La responsabilidad de la entidad financiera con el phishing

La responsabilidad de las entidades financieras en el phishing una red de seguridad en determinados casos para los estafados. Hace unos días se han publicado las conclusiones del Abogado General del TJUE (etapa previa a la conclusión del litigio) sobre la responsabilidad de las entidades financieras en casos de phishing.

El caso, muy a nuestro pesar típico, un cliente va a comprar en una página web y resulta que era una clonación de la misma y tras pasar los datos de la pasarela de pago el hacker ya se había hecho con los datos de la víctima. Tras recibir estos datos el hacker hizo una transferencia a un número de cuenta del que no se pudo obtener información.

Una vez detectado el error la víctima, presentó una denuncia ante las autoridades competentes y lo puso en conocimiento de su entidad financiera. Cuando la víctima reclamó, el banco se negó a devolver el dinero alegando negligencia grave de la usuaria al introducir sus datos en la página falsa. Lo que nos lleva a la cuestión:

¿Existe algún tipo de responsabilidad de las entidades financieras en estos casos de phishing?

El Abogado General concluye que, conforme a la Directiva (UE) 2015/2366 sobre servicios de pago (PSD2), el banco no puede denegar la devolución inmediata del importe de la operación no autorizada alegando negligencia grave del cliente. No obstante, eso no es una vía libre para reclamar siempre a las entidades financieras sino que podrán reclamar la devolución de estos importes.

En una primera fase, el banco debe reembolsar inmediatamente el importe de la operación no autorizada, salvo que tenga motivos razonables para sospechar fraude por parte del propio cliente y lo comunique a la autoridad competente.

En una segunda fase, una vez efectuado el reembolso, el banco podrá reclamar posteriormente al cliente las pérdidas si demuestra que este incumplió deliberadamente o con negligencia grave sus obligaciones de custodia de las credenciales de seguridad. No obstante, recae sobre la entidad financiera la carga de la prueba sobre la negligencia de su cliente.

En cualquier caso, conviene recordar que las conclusiones del Abogado General no vinculan al Tribunal de Justicia, por lo que le parecer del Tribunal puede acabar difiriendo de las conclusiones por lo que deberemos estar al tanto.

Antoni Mut

Abogado de MONLEX

amut@monlexabogados.es