Cuando el usuario cae en el phishing, ¿quién responde? El TJUE aclara las obligaciones del banco y los límites de la responsabilidad digital

La sentencia C-70/25, Tukowiecka, distingue entre la devolución inmediata de una operación bancaria no autorizada y la responsabilidad definitiva por las pérdidas. Su doctrina abre una reflexión sobre la seguridad de los datos personales, el error humano y las obligaciones de protección de las organizaciones.

15 de octubre de 2026

1. Introducción. ¿Quién responde cuando el usuario comete un error?

Una persona recibe un mensaje aparentemente legítimo. Accede a un enlace, introduce sus credenciales bancarias y, poco después, descubre que alguien ha utilizado su cuenta para realizar una transferencia que nunca autorizó.

La entidad financiera examina lo sucedido y concluye que el cliente debería haber sido más cuidadoso. Considera que ha incumplido su obligación de proteger las credenciales y rechaza devolverle el dinero.

La situación plantea una pregunta aparentemente sencilla: si el usuario ha facilitado sus claves bajo engaño, ¿debe asumir las consecuencias?

Sin embargo, el problema jurídico es bastante más complejo.

¿Qué obligaciones corresponden al usuario? ¿Qué deberes tiene la entidad financiera? ¿Quién debe demostrar la existencia de negligencia grave? ¿Puede considerarse autorizada una operación simplemente porque se utilizaron credenciales válidas? ¿Qué sucede cuando, además del fraude, se comprometen datos personales?

La sentencia del Tribunal de Justicia de la Unión Europea (TJUE) de 15 de octubre de 2026, asunto C-70/25, Tukowiecka, aporta una respuesta relevante.

El Tribunal establece que la eventual negligencia grave del cliente no permite al proveedor de servicios de pago rechazar la devolución inmediata del importe de una operación no autorizada. La cuestión de quién debe soportar definitivamente las pérdidas se examina separadamente, conforme a las reglas legales aplicables.

La resolución interpreta la Directiva (UE) 2015/2366, relativa a los servicios de pago en el mercado interior, conocida como PSD2.

No es una sentencia sobre protección de datos personales.

Sin embargo, permite plantear una cuestión transversal de enorme interés para la gobernanza de la privacidad y la seguridad digital:

¿Hasta qué punto puede una organización invocar el comportamiento de un usuario para explicar un incidente sin examinar previamente el cumplimiento de sus propias obligaciones?

Para responder es necesario distinguir el régimen de los servicios de pago del previsto en el Reglamento General de Protección de Datos (RGPD).

Resulta especialmente útil incorporar la sentencia C-340/21, Natsionalna agentsia za prihodite, de 14 de diciembre de 2023, sobre la seguridad del tratamiento y la responsabilidad derivada del acceso ilícito a datos personales.

Ambas resoluciones pertenecen a regímenes jurídicos diferentes, pero permiten construir una reflexión común: la atribución de responsabilidad exige identificar las obligaciones aplicables y acreditar los hechos relevantes, sin recurrir a presunciones automáticas.

2. El caso Tukowiecka. El fraude mediante phishing y la negativa del banco

El litigio se originó en Polonia.

Una clienta de una entidad bancaria había puesto a la venta un objeto en una plataforma digital.

Un tercero, que fingía estar interesado en comprarlo, le remitió un enlace aparentemente destinado a confirmar la operación comercial.

La dirección conducía a una página fraudulenta que imitaba el sitio web de su banco.

La mujer introdujo allí sus credenciales de acceso a la banca electrónica. El atacante utilizó esa información para realizar una transferencia de aproximadamente 700 euros desde su cuenta.

Al día siguiente, la clienta comunicó al banco que se había producido una operación que no había autorizado.

La entidad rechazó devolverle el importe alegando que había actuado con negligencia grave al no proteger adecuadamente sus credenciales.

El asunto llegó a un órgano judicial polaco, que planteó una cuestión prejudicial al TJUE sobre la interpretación conjunta de los artículos 73.1 y 74.1 de la PSD2.

