Noticias bancarias y jurídicas

La AEPD sancionó a Openbank, banco digital de Banco Santander, con 2,5 millones de euros por infringir los artículos 25 y 32 del RGPD, al exigir a sus clientes el envío de documentación financiera sensible (requerida por la normativa de prevención de blanqueo de capitales) únicamente por correo electrónico, sin cifrar. Un cliente solicitó expresamente un canal más seguro —como su área personal en la web— pero el banco se negó. La AEPD concluyó que el email no es un medio adecuado para transmitir datos tan sensibles como el origen de los ingresos bancarios. La reclamación fue trasladada desde la autoridad de protección de datos de Baviera, al tener Openbank su sede en España.

El Tribunal Supremo ha condenado a Ibercaja a devolver más de 56.000 euros a un cliente víctima de una estafa que combinó phishing y duplicación de tarjeta SIM, mediante la cual los delincuentes realizaron 15 transferencias no autorizadas en una sola noche. El banco había alegado que las operaciones se realizaron con autenticación de doble factor válida, pero el Supremo rechazó este argumento. La sentencia establece que el uso de contraseñas o códigos SMS no implica automáticamente que el cliente autorizó la operación, y que el banco debe demostrar que hubo consentimiento real y consciente. Además, obliga a las entidades a mejorar sus sistemas de detección de operaciones sospechosas.

El Banco de España ha recordado que las entidades financieras están legalmente habilitadas para bloquear o limitar la operativa de una cuenta cuando el cliente no cumple los requisitos de identificación exigidos por la normativa de prevención del blanqueo de capitales. El bloqueo no es automático ni arbitrario: el banco debe tener causa justificada y avisar previamente al titular. Si el cliente no aporta la documentación solicitada, la restricción se considera proporcionada y legal. En caso de bloqueo indebido, el titular puede reclamar ante el Servicio de Atención al Cliente de su banco o ante el propio Banco de España.

El Tribunal Supremo ha reiterado en 2026, mediante las sentencias 486/2026 y 161/2026, que la falta de transparencia en una cláusula IRPH no implica por sí sola su nulidad: es necesario demostrar además un desequilibrio material en perjuicio del consumidor. Sin embargo, la sentencia 161/2026 sí anuló el IRPH en un caso de hipoteca por subrogación donde el banco no informó adecuadamente al comprador antes de la firma. El Supremo consolida así el análisis caso a caso, sin dar una solución global para todos los afectados. Esto mantiene limitadas las opciones de reclamar para la mayoría, aunque abre una vía real para quienes acrediten una deficiencia informativa grave y objetivable.

El Tribunal Supremo, en sentencia 800/2026 de 27 de mayo, ha dado la razón a Banco Santander al avalar la aplicación de las cláusulas 'malus' y 'clawback' contra el expresidente de Banco Popular, Ángel Ron. El alto tribunal considera que su compensación por prejubilación es una retribución variable, lo que permite al banco reclamar su devolución y dejarla sin efecto. También se aplicó la misma doctrina al exconsejero delegado Francisco Gómez. La aseguradora Mapfre deberá dejar sin efecto las obligaciones de pago de la póliza de seguro vinculada y devolver la prima no consumida al banco.

La Sala Primera del Tribunal Supremo, en su sentencia 800/2026 de 27 de mayo, ha dado la razón a Banco Santander y ha avalado la aplicación de las cláusulas malus y clawback al expresidente del Banco Popular, Ángel Ron, y a su exconsejero delegado Francisco Gómez. El fallo permite que Santander recupere 12,8 millones de euros en concepto de compensación por prejubilación de Ron y unos 9 millones de Gómez. El Supremo considera que dichas compensaciones eran remuneración variable sujeta a recuperación, dado el grave deterioro financiero del Banco Popular antes de su resolución en 2017. La sentencia revoca parcialmente el fallo previo de la Audiencia Provincial de Madrid, que había dado la razón a los exdirectivos.

El Tribunal Supremo ha dictado la STS 793/2026 en la que aclara cuándo una entidad bancaria es responsable de devolver las cantidades anticipadas por compradores de viviendas que finalmente no se entregaron. La clave está en si el banco conocía o debía haber conocido que la cuenta de la promotora recibía dinero de compradores. No basta con que el banco supiera que su cliente se dedicaba al sector inmobiliario: es necesario que pudiera advertir que los ingresos eran anticipos de compraventa. Esta sentencia sigue la consolidada doctrina iniciada en 2015 y actualizada en 2025 y 2026 con múltiples fallos en el mismo sentido. Si el banco lo sabía, responde; si no lo sabía razonablemente, no.

