El Juzgado de Primera Instancia nº 12 de Bilbao ha dictado una sentencia que marca un nuevo precedente en la defensa de los derechos de los consumidores frente a fraudes bancarios. En ella, se condena a Banco Santander a reembolsar 1.923,67 euros a una usuaria afectada por un cargo no autorizado en su tarjeta, fruto de una operación fraudulenta. El fallo, fechado el 20 de mayo de 2025, establece con rotundidad que no hubo negligencia por parte de la clienta, y que la entidad bancaria no logró probar lo contrario.
La demandante, vecina de una localidad vizcaína, detectó en octubre de 2021 un cargo por compra de criptomonedas que nunca había autorizado. Tras reclamar sin éxito la devolución del importe a su entidad, acudió a ERREKLAMATU, despacho especializado en reclamaciones aéreas y bancarias, desde donde emprendió una acción judicial para recuperar su dinero.
El banco alegó «autenticación reforzada», pero sin pruebas claras
Banco Santander argumentó en el juicio que la operación se había realizado utilizando su sistema de autenticación reforzada (3D Secure), que requiere un PIN y un código enviado por SMS. Sin embargo, el juez consideró que esto no prueba de forma automática que la operación fuera autorizada por la usuaria, ni que esta actuara con negligencia.
Más aún, la sentencia subraya que la entidad no aportó dictamen pericial alguno, ni fue capaz de acreditar en qué momento se comprometieron los datos ni desde qué dispositivo se ejecutó la transacción.
El juzgado impone la carga probatoria al banco
El magistrado recordó que la normativa actual (Real Decreto-ley 19/2018 y la Directiva UE 2015/2366) obliga a las entidades financieras a demostrar que el cliente actuó con dolo o negligencia grave para no asumir la responsabilidad. En ausencia de esas pruebas, deben reintegrar el importe detraído, lo que en este caso se tradujo en una condena firme.
Además del reembolso, el banco deberá abonar los intereses legales desde la fecha del cargo y asumir las costas procesales, al haber sido desestimadas todas sus pretensiones.
“El banco debe devolver el dinero”
Jon Ortiz Larruzea, abogado de ERREKLAMATU, anima a quienes hayan sido víctimas de fraudes digitales o estafas por internet a reclamar lo que les pertenece. “Muchas veces las personas renuncian a reclamar porque piensan que el banco no se va a hacer responsable. Pero la ley está de su parte, y esta sentencia lo deja aún más claro”, afirma. “Si no ha habido negligencia por parte del cliente, el banco debe devolver el dinero”, añade.
El letrado recuerda que el Tribunal Supremo, en su sentencia más reciente sobre este tipo de fraudes (STS 571/2025 de 9 de abril), ratificó que los bancos son responsables de las operaciones no autorizadas si no logran acreditar que el cliente actuó con dolo o negligencia grave. “Que se haya utilizado la clave correcta o que el sistema de autenticación sea válido no significa que el cliente consintiera la operación”, subraya. “El consentimiento debe ser claro, expreso y consciente. Si el usuario niega haber autorizado la transferencia, es el banco quien debe demostrar lo contrario”.
La resolución del Alto Tribunal estableció que los sistemas de seguridad no solo deben existir, sino funcionar eficazmente y prevenir operaciones sospechosas. Si no lo hacen, el banco incurre en una prestación defectuosa del servicio. Además, el Supremo advierte que las cláusulas contractuales que pretenden eximir de responsabilidad a las entidades financieras carecen de validez si contradicen la normativa vigente.
Jon Ortiz Larruzea insiste en que los consumidores tienen derecho a recuperar su dinero si han actuado con diligencia y han notificado el fraude sin demora. “Y lo más importante: no deben asumir la carga de la prueba. Es la entidad quien tiene que demostrar que no falló ni su sistema ni su deber de vigilancia”. Por eso, añade, es clave que quienes hayan sido víctimas de fraudes digitales reclamen y cuenten con respaldo jurídico especializado, porque la ley y los tribunales están cada vez más del lado de los usuarios.
Conclusiones para víctimas de fraudes digitales
Esta sentencia deja varias lecciones clave para quienes utilizan medios de pago digitales y han sido víctimas de phishing:
- El banco tiene la carga de la prueba: Si niegas haber autorizado un cargo, es la entidad bancaria la que debe demostrar que fuiste tú quien lo hizo o que actuaste con negligencia grave.
- No basta con invocar “autenticación reforzada”: Aunque el banco use sistemas de verificación (como códigos por SMS), debe demostrar cómo se vulneraron y quién accedió, si quiere evitar su responsabilidad.
- Notificar el fraude cuanto antes es clave: La víctima avisó al banco y denunció ante la Ertzaintza rápidamente. Esta reacción diligente fue fundamental para que el juez descartara negligencia.
- Reclamar funciona, y hay expertos que te respaldan: En este tipo de reclamaciones, conviene contar con un respaldo legal sólido. Disponer de un equipo de abogados especializados permite defender tus derechos con eficacia y aumentar las posibilidades de éxito frente a las entidades financieras.