La pregunta central consistía en determinar si el proveedor podía rechazar la devolución inmediata de una operación no autorizada cuando considerase que el cliente había incumplido sus obligaciones por negligencia grave.

La respuesta del TJUE

El Tribunal responde negativamente.

El artículo 73.1 PSD2 establece, bajo las condiciones previstas por la Directiva, que el proveedor debe devolver el importe de una operación de pago no autorizada inmediatamente y, en cualquier caso, a más tardar al finalizar el día hábil siguiente a aquel en que la haya observado o se le haya notificado.

La excepción específica del precepto requiere motivos razonables para sospechar fraude cometido por el propio ordenante y su comunicación por escrito a la autoridad nacional competente.

La mera apreciación de negligencia grave no constituye esa excepción.

Ahora bien, la sentencia también reconoce que el proveedor podrá reclamar posteriormente al cliente las pérdidas cuando demuestre que derivan del incumplimiento intencional o gravemente negligente de las obligaciones que le correspondían.

La distinción es fundamental.

La obligación inicial de devolver el importe no equivale a una decisión definitiva sobre quién debe soportar las pérdidas económicas.

El artículo 74 PSD2 regula la eventual responsabilidad del ordenante, mientras que el artículo 72 establece reglas probatorias especialmente importantes.

La reclamación posterior deberá respetar el régimen material aplicable y las vías previstas por el ordenamiento nacional.

La sentencia no configura por sí misma un procedimiento uniforme de reclamación, repetición o compensación para todos los Estados miembros.

Tampoco determina que la clienta actuara con negligencia grave.

Lo que impide es que el proveedor convierta su propia valoración de esa circunstancia en una razón suficiente para dejar sin efecto la devolución inmediata.

Esta interpretación protege la eficacia de la Directiva.

Si bastara con atribuir negligencia grave al usuario para rechazar inicialmente la devolución, la persona afectada tendría que emprender una reclamación para conseguir que se reconociera su derecho, soportando las dificultades y costes correspondientes.

El mecanismo de protección inmediata perdería buena parte de su utilidad.

3. Una operación autenticada no es necesariamente una operación autorizada

Uno de los elementos más interesantes del régimen PSD2 es la distinción entre autenticación y autorización.

En el lenguaje cotidiano solemos utilizar estos conceptos como si fueran equivalentes.

Sin embargo, jurídicamente responden a cuestiones diferentes.

La identificación permite establecer quién afirma ser una persona.

La autenticación permite verificar determinados elementos relativos a una identidad declarada o a la utilización de un instrumento de pago.

La autorización exige el consentimiento del ordenante para ejecutar la operación.

Esta distinción adquiere especial importancia cuando un delincuente utiliza credenciales legítimas obtenidas mediante engaño.

El artículo 72.1 PSD2 establece que, cuando el usuario niega haber autorizado una operación, corresponde al proveedor demostrar que fue autenticada, registrada con exactitud, contabilizada y que no resultó afectada por un fallo técnico u otra deficiencia del servicio.

El apartado segundo añade una garantía esencial.

El registro de utilización de un instrumento de pago no demuestra necesariamente, por sí solo, que el ordenante autorizara la operación.

Tampoco constituye necesariamente prueba suficiente de que actuó fraudulentamente o incumplió sus obligaciones de forma intencional o por negligencia grave.

El proveedor debe aportar pruebas que respalden esas circunstancias.

¿Por qué es importante en un ataque de phishing?

Porque un atacante puede emplear credenciales válidas sin que exista consentimiento del titular para ejecutar una transferencia.

La autenticación técnica no demuestra automáticamente la legitimidad jurídica de la operación.

En el caso Tukowiecka, el atacante obtuvo las credenciales mediante una página fraudulenta y las utilizó para transferir dinero.

El hecho de que se utilizaran unas credenciales de acceso no permite concluir, por sí solo, que la clienta autorizara la transferencia.

