Cargos que no reconoces en la tarjeta: qué plazo tienes

Entras en la aplicación del banco y hay dos cargos de una tienda en la que no has comprado nunca. O te llega el extracto y aparece una retirada en un cajero de otra ciudad. La primera reacción suele ser pensar que va a ser una pelea larga y que probablemente el dinero está perdido. Y no es así: para las operaciones de pago no autorizadas la normativa española coloca la carga del problema en el banco, no en el cliente.

Lo que sigue es cómo funciona ese mecanismo, con qué plazos y en qué orden hay que moverse.

Qué es una operación no autorizada

Es cualquier cargo que tú no has consentido: una compra hecha con los datos de tu tarjeta copiados, una retirada con una tarjeta duplicada, una transferencia ordenada por alguien que se hizo con tus credenciales.

Conviene distinguirla de otras dos cosas que se confunden con ella y que tienen un camino distinto:

• El cargo por un producto que no llegó o no era el prometido. Ahí la operación sí la autorizaste tú; el problema es con la tienda, y la vía es la reclamación de consumo.
• La suscripción que se renueva sola. Si en su día se dio el consentimiento, no es una operación no autorizada aunque uno se hubiera olvidado. Lo que procede es cancelar y, si se contrató a distancia y estaba en plazo, desistir.

El reparto de responsabilidad que fija la ley

El régimen está en el Real Decreto-ley 19/2018, de servicios de pago, que traspone la normativa europea del sector. Sus reglas básicas son cuatro y merece la pena conocerlas de memoria, porque son las que se citan en cualquier reclamación.

Uno. El banco devuelve de inmediato. Cuando se le comunica una operación no autorizada, el proveedor de servicios de pago debe reembolsar el importe de inmediato y, en todo caso, a más tardar al final del día hábil siguiente a haber observado o recibido la notificación de la operación. Solo puede no hacerlo si tiene motivos razonables para sospechar que hay fraude por parte del propio cliente, y en ese caso tiene que informar de esa sospecha a la autoridad competente.

Dos. La prueba la tiene que aportar el banco. Si la entidad sostiene que la operación sí estaba autorizada, es ella quien debe acreditar que se autenticó correctamente, que se registró y que no se vio afectada por un fallo técnico. Y si alega que el cliente actuó de forma fraudulenta o con negligencia grave, también le corresponde probarlo. No basta con decir que se usó la clave.

Tres. El límite de los 50 euros. Por las operaciones no autorizadas derivadas del uso de un instrumento de pago extraviado, sustraído o apropiado indebidamente, el usuario puede soportar como máximo una pérdida de cincuenta euros. Ese límite no se aplica cuando al cliente no le era posible detectar la pérdida o el robo antes del pago, ni cuando la pérdida se debió a actos de un empleado o agente del propio proveedor.

Cuatro. Después de avisar, cero. Una vez comunicado el extravío, el robo o el uso indebido, el usuario no soporta ninguna consecuencia económica por lo que ocurra después, salvo que haya actuado de forma fraudulenta. Es la razón por la que la notificación es el gesto más urgente de todos.

El plazo: sin demora indebida y trece meses como techo

Hay dos relojes y conviene no confundirlos.

El primero es el importante en la práctica: hay que comunicarlo sin demora indebida en cuanto se tiene conocimiento. Retrasarse sin motivo debilita la posición, porque abre la puerta a discutir si hubo negligencia.

El segundo es el techo absoluto: la rectificación solo se obtiene si se notifica la operación en un plazo máximo de trece meses desde la fecha del adeudo. Pasado ese plazo, la operación se consolida.

La consecuencia práctica es doble. Por un lado, hay margen para detectar cargos pequeños que llevan meses repitiéndose. Por otro, ese margen no es infinito, y de ahí la costumbre sana de revisar los movimientos al menos una vez al mes, que es cuando los fraudes de importe bajo se pueden cortar a tiempo.

Qué hacer, en orden

1. Bloquear la tarjeta desde la aplicación o por teléfono. Es lo primero y lo más urgente, porque a partir de ahí la responsabilidad deja de correr.
2. Comunicar por escrito las operaciones no reconocidas, con fecha, importe y comercio de cada una. Por escrito significa con rastro: el formulario de la banca electrónica guardando el justificante, un correo, o una reclamación registrada en la propia entidad.
3. Pedir expresamente la devolución citando que se trata de operaciones no autorizadas. Es útil decirlo con esas palabras, porque encaja la reclamación en el régimen que corresponde.
4. Denunciar ante la Policía Nacional o la Guardia Civil. No es siempre imprescindible, pero muchas entidades lo piden y la denuncia refuerza la reclamación.
5. Guardar todo: capturas, números de incidencia, nombres de quien atendió, fechas y horas de cada gestión.

