Oulego Abogados y Consultores ha obtenido la estimación íntegra de una reclamación formulada frente a BBVA por diversas operaciones de pago no autorizadas derivadas de un ataque de phishing que ocasionó un perjuicio económico de 54.089,34 euros.
El Servicio de Atención al Cliente de la entidad acordó finalmente el reintegro íntegro de las cantidades reclamadas.
La reclamación se sustentó en el régimen de responsabilidad previsto en los artículos 36, 45 y 46 del Real Decreto-ley 19/2018, conforme al cual:
- una operación únicamente puede considerarse autorizada cuando exista consentimiento del ordenante;
- corresponde al proveedor de servicios de pago devolver inmediatamente el importe de las operaciones no autorizadas;
- únicamente queda exonerado cuando pruebe que el cliente actuó fraudulentamente o incurrió en negligencia grave.
Aunque las operaciones habían sido validadas mediante mecanismos de autenticación reforzada, Oulego Abogados sostuvo que dicha circunstancia no basta para acreditar el consentimiento del usuario ni para invertir automáticamente el régimen legal de responsabilidad.
Como explica el socio director del despacho, José Ramón Oulego,
«Uno de los errores más frecuentes consiste en identificar autenticación con autorización. Son conceptos jurídicamente distintos. El hecho de que una operación supere un proceso técnico de autenticación no implica que el cliente haya prestado un consentimiento válido en los términos exigidos por la Ley de Servicios de Pago.»
El despacho recuerda que la reciente STS 571/2025 9 de abril de 2025 (ROJ STS 1671/2025) consolida esta interpretación, al declarar que la obtención fraudulenta de credenciales por terceros no supone por sí sola negligencia grave del usuario y que corresponde a la entidad financiera acreditar las circunstancias que permitan excluir su responsabilidad. Además, el Alto Tribunal incide en el deber de las entidades de adoptar medidas eficaces para detectar y frenar operaciones sospechosas.
Según José Ramón Oulego,
«La jurisprudencia del Tribunal Supremo está configurando un auténtico estándar de diligencia exigible a las entidades financieras. No basta con acreditar que el cliente introdujo unas claves o recibió un código OTP. La entidad debe demostrar que concurrió una negligencia grave y que cumplió adecuadamente sus propias obligaciones de seguridad y monitorización del riesgo.»
El despacho considera que esta resolución confirma la tendencia de las entidades financieras a revisar sus decisiones iniciales cuando las reclamaciones se fundamentan correctamente en el marco jurídico de la PSD2, el Real Decreto-ley 19/2018 y la doctrina jurisprudencial más reciente del Tribunal Supremo.
