Todo lo que has leído sobre el open banking hasta ahora te lo ha contado quien necesita que conectes tu banco a su app: un banco, una fintech, una herramienta de contabilidad. Esto es lo que dice la ley sobre lo que te pasa a ti si algo sale mal.
Este artículo explica la protección de quien utiliza estos servicios como consumidor. Si los utilizas para tu actividad profesional o empresarial, algunas reglas pueden variar según tu condición y lo pactado en el contrato.
La norma española de referencia es el Real Decreto-ley 19/2018, de servicios de pago. Distingue dos servicios: iniciación de pagos e información sobre cuentas. Cada uno exige la autorización o el consentimiento que le corresponde y está sujeto a límites específicos. El banco no puede obstaculizar su utilización fuera de los supuestos que permite la normativa.
La pregunta útil ya no es si conviene conectar la app, porque probablemente ya la tienes conectada, sino qué puedes exigir cuando el pago se queda a medias o aparece un cargo que no reconoces. Si compartes el acceso y aparece un cargo fraudulento, ¿te quedas sin cobertura?
Qué es el open banking en España y qué dos servicios te da la ley
El artículo 38 regula la iniciación de pagos, cuando un tercero ordena un pago desde tu cuenta sin que tú entres en la web de tu banco. El artículo 39 regula la información sobre cuentas, cuando ese tercero lee tus movimientos pero no mueve dinero. Un botón de tienda online que utiliza un proveedor de iniciación de pagos es un ejemplo del primer servicio. Una aplicación que consulta tus cuentas para clasificar tus gastos es un ejemplo del segundo. No todos los botones de pago ni todas las aplicaciones de contabilidad utilizan estos servicios.
Tu banco no puede exigir contrato al tercero ni tratar peor su orden
El artículo 38.5 impide que tu banco condicione el servicio a haber pactado antes con la app: «La prestación de servicios de iniciación de pagos no se supeditará a la existencia de una relación contractual a tal fin entre los proveedores de servicios de iniciación de pagos y los […] gestores de cuentas.» El artículo 38.4.c obliga al banco a tratar las órdenes transmitidas por un iniciador sin discriminación respecto de las que el usuario transmite directamente, salvo por causas objetivas. Esta regla comprende, en particular, los plazos, la prioridad y los gastos aplicables.
Desde cuándo es derecho vigente en España
El Real Decreto-ley 19/2018 entró en vigor, con carácter general, el 25 de noviembre de 2018. Sin embargo, no todas sus disposiciones comenzaron a aplicarse ese día: los títulos II y III tuvieron una aplicación diferida y las medidas de seguridad de los artículos 37, 38, 39 y 68 siguieron un calendario específico. Por tanto, no debe confundirse la entrada en vigor general de la norma con la fecha de aplicación de cada obligación.
Qué puede hacer un tercero con tu dinero y tus datos, y qué tiene prohibido
La normativa impone obligaciones concretas a estos proveedores, distintas según el servicio que presten. Entre ellas hay límites sobre los fondos, los datos y las operaciones que no quedan a su libre elección contractual. Así lo fija el Real Decreto-ley 19/2018. No dependen de la letra pequeña del servicio que hayas aceptado.
Si el tercero inicia un pago, que es lo que nunca puede hacer con tu dinero
El proveedor de iniciación de pagos mueve tu dinero, pero no lo toca. Entre las obligaciones del artículo 38.3 destacan estas cinco prohibiciones:
«a) en ningún momento entrará en poder de los fondos del ordenante […] e) no almacenará datos de pago sensibles del usuario de servicios de pago; f) no solicitará al usuario de servicios de pago ningún dato distinto de los necesarios para prestar el servicio de iniciación del pago; g) no utilizará, almacenará o accederá a ningún dato para fines distintos de la prestación del servicio de iniciación de pagos expresamente solicitado por el ordenante; h) no modificará el importe, el destinatario ni ningún otro elemento de la operación.»
Los datos de pago sensibles son los que pueden utilizarse para cometer fraude, incluidas las credenciales de seguridad personalizadas. Estos son los elementos personalizados que el proveedor facilita al usuario para autenticarlo. Para los servicios de iniciación de pagos e información sobre cuentas, el nombre del titular y el número de cuenta no se consideran datos de pago sensibles.
La letra h) es la que pesa el día que algo falla. La app puede proponerte un pago, pero el importe y el IBAN que tú confirmas son los que llegan al banco; tocarlos queda fuera de lo que la ley le permite hacer.
