reciente sentencia del Tribunal Supremo podría sentar un precedente importante para futuros casos y mejorar la confianza de los usuarios en los servicios bancarios digitales.