Colpa grave del titolare per credenziali della carta fornite al figlio minore (ABF Collegio di Roma n. 3227 del 13.04.2026)

Principi di diritto (Massima)
Il titolare di una carta di credito che consegni le credenziali di sicurezza a un terzo, ancorché al figlio minore, viola gli obblighi di custodia personale delle credenziali e risponde delle relative operazioni. A tale violazione si aggiungono, quali indici di colpa grave, la mancata presentazione della denuncia e l’omesso controllo della movimentazione per un periodo significativo. La responsabilità del titolare per fatto illecito del figlio minore non emancipato discende dall’art. 2048 c.c. La mancata attivazione del servizio di sms alert costituisce carenza organizzativa dell’intermediario, ma non ne determina automaticamente la responsabilità quando la condotta del cliente sia gravemente negligente. Le operazioni MO/TO non sono soggette a autenticazione forte, salvo che il mandato sia conferito con il coinvolgimento dell’intermediario e tramite canale a distanza.

Il Fatto

Il ricorrente lamenta la sottrazione di € 4.623,72, avvenuta tra il 19.7.2025 e il 18.8.2025 mediante la sua carta di credito, utilizzata per pagamenti online dal figlio minore. Il ricorrente ammette di avere fornito le credenziali della carta ai due figli, residenti a Singapore, per provvedere ai loro bisogni; assume che uno dei due abbia operato senza autorizzazione, non essendo i minori in possesso del PIN. Sostiene di aver avuto contezza delle operazioni solo dalla consultazione dell’estratto conto mensile, non avendo potuto contattare i figli né interloquire con la ex moglie. La carta è sempre rimasta in suo possesso.

L’intermediario eccepisce l’assenza di anomalie, l’esecuzione delle operazioni con i codici affidati alla custodia esclusiva del titolare e l’esclusione della clonazione, poiché le credenziali erano state volontariamente consegnate. Rileva che il rendiconto di luglio è stato regolarmente inviato e che il cliente ha omesso di controllare la movimentazione e di bloccare la carta. Chiede il rigetto e, in via subordinata, la ripartizione del danno ai sensi dell’art. 1227, commi 1 e 2, c.c., con applicazione della franchigia di € 50,00.

La motivazione del Collegio

Il Collegio ricostruisce in via preliminare il perimetro delle operazioni contestate. Dal modulo di disconoscimento risultano 21 operazioni, ma l’addebito di € 115,78 del 19.7.2025 è stato riaccreditato; l’importo residuo corrisponde a quello richiesto. Solo per quattro operazioni vi è piena corrispondenza tra i log e il modulo, mentre per le altre coincidono data e merchant ma non gli importi. Assumendo a riferimento i soli log, l’ammontare delle operazioni non autorizzate è di € 4.547,48, inferiore alla somma indicata dal ricorrente.

Passando alla qualificazione delle transazioni, il Collegio chiarisce che i pagamenti MO/TO (Mail Order/Telephone Order) sono operazioni senza presentazione della carta, disposte dal beneficiario, e restano fuori dall’obbligo di autenticazione forte. Il considerando 95 della direttiva PSD2 esclude la necessità di garantire a tali transazioni lo stesso livello di protezione dei pagamenti eseguiti tramite piattaforme o dispositivi elettronici. Le Q&A EBA richiamate precisano che il mandato è soggetto a SCA solo se conferito con il coinvolgimento dell’intermediario e tramite canale a distanza. Nel caso di specie non risulta né l’uno né l’altro, e sul punto il ricorrente non ha formulato contestazioni. Il Collegio richiama la propria decisione n. 5076/2023.

Accertata la corretta autenticazione, registrazione e contabilizzazione, il Collegio esamina la condotta delle parti. Il ricorrente ammette di aver fornito le credenziali a uno dei figli minorenni, in violazione del principio di custodia personale, e non ha presentato denuncia. Richiamando le decisioni n. 13500/2022, n. 14279/2021 e n. 22461/2021, il Collegio ravvisa la violazione degli obblighi contrattuali di custodia e la responsabilità del cliente per fatto illecito del figlio minore ex art. 2048 c.c., oltre alla violazione dell’obbligo di denuncia. Ne desume una condotta gravemente colposa.

Il Collegio rileva poi che non è fornita evidenza dell’invio di sms alert. Secondo l’orientamento richiamato dalla decisione del Collegio di coordinamento n. 8553/2019, il servizio di allerta rientra nei doveri di protezione dell’intermediario, salvo esplicito rifiuto dell’utente. La mancata attivazione costituisce carenza organizzativa, ma la valutazione complessiva resta negativa per il ricorrente: nel periodo considerato sono state disposte anche operazioni autorizzate e l’operatività contestata si è protratta dal 23.7.2025 al 18.8.2025, con omesso controllo della movimentazione per un tempo significativo (richiamata la decisione n. 1849 del 2025). L’impugnazione selettiva di alcune sole operazioni, intervallate da operazioni autorizzate, rende il quadro presuntivo incerto e contraddittorio. Il ricorso è pertanto respinto.