Dossier Pràctic: El Nou Marc Europeu de Protecció i Reemborsament per Ciberestafes Bancàries
Durant la vigència del Reial Decret-llei 19/2018, la protecció patrimonial del client depenia exclusivament de la distinció formal entre transaccions autoritzades i no autoritzades. En aquest esquema, els proveïdors de serveis de pagament assumien l'obligació de reintegrar amb immediatesa l'import sostret únicament quan l'operació s'havia executat sense el consentiment de l'usuari. Això provocava una greu desprotecció en un context en què la ciberdelinqüència —i més encara amb la irrupció de la intel·ligència artificial— ha perfeccionat les tècniques d'engany: suplantació de trucades i de persones, manipulació documental, suplantació de números de telèfon (spoofing) i falsos empleats d'entitats bancàries o de subministraments.
Aquest paradigma ha canviat de soca-rel, suposant una autèntica revolució legal per als consumidors. L'entrada en vigor de noves normatives europees clau —com el Reglament (UE) 2024/886 i el nou Reglament Europeu de Serveis de Pagament (PSR)—, juntament amb la històrica Sentència del Tribunal de Justícia de la UE (TJUE) del 15 d'octubre de 2026, han transformat radicalment el taulell de joc.
Aquest paquet legislatiu i jurisprudencial posa fi a l'època en què els bancs denegaven sistemàticament el reemborsament al·legant «negligència greu» del client per haver facilitat claus sota engany. El nou marc exigeix a les entitats assumir la responsabilitat tecnològica i financera davant les falles de seguretat.
A continuació, detallem de manera pràctica com aquestes darreres lleis i resolucions judicials obliguen les entitats a retornar els diners sostrets, segons la tipologia del frau:
1. Verificació del Beneficiari: La fi dels errors en les transferències (Reglament UE 2024/886)
Fins ara, si un client enviava fons a un compte fraudulent perquè l'IBAN no coincidia amb el nom del destinatari, l'entitat bancària no se'n feia responsable. Aquesta situació canvia dràsticament amb l'obligatorietat del servei VoP (Verification of Payee).
- Què és? Abans d'autoritzar una transferència, el banc ha de comprovar gratuïtament si l'IBAN coincideix amb el nom del titular de destinació i avisar el client en temps real.
- Què passa si el banc falla? Si l'entitat executa la transferència sense haver mostrat l'avís de discrepància de manera prèvia, clara i comprensible, ha de reemborsar immediatament els diners al client, sense poder al·legar negligència.
- Aplicació obligatòria: En vigor des d'octubre de 2025 per a totes les entitats de la zona euro.
2. Suplantació del propi Banc o «Spoofing» (Nou Reglament PSR - Art. 59)
Un dels fraus d'enginyeria social més estesos es produeix quan la víctima rep trucades, SMS o correus electrònics en què els estafadors es fan passar pel seu propi banc, clonant-ne fins i tot el número de telèfon oficial (spoofing).
- El Nou Dret al Reemborsament: Per primera vegada, si el client acredita que va ordenar la transferència sota aquest engany (creient que interactuava amb el seu banc), l'entitat està obligada a indemnitzar la pèrdua íntegra.
- Procediment de reclamació:
- Notificar la incidència al banc amb la màxima celeritat.
- Interposar la corresponent denúncia penal davant la policia o el jutjat.
- El banc disposa d'un termini d'entre 10 i 15 dies hàbils per reintegrar els diners (llevat que l'entitat demostri de manera concloent frau o negligència molt greu per part de l'usuari).
- Responsabilitat de les operadores telefòniques: Les entitats bancàries podran repetir i reclamar l'import a les companyies de telecomunicacions que no hagin bloquejat els SMS o les trucades suplantades.
3. Phishing i Negligència Greu: La històrica Sentència del TJUE (15 d'octubre de 2026)
El 15 d'octubre de 2026, el Tribunal de Justícia de la Unió Europea va dictar la sentència de l'assumpte C-70/25 (cas N.O. contra PKO BP S.A., conegut com a Tukowiecka), una resolució vinculant que desmunta l'excusa més habitual de la banca.
En aquest supòsit, una usuària va ser víctima de phishing en accedir a un enllaç fraudulent, facilitant les seves credencials i un codi SMS amb què els ciberdelinqüents van sostreure els fons. El banc es va negar a retornar l'import al·legant «negligència greu» per part de la clienta en la custòdia de les seves claus (Art. 69 de la Directiva PSD2).
Què resol exactament aquesta Sentència?
El TJUE delimita nítidament la separació entre l'obligació de devolució immediata (Art. 73) i l'assignació posterior de responsabilitats (Art. 74):
- La negligència greu no paralitza la devolució: L'entitat financera no pot denegar el reemborsament immediat al·legant que el client ha actuat amb negligència greu.
- Única excepció per retenir el saldo (sospita de frau propi): L'Art. 73.1 de la Directiva preveu una única excepció: que el banc tingui motius raonables per sospitar que és el mateix client qui comet un frau i ho comuniqui per escrit a les autoritats competents. Si només sospita d'un descuit o negligència, ha de pagar igualment.
- Protecció del consumidor (el banc no fa de jutge): Permetre al banc bloquejar el retorn obligaria el consumidor a acudir als tribunals assumint costos i riscos processals, fet contrari al principi europeu d'alta protecció als usuaris.
- Nova seqüència procedimental (Pagar primer, reclamar després): El banc té el deure legal imperatiu d'abonar l'import sostret, com a molt tard, al final del següent dia hàbil. Posteriorment, si considera que pot acreditar negligència greu, serà la mateixa entitat qui haurà d'iniciar les accions legals contra el client.
| Aspecte clau | Resolució del TJUE (15/10/2026) — Assumpte C-70/25 |
|---|---|
| Objecte del litigi | Un banc refusa el reemborsament d'un phishing al·legant «negligència greu» de l'usuari en introduir claus en una web falsa. |
| Dictamen principal | El banc NO pot refusar el reemborsament immediat sota el pretext de negligència greu. |
| Termini de devolució | Immediat o, com a màxim, al final del següent dia hàbil després de la notificació del client. |
| Excepció permesa | Només pot paralitzar el pagament si sospita de frau orquestrat pel mateix client (amb comunicació escrita a les autoritats). |
| Canvi de procediment | El banc torna els fons primer. Si vol recuperar-los per negligència, haurà de demandar el client i demostrar-ho a posteriori. |
Què es considera realment «Negligència Greu» als tribunals?
La jurisprudència consolidada descarta que caure en un engany sofisticat constitueixi negligència greu:
Caure en el parany d'una web idèntica a la del banc o facilitar claus sota la pressió d'una suposada «alerta de seguretat urgent» provinent dels canals oficials (clonats) de l'entitat.
Facilitar claus o targetes de coordenades conscientment en portals o fòrums de segona mà, o validar transferències ignorant múltiples avisos de seguretat explícits que advertien clarament del risc i destí real dels fons.
Resum Executiu: Com reclamar segons el tipus de frau?
- Transferència no autoritzada (Phishing de claus): Reclama al banc i exigeix la devolució abans que acabi el següent dia hàbil (Base legal: Cas C-70/25 TJUE).
- Transferència enganyat per un fals empleat (Spoofing): Interposa denúncia policial i notifica-ho al banc. L'entitat ha de reintegrar els diners en un termini de 10 a 15 dies hàbils (Base legal: Art. 59 PSR).
- Transferència a compte fraudulent per discrepància de nom: Reclama al banc l'incompliment del servei obligatori de Verificació del Beneficiari. Reemborsament automàtic (Base legal: Art. 5c Reglament UE 2024/886).
