Todos vivimos con regularidad la desagradable experiencia de recibir una llamada de un número desconocido, un mensaje sospechoso o un correo electrónico fraudulento. La mayoría de las veces, la desconfianza nos impide darles curso. Imaginemos ahora que el número que aparece es el de nuestro asesor bancario o que el falso correo procede de una dirección, si no conocida, al menos esperada. La prudencia se desvanece, y con ella el saldo de nuestra cuenta. Así, las llamadas, los mensajes y los correos electrónicos no solo son molestos, sino que pueden dar lugar a fraudes de gran envergadura. Lejos quedan los tiempos de las estafas prosaicas y los descuidos distraídos: hoy en día, los defraudadores redoblan su ingenio al mismo tiempo que los proveedores aumentan las exigencias de seguridad. Para el usuario, las amenazas de fraude son cada vez mayores y más complejas. Esta multiplicación de los casos de fraude se ve agravada además por la complejidad de la protección legal que, por eficaz que sea, a veces resulta difícil de comprender en su conjunto.
En efecto, el derecho de lo que conviene denominar operaciones de pago no autorizadas es un derecho técnico y opaco que tiene su origen en textos europeos, a su vez transpuestos al Código Monetario y Financiero francés (code monétaire et financier), que en ocasiones debe articularse con el derecho común de obligaciones. El aumento de la litigiosidad ha dado lugar, por otra parte, a una abundante jurisprudencia del Tribunal Supremo francés (Cour de cassation) y del TJUE, que aporta regularmente algunas precisiones o fija determinados aspectos del régimen que requieren interpretación. De modo que al usuario le resulta complicado conocer bien sus derechos y obligaciones en la materia.
Intentemos, en primer lugar, aclarar el panorama desde el punto de vista normativo.
El derecho de los instrumentos de pago resulta de la transposición de dos directivas (las directivas DSP1 y DSP2). La primera, de 13 de noviembre de 2007, fue transpuesta mediante la ordenanza de 15 de julio de 2009. Creó un régimen jurídico único, aplicable a todos los servicios y operaciones de pago (a excepción del cheque, que sigue siendo monopolio de las entidades de crédito). Más recientemente, fue derogada y sustituida por la ordenanza de 9 de agosto de 2017, que transpone la Directiva 2015/2366, de 25 de noviembre de 2015 (DSP2). La nueva normativa hizo hincapié en la protección de los consumidores y en la lucha contra el fraude, los abusos y las incidencias de pago, procurando al mismo tiempo favorecer la aparición de medios de pago innovadores. Lo esencial de los textos se encuentra en los artículos L.133-1 y siguientes del Código Monetario y Financiero (CMF).
A continuación, repasemos el régimen.
El legislador ha establecido un régimen protector del usuario, en el sentido de que obliga al proveedor de servicios de pago a reembolsar las pérdidas siempre que el usuario haya actuado con diligencia (L.133-18, CMF). Así, en caso de operación de pago no autorizada consecutiva a la pérdida o el robo del instrumento de pago, el usuario debe comunicarla sin demora a su proveedor. Esta comunicación no puede exceder un plazo de trece meses (L.133-24, CMF). Es lo que, en el lenguaje corriente, se denomina bloquear el pago. Por excepción, y en todo caso, el usuario soporta todas las pérdidas ocasionadas si estas resultan de una actuación fraudulenta o si ha cometido un acto de negligencia grave (L.133-19, CMF). La cuestión de qué constituye un acto de negligencia grave llega con regularidad al Tribunal Supremo francés (Cour de cassation), que, por ejemplo, ha resuelto recientemente que un fraude del falso asesor bancario especialmente bien urdido podía escapar a la calificación de negligencia grave[1], pero que hacer clic en un vulgar enlace de phishing podía conducir a ella[2].
En este contexto, legislador y jueces han tenido que detenerse en varios elementos del régimen a finales de 2025 y principios de 2026. En primer lugar, la cuestión que más interesa a la práctica se refiere al tratamiento de los fraudes psicológicos que proliferan en el ámbito de las transferencias, mediante los cuales se engaña al usuario en cuanto a los datos bancarios (RIB) a los que debe transferir los fondos. Veremos que la protección ha venido más del legislador que de los magistrados (I). La otra cuestión fundamental es la articulación de los plazos de comunicación de la operación no autorizada, que desde 2023 estaba en el aire, a la espera de una interpretación clara por parte de los magistrados europeos. Una sentencia de 14 de enero de 2026 ha zanjado definitivamente la cuestión (II).
