Frodi carte debito e onere prova autenticazione forte notifica push non sufficiente (ABF Collegio di Napoli n. 2406 del 17.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate eseguite con carta di debito, l’art. 10, comma 2, d.lgs. n. 11/2010 impone al prestatore di servizi di pagamento di provare la frode, il dolo o la colpa grave dell’utente. L’utilizzo di uno strumento registrato non è di per sé sufficiente a dimostrare l’autorizzazione. La notifica push può valere come elemento di possesso solo se il PSP rispetta i requisiti di attenuazione del rischio di cui all’art. 7 del Regolamento delegato (UE) n. 2018/389. Tra i doveri di protezione rientra l’onere di fornire il servizio di SMS alert, dal quale l’intermediario è esonerato solo dimostrando l’esplicito rifiuto dell’utente.

Il Fatto

Il ricorrente, titolare di un conto corrente con carta di debito collegata, lamenta quattro operazioni di pagamento e-commerce non autorizzate, eseguite il 27 e il 28 maggio 2024 per un importo complessivo di € 1.317,00. Dopo la denuncia l’intermediario aveva riaccreditato la somma “salvo buon fine”, per poi disporne lo storno sostenendo che le operazioni risultavano autenticate tramite le credenziali di sicurezza assegnate al cliente.

Insoddisfatto dell’esito del reclamo, l’utente si rivolge all’Arbitro chiedendo la restituzione della somma e il rimborso delle spese. L’intermediario contesta la ricostruzione e sostiene che tutte le operazioni sono state correttamente autenticate e autorizzate mediante notifica push e fattore biometrico, con utilizzo del dispositivo nella disponibilità del ricorrente; invoca inoltre la custodia negligente degli strumenti e la colpa grave dell’utente, chiedendo il rigetto del ricorso.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile alle operazioni eseguite sotto il vigore del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Le fonti della strong customer authentication si rinvengono negli artt. 97 e 98 della PSD2, nell’art. 10-bis del d.lgs. n. 11/2010, nel Regolamento delegato (UE) n. 2018/389 e nei criteri interpretativi dell’EBA.

Il fulcro è l’art. 10, comma 1, d.lgs. n. 11/2010: quando l’utente nega di aver autorizzato l’operazione, è onere del prestatore provare che essa è stata autenticata, correttamente registrata e contabilizzata. Il comma secondo precisa che l’utilizzo di uno strumento registrato non è di per sé necessariamente sufficiente a dimostrare l’autorizzazione, né che l’utente abbia agito in modo fraudolento o con dolo o colpa grave. La prova della frode e della colpa grave grava sull’intermediario.

Dalla documentazione prodotta risulta che le operazioni appaiono autorizzate mediante doppio fattore. Quanto alla cd. push based authentication, il Collegio ritiene che la notifica push possa essere utilizzata alla stregua di un elemento di possesso a condizione che il PSP rispetti i requisiti dell’art. 7 del Regolamento delegato (UE) n. 2018/389, che impone misure volte ad attenuare il rischio di utilizzo degli elementi di autenticazione da parte di soggetti non autorizzati. L’intermediario ha prodotto evidenza delle notifiche inviate con il relativo testo.

Assume però rilievo decisivo l’SMS alert. Il Collegio richiama la decisione del Collegio di Coordinamento n. 24366/19 e la n. 8672/2024: tra i doveri di protezione dell’utente rientra l’onere di fornire il servizio di alert, dal quale l’intermediario è esonerato solo dimostrando l’esplicito rifiuto. Nel caso concreto l’intermediario non ha provato l’invio: l’elenco prodotto non chiarisce se gli SMS siano successivi alle operazioni, non ne allega il testo né indica il numero di cellulare destinatario. Se il cliente avesse ricevuto l’alert dopo la prima operazione, avrebbe potuto bloccare lo strumento e impedire le successive.

Il Collegio valorizza inoltre gli indici di frode ulteriori rispetto al DM 112/2007: l’operazione di € 368,00 del 28 maggio risulta autorizzata dopo che nella giornata precedente erano state annullate cinque operazioni per sospetta frode. Il ricorso è quindi parzialmente accolto, con accertamento del diritto alla restituzione di € 1.236,00 e condanna dell’intermediario al contributo di € 200,00 alle spese della procedura e di € 20,00 a rimborso del versamento del ricorrente.