La jurisprudencia de las Audiencias Provinciales y del Tribunal Supremo en 2026 ha consolidado un criterio protector para las víctimas de phishing bancario: el peso de la seguridad informática recae sobre el banco, no sobre el cliente. Los tribunales entienden que los fraudes actuales de phishing y smishing son tan sofisticados que pueden engañar a cualquier consumidor razonablemente diligente, lo que impide calificar automáticamente la conducta del cliente como negligencia grave. El banco solo se libra de responsabilidad si prueba que el cliente actuó con dolo o negligencia absolutamente inexcusable. Esta doctrina está avalada por la STS 571/2025 de abril de 2025, que obliga al banco a probar tanto el correcto funcionamiento de su sistema como la culpa del cliente.

El Tribunal Supremo ha dictado la STS 161/2026 en la que declara nula la cláusula IRPH de una hipoteca suscrita por subrogación al préstamo del promotor con Unicaja, porque el banco nunca entregó a los compradores una copia del contrato original donde estaba incluida esa cláusula. Al no estar correctamente incorporada al contrato del consumidor, la cláusula carece de efectos jurídicos: el préstamo subsiste pero sin interés remuneratorio. Esta vía —control de incorporación— es distinta al debate habitual sobre la transparencia del IRPH y abre una ruta de reclamación más clara para quienes compraron vivienda nueva subrogándose en la hipoteca del promotor. El banco no puede exigir intereses de una cláusula que el cliente nunca tuvo la oportunidad real de conocer.

La AEPD ha sancionado a Unicaja con 400.000 euros (reducidos de 500.000 por pago voluntario y reconocimiento de responsabilidad) por graves deficiencias en el control de acceso a su sistema de videovigilancia. Once empleados de la empresa de seguridad contratada accedían a las grabaciones de cerca de 9.000 cámaras de oficinas y cajeros automáticos usando un único usuario y contraseña compartidos. Esta práctica impedía identificar quién consultaba las imágenes en cada momento, vulnerando el artículo 32 del RGPD. El banco intentó atribuir la responsabilidad a la empresa subcontratada, pero la AEPD recordó que la externalización no exime al responsable del tratamiento.

La Sala de lo Contencioso del Tribunal Supremo ha desestimado el recurso de casación de Banco Santander y le obliga a pagar 83,2 millones de euros en multas que en su día se impusieron a Banco Popular por vulnerar la normativa de prevención del blanqueo de capitales. El Supremo aplica el principio de sucesión universal: quien absorbe una entidad asume también sus sanciones pendientes. Santander alegó que las circunstancias especiales de la adquisición (intervención del FROB) debían rebajar su responsabilidad, pero el tribunal lo rechazó de plano. El fallo es un recordatorio de que las fusiones bancarias no 'limpian' el historial sancionador de la entidad absorbida.

La Agencia Española de Protección de Datos ha impuesto una multa de 5 millones de euros a CaixaBank por una grave brecha de seguridad que permitió que los clientes del banco pudieran ver datos sobre transferencias realizadas por otros clientes con los que no tenían ninguna relación. El fallo sanciona el incumplimiento de las medidas técnicas y organizativas exigidas por el RGPD para garantizar la confidencialidad de los datos financieros. CaixaBank acumula así una larga lista de expedientes sancionadores por parte de la AEPD en los últimos años. La multa refleja la tolerancia cero del regulador con las entidades que no protegen adecuadamente la información de sus clientes.

La Sala de Gobierno del TSJ de Cantabria ha desestimado el recurso de BBVA y confirma la multa de 2.000 euros por mala fe procesal y abuso del servicio público de Justicia en un litigio sobre comisión de apertura hipotecaria del 2%, que superaba el límite del 1,5% considerado abusivo por los tribunales de Cantabria. El banco había rechazado devolver los 1.924 euros cobrados al cliente extrajudicialmente y luego opuso resistencia en el juicio con argumentos ya reiteradamente rechazados. El tribunal subraya que la capacidad económica del banco hace proporcional la multa y que su conducta dilata sin justificación la restitución al consumidor. Esta figura de abuso del servicio de Justicia, introducida por la Ley 1/2025, pretende frenar la litigiosidad masiva de reclamaciones bancarias ya resueltas jurisprudencialmente.