I. El proveedor de servicios de pago debe verificar el beneficiario de una transferencia bancaria
El fraude más extendido y peligroso de los últimos tiempos consiste en sorprender al usuario de un servicio de pago enviándole unos datos bancarios falsos mediante técnicas especialmente difíciles de contrarrestar. Todos los sectores se ven afectados y sufren prácticas cada vez más elaboradas que desafían la vigilancia de los más desconfiados. Jurídicamente, sin embargo, la operación así efectuada no es, en sentido estricto, una operación no autorizada, puesto que el usuario dio la orden y autorizó la operación.
Por ello, el Tribunal Supremo francés (Cour de cassation) se niega a aplicar la protección de los textos cuando se practica un fraude de este tipo. En cuatro asuntos[3] en los que, entre otras cosas, unos correos electrónicos habían suplantado la identidad de los presidentes (fraude del CEO) y unos empleados habían realizado transferencias importantes a cuentas fraudulentas, el Tribunal resolvió que el régimen de responsabilidad del proveedor de servicios de pago solo se aplicaba a las operaciones de pago no autorizadas o ejecutadas incorrectamente. Dicho de otro modo, el régimen especial aplicable a los pagos no autorizados no podía aplicarse en la medida en que el pago había sido autorizado en el sentido jurídico y bancario del término.
Si no podía invocarse el derecho especial de los instrumentos de pago, quedaba intentar fundarse en el derecho común de obligaciones, donde el artículo 1231-1 del Código Civil francés, fundamento de la responsabilidad contractual, podía permitir exigir la responsabilidad del proveedor por incumplimiento de su deber de vigilancia. Pero, también en este punto, el Tribunal Supremo francés (Cour de cassation) se muestra inflexible: la responsabilidad del banco, en cuanto a su deber de vigilancia, sigue supeditada a la demostración de una anomalía aparente, la única capaz de caracterizar un incumplimiento del deber de vigilancia, y que no es frecuente en este tipo de fraude. La solución es poco favorable a los deudores, que se encontraban entonces desamparados frente a fraudes cada vez más graves y a una jurisprudencia que se negaba a confundir al banco con un asegurador. En otras palabras, para concluir que existía una vulneración del deber de vigilancia, era necesario que interviniera el legislador.
Entretanto, el legislador europeo, consciente de esta laguna, adoptó el Reglamento (UE) n.º 2024/886, de 13 de marzo de 2024, aplicable desde el 9 de octubre de 2025. Este reglamento impone a todos los proveedores de servicios de pago la obligación de verificar la concordancia entre el identificador del beneficiario (IBAN) y el nombre indicado por el ordenante. Este mecanismo, denominado Verification of Payee (VoP), hace recaer sobre los proveedores una nueva forma de exigencia de vigilancia e integra en su verificación, más allá de las meras anomalías aparentes, la concordancia de las identidades. Por lo general, los datos bancarios falsos siguen conteniendo la identidad del beneficiario: solo se cambia el IBAN. En adelante, el proveedor deberá, por tanto, verificar si la identidad del beneficiario corresponde a la del IBAN. Solo cuando el usuario, pese a la alerta del banco, persista en su error perderá su derecho al reembolso. ¡En cualquier caso, la víctima de un «fraude del CEO» ya no está desamparada!