Si el tercero solo lee tus cuentas, cuáles son los límites al acceso a tus datos
El servicio de información sobre cuentas permite consultar información, no iniciar pagos. Una misma entidad puede prestar también iniciación de pagos si está habilitada para ello y obtiene la autorización correspondiente del usuario. El artículo 39.1 acota ese acceso:
«a) prestará sus servicios exclusivamente sobre la base del consentimiento explícito del usuario […] d) accederá únicamente a la información de las cuentas de pago designadas por el usuario y las operaciones de pago correspondientes; f) no utilizará, almacenará o accederá a ningún dato, para fines distintos de la prestación del servicio […] de conformidad con las normas sobre protección de datos.»
El servicio requiere el consentimiento explícito del usuario y solo puede acceder a las cuentas que este haya designado y a sus operaciones correspondientes. Una aceptación genérica no debe darse por suficiente si no recoge ese consentimiento explícito. El proveedor debe respetar la limitación de finalidad del servicio y las normas de protección de datos.
El banco debe permitir que los proveedores de iniciación de pagos e información sobre cuentas utilicen sus procedimientos de autenticación. Esto no significa que todos los servicios deban utilizar exactamente el mismo sistema técnico. La normativa exige proteger las credenciales y, cuando se transmitan, hacerlo por canales seguros. Además, el iniciador no puede almacenar datos de pago sensibles y el proveedor de información sobre cuentas no puede solicitar datos de pago sensibles vinculados a esas cuentas.
Cómo comprobar que una app está autorizada antes de conectarla a tu banco
Antes de conectar una aplicación, identifica qué entidad jurídica presta realmente el servicio y comprueba que está habilitada para prestarlo en España. Puede tratarse de una entidad española o de un proveedor de otro Estado miembro habilitado para operar aquí.
Entidades de pago españolas que prestan iniciación: autorización del Banco de España (art. 11)
Si la app ordena pagos desde tu cuenta, es un proveedor de iniciación de pagos, sujeto al mismo cumplimiento que se exige a una fintech y a quien la supervisa. Necesita autorización previa. El artículo 11.2 del Real Decreto-ley 19/2018 lo formula así:
La solicitud debe resolverse en tres meses desde su recepción o desde que se complete la documentación necesaria para decidir. Transcurrido el plazo máximo sin notificación de resolución expresa, la solicitud se entiende desestimada, aunque sigue existiendo el deber de resolver. Una solicitud en trámite no equivale a una autorización.
Entidades españolas dedicadas exclusivamente a información sobre cuentas: inscripción especial (art. 15)
Si la app solo agrega información y te muestra saldos y movimientos sin mover dinero, no pasa por la autorización del artículo 11, sino por el registro del artículo 15:
«Las entidades prestadoras del servicio de información sobre cuentas se sujetarán […] al procedimiento de inscripción en el registro especial del Banco de España […] En ese registro figurarán además de las entidades prestadoras del servicio de información sobre cuentas, sus agentes y sucursales en otros Estados.»
La comprobación debe hacerse sobre la entidad prestadora, sus servicios habilitados y, cuando corresponda, su actuación mediante agentes o sucursales. Las exigencias de establecimiento en España del artículo 15.2 se refieren a las entidades sujetas a ese régimen español: no deben presentarse como una obligación universal para cualquier proveedor europeo que preste servicios en España.
Ponte en contacto
Necesitas ayuda
Si un pago falla o hay un cargo que no reconoces: a quién reclamas, en qué plazo y cuánto puedes perder
Si detectas una operación no autorizada o ejecutada incorrectamente, debes comunicarla sin demora injustificada al proveedor que gestiona tu cuenta. Existe un plazo máximo general de trece meses, pero la devolución, sus plazos y las pérdidas que puedas soportar dependen de lo ocurrido. No es lo mismo un pago no autorizado que un pago autorizado que no se ejecuta o se ejecuta mal. Las tres reglas están en los artículos 43 a 46 y 61 del Real Decreto-ley 19/2018, vigente desde noviembre de 2018.
La rectificación se solicita al proveedor que gestiona tu cuenta
Si el pago no estaba autorizado, se aplica el artículo 45. Si lo autorizaste pero no se ejecutó o se ejecutó defectuosamente mediante un iniciador, se aplica el artículo 61, con sus condiciones y remisiones legales.