Si el banco se niega

El camino tiene tres escalones y hay que subirlos en orden, porque saltarse uno hace que el siguiente te devuelva.

Primero, el servicio de atención al cliente de la entidad, que es un departamento formalmente separado y obligado a responder. Hay que presentar la reclamación por escrito y conservar el acuse.

Después, el defensor del cliente, si la entidad tiene esa figura.

Y por último, el Banco de España, a través de su servicio de reclamaciones. Aquí hay un requisito que hace fracasar muchos expedientes: no se admite la reclamación si antes no se ha acudido al servicio de atención al cliente de la entidad y ha pasado el plazo del que dispone para contestar o ha respondido de forma insatisfactoria. El informe del Banco de España no es una sentencia y no obliga a la entidad a pagar, pero pesa, y muchas reclamaciones se resuelven antes de llegar a él.

Queda, como última vía, la judicial, y también las asociaciones de consumidores y las juntas arbitrales de consumo si la entidad está adherida.

Qué se considera negligencia grave

Es el terreno en el que se juegan casi todas las discusiones, porque es la excepción que permite al banco no devolver. La norma no da una lista cerrada, y precisamente por eso conviene entender el criterio: no basta con haber sido poco cuidadoso, tiene que haber un descuido especialmente serio de las obligaciones de custodia de las credenciales.

Lo que sí está claro es que la entidad tiene que probarlo, caso por caso. Afirmar de forma genérica que «se usó la clave y por tanto fue el cliente» no cumple ese estándar, sobre todo desde que existen mecanismos de autenticación reforzada y técnicas de suplantación que los eluden.

Conviene saber además que el uso de un instrumento de pago registrado por sí solo no basta para dar por acreditado que la operación fue autorizada por el usuario.

Prevención que sí sirve

• Avisos de movimientos activados en la aplicación, por pequeños que sean los importes.
• Límites de gasto y de retirada ajustados a lo que se usa de verdad, y bajados cuando no se viaja.
• Tarjeta virtual o de un solo uso para compras en webs desconocidas.
• Nada de códigos por teléfono. Ningún banco pide por llamada el código de confirmación de una operación. Esa llamada es el fraude, no la comprobación del fraude.
• Revisar el extracto entero una vez al mes, incluidos los cargos de pocos euros, que son los que pasan desapercibidos durante meses.

En resumen

Ante cargos que no reconoces: bloquea la tarjeta, comunícalo por escrito sin demora y pide la devolución citando que son operaciones no autorizadas. La ley obliga al banco a reembolsar de inmediato y, como muy tarde, al final del día hábil siguiente, salvo que pruebe fraude o negligencia grave por tu parte; el límite de lo que puedes llegar a soportar es de cincuenta euros y desaparece en cuanto avisas. El techo para reclamar son trece meses desde el adeudo, y si la entidad se niega el recorrido es servicio de atención al cliente, defensor del cliente y Banco de España, en ese orden.

Preguntas que se repiten

¿Y si la operación la hizo un familiar con mi tarjeta? Deja de ser una operación no autorizada en el sentido de la norma y pasa a ser un asunto doméstico. La entidad no tiene obligación de devolver nada si se acredita que el instrumento se cedió voluntariamente, y ceder la tarjeta y la clave a un tercero es, precisamente, un ejemplo de incumplimiento de las obligaciones de custodia.

¿Sirve de algo que tuviera activada la autenticación reforzada? Sí, y bastante, pero al revés de como suele pensarse: si la entidad no exigió autenticación reforzada cuando debía, su posición se debilita. Y si la exigió y aun así hubo fraude, tampoco basta con eso para atribuir negligencia grave al cliente, porque existen técnicas que consiguen que la propia víctima facilite el código creyendo que habla con el banco.

¿Me pueden cerrar la cuenta por reclamar? Una entidad puede terminar la relación con un cliente conforme a lo pactado y con el preaviso previsto en el contrato, pero hacerlo como represalia por una reclamación es un motivo más para incluir en el expediente ante el Banco de España.

¿Qué pasa con las compras en el extranjero? El régimen se aplica igual cuando el proveedor de servicios de pago está establecido en el Espacio Económico Europeo. Con operaciones fuera de ese ámbito las reglas pueden variar, y ahí sí conviene leer el contrato con atención.

Un error que lo complica todo

Hay una reacción muy extendida y muy contraproducente: llamar por teléfono, que te digan que lo van a mirar y quedarse esperando. Semanas después, cuando nadie ha llamado de vuelta, no hay ni reclamación registrada ni fecha que acredite que se notificó a tiempo.

La llamada está bien para bloquear la tarjeta, que es lo urgente. Todo lo demás —la comunicación de las operaciones, la petición de devolución y la respuesta de la entidad— tiene que quedar por escrito y con número de incidencia. Es la diferencia entre tener un caso y tener un recuerdo.