Autenticazione forte e frode del pagatore: il Collegio non accoglie il ricorso (ABF Collegio di Bari n. 3295 del 15.04.2026)

Principi di diritto (Massima)
L’operazione di pagamento eseguita mediante autenticazione forte del cliente, con l’inserimento del codice personale nell’app installata sul dispositivo del titolare, è correttamente autenticata ai sensi dell’art. 10, comma 1, d.lgs. n. 11/2010, e la relativa documentazione tecnica (log, legenda, descrizione del processo autorizzativo) è idonea a dimostrarne la regolarità formale. Il concorso causale parziale dell’utente in fase dispositiva non rende per ciò solo l’operazione autorizzata, ma non esime il Collegio dalla verifica della colpa grave ai sensi dell’art. 12 d.lgs. n. 11/2010. La produzione documentale sull’autenticazione non soddisfa, di per sé, l’onere del PSP di provare la frode, il dolo o la colpa grave dell’utilizzatore. La mancata attivazione del servizio di sms alert è irrilevante quando le operazioni si susseguono in pochi minuti e l’avviso non avrebbe potuto limitare il pregiudizio.

Il Fatto

Il ricorrente pubblica su un portale online un annuncio di vendita di alcuni articoli. Riceve una e-mail con un ordine e, subito dopo, messaggi con cui un’interlocutrice chiede verifiche per il versamento del denaro. Fornisce dapprima i dati di una carta di debito di altro intermediario, rifiutata, poi quelli della carta prepagata riferibile all’intermediario resistente, accettata.

Vengono eseguite due operazioni, di € 424,00 e di € 377,00, il 15/12/2025. Il ricorrente chiede il rimborso e apprende che sarebbe avvenuto su altro strumento che non possiede: comprende così di essere vittima di una frode. Domanda l’accertamento della natura non autorizzata delle operazioni e il rimborso di € 801,00. Si costituisce un IMEL in luogo dell’intermediario convenuto, sostenendo che le operazioni sono state autorizzate tramite app con il codice personale e che la vicenda rientra nello schema della manipolazione del pagatore.

La motivazione del Collegio

In via preliminare il Collegio affronta la costituzione volontaria dell’IMEL, che assume di essere l’effettivo titolare del rapporto. Dalla disamina del sito dell’intermediario convenuto emerge che al conto corrente offerto può essere associata la carta emessa dall’IMEL. Il Collegio aderisce al proprio più recente orientamento secondo cui la decisione va resa nei confronti dell’intermediario originariamente convenuto, gestore del rapporto principale sul quale l’operazione è addebitata (Collegio di Bari, decisione n. 5753/23).

Nel merito, le operazioni ricadono sotto il d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Il ricorrente non dichiara di avere inserito e autorizzato personalmente le operazioni, ma solo di avere fornito i dati della carta e di avere “accettato” i due pagamenti: l’apporto causale è dunque parziale, con la conseguenza che la transazione non può dirsi autorizzata per ciò solo e resta applicabile la disciplina di tutela.

Sul piano dell’autenticazione, l’intermediario descrive le due procedure di SCA adottate e documenta l’uso della primaria, con notifica in app e codice personale, previa installazione dell’app e associazione dello strumento. Produce estratto con il Protocollo 3DSecure, autorizzazione con codice tramite riconoscimento biometrico, schermate con device id e app utilizzata, nonché l’enrollment sul dispositivo avvenuto il 03/12/2025 e mai modificato. Per il Collegio tale documentazione è idonea a provare la corretta autenticazione e la regolarità formale ex art. 10, comma 1, e il sistema è conforme alla SCA (Collegio di Bari, decisioni nn. 224/2025, 10993/2024, 7434/2024 e 6494/2024). Rilevano anche le dichiarazioni del cliente, che ammette di avere “accettato” le operazioni, con valore di prova legale ai sensi dell’art. 2730 c.c..

La produzione sull’autenticazione non basta però, da sola, a integrare l’onere del PSP di provare dolo o colpa grave: serve l’indicazione specifica di elementi di fatto sulle modalità esecutive (Collegio di Coordinamento, decisione n. 22745/2019). Il ricorrente non allega le interlocuzioni con i truffatori, sicché non è verificabile alcun legittimo affidamento. Non ricorre alcuno degli indici dell’art. 8 d.m. n. 112/2007, né le anomalie allegate trovano riscontro nei movimenti, che registrano addebiti di importo massimo di € 58,84 e bonifici di € 1.000,00 e € 4.000,00.

Quanto agli alert, il Collegio richiama il Collegio di Coordinamento n. 8662/2024 e la relativa carenza organizzativa, ma osserva che la seconda operazione è stata eseguita a circa tre minuti dalla prima: anche un avviso attivo non avrebbe potuto limitare il pregiudizio. Il ricorso è pertanto non accolto.