La Sala de lo Civil del Tribunal Supremo ha dictado la sentencia núm. 1733/2025, de 27 de noviembre, que aborda una cuestión de creciente relevancia práctica en el ámbito de los servicios de pago: la determinación de la responsabilidad del proveedor de servicios de pago del beneficiario cuando una orden de transferencia se ejecuta conforme al identificador único (IBAN) facilitado por el ordenante, pero dicho identificador no se corresponde con el nombre del beneficiario indicado como información adicional en la propia orden.
Antecedentes del caso
El litigio trae causa de una estafa mediante suplantación de identidad (conocida como fraude BEC o Business Email Compromise). Una sociedad mercantil ordenó dos transferencias por un importe total de 15.814,59 euros a favor de su proveedor habitual, indicando en la orden de pago tanto el IBAN de destino como el nombre del beneficiario. Sin embargo, el IBAN había sido facilitado por un tercero que, mediante un correo electrónico fraudulento, suplantó la identidad del proveedor real.
Los fondos fueron abonados en una cuenta cuyo titular no era el beneficiario designado nominativamente en la orden. Tres días después de ejecutarse la transferencia, el titular de dicha cuenta la canceló. Transcurrido casi un mes, el ordenante tuvo conocimiento del fraude cuando su proveedor le comunicó que no había recibido el pago.
El ordenante demandó al proveedor de servicios de pago del beneficiario (la entidad de crédito receptora de los fondos), ejercitando una acción de responsabilidad extracontractual por ejecución incorrecta de la orden de pago.
El Juzgado de Primera Instancia desestimó la demanda. La Audiencia Provincial de Valencia revocó dicha resolución y condenó a la entidad de crédito, al considerar que resultaba más acorde con la protección del usuario establecer la responsabilidad del proveedor cuando la orden incluye datos adicionales discordantes con el identificador único. La entidad de crédito interpuso recurso de casación.
Marco normativo aplicable
La Sala sitúa la controversia en el marco del artículo 59 del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago, que transpone el artículo 88 de la Directiva (UE) 2015/2366. Dicha normativa forma parte del conjunto de actos legislativos de la Unión Europea orientados a fortalecer e integrar los pagos minoristas, garantizando que las operaciones transfronterizas se ejecuten con la misma facilidad, eficiencia y seguridad que los pagos nacionales.
El precepto establece que cuando una orden de pago se ejecuta de acuerdo con el identificador único, se considera correctamente ejecutada en relación con el beneficiario especificado en dicho identificador. Asimismo, dispone que si el usuario facilita información adicional a la requerida, el proveedor únicamente será responsable de la ejecución conforme al identificador único.
La sentencia destaca que el Reglamento (UE) 2024/886 ha introducido recientemente el artículo 5 quater en el Reglamento (UE) 260/2012, que incorpora un servicio de verificación del beneficiario en las transferencias. No obstante, esta previsión entró en vigor el 9 de octubre de 2025, por lo que no resulta aplicable al supuesto enjuiciado.
Doctrina del Tribunal Supremo
El Tribunal Supremo estima el recurso de casación y reitera la doctrina establecida en la sentencia 507/2025, de 27 de marzo, acogiendo el criterio fijado por el Tribunal de Justicia de la Unión Europea en su sentencia de 21 de marzo de 2019 (asunto C-245/18, Tecnoservice).
La Sala concluye que la responsabilidad de los proveedores de servicios de pago en la ejecución de una orden de pago se acota a la correspondencia con el identificador único. Si el IBAN facilitado por el ordenante es incorrecto y los fondos se abonan a un destinatario distinto del beneficiario, el proveedor de servicios de pago no será responsable.
El Tribunal precisa que, incluso cuando el ordenante facilita información adicional como el nombre del beneficiario, el proveedor únicamente responde de la ejecución conforme al identificador único, quedando dispensado de la obligación de comprobar si dicho identificador corresponde efectivamente a la persona designada. Esta interpretación se fundamenta en los objetivos de tratamiento automatizado y rapidez de los pagos que persigue la normativa europea.
No obstante, la sentencia matiza que esta interpretación no exime de responsabilidad al proveedor cuando concurran circunstancias ajenas al suministro de datos adicionales que pudieran haber influido en la ejecución defectuosa, tales como la existencia de pactos específicos entre usuario y proveedor, el aprovechamiento del error en beneficio propio, o la falta de diligencia en la adopción de medidas de recuperación una vez comunicado el error sin demora.
Obligaciones subsistentes
La sentencia recuerda que el régimen de responsabilidad descrito se entiende sin perjuicio del deber del proveedor de servicios de pago del ordenante de realizar esfuerzos razonables para intentar recuperar los fondos, así como del deber del proveedor del beneficiario de cooperar en tales esfuerzos mediante la comunicación de la información pertinente para la recuperación.
https://www.poderjudicial.es/search/AN/openDocument/a4b34d2f90babe9aa0a8778d75e36f0d/20251205