CaixaBankNow no funciona: fallos en l'app i banca en línia de l'entitat

A Espanya no existeix una “llei de caigudes de la banca en línia” única, sinó un entramat de normes europees i espanyoles que, en conjunt, protegeixen l'usuari quan es produeixen interrupcions de serveis digitals bancaris (banca en línia, apps, pagaments amb targeta, etc.). Aquestes normes regulen tant els drets de l'usuari de serveis de pagament com la resiliència operativa digital que han de garantir les entitats financeres.

1. Serveis de pagament i drets de l'usuari (PSD2 i el seu desenvolupament espanyol)

El pilar bàsic és la regulació dels serveis de pagament, que cobreix transferències, pagaments amb targeta, adeudos domiciliats o solucions tipus Bizum:

• A nivell europeu, la Directiva de serveis de pagament (PSD2) s'ha transposat a l'ordenament espanyol mitjançant el Reial Decret-llei 19/2018, de 23 de novembre, de serveis de pagament i altres mesures urgents en matèria financera, que estableix els drets i obligacions d'usuaris i proveïdors de serveis de pagament (informació, terminis d'execució, responsabilitat per operacions no autoritzades o executades incorrectament, etc.). En la seva exposició i en el títol III s'emfatitza la protecció de l'usuari i la gestió de riscos operatius i de seguretat.
• Aquest RDL es desenvolupa reglamentàriament a través del Reial Decret 736/2019, de 20 de desembre, de règim jurídic dels serveis de pagament i de les entitats de pagament, que concreta, entre altres aspectes, les obligacions de solvència, govern intern i externalització de funcions operatives importants, incloent condicions per a proveïdors tecnològics crítics. Un capítol específic desenvolupa garanties de solvència i protecció a l'usuari.
• En matèria de transparència específica de serveis de pagament, la Ordre ECE/1263/2019, de 26 de desembre, sobre transparència de les condicions i requisits d'informació aplicables als serveis de pagament, adapta el marc a PSD2 i modifica la normativa prèvia per reforçar la informació precontractual i contractual, així com els requisits d'atenció al client.

Aquestes normes no parlen només de fraus, sinó també d'execució incorrecta o no execució d'operacions, de manera que l'usuari té dret, per exemple, a la restitució de fons quan un pagament no s'ha executat correctament per causes imputables a l'entitat o als sistemes de pagament.

2. Transparència bancària i conducta amb la clientela

Sobre la capa general de conducta bancària s'assenten dues peces clau:

• L'Ordre EHA/2899/2011, de transparència i protecció del client de serveis bancaris, que fixa principis generals de tracte adequat, transparència i informació en la comercialització de productes i serveis bancaris. És la base sobre la qual es construeixen criteris de bones pràctiques que el Banc d'Espanya utilitza per supervisar com s'atén les incidències, incloses les vinculades a canals digitals.
• La Circular 5/2012, de 27 de juny, del Banc d'Espanya, a entitats de crèdit i proveïdors de serveis de pagament, sobre transparència dels serveis bancaris i responsabilitat en la concessió de préstecs, desenvolupa l'Ordre EHA/2899/2011 i es cita reiteradament en notes oficials del Banc d'Espanya com a referència per al càlcul de tipus i per als estàndards d'informació i d'atenció al client.

Intervencions recents del governador i de la subgovernadora del Banc d'Espanya destaquen que aquest marc ha evolucionat cap a un model en què les entitats han d'actuar de forma honesta, imparcial, transparent i professional, i en què la supervisió de conducta s'orienta a prevenir perjudicis als clients, també en contextos de digitalització i possibles caigudes de sistemes (vegeu, per exemple, les intervencions de 2024 i 2025 disponibles a la web del Banc d'Espanya).

3. Resiliència operativa digital (DORA i normativa de resiliència)

Per a les caigudes de serveis digitals és clau la regulació de resiliència operativa digital en el sector financer:

• El Reglament europeu de resiliència operativa digital (DORA) estableix normes homogènies de gestió de riscos TIC, proves de resiliència, gestió d'incidents i supervisió de proveïdors tecnològics crítics. Notes de la Comissió Europea i del Banc d'Espanya subratllen que DORA busca garantir que bancs i altres entitats puguin continuar prestant serveis essencials malgrat ciberatacs o fallades tecnològiques.
• Espanya ha rebut dictàmens motivats per no haver transposat a temps la Directiva DORA d'acompanyament, però el propi Govern ha anunciat mesures per aplicar el Reglament i atribuir noves funcions de supervisió al Banc d'Espanya en aquest àmbit, segons es recull en notes de Consell de Ministres i en articles de Demòcrata.
• Paral·lelament, es tramita una Llei de Protecció i Resiliència de les Entitats Crítiques (transposició de la Directiva 2022/2557), el projecte de llei –al qual ha tingut accés Demòcrata– introdueix el concepte d’“efecte pertorbador significatiu” per a interrupcions de serveis essencials. Tot i que el text exclou expressament el sector bancari i les infraestructures de mercats financers per comptar ja amb marcs específics de ciberseguretat i resiliència, la seva lògica reforça la idea que una caiguda prolongada de la banca digital és un risc d'interès públic.

4. Què implica en la pràctica per a l'usuari?

D'aquest conjunt de normes se'n deriven diversos efectes pràctics davant una caiguda de serveis digitals bancaris:

• L'entitat ha de tenir plans de continuïtat i resiliència digital que limitin la durada i l'abast de la interrupció, i gestionar els incidents conforme a DORA i a la supervisió del Banc d'Espanya.
• Si la caiguda provoca no execució o execució incorrecta d'operacions de pagament (transferències, càrrecs amb targeta, etc.), s'apliquen els règims de responsabilitat i reemborsament del Reial Decret-llei 19/2018 i el seu desenvolupament reglamentari.
• El client té dret a una informació clara sobre la incidència, a reclamar davant el Servei d'Atenció al Client o Defensor del Client de l'entitat, i, en cas de desacord, a reclamar al Banc d'Espanya, que aplica els criteris de bones pràctiques i la normativa de transparència.

No existeix, per ara, un règim general de compensacions automàtiques per qualsevol caiguda puntual, però la combinació de normativa de serveis de pagament, transparència bancària i resiliència digital ofereix un marc per exigir responsabilitat quan la interrupció ocasiona perjudicis concrets a l'usuari o revela deficiències en la gestió de riscos operatius per part de l'entitat.

En la regulació vigent no existeix un únic “manual” detallat sobre com ha de comunicar un banc les incidències tècniques, però sí un conjunt d'obligacions disperses que, en la pràctica, obliguen a tenir un protocol molt clar. Les peces clau són el Reial Decret‑llei 19/2018, de serveis de pagament (per a operacions de pagament), l'Ordre EHA/2899/2011 i la Circular 5/2012 del Banc d'Espanya (transparència bancària general), i l'Ordre ECE/1263/2019 (informació en serveis de pagament).

D'aquesta normativa se'n dedueix, de forma sintètica, l'esquema següent:

1. Marc normatiu bàsic

• Serveis de pagament: el Reial Decret‑llei 19/2018, de 23 de novembre, de serveis de pagament (text al BOE) obliga els proveïdors de serveis de pagament a:
  • Comptar amb procediments eficaços de gestió d'incidents, en particular per a la detecció i classificació d'incidents operatius i de seguretat greus.
  • Notificar sense demora al Banc d'Espanya els incidents operatius o de seguretat greus.
  • Si l'incident afecta o pot afectar els interessos financers dels usuaris, informar-los sense dilació indeguda de l'incident i de les mesures paliatives disponibles.
• Transparència bancària general: l'Ordre EHA/2899/2011 (text al BOE) i la Circular 5/2012 del Banc d'Espanya (text al BOE) exigeixen:
  • Proporcionar informació clara, suficient i accessible sobre les condicions i funcionament dels serveis bancaris.
  • Un règim de comunicacions amb el client que redueixi les asimetries d'informació.
• Informació en serveis de pagament: l'Ordre ECE/1263/2019 (text al BOE) desenvolupa el contingut i suport de la informació a usuaris de serveis de pagament (fullets informatius, contractes, etc.), imposant:
  • Informació prèvia en suport durable.
  • Llenguatge clar, comprensible i accessible, fins i tot per a persones amb discapacitat.