Debe examinarse cómo se ejecutó la operación y qué evidencias existen sobre su autorización.

Esta distinción también resulta importante desde la seguridad de la información.

Un sistema puede verificar correctamente determinados elementos de autenticación y, sin embargo, estar interactuando con alguien que utiliza ilícitamente credenciales ajenas.

Por ello, la seguridad debe considerar escenarios de apropiación de credenciales y suplantación de identidad, con medidas proporcionadas a los riesgos.

4. ¿Cuándo existe negligencia grave del usuario?

La PSD2 establece obligaciones de diligencia para los usuarios de instrumentos de pago.

El artículo 69 exige, entre otras cuestiones, adoptar medidas razonables para proteger las credenciales de seguridad personalizadas y notificar sin demora injustificada determinadas circunstancias, como la utilización no autorizada del instrumento.

Pero no cualquier descuido equivale a negligencia grave.

El considerando 72 de la Directiva distingue la negligencia ordinaria de la grave, que implica un grado significativo de falta de diligencia.

Su apreciación requiere considerar las circunstancias concretas y el Derecho nacional aplicable, dentro de las exigencias del ordenamiento europeo.

Por ello, introducir credenciales en una página fraudulenta no debe convertirse automáticamente en prueba concluyente de negligencia grave.

Tampoco puede afirmarse que cualquier víctima de phishing esté necesariamente exenta de responsabilidad.

Para valorar la conducta pueden resultar relevantes, entre otras circunstancias:

• La apariencia y sofisticación de la página fraudulenta.
• El contexto en el que se recibió la comunicación.
• Las señales de alerta razonablemente perceptibles.
• Las advertencias claras y efectivamente facilitadas al usuario.
• La modalidad de autenticación y las instrucciones recibidas.
• El comportamiento posterior de la persona al conocer el incidente.
• La existencia de otras circunstancias que permitan evaluar su grado de diligencia.

Estos factores no constituyen una lista legal cerrada ni predeterminan el resultado.

Deben analizarse en función de los hechos acreditados y del régimen jurídico aplicable.

El artículo 72.2 PSD2 adquiere aquí especial relevancia: la utilización registrada de un instrumento de pago no constituye por sí sola una demostración suficiente de negligencia grave.

Por tanto, una entidad no puede sustituir el análisis individualizado por una presunción general según la cual toda persona que facilita sus credenciales bajo engaño ha actuado con negligencia grave.

La cuestión debe resolverse mediante una valoración jurídica sustentada en pruebas.

5. El phishing y la protección de datos personales

Hasta aquí nos encontramos dentro del régimen de servicios de pago.

Pero el caso también permite analizar problemas propios de la protección de datos.

Las credenciales e identificadores de acceso serán datos personales cuando, por sí mismos o combinados con información razonablemente disponible, puedan vincularse a una persona física identificada o identificable.

Su compromiso puede facilitar accesos indebidos, suplantaciones de identidad, consultas de información financiera y otras actuaciones ilícitas.

Los datos bancarios no constituyen, por regla general, categorías especiales de datos del artículo 9 RGPD.

Sin embargo, su tratamiento puede generar riesgos importantes para los derechos y libertades de las personas.

Ahora bien, es necesario distinguir el fraude de una eventual violación de seguridad de datos personales.

El fraude no demuestra automáticamente una brecha imputable al banco

Un atacante puede obtener las credenciales mediante una página externa sin haber accedido inicialmente a los sistemas de la entidad financiera.

Posteriormente, puede intentar utilizarlas para acceder al servicio bancario.

Si consigue consultar sin autorización información personal tratada por la entidad, podría producirse una violación de seguridad de datos personales conforme al artículo 4.12 RGPD.

La evaluación también puede requerir examinar posibles alteraciones ilícitas de datos personales o registros sometidos a la responsabilidad de la organización.

Sin embargo, no todos estos escenarios pueden presumirse.

