La digitalització dels serveis financers ha comportat un augment dels fraus informàtics dirigits als consumidors. Mitjançant tècniques com el phishing (correus electrònics fraudulents), el smishing (SMS falsos) o el vishing (trucades telefòniques suplantant entitats bancàries), els ciberdelinqüents aconsegueixen obtenir les credencials bancàries de les víctimes i ordenar transferències o operacions no autoritzades.
La resposta es troba en el Reial decret llei 19/2018, de 23 de novembre, de serveis de pagament i altres mesures urgents en matèria financera, que estableix un sistema de protecció especialment favorable al consumidor.
Amb caràcter general, quan es produeix una operació de pagament no autoritzada, l’entitat bancària està obligada a retornar immediatament l’import sostret i a restituir el compte al seu estat anterior, llevat que pugui acreditar una circumstància excepcional legalment prevista.
La normativa parteix del principi que el risc de les operacions de pagament electròniques ha de ser assumit principalment per les entitats financeres, que són les responsables d’implantar sistemes de seguretat adequats i mecanismes d’autenticació reforçada.
Per aquest motiu, no n’hi ha prou que el banc acrediti que l’operació es va validar amb claus, codis SMS o sistemes de doble autenticació. Cal demostrar que el client va actuar de manera fraudulenta o amb negligència greu, una càrrega probatòria que correspon a la mateixa entitat financera.
La devolució només pot ser rebutjada en aquells casos en què l’entitat acrediti que el client:
Ara bé, la simple caiguda en un engany sofisticat o la confiança en una comunicació aparentment legítima no implica necessàriament l’existència de negligència greu. Precisament aquest és un dels principals punts de debat als tribunals.
Cada vegada són més nombroses les resolucions que reconeixen el dret dels consumidors a recuperar les quantitats sostretes quan han estat víctimes de fraus tecnològics sofisticats. Els jutjats exigeixen a les entitats financeres una prova rigorosa de la negligència greu del client i recorden que la mera execució tècnica de l’operació no demostra que aquesta fos realment autoritzada. Per aquest motiu, moltes reclamacions prosperen quan el banc no pot acreditar de manera clara i concloent una conducta especialment imprudent per part de l’usuari.
En definitiva, ser víctima d’un phishing, smishing o qualsevol altre frau informàtic no significa perdre definitivament els diners. La normativa vigent estableix un elevat nivell de protecció per als consumidors i, en absència de frau o negligència greu, l’entitat financera pot estar obligada a retornar les quantitats sostretes.