Autenticazione SCA e colpa grave dell’utente nelle operazioni fraudolente su carta (ABF Collegio di Bologna n. 2839 del 30.03.2026)

Principi di diritto (Massima)
Nelle controversie su operazioni di pagamento non autorizzate, grava sul prestatore di servizi di pagamento, ai sensi dell’art. 10, primo comma, d.lgs. n. 11/2010, l’onere di provare che ciascuna operazione contestata è stata autenticata, correttamente registrata e contabilizzata e che non ha subito gli effetti di malfunzionamenti o altri inconvenienti. Solo una volta fornita tale prova integrale l’intermediario può invocare la colpa grave dell’utente, che deve essere desunta non dalla mera regolarità formale dell’operazione, ma da elementi di fatto specifici relativi alle modalità esecutive. La produzione documentale sulla sola autenticazione non esaurisce l’onere probatorio a carico del prestatore.

Il Fatto

La ricorrente deduceva di aver subito il furto del proprio cellulare e che, nello stesso giorno, erano state eseguite numerose operazioni non autorizzate sul conto. Addebitava la frode alla inefficienza dei sistemi di autenticazione dell’intermediario. Dopo l’esito negativo del reclamo, chiedeva all’Arbitro la restituzione delle somme fraudolentemente addebitate, oltre agli interessi legali.

Il ricorso era proposto nei confronti dell’intermediario A, non costituitosi. Si costituiva spontaneamente l’intermediario B, qualificatosi come titolare del rapporto, eccependo che tutte le transazioni erano state regolarmente autenticate con corretta applicazione della SCA e che la ricorrente aveva custodito in modo negligente il cellulare. Chiedeva il rigetto del ricorso.

La motivazione del Collegio

In via preliminare, il Collegio confermava il proprio orientamento sull’intervento volontario del legittimato passivo sostanziale in luogo del destinatario formale del ricorso, richiamando la dec. 3077/2023. La pronuncia poteva dunque essere resa nei confronti dell’intermediario che pacificamente gestiva il rapporto.

Nel merito, la fattispecie rientrava nel campo di applicazione del d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Il Collegio richiamava l’art. 10, primo comma, d.lgs. 11/2010, che pone a carico del prestatore l’onere di provare autenticazione, corretta registrazione e contabilizzazione delle operazioni. Il secondo comma, sulla prova della frode o della colpa grave dell’utilizzatore, opera solo in via subordinata.

Richiamando il Collegio di Coordinamento, dec. 22745/2019, il Collegio ribadiva che la sola documentazione sull’autenticazione e sulla regolarità formale non soddisfa l’onere probatorio: occorre indicare specificamente gli elementi di fatto delle modalità esecutive dai quali trarre, in via presuntiva, la colpa grave dell’utente. L’obbligo dell’intermediario si configura così come dovere rafforzato di diligenza professionale.

Esaminate le modalità della frode — creazione della provvista, enrollment del dispositivo, tokenizzazione della carta su wallet, autenticazione in app e operazioni dispositive — il Collegio rilevava che per quattro operazioni (un pagamento POS da euro 4,80, un prelievo da euro 600 e due pagamenti token) l’intermediario non aveva fornito prova esauriente del meccanismo di autenticazione. Per queste il ricorso era accolto.

Per le restanti operazioni, regolarmente autenticate, il Collegio verificava la sussistenza della colpa grave. Il breve lasso temporale tra furto e operazioni induceva a ritenere che le credenziali fossero custodite assieme al cellulare; il furto, avvenuto in prossimità di un luogo notoriamente frequentato dalla microcriminalità, avrebbe richiesto attenzione rafforzata. Il Collegio ravvisava pertanto elementi concordanti di colpa grave, con conseguente non accoglibilità della domanda di rimborso integrale.

In parziale accoglimento, l’intermediario era dichiarato tenuto alla restituzione di euro 1.105,00, oltre interessi legali dalla data del reclamo, nonché al pagamento del contributo di euro 200,00 alla Banca d’Italia e di euro 20,00 alla ricorrente.