En el asunto Tukowiecka, el comunicado oficial permite acreditar la captura fraudulenta de credenciales y la realización de una transferencia no autorizada.

No ofrece información suficiente para determinar si se accedió a otros datos personales, qué controles de autenticación intervinieron ni si existió una violación de seguridad que debiera notificarse conforme al RGPD.

Por tanto, no sería correcto afirmar que la entidad infringió el Reglamento por el simple hecho de haberse producido el fraude.

Tampoco sería correcto excluir cualquier posible incidencia sobre la protección de datos sin examinar qué sucedió.

La existencia de phishing exige investigar los hechos, pero no permite anticipar automáticamente una conclusión sobre el cumplimiento del RGPD.

6. El RGPD exige medidas de seguridad apropiadas, no una garantía absoluta

El artículo 5.1.f RGPD establece el principio de integridad y confidencialidad.

El artículo 32 obliga a aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.

La referencia al riesgo es fundamental.

El Reglamento no impone una obligación general de impedir absolutamente cualquier incidente.

La adecuación de las medidas depende, entre otros factores, de la naturaleza, el contexto y las finalidades del tratamiento, de los riesgos para las personas, del estado de la técnica y de los costes de aplicación.

Por tanto, la existencia de un ataque no demuestra automáticamente una infracción del artículo 32.

Pero tampoco basta con que la organización afirme que adoptó medidas de seguridad o informó a los usuarios de sus obligaciones.

La suficiencia de esas medidas debe poder evaluarse.

El error humano como escenario de riesgo

El phishing es una amenaza conocida en los servicios digitales.

Por ello, cuando resulte pertinente, la evaluación de riesgos debe considerar la posibilidad de que una persona facilite involuntariamente sus credenciales a un tercero.

Esta posibilidad no implica que el usuario carezca de obligaciones.

Significa que la organización debe valorar las consecuencias previsibles del compromiso de credenciales y determinar qué medidas de seguridad son apropiadas.

Dependiendo del tratamiento, pueden resultar relevantes los controles de acceso, la gestión de privilegios, la autenticación reforzada, la detección de comportamientos anómalos, la protección de sesiones y los procedimientos de respuesta.

En el ámbito financiero, algunas de estas medidas responden también a obligaciones sectoriales de autenticación y seguridad de los pagos.

No deben confundirse los requisitos de la PSD2 con las obligaciones del RGPD.

Sin embargo, ambos marcos pueden resultar relevantes ante un mismo incidente.

Desde la protección de datos, la pregunta consiste en determinar si las medidas implantadas eran apropiadas para proteger la información personal frente a los riesgos del tratamiento.

La sensibilización de los usuarios puede formar parte de esa estrategia.

Pero no sustituye automáticamente la necesidad de otros controles cuando estos resulten necesarios.

7. La sentencia C-340/21. El complemento jurisprudencial

Para examinar la responsabilidad organizativa en materia de protección de datos debemos acudir a la sentencia del TJUE de 14 de diciembre de 2023, asunto C-340/21, Natsionalna agentsia za prihodite.

El litigio se originó en un ciberataque contra la Agencia Nacional de Recaudación de Bulgaria que provocó la divulgación no autorizada de datos personales.

El Tribunal examinó las obligaciones de seguridad del responsable del tratamiento y determinados aspectos del régimen indemnizatorio del artículo 82 RGPD.

Su doctrina resulta esencial por tres razones.

7.1. Un ciberataque no demuestra automáticamente que las medidas fueran inadecuadas

El TJUE establece que el acceso o la comunicación no autorizada de datos personales por parte de terceros no permite concluir, por sí solo, que las medidas técnicas y organizativas del responsable eran inapropiadas.

Este criterio es importante porque impide equiparar automáticamente una violación de seguridad con una infracción del artículo 32.

La adecuación de las medidas requiere una evaluación concreta de los riesgos y de las características del tratamiento.

Por ello, tampoco podemos deducir del caso Tukowiecka que el banco incumpliera sus obligaciones de seguridad.

