Tokenizzazione carte senza autenticazione forte: rimborso integrale per operazioni fraudolente (ABF Collegio di Milano n. 3109 del 09.04.2026)

Principi di diritto (Massima)
In tema di utilizzo fraudolento di strumenti di pagamento digitalizzati, il prestatore di servizi di pagamento è tenuto a provare l’autenticazione forte (SCA) in ciascuna fase rilevante: enrollment dell’app, tokenizzazione della carta nel digital wallet, innalzamento dei massimali ed esecuzione delle singole operazioni. La gestione affidata al wallet provider non esime il PSP dalla responsabilità per la conformità delle modalità di autenticazione alla normativa speciale. Ove la prova della SCA manchi anche solo parzialmente, la transazione non può considerarsi autorizzata e l’importo va rimborsato integralmente, senza applicazione della franchigia, riservata alle ipotesi di furto, smarrimento o appropriazione indebita dello strumento. La prova dell’autenticazione costituisce prius logico rispetto alla valutazione della colpa grave dell’utilizzatore.

Il Fatto

Il ricorrente, persona fisica già rappresentante legale di una società in nome collettivo cancellata, riceveva una telefonata da un sedicente operatore bancario che lo induceva, con la tecnica del vishing, a comunicare dati anagrafici, numeri parziali delle carte e i codici OTP ricevuti via sms. Poco dopo, in un arco di tempo assai breve, venivano tokenizzate le carte nel digital wallet, innalzati i massimali di spesa ed eseguite operazioni in Irlanda. Il ricorrente procedeva al blocco delle carte nel pomeriggio e presentava denuncia, oltre a tre moduli di disconoscimento con esito negativo.

L’intermediario eccepiva la qualificazione della controversia, essendo alcune carte intestate alla società, e sosteneva la corretta autenticazione delle operazioni, invocando la colpa grave del cliente e, in subordine, l’applicazione delle franchigie di legge. Il ricorso riguardava in tutto sette operazioni, tre sulla carta personale e quattro sulle carte aziendali.

La motivazione del Collegio

Il Collegio affronta anzitutto la questione della composizione, rilevando che il ricorrente agisce nella duplice qualità di consumatore, per il conto personale, e di non consumatore, per il conto aziendale. Richiamato l’orientamento condiviso secondo cui, in tal caso, il ricorso è ammissibile e va deciso nel merito per tutti i rapporti, ma con due Collegi distinti e due dispositivi separati, la decisione esamina prima le tre operazioni sulla carta personale.

Il quadro normativo è individuato negli artt. 97 e 98 PSD2, nell’art. 10-bis d.lgs. n. 11/2010 e nel Regolamento Delegato Ue 2018/389. Il riparto dell’onere probatorio impone al PSP di dimostrare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione e, solo in un secondo momento, il comportamento fraudolento o gravemente colposo dell’utente.

Il Collegio rileva che, se la SCA risulta provata per la fase di enrollment, manca invece la prova per la tokenizzazione. L’intermediario si limita a riferire l’assegnazione del numero token da parte del circuito, senza chiarire attraverso quale canale sia avvenuta e quali fattori di autenticazione siano intervenuti. La responsabilità del PSP non è trasferibile al wallet provider, come già affermato dal Collegio di Milano, decisione n. 143/2023. La prova difetta anche per l’innalzamento dei massimali, rispetto al quale sono prodotti solo i log degli sms alert, e per l’esecuzione delle operazioni, autenticate tramite due fattori entrambi riconducibili al possesso.

La mancanza della prova di autenticazione è risolutiva e assorbe la valutazione della colpa. Le operazioni vanno quindi rimborsate integralmente e la franchigia non è applicabile, spettando solo nei casi di furto, smarrimento o appropriazione indebita, secondo il richiamo alla decisione del Collegio di Coordinamento n. 22745 del 10 ottobre 2019. Il Collegio accoglie dunque la domanda per € 2.000,00 e, con identico percorso argomentativo, quella relativa alle quattro operazioni aziendali per € 5.000,00.