Autenticazione forte e onere della prova del PSP nelle operazioni da wallet (ABF Collegio di Bari n. 1910 del 04.03.2026)

Principi di diritto (Massima)
Nelle operazioni di pagamento non autorizzate il PSP deve provare che l’autenticazione è avvenuta nel rispetto dei requisiti della strong customer authentication in tutte le fasi in cui si articola l’operazione, sia dispositiva sia autorizzativa. La produzione dei log che attestano l’invio di una notifica push e la sua validazione biometrica soddisfa l’onere probatorio per le operazioni e-commerce. Non lo soddisfa, invece, la documentazione relativa ai pagamenti tramite digital wallet quando non emerge il dispositivo dell’accesso e manca la prova del secondo fattore in fase autorizzativa. Lo sblocco del telefono con PIN o biometria vale come secondo fattore solo se preventivamente associato all’utente con procedura conforme a SCA. Accertata la conformità all’autenticazione forte, le mancate allegazioni del ricorrente sulle circostanze della frode possono integrare la colpa grave dell’utente.

Il Fatto

Il ricorrente, correntista dell’intermediario, dopo la fase del reclamo si rivolge all’Arbitro chiedendo la restituzione di 1.600,00 euro, valore di quattro operazioni di pagamento che disconosce perché effettuate fraudolentemente da terzi: due disposte online il 4 agosto 2025 e due tramite wallet il 7 agosto 2025.

L’intermediario eccepisce la genericità della contestazione e l’inapplicabilità della disciplina sulla responsabilità oggettiva dei PSP, sostenendo che le operazioni sarebbero state autorizzate personalmente dal ricorrente. Deduce comunque la regolarità delle disposizioni con modalità conformi alla SCA e la colpa grave dell’utente, che non avrebbe allegato elementi sulle circostanze della frode.

La motivazione del Collegio

Il Collegio applica il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, insieme al Regolamento Delegato (UE) n. 2018/389. L’eccezione dell’intermediario secondo cui le operazioni sarebbero state poste in essere dal ricorrente è respinta: dalle dichiarazioni rese in reclamo e ricorso non è ricostruibile la dinamica della truffa e, secondo l’orientamento dei Collegi, il concorso causale parziale dell’utente in fase dispositiva o autorizzativa non vale, per ciò solo, a rendere l’operazione autorizzata.

La verifica si sposta quindi sull’onere probatorio posto a carico del PSP, che deve dimostrare l’avvenuta autenticazione, la corretta registrazione e contabilizzazione dell’operazione e la conformità del sistema ai criteri SCA, con autenticazione a doppio fattore. Tali requisiti devono sussistere, e di essi va data prova, in tutte le fasi dell’operazione disconosciuta.

Per le due operazioni e-commerce del 4 agosto la prova è raggiunta. I log documentano l’esecuzione mediante tap e validazione della notifica push tramite parametro biometrico, con testo completo di beneficiario e importo: fattore di possesso e fattore di conoscenza sono entrambi attestati, in continuità con questo Collegio n. 4080/2025.

Diverso l’esito per le due disposizioni tramite wallet del 7 agosto. L’intermediario prova la registrazione della carta sul wallet e l’inserimento della password o del parametro biometrico, ma non chiarisce attraverso quale dispositivo sia avvenuto l’accesso né su quale device sia stata effettuata la tokenizzazione. Quanto all’autorizzazione delle singole operazioni, eseguite tramite POS, risulta provato il solo fattore di possesso. Il Collegio richiama il principio del Collegio di Coordinamento n. 21285/2021, confermato da n. 9559/2024: il codice di sblocco del dispositivo o il riconoscimento biometrico valgono come secondo fattore solo se preventivamente associati all’utente mediante procedura conforme a SCA. Nel caso concreto manca la prova del fattore di conoscenza.

Accertata la carenza probatoria sulla SCA, il profilo della colpa grave resta assorbito per le operazioni da wallet, secondo Collegio di Coordinamento n. 22745/2019: la prova dell’autenticazione è prius logico rispetto a quella della colpa grave. Per le sole operazioni e-commerce, invece, la colpa grave è integrata dalle mancate allegazioni del ricorrente, che non ha offerto elementi su una particolare sofisticatezza della frode. Irrilevante, infine, la carenza di alert in transazioni ravvicinate. Il ricorso è accolto per 800,00 euro, con contributo di 200,00 euro alla Banca d’Italia e rimborso di 20,00 euro al ricorrente.