2. Comunicació d'incidències no programades (fallades, caigudes, avaries)

Aplicant aquestes normes, el procediment mínim que hauria de seguir una entitat bancària és:

• Detecció i classificació interna: el sistema de gestió d'incidents (exigit pel Reial Decret‑llei 19/2018 per a serveis de pagament) ha d'identificar:
  • Si l'incident és greu i si afecta o pot afectar els interessos financers dels clients.
  • Serveis afectats (banca en línia, targetes, caixers, transferències, etc.) i abast temporal.
• Notificació a l'autoritat supervisora:
  • Si es tracta d'un incident operatiu o de seguretat greu en serveis de pagament, notificar immediatament al Banc d'Espanya en la forma que aquest determini.
  • Remetre la informació que el supervisor requereixi en les seves guies o circulars tècniques.
• Informació al client sense demora indeguda (quan pugui afectar els seus interessos financers):
  • Usar canals habituals i d'ampli abast: web i app del banc (banners/avisos), SMS o correu electrònic, notificacions push, missatges en caixers i oficines.
  • Contingut mínim recomanable:
    • Descripció clara de la incidència (sense tecnicismes innecessaris).
    • Serveis afectats i limitacions pràctiques.
    • Durada estimada o, almenys, que s'està treballant en la seva resolució.
    • Mesures que adopta el banc i recomanacions al client per mitigar riscos (per exemple, comprovar moviments, utilitzar canals alternatius, etc.).
  • El missatge ha de ser clar, llegible i accessible, en línia amb les exigències de transparència de les ordres ministerials citades.
• Registre intern:
  • Documentar l'incident, la seva classificació, la comunicació enviada a clients i autoritats i les mesures adoptades.
  • Incloure aquests incidents en les avaluacions periòdiques de riscos operatius i de seguretat que el Reial Decret‑llei 19/2018 obliga a remetre al Banc d'Espanya almenys una vegada a l'any.

3. Interrupcions programades (manteniment)

Tot i que la normativa no detalla article per article l'avís de manteniments, del deure general de transparència i bona fe se'n desprèn que el banc ha de:

• Informar amb antelació raonable de tota interrupció planificada que afecti serveis essencials (banca electrònica, targetes, caixers, etc.).
• Comunicar-ho en suport durable i/o canals d'ús habitual (correu electrònic, app, web), indicant:
  • Data i hora d'inici i fi previstos.
  • Serveis afectats.
  • Canals o alternatives disponibles (oficines, canals telefònics, etc.).
• Redactar l'avís en termes clars i fàcilment comprensibles, coherent amb l'Ordre EHA/2899/2011 i l'Ordre ECE/1263/2019.

4. Diferències entre serveis de pagament i altres serveis bancaris

• En serveis de pagament hi ha un règim específic: obligació expressa de:
  • Tenir procediments de gestió d'incidents.
  • Notificar incidents greus al Banc d'Espanya.
  • Informar els usuaris afectats sense dilació indeguda.
• En diposits, crèdit i altres serveis bancaris, el focus normatiu està en la transparència i protecció del client (Ordre EHA/2899/2011 i Circular 5/2012). No es descriuen amb tant detall les incidències tècniques, però:
  • El deure d'informació, diligència i lleialtat implica avisar quan una incidència pugui afectar la disponibilitat de fons, l'execució d'operacions o la correcta prestació del servei.

En conclusió, un banc que vulgui complir amb la regulació hauria de comptar amb un protocol intern que combini: detecció i classificació d'incidents, notificació immediata al Banc d'Espanya en casos greus de serveis de pagament, comunicació ràpida, clara i multicanal als clients quan es vegin afectats, avisos previs en interrupcions programades i un registre sistemàtic de tots els incidents i de les comunicacions emeses.

El Banc d'Espanya és el supervisor bancari nacional i moltes de les seves competències s'apliquen també quan els serveis es presten per canals digitals (banca en línia, apps mòbils, pagaments electrònics, neobancs, fintech, etc.). No existeix un “règim paral·lel” per al digital: la mateixa normativa prudencial i de conducta s'aplica als serveis bancaris tradicionals i als digitals, amb alguns reforços específics en matèria de tecnologia i ciberseguretat.

1. Marc normatiu bàsic

Les principals bases legals de les seves competències són:

• Llei 13/1994, d'Autonomia del Banc d'Espanya, que el configura com a autoritat supervisora del sistema bancari espanyol i d'altres intermediaris la supervisió dels quals s'atribueixi.
• Llei 10/2014, d'ordenació, supervisió i solvència d'entitats de crèdit, que li atorga àmplies facultats de supervisió prudencial sobre bancs i altres entitats de crèdit, incloent-hi els seus riscos tecnològics i operacionals.
• Normativa de serveis de pagament (PSD2 i desenvolupaments espanyols), especialment el Reial Decret-llei 19/2018 i el Reial Decret 736/2019 sobre serveis de pagament i entitats de pagament, que designen el Banc d'Espanya com a autoritat competent per autoritzar i supervisar proveïdors de serveis de pagament i de diners electrònics.
• Reglament europeu sobre resiliència operativa digital (DORA), que fixa requisits de ciberseguretat i gestió de riscos TIC per a tot el sector financer i atribueix a supervisors com el Banc d'Espanya noves tasques de vigilància, inclosa la supervisió de certs proveïdors tecnològics crítics.