Se necesitarían hechos y pruebas adicionales.

7.2. El responsable debe demostrar la adecuación de sus medidas

El TJUE interpreta los artículos 5.2, 24 y 32 RGPD en el sentido de que, en el marco de una acción indemnizatoria del artículo 82, corresponde al responsable acreditar que las medidas técnicas y organizativas adoptadas eran apropiadas.

Esta interpretación refuerza el significado práctico de la responsabilidad proactiva.

No basta con afirmar que existen políticas y controles.

La organización debe poder demostrar su adecuación a los riesgos del tratamiento, atendiendo a las circunstancias concretas.

Esto exige examinar la naturaleza, la implantación y el funcionamiento de las medidas.

El Tribunal también aclara que un informe pericial no constituye sistemáticamente un medio de prueba necesario y suficiente para determinar dicha adecuación.

El análisis judicial no se reduce, por tanto, a comprobar la existencia de una evaluación técnica o de determinados documentos.

Debe considerar los hechos relevantes y las obligaciones efectivamente aplicables.

7.3. La actuación de terceros no exonera automáticamente de responsabilidad

La sentencia también interpreta el artículo 82.3 RGPD.

La intervención de un tercero que accede ilícitamente a datos personales no permite exonerar automáticamente al responsable del tratamiento.

Para quedar exento conforme a dicho precepto, el responsable debe demostrar que no es en modo alguno responsable del hecho que ocasionó el daño.

Esto no significa que cualquier organización afectada por un ciberataque deba indemnizar siempre a las personas afectadas.

La responsabilidad indemnizatoria exige que concurran sus presupuestos específicos.

El criterio del Tribunal impide que la intervención de un tercero sustituya el examen de las obligaciones y responsabilidades de la organización.

Aquí encontramos una conexión metodológica con Tukowiecka.

Ambas sentencias rechazan, dentro de sus respectivos regímenes jurídicos, que la atribución de responsabilidad se resuelva automáticamente por la intervención o conducta de otra persona.

Sin embargo, sus consecuencias jurídicas son diferentes.

8. Dos sentencias que no deben confundirse

La comparación permite identificar coincidencias metodológicas, pero exige respetar las diferencias entre ambos regímenes.

El vínculo doctrinal no consiste en afirmar que ambas resoluciones establezcan una responsabilidad digital unitaria.

Su punto de encuentro es otro.

La conducta de un tercero o del usuario no permite prescindir del análisis de las obligaciones propias de la organización.

La atribución de responsabilidad exige examinar el régimen aplicable, los hechos y las pruebas.

Esa es la principal enseñanza comparada.

9. Protección desde el diseño y previsibilidad del error humano

El artículo 25 RGPD regula la protección de datos desde el diseño y por defecto.

Su finalidad es integrar garantías apropiadas en el tratamiento para aplicar eficazmente los principios de protección de datos.

No puede utilizarse como fundamento general para atribuir a una entidad financiera cualquier fraude sufrido por sus clientes.

Sin embargo, resulta pertinente cuando analizamos cómo se han diseñado los mecanismos que protegen los datos personales.

Por ejemplo, permite examinar si la arquitectura del tratamiento incorpora restricciones de acceso, diferenciación de privilegios y otras garantías proporcionadas a sus riesgos.

Una cuestión particularmente interesante es la previsibilidad de determinados errores humanos.

Si una organización conoce que las credenciales pueden ser comprometidas mediante ingeniería social, debe considerar esa amenaza cuando resulte relevante para el tratamiento y determinar qué medidas son apropiadas.

La protección desde el diseño no significa que el sistema deba impedir absolutamente cualquier consecuencia de una actuación incorrecta.

Significa que las garantías de protección de datos deben incorporarse al diseño y funcionamiento del tratamiento, atendiendo a los riesgos.

El artículo 25 constituye así un fundamento complementario.

El análisis principal de la seguridad de los datos personales debe realizarse conforme al artículo 32 RGPD.

