Autenticazione forte e colpa grave dell’utente nell’operazione di pagamento disconosciuta (ABF Collegio di Bari n. 3170 del 10.04.2026)

Principi di diritto (Massima)
L’intermediario che provi la corretta autenticazione, la regolare registrazione e contabilizzazione dell’operazione di pagamento, nonché la conformità del proprio sistema alla strong customer authentication secondo il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017, e il Regolamento Delegato (UE) n. 2018/389, è esente da responsabilità per l’addebito disconosciuto dall’utente. Il device binding tra browser o App e dispositivo dell’utente integra l’elemento di possesso richiesto per la SCA. La colpa grave dell’utente può essere provata in via presuntiva e, in assenza di allegazioni sul contesto della frode, la sola negazione dell’autorizzazione non basta a escluderla. La mancata attivazione del servizio di alert è irrilevante quando venga eseguita una sola operazione fraudolenta.

Il Fatto

Il ricorrente chiedeva il rimborso di 691,50 euro, corrispondenti a un’operazione di pagamento online con carta, eseguita il 17 dicembre 2024 e dallo stesso disconosciuta perché compiuta da terzi non autorizzati. Egli riferiva di essersi avveduto dell’addebito solo il 15 gennaio 2025, esaminando l’estratto conto di dicembre, e di aver presentato denuncia alle autorità, oltre ad aver contattato l’intermediario.

L’intermediario, dopo un iniziale riaccredito provvisorio, respingeva il rimborso eccependo che la transazione era stata autorizzata con riconoscimento biometrico. Costituitosi, sosteneva la regolarità dell’autenticazione e la riconducibilità dell’operazione al dispositivo del cliente, ipotizzando al più un phishing, e contestava la colpa grave dell’utente per la tardiva richiesta di blocco della carta e la negligente custodia delle credenziali.

La motivazione del Collegio

Il Collegio ha inquadrato la vicenda nella vigenza del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della direttiva 2015/2366/UE (PSD 2), del Regolamento Delegato (UE) n. 2018/389 e dell’Opinion dell’EBA del 21 giugno 2019 in tema di autenticazione forte. Ha quindi ribadito che l’onere di provare l’avvenuta autenticazione, la corretta registrazione e contabilizzazione dell’operazione grava sull’intermediario, insieme alla conformità del sistema ai requisiti SCA, che richiedono un’autenticazione a doppio fattore.

Su questo terreno la difesa dell’intermediario è risultata esaustiva. La certificazione del device era avvenuta il 17 agosto 2024 con inserimento di username e password statica, fattore di conoscenza, e di una OTP inviata via SMS, fattore di possesso; l’abilitazione del riconoscimento biometrico era seguita il giorno successivo con le medesime credenziali. Le schermate prodotte documentavano l’invio degli SMS e il numero di cellulare ivi indicato coincideva con quello fornito dal ricorrente in sede di denuncia. Quanto all’operazione contestata, il log attestava la richiesta di autenticazione e il suo perfezionamento mediante riconoscimento biometrico da web-browser, oltre all’invio della notifica in App al dispositivo in uso al ricorrente.

Il Collegio ha richiamato il proprio orientamento secondo cui browser o App possono costituire elemento di possesso per la SCA quando sia rispettato un processo di device binding, cioè un legame univoco tra applicazione e dispositivo dell’utente, citando ABF Palermo n. 8852/2025 e ABF Milano n. 3329/2025. Ha così ritenuto dimostrata la corretta autenticazione e la regolarità formale dell’operazione ai sensi dell’art. 10, comma 1, del d.lgs. n. 11/2010, in continuità con ABF Palermo n. 1338/2026.

Passando all’eccezione di colpa grave, il Collegio ha ricordato che essa può desumersi anche dal combinarsi di più elementi indiziari, in via presuntiva. Il ricorrente non aveva allegato alcuna circostanza sulla frode subita, limitandosi a dire di essersi accorto dell’addebito dall’estratto conto: la carenza di allegazioni non consentiva di ravvisare un contesto di frode particolarmente sofisticato e, in assenza di elementi, il Collegio ha riscontrato la condotta gravemente colposa per negligente custodia delle credenziali.

Non ricorrevano neppure gli indici di frode dell’art. 8 del D.M. n. 112/2007. Quanto alla mancata attivazione del servizio di alert, il Collegio ha ribadito che essa è irrilevante quando venga eseguita una sola operazione fraudolenta, poiché la ricezione dell’avviso non avrebbe potuto limitare il pregiudizio. Il ricorso è stato pertanto respinto.