· 7 min de lectura
La responsabilidad del banco ante las ciberestafas: qué dice la normativa PSD2
La normativa europea de servicios de pago invierte la lógica habitual: ante una operación no autorizada, el punto de partida es la devolución del dinero al cliente.
1. El principio de reembolso inmediato
La Directiva (UE) 2015/2366, conocida como PSD2, y su transposición al Derecho español establecen que, cuando el usuario niega haber autorizado una operación de pago, el proveedor debe devolver el importe y dejar la cuenta en el estado en que se encontraría si el cargo no se hubiera producido.
La devolución debe practicarse, como regla general, a más tardar al final del día hábil siguiente a la notificación, salvo que existan motivos fundados para sospechar un fraude del propio cliente, que deben comunicarse a la autoridad supervisora.
2. Quién debe probar qué
Este es el punto decisivo: la carga de la prueba corresponde a la entidad. No basta con exhibir el registro interno de la operación; el banco debe acreditar que se aplicó autenticación reforzada, que el sistema funcionó correctamente y que no se vio afectado por un fallo técnico o de seguridad.
3. Qué se entiende por negligencia grave
El banco solo se libera si demuestra fraude del cliente o un incumplimiento deliberado o gravemente negligente de sus obligaciones de custodia de credenciales. Los tribunales españoles interpretan este concepto de forma restrictiva: la sofisticación del engaño juega a favor de la víctima.
- SMS insertados en el hilo real de mensajes de la entidad.
- Webs clonadas indistinguibles de la original.
- Llamadas desde el número oficial del servicio de atención al cliente.
En estos escenarios, sostener que el cliente actuó con negligencia grave resulta difícil de justificar.
4. Los deberes de seguridad de la entidad
El banco debe contar con sistemas de análisis de riesgo capaces de detectar operaciones fuera del patrón del cliente: importes atípicos, beneficiarios nuevos, dispositivos desconocidos o accesos desde ubicaciones inhabituales. La ausencia de alerta o de bloqueo ante señales evidentes constituye un incumplimiento propio.
5. Plazos que no conviene dejar pasar
La comunicación al banco debe realizarse sin demora injustificada y, en todo caso, dentro de los 13 meses siguientes al cargo. Interesa además interponer denuncia y solicitar por escrito toda la información técnica de la operación.
6. Qué hacer si el banco rechaza la reclamación
La negativa de la entidad no cierra la vía. Cabe acudir al Departamento de Conducta de Entidades del Banco de España y, sobre todo, interponer demanda civil reclamando el importe, los intereses y las costas del procedimiento.