La Sentencia del Tribunal de Justicia de la Unión Europea (Sala Primera), de 15 de octubre de 2026, asunto C-70/25 (Tukowiecka), resuelve una cuestión prejudicial planteada por un tribunal polaco en un litigio en el que la entidad se negó a devolver a una clienta el importe de una transferencia no autorizada (aproximadamente 705 euros) realizada por un tercero tras un fraude de phishing, alegando que la clienta había incumplido por negligencia grave su obligación de custodiar sus credenciales de seguridad. El Tribunal declara que los artículos 73.1 y 74.1 de la Directiva (UE) 2015/2366 (PSD2) se oponen a que el proveedor de servicios de pago rechace la devolución inmediata por considerar que el ordenante hizo posible la operación por negligencia grave.
El TJUE razona que el artículo 73.1 solo contempla una excepción a la devolución inmediata, esto es, que la entidad tenga motivos razonables para sospechar la existencia de fraude y los comunique por escrito a la autoridad nacional, mientras que el artículo 74 regula el reparto de la responsabilidad entre las partes en una fase posterior. La entidad deberá, por tanto, reintegrar el importe en el plazo máximo del día hábil siguiente y, en su caso, reclamar después al ordenante las pérdidas, correspondiéndole la prueba de la negligencia grave conforme al artículo 72.2. Una interpretación contraria privaría de efecto útil a la obligación de devolución y obligaría al consumidor a litigar y soportar las costas, lo que resulta incompatible con el objetivo de elevada protección de los consumidores. Esta doctrina obliga a revisar los protocolos de las entidades ante reclamaciones por operaciones no autorizadas.