Un Juzgado de Primera Instancia de Bilbao ha condenado a un banco a devolver 1.923 euros a una vecina de Bizkaia víctima de una operación fraudulenta de ‘phishing’ con su tarjeta de crédito. El dinero fue sustraído en octubre de 2021 para la compra de criptomonedas, sin que la afectada autorizara la operación.
El banco no acreditó negligencia de la usuaria
La entidad bancaria argumentó que la transacción se había realizado mediante su sistema de autenticación reforzada (3D Secure), que requiere un PIN y un código enviado por SMS. No obstante, el Juzgado de Primera Instancia número 12 de Bilbao, en una sentencia dictada el 20 de mayo de 2025, concluye que esto no demuestra por sí solo el consentimiento de la clienta, ni que actuara con negligencia.
Según la resolución, el banco no presentó informe pericial ni logró acreditar cómo ni desde qué dispositivo se realizó la operación. La normativa vigente, el Real Decreto-ley 19/2018 y la Directiva UE 2015/2366, establece que corresponde a la entidad demostrar que el cliente actuó con dolo o negligencia grave para poder eximirse de su responsabilidad.
Reembolso, intereses y costas
El banco no solo deberá devolver los 1.923 euros, sino también abonar los intereses legales desde la fecha del cargo y asumir las costas del proceso, ya que sus alegaciones han sido totalmente desestimadas.
El consentimiento debe ser claro y verificable
Desde el despacho Erreklamatu, especializado en reclamaciones bancarias y encargado de la defensa, se ha insistido en que el consentimiento del cliente debe ser «claro, expreso y consciente». “Si el usuario niega haber autorizado la operación, es el banco quien debe probar lo contrario”, han subrayado.
El fallo recuerda también doctrina del Tribunal Supremo, que establece que los sistemas de seguridad no solo deben existir, sino ser eficaces y capaces de prevenir operaciones irregulares. Si no lo hacen, se considera que hay una prestación defectuosa del servicio. Además, el Supremo advierte que las cláusulas que pretendan eximir de responsabilidad al banco carecen de validez si contradicen la legislación vigente.
