Custodia credenziali e ritardo nel blocco integrano colpa grave nel furto (ABF Collegio di Roma n. 2492 del 18.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate effettuate tramite carta tokenizzata su wallet, il titolare che non alleghi alcuna circostanza idonea a spiegare come sia stato possibile sbloccare il dispositivo sottratto e autorizzare le transazioni senza la sua collaborazione o negligenza risponde per colpa grave, ai sensi dell’art. 7 del d.lgs. n. 11/2010, per violazione degli obblighi di diligente custodia delle credenziali riservate. Integra parimenti negligenza, rilevante ai fini del medesimo articolo, il ritardo nel comunicare senza indugio il furto e nel bloccare lo strumento, quando un intervento tempestivo avrebbe verosimilmente impedito ulteriori operazioni. Ove l’intermediario produca i log del procedimento dispositivo, con buon fine della digitazione dei codici, e non emergano malfunzionamenti del sistema, il sistema di autenticazione si presume adeguato e le contestazioni dell’utente non trovano accoglimento.

Il Fatto

La ricorrente, titolare di una carta di pagamento, subisce il furto dello smartphone mentre passeggia, verso le ore 19.10. Nel breve intervallo successivo, tra le 19.37 e le 20.09, vengono eseguiti sette pagamenti contactless non autorizzati, per un controvalore complessivo di euro 1.142,00, mediante la carta bancomat digitalizzata nel wallet del telefono sottratto.

Secondo la prospettazione della ricorrente, il dispositivo era protetto da Face ID e da PIN distinti, non memorizzati sul telefono. La carta viene bloccata solo alle ore 21.27. L’intermediario resiste sostenendo che il blocco immediato avrebbe evitato le operazioni compiute nei ventisette minuti successivi al furto. Aggiunge che ogni pagamento tramite wallet richiede almeno un fattore di autenticazione tra riconoscimento biometrico e codice di sblocco, dati nella disponibilità esclusiva del titolare, e che la modifica delle impostazioni biometriche presuppone comunque la conoscenza del codice di sblocco. Da qui l’addebito di colpa grave per negligente custodia del dispositivo e inadeguata protezione dei codici.

La motivazione del Collegio

Il Collegio muove dal d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva (UE) 2015/2366, e ricostruisce la responsabilità delle parti. Richiamando in via analogica le decisioni in tema di furto dello strumento di pagamento, osserva che lasciare incustodito lo strumento o i relativi codici dispositivi senza adottare cautele idonee a prevenire la sottrazione configura colpa grave per violazione dell’art. 7 del d.lgs. n. 11/2010.

Nel caso concreto la ricorrente non descrive né allega alcuna circostanza che possa spiegare come sia intervenuto lo sblocco del dispositivo sottratto, contenente la carta tokenizzata, e l’autorizzazione delle relative transazioni senza la sua collaborazione o, comunque, senza una sua negligenza. Tali circostanze inducono il Collegio a ritenere provata, pur in via presuntiva, la violazione degli obblighi di diligente custodia delle credenziali riservate, con condotta connotata da colpa grave.

Un secondo e autonomo profilo di negligenza riguarda il ritardo nel blocco. Tra gli obblighi dell’utente rientra quello di comunicare senza indugio lo smarrimento, il furto o l’utilizzo non autorizzato dello strumento. Il Collegio ritiene che il ritardo costituisca indice di condotta negligente, soprattutto quando un intervento tempestivo avrebbe verosimilmente impedito ulteriori operazioni, come nella fattispecie.

Sotto altro profilo, la banca ha offerto riscontro del procedimento seguito per autorizzare le operazioni disconosciute, producendo i relativi log con buon fine della digitazione dei codici. Il sistema di autenticazione adottato in fase dispositiva appare quindi in grado di garantire un elevato livello di sicurezza. Non emergono inoltre riscontri di malfunzionamenti del sistema dell’intermediario durante il processo dispositivo.

Alla luce di queste considerazioni le contestazioni della ricorrente non possono essere accolte e il ricorso è respinto.