Si ha detectado cargos no reconocidos en su tarjeta de crédito o débito, compras que no ha realizado o movimientos sospechosos, la ley le protege. El banco tiene la obligación de devolverle el dinero de inmediato y, como máximo, al final del día hábil siguiente a que se lo comunique, salvo que tenga motivos razonables para sospechar fraude (y los comunique al Banco de España) o que pueda demostrar que actuó de forma fraudulenta o con negligencia grave.
En esta guía le explicamos qué dice la ley, cómo reclamar paso a paso y qué hacer si el banco se niega a devolverle el dinero.
Qué se considera fraude con tarjeta bancaria
El fraude con tarjeta incluye cualquier operación de pago realizada sin su consentimiento. Los tipos más frecuentes son:
Clonación de tarjeta (skimming): los estafadores copian la banda magnética o el chip de su tarjeta mediante dispositivos instalados en cajeros automáticos o terminales de pago. Con los datos clonados, fabrican una tarjeta duplicada y realizan compras o retiradas de efectivo.
Fraude CNP (Card Not Present): compras online realizadas con sus datos de tarjeta (número, fecha de caducidad y CVV) sin disponer físicamente de ella. Es un supuesto en el que la ley protege especialmente al titular: si la tarjeta fue sustraída o extraviada y se usaron a distancia solo los datos impresos en ella, el titular queda exento de toda responsabilidad, salvo fraude o negligencia grave y siempre que haya avisado sin demora (art. 46.1 RDL 19/2018).
Cargos no reconocidos: aparecen movimientos en su extracto que no ha autorizado. Puede tratarse de suscripciones fraudulentas, cobros duplicados de comercios o cargos de empresas que no conoce.
Compras no autorizadas tras robo o pérdida: si le roban la tarjeta o la pierde y alguien la usa antes de que la bloquee, el banco debe asumir las operaciones no autorizadas, con un máximo de 50 € a su cargo, salvo que haya actuado con fraude o negligencia grave.
Qué dice la ley: su derecho a la devolución
El Real Decreto-ley 19/2018, que transpone la Directiva europea de Servicios de Pago (PSD2), establece un régimen de responsabilidad cuasi objetiva del banco en caso de operaciones no autorizadas, como ha confirmado el Tribunal Supremo en la STS 571/2025, de 9 de abril:
Artículo 45 — Responsabilidad del proveedor de servicios de pago: «[…] en caso de que se ejecute una operación de pago no autorizada, el proveedor de servicios de pago del ordenante devolverá a éste el importe de la operación no autorizada de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación, salvo cuando el proveedor de servicios de pago del ordenante tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España […]».
Artículo 44 — Carga de la prueba: si niegas haber autorizado la operación, es el banco quien debe demostrar que fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio. No basta con alegar que se usó el PIN o la clave: el registro de la operación no demuestra por sí solo que la autorizaras (art. 44.2), y es el banco quien debe probar que actuaste con fraude o negligencia grave (art. 44.3).
Artículo 46 — Responsabilidad del usuario: si las operaciones derivan de una tarjeta extraviada o sustraída, su responsabilidad por las realizadas antes de comunicarlo se limita a un máximo de 50 € (con excepciones, por ejemplo si no pudo detectar la pérdida antes del pago), salvo fraude o negligencia grave. Después de comunicarlo, no responde de nada salvo fraude (art. 46.3). Y si el banco no exige autenticación reforzada, solo responde si actuó de forma fraudulenta (art. 46.2).
Qué hacer si detectas un cargo no reconocido
Paso 1 — Bloquee la tarjeta inmediatamente. Hágalo desde la app del banco o llamando al teléfono de atención 24 horas. Anote la fecha y hora del bloqueo: marca el límite de su responsabilidad.
Paso 2 — Revise los movimientos. Identifique todas las operaciones que no reconoce: fechas, importes, comercios. Haga capturas de pantalla del extracto.
Paso 3 — Comunique al banco por escrito. Presente una reclamación formal por el canal que deje constancia (formulario web con número de referencia, email o burofax). Describa las operaciones no autorizadas y solicite la devolución conforme al artículo 45 del RDL 19/2018.
Paso 4 — Denuncie ante la policía. Interponga denuncia en comisaría o en la Policía Nacional online. La denuncia documenta los hechos y refuerza su reclamación.
Paso 5 — Reclame al Banco de España si no le devuelven. En servicios de pago, el banco debe responder a su reclamación en 15 días hábiles (art. 69 RDL 19/2018). Si la rechaza o no la resuelve, puede acudir al Servicio de Reclamaciones del Banco de España, acreditando la denegación o que ha transcurrido un mes sin respuesta (art. 30 de la Ley 44/2002).
Paso 6 — Demanda judicial. Si el banco persiste en no devolver, queda la vía judicial, previo intento de un medio adecuado de solución de controversias (Ley Orgánica 1/2025). Puede ver cómo han resuelto casos similares en nuestra guía sobre la jurisprudencia de las Audiencias Provinciales.
Plazos para reclamar
Debe comunicar la operación sin demora injustificada, en cuanto tenga conocimiento de ella, y en todo caso dentro de los 13 meses siguientes a la fecha del adeudo (art. 43 RDL 19/2018). Pasado ese plazo, la ley no permite obtener la rectificación, salvo que el banco no le hubiera proporcionado la información sobre la operación. Una vez comunicada en plazo, la acción judicial para reclamar el importe se ha considerado sujeta al plazo general de prescripción de 5 años del art. 1964 del Código Civil (así, SAP Cáceres de 23 de marzo de 2026).
