Autenticazione forte non provata nelle operazioni da wallet: rimborso dovuto (ABF Collegio di Bari n. 1381 del 17.02.2026)

Principi di diritto (Massima)
Nel caso di operazioni di pagamento eseguite tramite digital wallet, l’intermediario non assolve l’onere probatorio previsto dall’art. 10, comma 2, d.lgs. n. 11/2010 limitandosi a dimostrare la regolarità della fase di tokenizzazione della carta e l’invio dei codici OTP. La prova dell’autenticazione forte deve riguardare anche la fase esecutiva delle singole operazioni, con l’indicazione specifica dei fattori di conoscenza, possesso o inerenza concretamente utilizzati. La mancanza di tale prova è risolutiva e precede logicamente ogni valutazione sulla colpa grave dell’utente, con conseguente diritto al rimborso delle somme addebitate.

Il Fatto

La ricorrente riferisce di aver ricevuto una comunicazione apparentemente proveniente dalla banca, che la avvisava della disabilitazione del profilo e la invitava a inserire i propri dati tramite un link. Dopo aver seguito il collegamento e inserito il codice ricevuto, si accorgeva che erano stati disposti due pagamenti, per complessivi € 509,53. Bloccava immediatamente la carta e presentava querela, oltre a un reclamo riscontrato negativamente dall’intermediario.

La ricorrente lamenta una falla nel sistema informatico della banca, avendo ricevuto il codice di sicurezza nella stessa chat utilizzata dall’istituto. L’intermediario eccepisce che le operazioni erano state eseguite tramite digital wallet previa enrollment di un nuovo dispositivo, autorizzato con codici OTP inviati sul cellulare certificato, e invoca la colpa grave della cliente per aver inserito le credenziali in una comunicazione non riconducibile alla banca.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo applicabile, individuando nel d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2, e nel Regolamento Delegato (UE) n. 2018/389 il fondamento della disciplina sull’autenticazione forte. Il rischio di utilizzazione fraudolenta degli strumenti di pagamento ricade in prima battuta sull’intermediario, che può sottrarsi al rimborso solo provando il dolo o la colpa grave dell’utilizzatore.

Richiamando l’art. 10, comma 2, d.lgs. n. 11/2010, il Collegio ribadisce che l’utilizzo di uno strumento registrato non è di per sé sufficiente a dimostrare l’autorizzazione dell’operazione, né la frode o la colpa grave dell’utente. Viene inoltre valorizzato il principio del Collegio di Coordinamento n. 21285/2021: nei pagamenti tramite wallet la prova non può limitarsi alla fase di tokenizzazione, ma deve investire la fase esecutiva delle singole operazioni, non potendosi ritenere implicita l’autenticazione dal solo fatto che le transazioni risultino autorizzate o eseguite in modalità contactless.

Applicando tale principio, il Collegio rileva che la banca non ha specificato quali fattori di autenticazione siano stati utilizzati per le due operazioni contestate. L’onere probatorio sull’autenticazione non risulta pertanto assolto. La mancanza di tale prova è considerata dirimente rispetto alla valutazione di eventuali profili di colpa del cliente, costituendo un prius logico rispetto alla prova della colpa grave.

Ne consegue l’accoglimento del ricorso e il riconoscimento del diritto al rimborso di € 509,53, oltre al rimborso della somma versata per la presentazione del ricorso e al contributo alle spese della procedura.