Autenticazione forte, operazioni dopo il blocco e riparto dell’onere della prova (ABF Collegio di Napoli n. 2092 del 10.03.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute dall’utente, grava sul prestatore di servizi di pagamento l’onere di provare che ciascuna operazione è stata autenticata, correttamente registrata e contabilizzata ai sensi dell’art. 10, comma 1, d.lgs. n. 11/2010. La prova dell’autenticazione forte del cliente costituisce un prius logico rispetto alla valutazione della colpa grave dell’utilizzatore: in sua assenza, anche parziale, l’operazione resta a carico dell’intermediario. Le operazioni eseguite dopo la comunicazione di blocco restano comunque a carico del prestatore, il quale è tenuto a impedire ogni successivo utilizzo dello strumento ai sensi dell’art. 8 d.lgs. n. 11/2010. Quanto alle operazioni correttamente autenticate, la stretta successione temporale tra furto del dispositivo e utilizzo fraudolento può fondare la presunzione di colpa grave dell’utente per conservazione delle credenziali insieme allo strumento.

Il Fatto

Il ricorrente, titolare di un conto corrente e di una carta di pagamento collegata, smarrisce il proprio telefono cellulare, sul quale era installata l’App per la gestione del conto e della carta. Si reca immediatamente dalle autorità per la denuncia e, rientrato a casa, contatta il servizio clienti dell’intermediario ottenendo il blocco di conto e carta tra le ore 19:32 e le ore 19:34 del 6 marzo 2025.

Tra il 6 e il 7 marzo 2025 soggetti ignoti eseguono numerose operazioni non autorizzate — ricariche, bonifici istantanei, pagamenti POS, bollettini, prelievi ATM e ricariche telefoniche — per un importo che il ricorrente quantifica in € 7.498,69. L’intermediario respinge la richiesta di rimborso, sostenendo che le operazioni sarebbero state correttamente autenticate e addebitando al cliente la negligenza nella custodia delle credenziali. Il ricorrente chiede la restituzione dell’intero importo, il risarcimento dei danni e le spese legali.

La motivazione del Collegio

Il Collegio inquadra la vicenda nell’ambito del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2, e richiama la disciplina della strong customer authentication dettata dagli artt. 97 e 98 PSD2 e dal Regolamento Delegato (UE) 2018/389. L’art. 10-bis impone ai prestatori di applicare l’autenticazione forte basata su due o più elementi indipendenti tra le categorie della conoscenza, del possesso e dell’inerenza.

Esaminando la procedura adottata dall’intermediario — notifica push in App e codice identificativo — il Collegio la ritiene conforme agli standard normativi e alle indicazioni EBA, richiamando sul punto la decisione del Collegio di Roma n. 3507/2024. Analogo giudizio di provata autenticazione è espresso per il prelievo cardless di € 600,00, in linea con la decisione del Collegio di Napoli n. 298/26. Viceversa, per le operazioni Pago* del 6 marzo 2025 (€ 276,56) e per il pagamento POS di € 20,00 l’intermediario non versa alcuna evidenza: tali operazioni non possono considerarsi correttamente autenticate.

Il Collegio ribadisce che, secondo il consolidato orientamento dei Collegi, la mancanza anche parziale della prova di autenticazione è risolutiva e dirimente rispetto alla valutazione di eventuali profili di colpa del cliente. Per le operazioni correttamente autenticate richiama invece la decisione del Collegio di Coordinamento n. 22745/2019: la produzione documentale sull’autenticazione non soddisfa di per sé l’onere di provare frode, dolo o colpa grave dell’utente, che può essere dimostrata anche per presunzioni ai sensi dell’art. 2729 c.c., come ammesso da Cass. n. 654/2010.

Quanto alla condotta del cliente, il Collegio richiama l’art. 7 d.lgs. n. 11/2010 e gli obblighi di custodia delle credenziali. Sulla scorta della decisione del Collegio di Coordinamento n. 5304/2013, la sequenza temporale tra furto e utilizzi fraudolenti in stretta successione fonda la presunzione che i codici fossero conservati insieme al dispositivo: sussiste dunque una colpa grave, ma non esente da censure è anche la condotta dell’intermediario. Il call center, a fronte del furto del device, avrebbe dovuto indagare sulle circostanze e circoscrivere il rischio: il solo blocco della carta è parso inappropriato.

Pertanto restano a carico dell’intermediario le operazioni compiute dopo il blocco, a prescindere dalla loro autenticazione, e quelle anteriori prive di traccia di autenticazione, per complessivi € 2.283,49. Il Collegio rigetta la domanda di risarcimento danni, non documentata, e riconosce equitativamente € 300,00 per le spese di assistenza difensiva, richiamando la decisione del Collegio di Coordinamento n. 4580/25. Accoglie quindi parzialmente il ricorso.