El banco debe devolverle el dinero de inmediato y, como máximo, al final del día hábil siguiente a la notificación de la operación no autorizada (art. 45), salvo sospecha fundada de fraude comunicada por escrito al Banco de España. Otra cosa es el plazo para contestar a su reclamación formal: 15 días hábiles en servicios de pago. Que el banco se retrase no le exime de responsabilidad.
Cuándo puede el banco negarse a devolver
El banco solo puede negarse definitivamente si demuestra que actuaste de forma fraudulenta o con negligencia grave. Los tribunales valoran la negligencia grave caso por caso y de forma restrictiva. Por ejemplo, no la han apreciado en supuestos como:
— Facilitar códigos a quien llamaba desde un número que coincidía con el del banco (SAP A Coruña de 22 de mayo de 2024; SAP Pontevedra de 20 de abril de 2026)
— Confiar en una llamada y dos SMS aparentemente enviados por el banco (SAP Asturias de 21 de mayo de 2026)
— No tener instalado un antivirus en el ordenador (SAP Valencia de 14 de abril de 2026)
— Haber compartido datos creyendo hablar con el propio banco, sin saber que era una estafa
En cambio, según las circunstancias, sí puede considerarse negligencia grave:
— Apuntar el PIN en la propia tarjeta o guardarlo junto a ella
— Entregar voluntariamente la tarjeta y el PIN a un tercero
— No comunicar el robo o la pérdida durante días tras conocerlo, o ignorar durante días las alertas del banco (en la SAP Barcelona de 9 de marzo de 2026 se apreció imprudencia grave en un cliente que desatendió varios avisos del banco durante diez días)
En caso de duda, la carga de la prueba recae sobre el banco, no sobre el usuario. Si el banco no puede demostrar su negligencia grave, debe devolver.
Sentencias relevantes
Un ejemplo con tarjeta: la SAP Barcelona de 26 de junio de 2025 (ROJ SAP B 7288/2025) condenó a BBVA a devolver 3.649,50 € por cuatro compras realizadas con la tarjeta del cliente después de que el estafador la vinculara a Google Pay en su propio móvil. La Audiencia tuvo en cuenta que el cliente había llamado al banco antes de las compras y que el gestor, pese a sospechar un fraude, no revisó la vinculación de la tarjeta.
La ley obliga al banco a aplicar autenticación reforzada (SCA) cuando se inicia una operación de pago electrónico (art. 68 RDL 19/2018) y, si no la exige, el titular solo responde en caso de fraude (art. 46.2). El Tribunal Supremo, en la STS 571/2025, ha exigido además que los sistemas del banco detecten operaciones anómalas. Y en el asunto C-70/25: conclusiones del Abogado General se propone que el banco no pueda negar la devolución inmediata alegando negligencia grave del cliente; son conclusiones, no una sentencia, y el Tribunal de Justicia aún no ha resuelto.
Fraude con tarjeta en comercios online
Con la PSD2, las compras online deben pasar, como regla general, por autenticación reforzada (3D Secure con código, biometría…), aunque el Reglamento Delegado (UE) 2018/389 permite exenciones, por ejemplo para operaciones remotas de hasta 30 € dentro de ciertos límites acumulados (art. 16). Si el banco permite una compra online sin ese segundo factor y resulta fraudulenta, solo respondes si actuaste de forma fraudulenta (art. 46.2 RDL 19/2018).
Si la compra sí pasó por autenticación reforzada pero fue un tercero quien la autorizó (porque obtuvo sus datos mediante phishing o ingeniería social), la responsabilidad sigue siendo del banco salvo que pruebe su negligencia grave.
Fraude con tarjeta contactless
Los pagos contactless de hasta 50 € pueden hacerse sin PIN mientras no se superen 150 € acumulados o cinco operaciones consecutivas desde la última autenticación reforzada (art. 11 del Reglamento Delegado (UE) 2018/389). Si le roban la tarjeta y realizan varios pagos contactless antes de que la bloquee, el art. 46.1 RDL 19/2018 limita su responsabilidad a un máximo de 50 €, salvo fraude o negligencia grave. Además, como esas operaciones se ejecutan sin autenticación reforzada, puede defenderse que ni siquiera esa franquicia le corresponde salvo fraude (art. 46.2).
Valoración del despacho
En el fraude con tarjeta, la reclamación se decide en los detalles técnicos: si la operación fue presencial o a distancia, si se aplicó autenticación reforzada o una exención, si la tarjeta se vinculó a un monedero móvil (Google Pay, Apple Pay) y cuándo avisó al banco. Nuestro criterio práctico es: 1) bloquear la tarjeta y comunicar las operaciones por escrito el mismo día, conservando el justificante; 2) pedir al banco, por escrito, el detalle de cada operación: canal, método de autenticación, dispositivo y fecha de alta de cualquier monedero digital; 3) si no se exigió autenticación reforzada, invocar expresamente el art. 46.2 RDL 19/2018; y 4) atender siempre las alertas del banco, porque ignorarlas puede convertirse en el principal argumento de negligencia grave en su contra.
No dejes pasar el límite de 13 meses del art. 43 y recuerda que antes de demandar hay que intentar una negociación previa (LO 1/2025). Cada caso requiere un análisis individual y ningún profesional puede garantizar el resultado.
Puede enviarnos su consulta por escrito: es gratuita. Si el banco no le devuelve el dinero, podemos reclamar judicial o extrajudicialmente.
Actualizado el 29/09/2026: revisadas las sentencias citadas y la normativa aplicable.
Servicio relacionado: Abogado phishing y estafas bancarias
🔍 ¿Ha sido víctima de phishing? Haga el test gratuito de phishing bancario y descubra si puede recuperar su dinero.
