Autenticazione forte e onere di allegazione del cliente nel pagamento online disconosciuto (ABF Collegio di Roma n. 237 del 13.01.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento online disconosciute, l’intermediario assolve l’onere della prova previsto dall’art. 10 d.lgs. n. 11/2010 quando documenti che l’operazione è stata autenticata, correttamente registrata e contabilizzata mediante un sistema di autenticazione forte del cliente conforme alla PSD 2. Il ricorso a un sistema a doppio fattore, in assenza di malfunzionamento, è idoneo a dimostrare la corretta autenticazione. A fronte di un disconoscimento generico, grava sul ricorrente un onere di allegazione di circostanze che offrano almeno una attendibile ipotesi alternativa all’utilizzo imputabile al titolare, direttamente o per colpa grave.

Il Fatto

La ricorrente riferisce di aver tentato il 12 giugno 2025 un pagamento online di € 2,17 con la propria carta di debito per “sbloccare un pacco” sul sito di uno spedizioniere; l’operazione non andava a buon fine. Due giorni dopo veniva contattata da un numero riconducibile al servizio antifrode dell’intermediario per bloccare un pagamento sospetto di € 1.000,00 e chiedeva il blocco della carta. In tale circostanza si avvedeva che il 12 giugno era stato effettuato un pagamento di € 418,57, che nega di aver mai autorizzato. Non sporgeva denuncia, confidando nella definizione bonaria, e chiedeva la restituzione dell’importo.

L’intermediario chiede il rigetto: l’operazione si è perfezionata tramite il servizio 3D Secure, i sistemi hanno correttamente registrato e contabilizzato pagamenti regolarmente autorizzati, e la banca è estranea agli eventi che hanno determinato il danno. Sostiene inoltre che la ricorrente avrebbe comunicato al truffatore i dati della carta e i codici di autenticazione.

La motivazione del Collegio

Il Collegio ricostruisce anzitutto il quadro normativo applicabile ratione temporis. L’operazione è successiva all’entrata in vigore della direttiva 2015/2366/UE e del d.lgs. n. 218/2017, nonché alla data di applicazione del Regolamento delegato (UE) n. 2018/389. Richiamando l’art. 5, comma 6, d.lgs. n. 218/2017 e l’art. 38, par. 2, del Regolamento, il Collegio precisa che le norme del d.lgs. n. 11/2010 sulle misure di sicurezza, come modificate, hanno efficacia dal 14.09.2019 e sono dunque applicabili alla vicenda.

La nuova disciplina fa ricadere sull’intermediario la responsabilità delle operazioni disconosciute quando non abbia predisposto un sistema di autenticazione forte. Il Collegio richiama l’art. 10-bis d.lgs. n. 11/2010 e l’art. 12, comma 2-bis, del medesimo decreto, secondo cui, salvo il caso di frode del pagatore, questi non sopporta perdite se il prestatore non esige l’autenticazione forte. Il concetto è definito dall’art. 1, comma 1, lett. q-bis), d.lgs. n. 11/2010 e precisato dall’Opinion EBA del 21 giugno 2019: l’OTP via SMS integra un elemento di possesso idoneo, mentre i dati riportati sulla carta non costituiscono né un valido elemento di possesso né di conoscenza.

Nel caso concreto l’intermediario ha prodotto i LOG informatici dai quali risulta che l’operazione è stata autenticata tramite 3D Secure 2.0, con password dinamica OTP via SMS e inserimento del codice statico K***6, oltre all’evidenza dell’SMS OTP trasmesso al numero certificato della ricorrente, contenente i dettagli dell’operazione. La ricezione dell’SMS non è contestata. Il Collegio richiama la propria precedente decisione (Collegio di Roma n. 723/2023) secondo cui il sistema 3D Secure 2.0 è conforme alla SCA.

Quanto alla dinamica della frode, il Collegio rileva che la ricorrente non ha offerto allegazioni sulle modalità dell’adescamento. Il tentativo di pagamento di € 2,17 sul sito dello spedizioniere rende plausibile che i codici siano stati digitati dalla cliente nell’erronea convinzione di “sbloccare un pacco”. In assenza di una ricostruzione che configuri uno schema sofisticato, non è possibile escludere la colpa grave del titolare. Il Collegio richiama la giurisprudenza ABF sulla scarsa contestualizzazione dei fatti (Collegio di Roma n. 7046/2023) e sull’onere di allegazione a carico del ricorrente (Coll. Roma n. 10723/19).

In definitiva, l’intermediario ha documentato la corretta autenticazione, registrazione e contabilizzazione dell’operazione, assolvendo l’onere probatorio, senza che emergano profili di responsabilità a suo carico. Il ricorso è pertanto respinto.