Autenticazione forte non esonera l’intermediario se manca l’sms alert (ABF Collegio di Bari n. 4111 del 07.05.2026)

Principi di diritto (Massima)
In tema di pagamenti non autorizzati, la prova della corretta esecuzione dell’operazione mediante un sistema di autenticazione forte secondo gli standard normativi non esonera di per sé l’intermediario dall’obbligo di rimborso. L’art. 10, comma 1, d.lgs. n. 11/2010 addossa al prestatore di servizi di pagamento la dimostrazione che l’operazione sia stata autenticata e correttamente registrata, ma la regolarità formale del processo autorizzativo non basta a far gravare le conseguenze patrimoniali sul titolare dello strumento. Resta necessario provare il dolo o la colpa grave dell’utilizzatore, ai sensi degli artt. 7 e 12, comma 4, d.lgs. n. 11/2010. Parimenti, la mancata prova dell’attivazione del servizio di sms alert integra violazione degli obblighi di protezione che gravano sull’intermediario e, in relazione alle operazioni successive alla prima, consente di porre a suo carico le conseguenze del pregiudizio che l’utente avrebbe potuto attenuare.

Il Fatto

Il ricorrente chiede il rimborso del controvalore di quattro operazioni di pagamento eseguite in data 27/09/2025 con la carta prepagata a lui intestata, emessa da un istituto di moneta elettronica facente capo all’intermediario convenuto. Si tratta di due bonifici istantanei, di un’operazione di pagamento P2P e di una transazione di e-commerce. Il titolare della carta denuncia di aver scoperto gli addebiti controllando l’app dell’intermediario, di aver immediatamente chiesto il blocco della carta e di non aver mai comunicato ad altri le credenziali di accesso.

L’intermediario riconosce solo il rimborso di € 55,00, relativo alla transazione di e-commerce, e nega il resto sostenendo che le operazioni residue siano state autorizzate in regime di autenticazione forte, tramite notifica push sull’app associata al dispositivo del cliente e inserimento del codice segreto. Insoddisfatto dell’esito del reclamo, il ricorrente adisce l’Arbitro per ottenere la restituzione della somma residua, oltre interessi e spese di assistenza difensiva.

La motivazione del Collegio

In via preliminare, il Collegio chiarisce un profilo processuale. Il ricorso è stato proposto nei confronti dell’intermediario che controlla l’istituto emittente, ma nel procedimento si è costituito volontariamente l’istituto di moneta elettronica, qualificandosi come effettivo titolare del rapporto. Poiché né il ricorrente né l’intermediario destinatario hanno contestato tale costituzione, il contraddittorio è validamente instaurato; la pronuncia viene comunque resa nei confronti dell’intermediario convenuto, destinatario del reclamo e del ricorso.

Nel merito, il Collegio ricostruisce la disciplina applicabile ratione temporis: il d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017, e il Regolamento Delegato (UE) n. 2018/389 sui requisiti dell’autenticazione forte. Il rischio di utilizzazione illecita degli strumenti di pagamento grava in prima battuta sull’intermediario, il quale può sottrarsi al rimborso solo provando il dolo o la colpa grave dell’utilizzatore. Il Collegio richiama l’art. 10, comma 1, d.lgs. n. 11/2010, secondo cui l’utilizzo di uno strumento registrato non è di per sé sufficiente a dimostrare l’autorizzazione dell’operazione, e ribadisce che la prova della regolarità formale non basta.

Sul piano tecnico, il Collegio ritiene raggiunta la prova della corretta esecuzione: il sistema adottato dall’intermediario soddisfa i requisiti dell’autenticazione forte, secondo gli standard EBA del 21 giugno 2019, e i log documentano che le transazioni sono state firmate tramite il codice segreto sull’app associata al medesimo dispositivo del ricorrente, senza cambi di utenza.

Tuttavia, la condotta del ricorrente integra colpa grave: egli non ricostruisce le modalità della truffa e riferisce di aver scoperto gli addebiti solo da un controllo successivo, con ciò confermando la custodia non diligente delle credenziali. Il Collegio richiama sul punto gli artt. 7, comma 1, lett. a), e 12, comma 4, d.lgs. n. 11/2010. Ma rileva anche che l’obbligo di tempestiva segnalazione dell’uso indebito è correlato all’obbligo dell’intermediario di rendere disponibili strumenti adeguati, tra cui il servizio di sms alert, dal quale può essere esonerato solo provando l’esplicito rifiuto dell’utente. Poiché la seconda operazione è avvenuta 15 minuti dopo la prima e la terza 47 minuti dopo la seconda, l’sms alert avrebbe verosimilmente permesso al ricorrente di intervenire prima.

Il ricorso è quindi accolto in parte: l’intermediario è tenuto a restituire € 107,00, oltre interessi legali dalla data del reclamo, e a corrispondere alla Banca d’Italia € 200,00 per le spese della procedura e al ricorrente € 20,00 per il rimborso del contributo versato.