II. La articulación de los plazos de comunicación de una operación de pago no autorizada
Otra cuestión de gran calado en los últimos años se refería a la articulación, esencial para proveedores y usuarios, de los plazos previstos en el artículo L.133-24 del Código Monetario y Financiero. Cabe recordar que este dispone que el usuario de servicios de pago debe comunicar «sin demora» a su proveedor de servicios de pago una operación de pago no autorizada y, a más tardar, dentro de los trece meses siguientes a la fecha de adeudo, so pena de caducidad. En el lenguaje corriente, es lo que se denomina «bloquear el pago». De este artículo cabían dos interpretaciones. La primera consistía en afirmar que el usuario dispone de un plazo de trece meses para impugnar una operación, con independencia del momento de su reacción. La segunda consistía en distinguir el plazo de comunicación del plazo de caducidad, interpretando el texto en el sentido de que el plazo de denuncia descansa sobre un dies a quo variable que no puede exceder un plazo máximo de caducidad de trece meses. Ante estos interrogantes, el Tribunal Supremo francés (Cour de cassation)[4] decidió plantear varias cuestiones prejudiciales al TJUE, que respondió en una sentencia de 1 de agosto de 2025[5]; dichas respuestas quedaron definitivamente fijadas por una sentencia de 14 de enero de 2026[6], dictada por la Sala de lo Mercantil de la Cour de cassation.
La sentencia de 14 de enero de 2026, que recoge las respuestas del TJUE, declara así que el primer plazo es un plazo de denuncia que comienza a correr desde el momento en que el usuario tuvo conocimiento de la operación no autorizada. Este plazo de denuncia, con un dies a quo variable, no puede exceder un plazo de caducidad de trece meses. Transcurrido este, resulta por tanto imposible comunicar la operación de pago no autorizada. Precisemos, por último, que el Tribunal Supremo francés (Cour de cassation) también ha declarado que el plazo del artículo L.133-24 no es un plazo para el ejercicio de acciones, sino de denuncia[7]. De modo que, una vez comunicada la operación, el usuario es plenamente libre de actuar contra el proveedor de servicios de pago dentro del plazo de prescripción de derecho común.
En el plano probatorio, el Tribunal Supremo francés (Cour de cassation) ha venido por último a afirmar que la falta de prueba de la fecha de comunicación al banco de una operación de pago no autorizada constituye, por sí sola, un supuesto de negligencia grave[8]. Dicho de otro modo, la comunicación (el acto de bloquear el pago) es fundamental, puesto que determina por sí sola el resto del razonamiento judicial. El usuario que no pueda probar su comunicación no podrá, por tanto, obtener el reembolso de las cantidades litigiosas.
Así pues, a principios de 2026, el régimen de impugnación de las operaciones de pago no autorizadas puede resumirse como sigue:
En principio, el usuario tiene derecho al reembolso de las pérdidas siempre que:
Haya comunicado sin demora la operación de pago no autorizada a su proveedor desde que tuvo conocimiento de ella, comunicación que no puede exceder un plazo de caducidad de trece meses (L.133-24, CMF).
- La prueba de esta comunicación es primordial.
- No haya incurrido en una actuación fraudulenta ni en un acto de negligencia grave (L.133-19, CMF).
Este régimen no se aplica a los «fraudes del CEO», fraudes psicológicos que llevan al usuario a autorizar una transferencia a favor de un tercero fraudulento.
- La responsabilidad del proveedor de servicios de pago solo puede apreciarse a la luz de su responsabilidad contractual y de su deber de vigilancia, que presupone una anomalía aparente.
- El Reglamento europeo n.º 2024/886, de 13 de marzo de 2024, aplicable desde el 9 de octubre de 2025, impone ahora al proveedor la obligación de verificar el identificador del beneficiario y la identidad indicada del beneficiario. Desde entonces, el proveedor puede incurrir en responsabilidad en este tipo de fraude.
[1] Com., 23 de octubre de 2024, n.º 23-16.267
[2] Com., 28 de marzo de 2018, n.º 16-200.18.
[3] Com., 19 de noviembre de 2025, n.º 24-19.776, n.º 24-17.780, n.º 24-17.056, n.º 24-18.534; Com., 15 de enero de 2025, n.º 23-13.579; Com., 23 de mayo de 2024, n.º 22-18.098.
[4] Com., 8 de noviembre de 2023, n.º 22-14.822
[5] TJUE, 1.º de agosto de 2025, asunto C-665/23
[6] Com., 14 de enero de 2026, n.º 22-14.822
[7] Com., 2 de julio de 2025, n.º 24-16.590.
[8] Com., 6 de febrero de 2026, n.º 22-22.609
