Prova dell’autenticazione forte nelle operazioni via wallet e onere dell’intermediario (ABF Collegio di Bari n. 4377 del 14.05.2026)

Principi di diritto (Massima)
Nei servizi di pagamento, quando l’utente nega di aver autorizzato un’operazione eseguita mediante carta digitalizzata in un wallet gestito da terzi, l’intermediario non assolve l’onere probatorio limitandosi a dimostrare la fase di tokenizzazione dello strumento. Deve provare l’autenticazione forte anche nella fase esecutiva delle singole operazioni, non potendosi ritenere implicito che le transazioni siano state correttamente autenticate dal solo fatto che risultino autorizzate. La verifica della conformità ai requisiti di SCA costituisce prius logico giuridico rispetto all’esame della colpa grave dell’utente. In difetto di tale prova, e in assenza di dimostrazione del dolo o della colpa grave del titolare, la perdita patrimoniale è sopportata dall’intermediario, tenuto al rimborso.

Il Fatto

La ricorrente, titolare di una carta prepagata rilasciata dall’intermediario, ha disconosciuto quattordici operazioni di pagamento online disposte il 31 luglio 2025 per complessivi € 3.142,00. Ha sporto denuncia, chiesto il rimborso e ottenuto riscontro negativo. Ha quindi adito l’Arbitro sostenendo di essere rimasta vittima di una frode e ascrivendo all’intermediario la responsabilità del danno.

L’intermediario si è opposto sostenendo che le operazioni erano state eseguite in regime di autenticazione forte tramite un token collegato a un wallet, previa configurazione dell’app sul dispositivo con credenziali, dati della carta e OTP via SMS sul numero certificato della cliente. Ha eccepito la colpa grave della titolare, ipotizzando la divulgazione dei codici OTP a terzi, e ha chiesto il rigetto del ricorso.

La motivazione del Collegio

Il Collegio ricostruisce la disciplina applicabile: le transazioni sono compiute sotto il vigore del d.lgs. n. 11/2010, come modificato dal d.lgs. 218/2017, e del Regolamento Delegato (UE) n. 2018/389. Il rischio di utilizzazione illecita grava in prima battuta sull’intermediario, che può sottrarsi al rimborso solo provando il dolo o la colpa grave dell’utilizzatore, secondo il combinato disposto degli artt. 7, 10 e 12, comma 4, d.lgs. n. 11/2010.

L’art. 10 del decreto, richiamato testualmente, pone a carico del prestatore di servizi di pagamento la prova che l’operazione è stata autenticata, correttamente registrata e contabilizzata. Il secondo comma precisa che l’utilizzo di uno strumento registrato non è di per sé sufficiente a dimostrare l’autorizzazione, né la frode o la colpa grave dell’utente: è onere del prestatore fornirne la prova.

Dalla documentazione prodotta il Collegio rileva che l’enrollment della carta sul dispositivo del frodatore risulta perfezionato alle ore 14:01 del 31/07/2025 e che la tokenizzazione sul wallet è avvenuta alle ore 14:05, con accesso in app e firma digitale tramite il codice segreto. Su questo passaggio la prova è quindi completa.

Quanto alla fase dispositiva delle singole operazioni, però, «al netto dell’elemento di possesso, rappresentato dal mobile wallet, non si rinviene nella documentazione prodotta la prova dell’ulteriore fattore di autenticazione utilizzato». Il Collegio richiama il principio della ABF Coll. Coord. Dec. n. 21285/2021: la prova non può limitarsi alla tokenizzazione, ma deve riguardare anche la fase esecutiva delle singole operazioni. E ribadisce, sulla scorta della ABF Coll. Coord. Dec. n. 24366/2019, che la verifica della conformità ai requisiti di SCA è prius logico giuridico rispetto all’esame della negligenza dell’utente.

Difettando la prova della regolare esecuzione delle transazioni e quella del dolo o della colpa grave della titolare, la perdita ricade sull’intermediario. Il Collegio accoglie il ricorso e dispone il rimborso di € 3.142,00, oltre alla somma di € 200,00 quale contributo alle spese della procedura e € 20,00 per il rimborso versato dalla ricorrente.