Una clienta de un banco polaco fue víctima de un fraude mediante suplantación de identidad: un tercero fingió estar interesado en la compra de un objeto puesto a la venta por la clienta en una plataforma de ventas en línea. Le envió un enlace fraudulento que aparentaba proceder de dicha plataforma y que estaba destinado a confirmar la venta. Ignorante del engaño, la clienta siguió dicho enlace hasta un sitio de Internet que parecía ser el de su banco e introdujo allí sus claves de identificación al servicio de banca electrónica.
Con esas claves, el referido tercero pudo transferir un importe equivalente a unos 700 euros desde la cuenta bancaria de la clienta a su propia cuenta. Al día siguiente, la clienta notificó la operación fraudulenta a su banco. Sin embargo, este se negó a devolver el importe de la operación de pago no autorizada, al considerar que la clienta, por negligencia grave, había hecho posible dicha operación al incumplir su obligación de proteger sus credenciales de seguridad personalizadas. Ante esta negativa, la clienta acudió a un tribunal polaco, el cual pregunta al Tribunal de Justicia si, conforme al Derecho de la Unión, 2 el banco, en tanto que proveedor de servicios de pago, está obligado a devolver inmediatamente el importe de una operación no autorizada, aunque considere que el cliente 3 cometió una negligencia grave.
En su sentencia, el Tribunal de Justicia responde afirmativamente. En caso de operación de pago no autorizada, el proveedor de servicios de pago está, en principio, obligado a devolver inmediatamente el importe de la operación, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación, siempre que el cliente lo notifique sin demora injustificada al referido proveedor de servicios de pago.
Solo se ha previsto una excepción 4 a dicha obligación de devolución inmediata: cuando el proveedor de servicios de pago tenga motivos razonables para sospechar la existencia de un fraude cometido por el cliente y comunique dichos motivos por escrito a la autoridad nacional competente.
El hecho de que el proveedor de servicios de pago considere que el cliente hizo posible la operación no autorizada debido a una negligencia grave -en particular, al no haber adoptado las medidas necesarias para proteger sus credenciales de seguridad personalizadas- no le permite rehusar la devolución inmediata.
En efecto, el Derecho de la Unión permite distinguir la cuestión relativa a la devolución del importe de la operación de pago no autorizada de la relativa a quién debe asumir, en última instancia, las pérdidas derivadas de esa operación.
Así, en un primer momento, el proveedor de servicios de pago está obligado a hacer la devolución inmediata. A continuación, podrá, en su caso, reclamar al cliente el reembolso de las pérdidas ocasionadas si demuestra que estas se deben a que el cliente, deliberadamente o por negligencia grave, incumplió las obligaciones que le incumben, en particular la de proteger la seguridad de sus credenciales de seguridad personalizadas.
Corresponde al proveedor de servicios de pago probar que hubo negligencia grave por parte del cliente. Dirección de Comunicación Unidad de Prensa e Información curia.europa.eu
Este enfoque es conforme con el objetivo de garantizar una elevada protección de los consumidores. Permitir al proveedor de servicios de pago negarse de entrada a proceder a la devolución alegando una negligencia grave del cliente privaría de efecto útil a la obligación de devolución inmediata y obligaría al propio cliente a tomar la iniciativa e instar un procedimiento para reclamar su derecho, con los costes e inconvenientes que ello pueda ocasionar.
