Estorsione e operazioni autorizzate dal pagatore: responsabilità del PSP per omesso monitoraggio (ABF Collegio di Palermo n. 2241 del 12.03.2026)

Principi di diritto (Massima)
La nozione di operazione non autorizzata rilevante ai sensi della disciplina PSD2 prescinde dalla nozione civilistica di consenso e attiene alla modalità di esecuzione della transazione: se il pagatore inserisce personalmente tutti gli elementi dell’operazione e i fattori di autenticazione, la transazione è autorizzata anche quando egli non sia consapevole di disporre in favore di un terzo. In tale ipotesi non opera la responsabilità oggettiva del prestatore di servizi di pagamento e non è necessaria la prova della Strong Customer Authentication. Resta tuttavia possibile accertare una responsabilità concorrente del PSP secondo il diritto comune, quando emerga un suo apporto causale all’evento per il mancato rilievo di indici di frode, valutabili anche attraverso il parametro offerto dal D.M. n. 112/2007, la cui ratio è estesa alle operazioni eseguite con strumenti diversi dalle carte.

Il Fatto

Il ricorrente chiede la restituzione di € 390,32, corrispondenti a cinque pagamenti online eseguiti con la propria carta di credito: quattro in data 18/10/2025 e uno in data 19/10/2025. Egli riferisce di averli disposti perché vittima di minacce ed estorsione: un truffatore lo aveva minacciato di pubblicare sui social network alcune sue foto intime. La vicenda è oggetto di denuncia allegata agli atti.

L’intermediario resistente chiede il rigetto del ricorso. Sostiene che dalle dichiarazioni del ricorrente, dal modulo di disconoscimento e dal reclamo emerge che tutte le operazioni sono state personalmente disposte e autorizzate, sia pure a seguito di coartazione della volontà. Da ciò deduce che la controversia non riguarda operazioni non autorizzate ai sensi della normativa PSD2. Eccepisce inoltre la colpa grave del ricorrente, per aver seguito le indicazioni di soggetti sconosciuti contattati tramite social network senza le minime cautele.

La motivazione del Collegio

Il Collegio accoglie l’eccezione dell’intermediario sul piano della qualificazione giuridica. Le operazioni contestate risultano eseguite personalmente dal ricorrente e pertanto non rientrano nella disciplina dell’art. 11 D.lgs. n. 11/2010. La normativa speciale PSD2, secondo la costante interpretazione dei Collegi, prescinde dalla nozione civilistica di consenso e richiede che questo sia prestato nella forma convenuta tra pagatore e PSP.

Da qui la distinzione operativa. Se il concorso causale dell’utente in fase dispositiva o autorizzativa è solo parziale — per esempio quando inserisce un solo fattore di autenticazione — la transazione non è autorizzata. Se invece l’operazione è eseguita per intero dal pagatore, con l’inserimento di tutti gli elementi e dei fattori di autenticazione, l’operazione è autorizzata anche qualora egli non sia consapevole di stare disponendo una transazione. Nel caso concreto le dichiarazioni del ricorrente confermano l’esecuzione personale e consapevole, seppure a fronte delle minacce dei malfattori.

La qualificazione non chiude però la questione. Quando le operazioni sono autorizzate per intero, si prescinde dalla prova del PSP sulla Strong Customer Authentication, perché non è configurabile una responsabilità oggettiva del prestatore. Il Collegio può tuttavia rilevare una responsabilità concorrente del PSP, sulla base delle evidenze disponibili e secondo le norme di diritto comune, ogni volta che emerga in concreto un apporto causale dell’intermediario alla frode, come nei casi di mancato rilievo di indici di frode.

Nella specie sussiste uno degli indici previsti dal D.M. n. 112/2007 che un efficiente sistema di monitoraggio avrebbe potuto intercettare: la presenza di tre o più richieste di autorizzazione sulla stessa carta, nelle ventiquattro ore, presso un medesimo punto vendita, ai sensi dell’art. 8, lett. a), punto 2, D.M. n. 112/2007. In data 18/10/2025 sono state effettuate quattro operazioni verso lo stesso beneficiario. Il Collegio ricorda che tali indici non hanno valore precettivo diretto in materia di disconoscimento, ma esprimono un generale obbligo di monitoraggio delle operazioni, valorizzabile per valutare la condotta dell’intermediario, e che la loro ratio si estende, ove possibile, anche alle ricariche online.

Accertato il concorso del resistente, il Collegio ne stima la misura nel 20% e riconosce al ricorrente € 78,06. Il ricorso è pertanto parzialmente accolto, con condanna dell’intermediario al contributo di € 200,00 in favore della Banca d’Italia e al rimborso di € 20,00 delle spese di presentazione.