2. Supervisió prudencial de la banca digital

En el pla prudencial, el Banc d'Espanya vetlla perquè les entitats siguin sòlides i gestionin bé els seus riscos, també quan operen en canals digitals:

• Solvència i capital: exigeix que els bancs i proveïdors de serveis de pagament que supervisa tinguin recursos propis suficients davant els riscos derivats de les seves plataformes i models de negoci digitals.
• Governança i control intern: avalua la qualitat del govern corporatiu, la funció de riscos i de compliment, i com integren en la seva organització els riscos lligats a la digitalització (per exemple, ús intensiu del núvol o d'intel·ligència artificial).
• Risc tecnològic i operatiu: segons les memòries de supervisió, una prioritat és la resiliència operativa dels serveis essencials (transferències, pagaments amb targeta, banca en línia) perquè continuïn funcionant fins i tot en situacions de tensió o incidents greus.
• Aplicació de DORA: el propi Banc d'Espanya ha explicat que serà responsable d'implementar el Reglament DORA, supervisant:
  • la gestió del risc TIC i ciberseguretat,
  • la notificació i classificació d'incidents,
  • les proves de resiliència operativa,
  • i la relació amb proveïdors tecnològics crítics (cloud, processadors de pagaments, etc.).

3. Supervisió de conducta i protecció del client en el canal digital

A més de la solvència, el Banc d'Espanya supervisa la conducta de mercat de les entitats quan venen i presten serveis per mitjans digitals:

• Transparència i informació al client: controla que la informació sobre condicions, comissions i riscos sigui clara i suficient en webs i apps, inclosos comparadors de comptes i panells de comissions.
• Comercialització de productes: vigila la venda de productes complexos o de crèdit al consum a través de canals en línia, i ha assenyalat la importància d'evitar pràctiques inadequades amb clients vulnerables.
• Serveis de pagament i frau digital: en les seves prioritats supervisores cita la prevenció del frau en targetes i pagaments digitals, i la adequada gestió de reclamacions i devolucions quan hi ha operacions no autoritzades.
• Reclamacions i sancions: rep reclamacions dels usuaris bancaris (també per problemes en banca en línia o apps) i pot imposar mesures correctores i sancions quan detecta incompliments reiterats.

4. Sistemes de pagament i noves infraestructures

El Banc d'Espanya també vigila i supervisa les infraestructures de pagament que suporten els serveis digitals:

• És responsable de la vigilància dels sistemes majoristes (com TARGET) i participa en el desplegament de solucions com els pagaments instantanis i el futur euro digital, sempre juntament amb el Banc Central Europeu.
• Supervisa que l'operativa de pagaments electrònics sigui segura i contínua, aspecte que figura expressament en les seves comunicacions recents.

5. Coordinació amb altres autoritats

La supervisió dels serveis bancaris digitals no és exclusiva del Banc d'Espanya, sinó que s'articula en xarxa:

• Amb el Banc Central Europeu: en el Mecanisme Únic de Supervisió, el BCE assumeix la supervisió directa de les entitats més significatives i el Banc d'Espanya actua com a autoritat nacional dins d'aquest marc.
• Amb altres autoritats espanyoles: coopera amb la CNMV, la Direcció General d'Assegurances i altres organismes en matèria d'estabilitat financera, ciberseguretat i protecció del client; i amb SEPBLAC en la prevenció del blanqueig en serveis de pagament.
• En l'àmbit europeu: participa en treballs de l'Autoritat Bancària Europea (EBA) i en fòrums internacionals sobre innovació financera, criptoactius i riscos tecnològics.

En resum, el Banc d'Espanya aplica als serveis digitals bancaris el mateix nucli de competències que a la resta del negoci bancari —solvència, riscos, conducta, sistemes de pagament— reforçades per noves obligacions europees en matèria de resiliència digital i supervisió de proveïdors tecnològics, amb un focus creixent en ciberseguretat i protecció del consumidor en l'entorn en línia.