10. La investigación del incidente y las obligaciones de notificación

Otro aspecto importante consiste en diferenciar cuatro conceptos:

Incidente de seguridad. Suceso que puede comprometer la seguridad de sistemas o servicios.

Violación de seguridad de datos personales. Supuesto que cumple la definición del artículo 4.12 RGPD.

Infracción del RGPD. Incumplimiento de una obligación establecida por el Reglamento.

Responsabilidad indemnizatoria. Consecuencia que exige los presupuestos específicos del artículo 82 RGPD.

No son conceptos equivalentes.

Puede existir una violación de seguridad de datos personales sin que se acredite que las medidas del artículo 32 eran inapropiadas.

También pueden producirse infracciones del RGPD que no constituyan violaciones de seguridad.

Y una infracción no genera automáticamente una indemnización.

Cuando se produce un incidente de phishing, la organización debe investigar los hechos relevantes para determinar si se han comprometido datos personales bajo su responsabilidad.

Si existe una violación de seguridad, deberá evaluar las obligaciones correspondientes.

El artículo 33 exige notificarla a la autoridad de control competente, salvo que sea improbable que entrañe un riesgo para los derechos y libertades de las personas, conforme a sus condiciones y plazos.

El artículo 34 regula la comunicación al interesado cuando sea probable que la violación entrañe un alto riesgo, con las excepciones legalmente establecidas.

Además, el artículo 33.5 exige documentar las violaciones de seguridad de datos personales, incluidos sus efectos y las medidas correctivas adoptadas.

Estas obligaciones no pueden deducirse automáticamente de una transferencia fraudulenta.

Requieren determinar si existió una violación de datos personales y evaluar sus características.

Las Directrices 9/2022 del Comité Europeo de Protección de Datos ofrecen criterios relevantes para realizar esa valoración.

11. Devolver el dinero no equivale a indemnizar por una infracción del RGPD

La sentencia Tukowiecka establece una obligación de devolución propia del régimen de servicios de pago.

El artículo 82 RGPD contempla una responsabilidad indemnizatoria diferente.

Ambos mecanismos pueden relacionarse con un mismo incidente, pero no responden a los mismos presupuestos.

El TJUE ha precisado en la sentencia C-300/21, Österreichische Post, de 4 de mayo de 2023, que la indemnización del artículo 82 requiere tres elementos acumulativos:

1. Una infracción del RGPD.
2. La existencia de un daño material o inmaterial.
3. Una relación de causalidad entre la infracción y el daño.

La mera infracción no genera automáticamente un derecho a indemnización.

Tampoco se exige un umbral mínimo de gravedad para el daño inmaterial, aunque debe acreditarse su existencia.

La sentencia C-687/21, MediaMarktSaturn, de 25 de enero de 2024, aporta criterios adicionales sobre los daños y su apreciación cuando se produce una comunicación no autorizada de datos personales.

Por su parte, en la sentencia C-340/21, el Tribunal reconoce que el temor a una posible utilización indebida de los datos puede constituir un daño inmaterial indemnizable.

Pero no significa que cualquier preocupación subjetiva genere automáticamente una compensación.

Cada reclamación debe examinarse conforme a sus requisitos.

Por tanto, en un incidente como el de Tukowiecka podrían plantearse cuestiones jurídicas distintas:

La devolución de la operación no autorizada conforme a la PSD2.

La evaluación de una eventual violación de seguridad de datos personales.

La determinación de una posible infracción del RGPD.

Y, cuando proceda, una reclamación indemnizatoria por los daños causados por dicha infracción.

La devolución bancaria, las obligaciones de seguridad y la responsabilidad indemnizatoria deben analizarse por separado, aunque puedan concurrir en un mismo incidente.

12. Del error humano al análisis de las causas

La comparación entre ambas sentencias aporta una enseñanza importante para la gestión de riesgos.

Ante un incidente de seguridad es habitual comenzar preguntando quién cometió el error.

