Autenticazione forte e CVV dinamico ammettono riuso del fattore nella stessa sessione (ABF Collegio di Coordinamento n. 4274 del 12.05.2026)

Principi di diritto (Massima)
È conforme al quadro normativo di riferimento la procedura che consente al cliente di accedere al conto con un unico fattore di autenticazione, in applicazione del regime di esenzione dalla SCA di cui all’art. 10 del Regolamento Delegato (UE) 2018/389, e di eseguire un’operazione di pagamento riutilizzando detto fattore insieme con un secondo elemento di autenticazione di diversa natura, a condizione che accesso e pagamento avvengano nella stessa sessione, che l’associazione produca il dynamic linking di cui all’art. 5 degli RTS, che non si tratti del primo accesso e che non siano decorsi più di 180 giorni dall’ultima applicazione della SCA. Integra inoltre un valido sistema di autenticazione a doppio fattore l’utilizzo di un CVV dinamico, generato nella fase di accesso all’area riservata, accompagnato dall’inserimento di un OTP inviato via SMS.

Il Fatto

La ricorrente, titolare di un conto corrente e di una carta di debito, riceveva un SMS all’apparenza proveniente dalla propria banca, che la informava di un bonifico di € 199,00 e indicava un’utenza cui rivolgersi. Contattato il numero, un sedicente operatore dell’ufficio frodi le chiedeva parte della password di accesso all’home banking e, prospettando blocchi di addebiti anomali, la induceva ad aprire un nuovo conto e a disporre un bonifico di € 4.225,77 e un ulteriore pagamento di € 850,00.

Scoperta la truffa e sporta denuncia, la cliente chiedeva la restituzione del controvalore delle due operazioni, per complessivi € 5.075,77. L’intermediario eccepiva la corretta autenticazione, registrazione e contabilizzazione dei pagamenti e la colpa grave dell’utente. Il Collegio di Milano, rilevate difformità tra i Collegi territoriali sul regime di esenzione dalla SCA e sulla natura del CVV dinamico, rimetteva gli atti al Collegio di Coordinamento.

La motivazione del Collegio

Il Collegio muove dall’art. 10 del d.lgs. n. 11/2010, che impone al prestatore di servizi di pagamento di provare che l’operazione è stata autenticata, registrata e contabilizzata, e dall’art. 10 bis, che recepisce l’obbligo di strong customer authentication. Quando il concorso causale dell’utente è solo parziale, la transazione non è per ciò solo autorizzata: l’intermediario deve dimostrare di aver applicato la SCA in tutte le fasi.

Sul primo profilo, la questione riguarda l’ambito dell’esenzione di cui all’art. 10 del Regolamento Delegato (UE) 2018/389. Secondo un orientamento l’esenzione opera solo per gli accessi informativi, con necessità di un nuovo accesso a doppio fattore prima di ogni pagamento; per altro orientamento il fattore di accesso può essere riutilizzato in fase dispositiva. Il Collegio richiama le Q&A EBA 2018_4141 e 2020_5516 e la sentenza della Corte di Giustizia UE del 15 luglio 2021, causa C-911/19, che riconosce agli orientamenti EBA, pur non vincolanti, valore interpretativo autorevole e sottoponibilità a controllo giurisdizionale.

Da tali indicazioni il Collegio trae la conformità della procedura che, entro 180 giorni da un accesso con SCA completa, consente l’accesso con un solo fattore e il suo riutilizzo per il pagamento, purché accompagnato da un fattore di diversa natura e garantito il dynamic linking. Nel caso concreto l’accesso del 10/03/2025 era stato preceduto da un accesso a doppio fattore il 02/12/2024, e il bonifico era stato autorizzato con username, password e OTP via SMS.

Quanto al pagamento e-commerce, il Collegio valorizza il procedimento nel suo complesso: il CVV dinamico è generato previo accesso con password e OTP e può essere qualificato come fattore di conoscenza, cui si affianca l’OTP quale fattore di possesso. Il sistema è dunque conforme alla SCA. L’intermediario ha assolto all’onere probatorio; la ricorrente, che ha comunicato gli OTP a terzi e non ha colto gli errori dell’SMS civetta, ha tenuto una condotta connotata da colpa grave ex art. 7, comma 3, del d.lgs. n. 11/2010. Il ricorso è pertanto respinto.