Quien te devuelve el dinero es el banco donde tienes la cuenta, aunque el pago lo iniciara una app. Lo dice el artículo 61.1:
«En lo que respecta a las operaciones de pago iniciadas por el ordenante a través de un proveedor de servicios de iniciación de pagos, el proveedor de servicios de pago gestor de cuenta […] devolverá al ordenante el importe de la operación de pago no ejecutada o ejecutada de forma defectuosa […]»
El iniciador debe acreditar que hizo correctamente la parte que le corresponde. Esta obligación no elimina las cargas de prueba que la ley impone al proveedor que gestiona la cuenta. Le corresponde probar que el banco recibió la orden y que la operación «fue autenticada y registrada con exactitud y no se vio afectada por un fallo técnico u otras deficiencias». Si el fallo fue suyo, el artículo 61.2 la obliga a «resarcir de inmediato» al banco. Tú no tienes que averiguar de quién fue el error para cobrar.
Los plazos: trece meses para avisar y un día hábil para que te devuelvan
Plazo para comunicar la operación
Dispones de un plazo máximo de trece meses desde la fecha del adeudo para comunicar una operación no autorizada o mal ejecutada (art. 43.1), avisando sin demora injustificada en cuanto la detectes. Los plazos de notificación del artículo 43 no se aplican si el proveedor no ha proporcionado ni puesto a tu disposición la información sobre la operación exigida por la normativa.
Plazo de devolución de una operación no autorizada
Si se ha ejecutado una operación no autorizada, la regla es la devolución inmediata y, como máximo, al final del día hábil siguiente a aquel en que el proveedor la haya observado o haya recibido la notificación. La ley contempla una excepción cuando existen motivos razonables para sospechar fraude y estos se comunican por escrito al Banco de España. No basta con invocar genéricamente que se está investigando.
Este plazo no debe extenderse automáticamente a cualquier pago no ejecutado o ejecutado defectuosamente, que tiene su propio régimen de responsabilidad.
La prueba corre de su cuenta. El artículo 44 pone sobre el banco la carga de demostrar que la operación fue autenticada, registrada con exactitud y contabilizada, y añade que su registro de que se utilizó el instrumento de pago «no bastará, necesariamente, para demostrar que la operación de pago fue autorizada por el ordenante». Esa es la respuesta al «consta en nuestros sistemas que usted lo autorizó».
Cuánto puedes perder: cuándo se aplica el máximo de 50 euros y cuándo no
Con una tarjeta extraviada o sustraída puedes quedar obligado a soportar hasta un máximo de 50 € de las operaciones no autorizadas (art. 46.1). Ni eso si no te resultaba posible detectar la pérdida, o si el problema vino de un empleado o de un proveedor al que tu banco externalizó actividades. Tampoco respondes si tu banco no te ofrece un medio para avisar del extravío en cualquier momento (art. 46.4). Si actuaste de forma fraudulenta o con negligencia grave, en cambio, el tope desaparece y respondes de todo. Pero eso lo tiene que probar el banco: el artículo 44.3 pone sobre él la carga de demostrar que hubo fraude o negligencia grave por tu parte.
El artículo 46.2 añade otra regla. La autenticación reforzada es la doble comprobación que la ley exige en los pagos electrónicos: dos elementos independientes, por ejemplo una contraseña y un código en el móvil. Si tu banco no la exigió, solo soportas «las posibles consecuencias económicas en caso de haber actuado de forma fraudulenta».
El fraude en operaciones con tarjeta y transferencias fue en España, en 2025, la principal causa de las reclamaciones admitidas por el Servicio de Reclamaciones del Banco de España, con casi el 28 % del total, un porcentaje calculado sobre las admitidas a trámite y no sobre todas las recibidas.
Cómo se presenta la reclamación paso a paso, ante quién y en qué plazos exactos ante el supervisor lo explicamos en nuestra guía para reclamar al Banco de España.
Transferencias inmediatas y verificación del beneficiario
Desde el 9 de octubre de 2025 tu proveedor de servicios de pago tiene que ofrecerte sin coste un sistema que comprueba, antes de que confirmes el envío, si el nombre del destinatario que has escrito corresponde al titular de la cuenta de destino. Lo impone el Reglamento (UE) 2024/886 y, en palabras del Banco de España, los proveedores «deberán ofrecer gratuitamente el servicio de verificación del beneficiario».
Cubre las transferencias en euros, ordinarias o inmediatas, y también los ficheros de transferencias con los que una empresa ordena pagos masivos. Antes, el 9 de enero de 2025, ya era exigible que tu banco pudiera recibir transferencias inmediatas. Las dos fechas ya han pasado, así que puedes exigirlo hoy. Los plazos de 2027 que circulan corresponden a proveedores de Estados miembros cuya moneda no es el euro y no afectan a España.