Pero identificar la conducta que desencadenó un incidente no equivale a explicar completamente sus causas y consecuencias.

Si una persona introdujo sus credenciales en una página fraudulenta, conocemos una circunstancia que facilitó el ataque.

Todavía necesitamos determinar qué ocurrió después.

¿Qué información obtuvo el atacante?

¿Qué controles protegían el acceso?

¿Qué operaciones pudieron realizarse?

¿Existieron accesos no autorizados a datos personales?

¿Qué mecanismos de detección funcionaron?

¿Cómo respondió la organización?

Estas preguntas no parten de la presunción de que la entidad haya incumplido sus obligaciones.

Tampoco excluyen una eventual negligencia grave del usuario.

Permiten reconstruir los hechos y determinar las responsabilidades conforme a la normativa aplicable.

Desde la gestión de riesgos, el análisis debería contemplar cinco dimensiones:

Amenazas: identificar las técnicas y actuaciones del atacante.

Vulnerabilidades y condiciones facilitadoras: determinar las circunstancias que permitieron materializar el incidente.

Controles: evaluar las medidas implantadas para prevenir, detectar y responder.

Consecuencias: examinar los efectos sobre los datos, los sistemas y las personas.

Responsabilidades: identificar las obligaciones legales de cada sujeto y las evidencias necesarias para acreditar su cumplimiento o incumplimiento.

Este enfoque permite pasar de una explicación centrada exclusivamente en el error individual a una investigación de la cadena causal del incidente.

No siempre conducirá a atribuir responsabilidad a la organización.

Puede demostrar que sus medidas eran apropiadas y que el incidente se produjo pese a ellas.

También puede revelar deficiencias que deberían haberse identificado y corregido.

La finalidad es determinar los hechos y responsabilidades mediante evidencias, no mediante presunciones.

13. Las lecciones para las organizaciones

La lectura conjunta de ambas sentencias permite extraer cinco lecciones para la gobernanza de la privacidad y la seguridad digital.

Primera. Las obligaciones legales de protección no pueden sustituirse por una atribución unilateral de culpa.

En Tukowiecka, la alegación de negligencia grave no permite rechazar la devolución inmediata prevista por la PSD2.

Segunda. La autenticación no constituye necesariamente prueba de autorización.

El uso de credenciales válidas debe interpretarse conforme a las reglas probatorias y teniendo presente la posibilidad de apropiación indebida.

Tercera. La seguridad debe ser apropiada a los riesgos del tratamiento.

El RGPD no exige eliminar cualquier posibilidad de incidente, pero sí adoptar medidas adecuadas y poder demostrar su conformidad en las condiciones legalmente aplicables.

Cuarta. La intervención de terceros no elimina automáticamente las responsabilidades de la organización.

La eventual exoneración exige examinar los presupuestos del régimen jurídico correspondiente.

Quinta. La investigación debe comprender toda la cadena causal.

No basta con identificar el primer error. Es necesario valorar las amenazas, los controles, las consecuencias y las obligaciones de cada interviniente.

Estas enseñanzas tienen una utilidad práctica especial en organizaciones que gestionan numerosos usuarios, información personal sensible desde la perspectiva del riesgo y servicios digitales expuestos a ingeniería social.

14. Conclusión. La responsabilidad no se determina identificando únicamente quién cometió el error

La sentencia C-70/25, Tukowiecka, no establece que los bancos deban asumir definitivamente cualquier pérdida ocasionada por un fraude.

Tampoco elimina las obligaciones de diligencia de los usuarios.

Su aportación consiste en impedir que una apreciación unilateral de negligencia grave deje sin efecto la devolución inmediata prevista por la PSD2, sin perjuicio de la eventual atribución posterior de las pérdidas conforme al artículo 74 y a las reglas aplicables.

La sentencia C-340/21, Natsionalna agentsia za prihodite, aborda un problema diferente.

El TJUE recuerda que un acceso ilícito realizado por terceros no demuestra automáticamente que las medidas de seguridad del responsable fueran inadecuadas, pero exige acreditar su adecuación en el contexto jurídico examinado.