La AEPD impuso en el período recogido por el newsletter de Garrigues de abril de 2026 una sanción de 500.000 euros a una entidad bancaria por la pérdida de documentación de un cliente, infracciones distintas a las del caso CaixaBank de junio. El newsletter también recoge que la AEPD sancionó a una entidad de préstamos online por exigir a los clientes una foto con el DNI en la mano para tramitar la cancelación de un préstamo. Estas resoluciones apuntan a un patrón de reforzada exigencia del regulador sobre los procedimientos de gestión documental y verificación de identidad en el sector financiero.

La Sección Segunda de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional ha estimado el recurso presentado por Evo Banco contra una resolución del Tribunal Económico Administrativo Central de julio de 2020, que le denegaba una deducción fiscal en su liquidación del Impuesto de Sociedades. La Audiencia Nacional anula tanto la resolución del TEAC como el acuerdo de liquidación de la Delegación Central de Grandes Contribuyentes, reconociendo el derecho del banco a obtener la deducción interesada por importe de 577.760,35 euros. La sentencia, de 24 de abril de 2026, no impone costas a ninguna de las partes.

El 5 de marzo de 2026, el Abogado General del Tribunal de Justicia de la Unión Europea (TJUE), Athanasios Rantos, presentó sus conclusiones en el asunto C-70/25 (Tukowiecka), relativo a una consumidora polaca víctima de phishing. El Abogado General propone que los bancos estén obligados a devolver el dinero robado de forma inmediata, antes de investigar si el cliente actuó con negligencia grave, invirtiendo así la carga del riesgo. Si el TJUE acoge este criterio, se establecería el principio 'devuelve primero, investiga después', que obligaría a los bancos europeos —incluidos los españoles— a reembolsar sin demora y solo después poder reclamar al cliente si acreditan su negligencia. La sentencia definitiva está pendiente y podría marcar un hito en la protección del consumidor financiero europeo.

El Tribunal Supremo, mediante la STS 571/2025 de 9 de abril de 2025, condenó a Ibercaja a devolver más de 56.000 euros a un cliente que sufrió quince transferencias fraudulentas en una sola noche mediante phishing y duplicación de tarjeta SIM (SIM swapping). El fallo establece que el banco tiene una responsabilidad cuasi objetiva: debe devolver el dinero de las operaciones no autorizadas salvo que pruebe negligencia grave o fraude del cliente. El mero hecho de que las transferencias se autenticaran correctamente con las claves del usuario no exonera al banco si esas claves fueron robadas mediante un ataque sofisticado. El pronunciamiento tiene efecto de jurisprudencia vinculante para todos los tribunales inferiores en España, y en 2026 está siendo ampliamente aplicado.

España avanza en la creación de la Autoridad Administrativa Independiente de Defensa del Cliente Financiero, un nuevo organismo que centralizará las reclamaciones que hoy gestionan por separado el Banco de España, la CNMV y la Dirección General de Seguros. Las resoluciones de esta Autoridad serán vinculantes para los bancos cuando el importe reclamado sea inferior a 20.000 euros, lo que supone una novedad fundamental frente al actual sistema no vinculante del Banco de España. El acceso será gratuito para el ciudadano, sin necesidad de abogado ni procurador, y el plazo máximo de resolución será de 90 días. La Autoridad también extenderá su protección a usuarios de servicios fintech y criptoactivos.

La Sección Civil de un Tribunal de Instancia de Málaga ha condenado a Unicaja Banco a devolver 2.000 euros a una clienta víctima de una estafa de phishing muy sofisticada que combinó un SMS que imitaba al banco con una llamada telefónica que suplantaba al servicio de atención al cliente. La sentencia reconoce que las técnicas de phishing actuales pueden engañar incluso a consumidores razonablemente diligentes y que la carga de proteger la banca digital recae en el banco, no en el usuario. Los cargos fraudulentos superaron el límite semanal de seguridad establecido en el contrato, una señal de riesgo que el sistema de Unicaja no detectó ni bloqueó. La resolución no es apelable por razón de cuantía.

Un juzgado de Granada ha condenado a una entidad bancaria a devolver 30.000 euros que fueron robados a un cliente mediante phishing. La magistrada descartó que existiera negligencia grave por parte del cliente, ya que el fraude se produjo en un contexto de evidente verosimilitud que indujo razonablemente al error. La sentencia sigue la corriente jurisprudencial mayoritaria en 2026 según la cual el banco debe asumir la responsabilidad cuando no demuestra que el cliente actuó con fraude o negligencia grave. Este caso se suma a un creciente número de condenas a entidades bancarias por fraudes digitales en toda España.