Autenticazione forte incompleta: la banca non prova la colpa grave dell’utente (ABF Collegio di Bari n. 1027 del 05.02.2026)

Principi di diritto (Massima)
In materia di servizi di pagamento, l’onere di provare che l’operazione disconosciuta sia stata autenticata con autenticazione forte del cliente grava sul prestatore di servizi di pagamento. La produzione documentale che attesti la formale regolarità dell’operazione e l’invio di una One Time Password non soddisfa di per sé tale onere quando non risulti documentato l’impiego congiunto dei due fattori di natura diversa richiesti dalla normativa. In mancanza di prova dell’autenticazione, il PSP non può invocare la colpa grave dell’utilizzatore, che costituisce un posterius logico rispetto all’accertamento dell’avvenuta autenticazione. Ne deriva l’obbligo di rimborso dell’importo sottratto, restando assorbita ogni doglianza sui tempi del tentativo di recupero dei fondi. Il danno da mancato riscontro al reclamo e da illegittimo blocco del conto non è configurabile in re ipsa, dovendo il ricorrente provare an e quantum del pregiudizio.

Il Fatto

Il ricorrente riferisce di essere stato contattato, il 26/06/2025, da una sedicente impiegata dell’ufficio antifrode dell’intermediario, che lo avvertiva di un prelievo di € 5.300,00 dal conto corrente acceso presso il medesimo intermediario. Recatosi in filiale, apprendeva che il bonifico era stato disposto in accredito su una carta emessa dallo stesso intermediario e intestata a un terzo.

Il ricorrente disconosceva l’operazione, lamentando di non aver ricevuto alcuna OTP e di non aver mai condiviso i propri dati bancari. Chiedeva la restituzione della somma e un indennizzo per il mancato riscontro al reclamo, quantificato in € 200,00 e poi rideterminato in € 500,00 in sede di repliche. L’intermediario eccepiva la corretta autenticazione dell’operazione con procedura secondaria e chiedeva il rigetto del ricorso.

La motivazione del Collegio

Il Collegio ricostruisce l’operazione come bonifico online eseguito il 26/06/2025 per € 5.300,00 in favore di un rapporto incardinato presso lo stesso intermediario. La questione centrale riguarda la prova dell’autenticazione forte del cliente ai sensi del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2.

L’intermediario sosteneva di aver applicato la procedura secondaria, con password di accesso al sito e OTP via SMS su numero securizzato, immutato dall’enrollment della carta. Il Collegio esamina però le evidenze documentali: la fase di login delle ore 10:41 risultava effettuata con password e OTP, ma la transazione contestata, eseguita alle ore 10:45, mostrava il solo inserimento di un’ulteriore OTP SMS. Non vi era prova dell’inserimento della password quale fattore di conoscenza in occasione del pagamento.

Il Collegio richiama la normativa e i chiarimenti dell’EBA (Q&A 2020_5516) sul riutilizzo del fattore di diversa natura nella medesima sessione. Tale riutilizzo è ammesso solo in presenza di dynamic linking e a condizione che l’accesso al conto sia avvenuto con esenzione da SCA nei casi di accesso informativo, ai sensi dell’art. 10 del regolamento delegato UE 2018/389. L’intermediario non aveva però allegato la ricorrenza di tali condizioni, come già stigmatizzato dal medesimo Collegio in decisione n. 9436/2022 e n. 14698/2022.

Richiamando l’insegnamento del Collegio di Coordinamento n. 22745/2019, il Collegio ribadisce che l’art. 10, comma 2, del d.lgs. n. 11/2010 pone a carico del PSP la prova della frode, del dolo o della colpa grave dell’utilizzatore. La sola produzione documentale sulla regolarità formale non basta: occorrono elementi di fatto sulle modalità esecutive da cui desumere in via presuntiva la colpa grave. La mancanza di prova dell’autenticazione è dirimente e assorbe ogni valutazione sulla colpa, oltre alla doglianza sui tempi del recupero fondi.

Quanto all’indennizzo richiesto, il Collegio rileva che l’intermediario aveva comunicato l’esito della pratica il 27/06/2025. Sulla nuova doglianza relativa al blocco del conto, non consta documentazione a supporto e non è configurabile il danno in re ipsa, dovendo il ricorrente provare an e quantum ai sensi dell’art. 2697 c.c. (Collegio di Coordinamento n. 1642/2019 e n. 3089/2012). Il ricorso è pertanto accolto parzialmente, con condanna dell’intermediario alla restituzione di € 5.300,00.