Ambas resoluciones permiten formular una reflexión sobre las responsabilidades en los servicios digitales.

Que una persona cometa un error no demuestra, por sí solo, que la organización haya cumplido o incumplido las obligaciones que le corresponden.

Para determinarlo es necesario identificar las obligaciones aplicables, examinar los hechos y valorar las pruebas disponibles.

La seguridad basada en riesgos no consiste en garantizar que nunca existirán errores humanos.

Consiste en considerar las amenazas y circunstancias previsibles, establecer medidas apropiadas y evaluar su eficacia.

Esto no convierte a las organizaciones en responsables absolutos de cualquier incidente.

Significa que sus obligaciones no desaparecen automáticamente porque el incidente se haya iniciado mediante la actuación de un usuario o de un tercero.

Y tampoco significa que la persona afectada quede necesariamente exenta de sus propias obligaciones.

La responsabilidad debe distribuirse conforme al Derecho y a las circunstancias acreditadas.

Por ello, la pregunta que nos deja esta investigación no es únicamente quién cometió el primer error.

La pregunta verdaderamente importante es qué obligaciones tenía cada interviniente para prevenir, detectar o limitar las consecuencias de ese error y qué evidencias permiten demostrar que fueron cumplidas.

Ese es el punto de encuentro entre la protección efectiva de las personas, la seguridad basada en riesgos y la responsabilidad jurídica de las organizaciones.

Referencias normativas y jurisprudenciales

Tribunal de Justicia de la Unión Europea. Sentencia de 15 de octubre de 2026, Tukowiecka, asunto C-70/25, ECLI:EU:C:2026:852. Comunicado de prensa n.º 147/26. Comunicado oficial en español. Expediente en CURIA.

Tribunal de Justicia de la Unión Europea. Conclusiones del abogado general Athanasios Rantos, presentadas el 5 de marzo de 2026, asunto C-70/25, ECLI:EU:C:2026:153. Expediente en CURIA.

Tribunal de Justicia de la Unión Europea. Sentencia de 14 de diciembre de 2023, Natsionalna agentsia za prihodite, asunto C-340/21, ECLI:EU:C:2023:986. Texto oficial en EUR-Lex.

Tribunal de Justicia de la Unión Europea. Sentencia de 4 de mayo de 2023, Österreichische Post, asunto C-300/21, ECLI:EU:C:2023:370. Texto oficial en EUR-Lex.

Tribunal de Justicia de la Unión Europea. Sentencia de 25 de enero de 2024, MediaMarktSaturn, asunto C-687/21, ECLI:EU:C:2024:72. Texto oficial en EUR-Lex.

Parlamento Europeo y Consejo de la Unión Europea. Directiva (UE) 2015/2366, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior. Considerando 72 y artículos 64, 69 y 71 a 74. Texto oficial.

Parlamento Europeo y Consejo de la Unión Europea. Reglamento (UE) 2016/679, de 27 de abril de 2016, Reglamento General de Protección de Datos. Artículos 4, 5, 24, 25, 32, 33, 34 y 82. Texto oficial.

Comité Europeo de Protección de Datos. Directrices 9/2022 sobre la notificación de violaciones de seguridad de los datos personales con arreglo al RGPD, versión 2.0, adoptada el 4 de abril de 2023. Repositorio oficial.

Autor y responsable editorial: Leocadio Marrero Trujillo.
El enfoque, la arquitectura, los criterios de análisis y las conclusiones de este artículo han sido definidos y validados por el autor. Durante su elaboración se han utilizado herramientas de inteligencia artificial generativa como apoyo para la estructuración, reformulación, edición y creación de determinados elementos gráficos.

El contenido ha sido sometido a revisión humana sustantiva, comprobación de fuentes y validación jurídica y técnica. El autor ha aprobado la versión definitiva y asume íntegramente la responsabilidad editorial sobre su contenido