Autenticazione forte non provata dalla banca: rimborso integrale delle operazioni disconosciute (ABF Collegio di Roma n. 1585 del 20.02.2026)

Principi di diritto (Massima)
Nelle operazioni di pagamento a distanza eseguite dopo il 14.09.2019, ai sensi dell’art. 12, comma 2-bis, d.lgs. n. 11/2010, il pagatore non sopporta alcuna perdita, salvo che abbia agito in modo fraudolento, se il prestatore di servizi di pagamento non esige un’autenticazione forte del cliente. La prova dell’avvenuta autenticazione forte costituisce un prius logico rispetto alla valutazione della colpa grave dell’utente. Ne consegue che la mancanza, anche solo parziale, di tale prova è risolutiva e impone l’accoglimento integrale del ricorso, restando irrilevante ogni profilo di colpa ascrivibile al cliente.

Il Fatto

La ricorrente, correntista dell’intermediario, riferisce di essere stata contattata telefonicamente da un numero apparentemente riconducibile alla banca. L’interlocutore, qualificatosi come addetto all’ufficio antifrode, le rappresentava che le sue credenziali erano state collegate a un altro dispositivo e che erano stati eseguiti dei bonifici. Per conquistarne la fiducia le indicava l’esatto saldo del conto, l’iban e le generalità della cliente, dati in possesso del solo intermediario.

Indotta a ritenere di dover stornare le operazioni fraudolente, la ricorrente eseguiva personalmente cinque bonifici istantanei, per complessivi 2.445,00 euro. Accortasi della truffa, disconosceva i pagamenti e presentava reclamo, ricevendo esito negativo per asserita colpa grave. Domandava quindi il rimborso, almeno parziale, del 70% dell’importo sottratto, invocando il concorso di colpa della banca e la mancanza di presidi antifrode.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile, rilevando che le operazioni sono state eseguite il 19 maggio 2025, dopo il recepimento della direttiva 2015/2366/UE (c.d. PSD 2) e l’entrata in vigore del Regolamento delegato (UE) n. 2018/389. Richiamando l’art. 5, comma 6, d.lgs. n. 218/2017, osserva che le misure di sicurezza del d.lgs. n. 11/2010 si applicano dal 14.09.2019, data di decorrenza del regolamento, e sono quindi pienamente operanti nella vicenda.

La nuova disciplina fa ricadere sull’intermediario la responsabilità delle operazioni disconosciute quando non abbia predisposto un sistema di autenticazione forte. Il Collegio richiama la definizione dell’art. 1, comma 1, lett. q-bis), d.lgs. n. 11/2010, che richiede due o più elementi indipendenti tra conoscenza, possesso e inerenza, e richiama l’Opinion EBA del 21 giugno 2019 sull’autenticazione forte.

Nel merito, il Collegio richiede alla ricorrente la prova del compimento delle operazioni e dei messaggi decettivi. All’esito dell’istruttoria, la parte produce le contabili dei cinque pagamenti, le schermate della telefonata e dei messaggi, con corrispondenza di date, orari e numero di telefono rispetto alla denuncia, in un arco temporale compatibile con la truffa.

L’intermediario, invece, è rimasto assente e non ha prodotto alcuna evidenza sulle modalità di autenticazione delle operazioni. Il Collegio ribadisce l’orientamento secondo cui la mancanza anche parziale della prova della SCA è risolutiva e dirimente rispetto alla valutazione delle colpe del cliente, poiché la prova di autenticazione è un prius logico rispetto alla prova della colpa grave dell’utente (Collegio di Roma, decisione n. 26738/19).

Il ricorso è dunque accolto, con ordine all’intermediario di corrispondere alla ricorrente 2.445,00 euro, oltre al contributo alle spese della procedura di 200,00 euro e al rimborso di 20,00 euro versato per la presentazione del ricorso.