Qué comprueba el sistema y los cuatro resultados posibles
El servicio «permite comprobar si el nombre del beneficiario coincide con el titular de la cuenta de destino, ayudando a dar más seguridad, prevenir fraudes y errores». Devuelve uno de estos cuatro resultados:
- Coincidente.
- Casi coincidente, mostrando el nombre registrado en la cuenta del beneficiario.
- No coincidente.
- No se pudo verificar.
Si ignoras el aviso de no coincidencia, el banco deja de responder
Ese aviso es la protección, y saltárselo la anula. El Banco de España lo dice así: «si el usuario decide continuar con la ejecución de la transferencia, el dinero se enviará al IBAN indicado y los fondos podrían no llegar al beneficiario deseado. En estos casos, el proveedor de servicios de pago no será considerado responsable.»
No lo confundas con una operación no autorizada, que es el caso del apartado anterior. Aquí la orden la has dado tú, sobre una cuenta que el sistema ya había señalado.
Open finance, PSD3 y FIDA: qué ha cambiado ya y qué sigue siendo una promesa
Ni la tercera directiva de servicios de pago, ni el reglamento que la acompaña, ni el marco europeo de acceso a datos financieros son derecho vigente.
PSD3 y el Reglamento de Servicios de Pago
El Parlamento Europeo y el Consejo cerraron un acuerdo provisional el 21 de noviembre de 2025. El propio Parlamento lo dejó escrito al anunciar el acuerdo: «needs to be formally adopted by Parliament and Council before it can come into force».
El texto acordado hace responder al proveedor de las pérdidas del cliente si no implanta mecanismos adecuados de prevención del fraude; en el fraude por suplantación deberá reembolsar el importe íntegro siempre que el cliente lo denuncie; y todas las comisiones, incluidas las de cambio de divisa y las de cajero, tendrán que informarse antes de iniciar el pago.
FIDA
El marco europeo de acceso a datos financieros es el open finance propiamente dicho, más allá de la cuenta de pago. Su estado a 22 de enero de 2026 era «close to adoption», acuerdo provisional pendiente de adopción formal.
Hasta que se adopten formalmente, no hay aquí nada que puedas exigir. Lo que sí puedes exigir es todo lo anterior.
Preguntas frecuentes
¿Qué gano yo con el open banking, aparte de comodidad?
Ganas un régimen de protección que la app no te da y tu banco no puede recortar: si un pago falla o aparece un cargo que no reconoces, tienes a quién reclamar y en qué plazo.
¿Open banking y open finance son lo mismo?
No. El open banking es lo que ya está vigente en España, es decir, que una app consulte tus cuentas o inicie un pago con tu consentimiento. El open finance amplía esa idea al resto de tus datos financieros y todavía no es derecho vigente aquí. Mientras siga en tramitación, no hay nada de open finance que puedas reclamar.
Si el pago lo inició una app y falla, ¿a quién reclamo?
A tu banco, no a la app. Te devuelve el importe aunque el pago lo iniciara un tercero, y luego se lo reclama a ese tercero si el fallo fue suyo. Ese reparto no te afecta.
¿Qué pasa si hay un cargo fraudulento y el banco no me pidió autenticación reforzada?
Responde el banco, salvo que hayas actuado de forma fraudulenta. Cuando tu banco no exige la autenticación reforzada que le corresponde, no puede repartir contigo la pérdida ni escudarse en tu descuido para no devolverte el importe.
¿Puede mi banco impedir que una app acceda a mi cuenta?
No, siempre que tú hayas dado el consentimiento y la app esté autorizada para prestar ese servicio. Tu banco no puede exigirle un contrato previo contigo ni darle peor trato que a sus propios canales. Lo que sí conviene, antes de conectar nada, es comprobar que el proveedor figura en el registro del Banco de España.
Este artículo tiene finalidad informativa y refleja la normativa vigente en septiembre de 2026. No constituye asesoramiento legal ni sustituye el análisis de un profesional sobre un caso concreto. En Supra Legit Lawyers reclamamos operaciones de pago no autorizadas frente a la entidad que gestiona la cuenta. Si tienes un cargo que no reconoces, un banco que no ha devuelto el importe o una reclamación desestimada, cuéntanos tu caso.
Normativa citada: Real Decreto-ley 19/2018, de servicios de pago · Reglamento (UE) 2024/886, de transferencias inmediatas en euros · Banco de España, verificación del beneficiario · Parlamento Europeo, acuerdo sobre PSD3 y PSR · Comisión Europea, marco de acceso a datos financieros (FIDA)
Ponte en contacto
