Autenticazione forte e colpa grave dell’utente nelle operazioni di pagamento fraudolente (ABF Collegio di Bologna n. 2842 del 30.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento non autorizzate, l’art. 10, primo comma, d.lgs. n. 11/2010 pone a carico del prestatore di servizi di pagamento l’onere di provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito gli effetti di malfunzionamenti o inconvenienti. Il riutilizzo di un fattore di accesso all’area riservata ai fini dell’autenticazione forte è ammissibile solo se l’operazione avviene nella medesima sessione di login, desumibile dalla contiguità temporale tra accesso e disposizione. Provata la regolarità formale dell’operazione, resta a carico dell’intermediario la prova della colpa grave dell’utente, che può trarsi in via presuntiva dagli elementi di fatto sulle modalità esecutive. La mancata allegazione delle modalità della truffa da parte del ricorrente è elemento valutabile ai fini della colpa grave.

Il Fatto

La ricorrente, titolare di un conto corrente cui è collegata una carta di pagamento, si recava presso una filiale dell’intermediario per chiedere un estratto conto. Dall’estratto rilevava che sulla carta, a partire dal 26.6.2025, erano state eseguite operazioni da lei non autorizzate. Affermava di non avere mai comunicato a terzi i propri dati personali.

Esperito senza esito il reclamo, la ricorrente si rivolgeva all’Arbitro chiedendo la restituzione di quanto addebitato. L’intermediario eccepiva che le operazioni erano state tutte regolarmente autenticate tramite SCA e codici OTP inviati al cellulare della cliente, e concludeva per il rigetto.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile, costituito dal d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. La fattispecie impone l’esame di due profili, il primo assorbente: se l’intermediario abbia fornito la prova prescritta dall’art. 10, primo comma, d.lgs. n. 11/2010. La norma configura una inversione dell’onere della prova a carico del prestatore, chiamato a dimostrare la correttezza formale di ogni operazione contestata. Solo se tale prova è puntualmente fornita viene in rilievo il secondo profilo, cioè la prova della negligenza e colpa grave del cliente.

Il Collegio richiama l’orientamento del Collegio di Coordinamento, dec. 22745/2019: la produzione documentale sull’autenticazione e sulla regolarità formale non soddisfa di per sé l’onere probatorio, essendo necessario che l’intermediario indichi specificamente gli elementi di fatto delle modalità esecutive dai quali trarre in via presuntiva la prova della colpa grave. Ne deriva la configurazione dell’obbligo dell’intermediario come dovere rafforzato di diligenza professionale, coerente con l’allocazione differenziata dei rischi.

Sul piano applicativo, la documentazione dell’intermediario evidenzia l’enrollment della carta sull’app installata sul cellulare della ricorrente, gli accessi web alle singole operazioni e l’invio delle OTP. Il Collegio osserva che l’intermediario non chiarisce il secondo fattore di SCA oltre a quello di possesso. Ritiene però che le due ricariche si siano poste in continuità temporale con l’accesso all’area riservata e che, secondo la Q&A EBA 2018_4141, il riutilizzo di uno dei fattori di accesso sia ammesso quando l’azione avviene nella medesima sessione di login. Per tali operazioni la prova dell’autenticazione è dunque raggiunta.

Diverso è l’esito per il giroconto: l’accesso risulta alle ore 20.12 del 26.6.2025, l’operazione dispositiva alle ore 20.58 dello stesso giorno. L’intervallo di 46 minuti è ritenuto anomalo e impedisce di collocare l’operazione nella medesima sessione di login. Per questa operazione, di importo pari a € 1.995, il ricorso è accolto.

Quanto alle operazioni per cui la SCA è provata, il Collegio verifica la sussistenza degli elementi di fatto sulla colpa grave. È decisiva la circostanza che la ricorrente non abbia fornito alcun chiarimento sulle modalità della truffa, limitandosi ad affermare di avere scoperto per caso le operazioni dall’estratto conto. In circostanze analoghe la mancata allegazione delle modalità della frode è costantemente valutata ai fini della colpa grave. Il Collegio conclude dunque per la colpa grave della ricorrente, con rigetto della richiesta di rimborso integrale. Il ricorso è accolto parzialmente, con condanna dell’intermediario alla restituzione di € 1.995,00 e alle spese della procedura.