Onere della prova dell’autenticazione forte e rimborso del bonifico non autorizzato (ABF Collegio di Milano n. 3303 del 15.04.2026)

Principi di diritto (Massima)
Il prestatore di servizi di pagamento che intenda opporre l’autenticazione forte del cliente deve fornire la prova non solo dell’utilizzo dei fattori di autenticazione, ma anche dell’effettiva disponibilità e del controllo esclusivo del dispositivo da parte del legittimo titolare. La produzione di log informatici privi di legenda esplicativa non assolve l’onere probatorio di cui all’art. 10, comma 1, del D.Lgs. n. 11/2010, perché non consente di verificare con certezza i singoli passaggi registrati dal sistema. Quando il concorso causale dell’utente è solo parziale, l’operazione non si considera per ciò solo autorizzata e resta soggetta al regime di responsabilità della PSD2. In difetto di prova della SCA, l’intermediario è tenuto al rimborso ai sensi dell’art. 11 del D.Lgs. n. 11/2010.

Il Fatto

Il ricorrente riferisce di aver ricevuto un SMS da un numero non riconducibile all’intermediario, che lo avvisava dell’esecuzione di un bonifico non riconosciuto, e di essere stato poi contattato da un soggetto qualificatosi come dipendente della banca, il quale lo rassicurava sull’avvenuta revoca dell’operazione. In seguito scopriva l’addebito di un bonifico SEPA di € 4.900,00 in favore di un soggetto sconosciuto, titolare di conto presso una banca estera.

Il ricorrente nega di aver ricevuto notifiche per autorizzare l’operazione e di aver comunicato le proprie credenziali, e lamenta che l’intermediario non abbia intercettato gli indici di anomalia: destinazione estera, importo superiore ai bonifici precedenti, orario prossimo alla chiusura degli sportelli. Presentata denuncia e reclamo rimasto senza riscontro, chiede il rimborso della somma, gli interessi legali e le spese di assistenza legale. L’intermediario sostiene che il bonifico è stato eseguito via browser, con inserimento manuale dei dati e autenticazione tramite MPIN e notifica push, e chiede il rigetto del ricorso.

La motivazione del Collegio

Il Collegio affronta anzitutto la qualificazione dell’operazione come autorizzata. Le due versioni della denuncia non coincidono: la prima menziona operazioni suggerite durante una lunga conversazione telefonica, l’integrazione successiva precisa che il ricorrente si trovava all’estero e non aveva comunicato le credenziali, pur ammettendo di aver eseguito le operazioni richieste. Tale contrasto non consente di escludere che il contributo del ricorrente si sia limitato alla fase autorizzativa, ad esempio alla sola conferma delle notifiche push.

Richiamando l’orientamento condiviso dei Collegi (Collegio di Milano, decisione n. 4601/2024), il Collegio ribadisce che il concorso causale parziale dell’utente non rende per ciò solo autorizzata la transazione, che resta soggetta al regime della PSD2. Si passa quindi all’esame della prova dell’autenticazione forte, il cui onere grava sull’intermediario ai sensi dell’art. 10, comma 1, del D.Lgs. n. 11/2010.

La produzione di log informatici non basta, secondo l’orientamento consolidato (Collegio di Coordinamento, decisione n. 22745/2019), se non è accompagnata da una legenda esplicativa o da puntuali indicazioni che permettano di verificare i singoli passaggi registrati. Nel caso concreto l’intermediario ha depositato evidenze tecnico-informatiche sulla fase di accesso e su quella dispositiva senza alcuna legenda: le diciture contenute nei log sono astrattamente compatibili con i fattori di conoscenza e di possesso, ma restano ambigue e non consentono di attribuire a ciascuna un significato tecnico univoco.

A ciò si aggiunge un profilo ulteriore. La prova della SCA richiede anche la verifica che il dispositivo fosse nella disponibilità e sotto il controllo esclusivo del titolare (Collegio di Milano, decisione n. 7561/2025). Nel caso di specie l’identificativo presente nei log non è riconducibile con univocità al dispositivo del ricorrente, né si può escludere il coinvolgimento di più device. La prova dell’autenticazione è dunque incompleta e l’intermediario è tenuto al rimborso di € 4.900,00, oltre interessi legali dalla data del reclamo (Collegio di Coordinamento, decisione n. 5304/2013).

Quanto alle spese di assistenza legale, il Collegio richiama il principio secondo cui sono rimborsabili solo in presenza di una condotta dell’intermediario gravemente scorretta o significativamente dilatoria (Collegio di Coordinamento, decisione n. 4580/2025); presupposto che nella specie non ricorre, con conseguente rigetto della voce. Il ricorso è accolto parzialmente nei termini indicati.