Verifica in filiale per cambio OTP legittima per ragioni di sicurezza (ABF Collegio di Bologna n. 1610 del 23.02.2026)

Principi di diritto (Massima)
La modifica del numero di cellulare associato al servizio di ricezione dei codici OTP non costituisce un semplice aggiornamento anagrafico, ma un’operazione di associazione dell’utente alle proprie credenziali di sicurezza personalizzate. Il prestatore di servizi di pagamento è pertanto libero di individuare, sotto la propria responsabilità, i luoghi e le procedure tecniche idonei a garantirne la protezione. Ai sensi dell’art. 24, lett. a), del Regolamento Delegato (UE) 2018/389, tale associazione avviene in ambienti protetti, tra cui i locali del prestatore. È legittima, quindi, la condotta della banca che subordini il cambio del numero all’identificazione fisica del cliente presso una filiale, in conformità all’art. 97 della PSD 2. Non si configura alcuna violazione del diritto del cliente alla modifica del numero.

Il Fatto

Il ricorrente, titolare di un rapporto di finanziamento ancora pendente, aveva chiesto all’intermediario di modificare il numero di cellulare associato alla ricezione dei codici OTP. Il numero precedente era divenuto inutilizzabile perché la SIM era stata bloccata per motivi di sicurezza. La banca si era dichiarata disponibile alla variazione, ma solo previa identificazione fisica del cliente presso una propria filiale.

Il ricorrente lamentava di non potersi recare in agenzia, troppo lontana e con orari incompatibili con i propri impegni lavorativi, e di non poter quindi consultare in tempo reale la situazione debitoria né accedere agli ulteriori servizi. Insoddisfatto dell’interlocuzione in fase di reclamo, proponeva ricorso all’ABF chiedendo la condanna della banca al cambio del numero o alla chiusura del vecchio account per aprirne uno nuovo.

La motivazione del Collegio

L’intermediario eccepiva in via preliminare l’inammissibilità del ricorso, sostenendo che la domanda mirasse a una condanna a un facere infungibile, estranea alla competenza dell’Arbitro, circoscritta all’accertamento di diritti, obblighi e facoltà. Il Collegio ritiene l’eccezione infondata: la domanda può essere interpretata anche come volta all’accertamento della illegittimità della condotta dell’intermediario, che avrebbe disatteso le richieste del cliente violandone il diritto di consultare in tempo reale la propria situazione finanziaria.

Nel merito, il Collegio rileva la correttezza della condotta della banca. La variazione del numero associato alla ricezione degli OTP non è un semplice aggiornamento anagrafico, ma un’operazione di associazione dell’utente alle credenziali di sicurezza. La disciplina applicabile è l’art. 24 del Regolamento Delegato (UE) 2018/389 (R.T.S.), che al punto a) prevede che l’associazione dell’identità dell’utente alle credenziali di sicurezza personalizzate avvenga, sotto la responsabilità del prestatore, in ambienti protetti che comprendono almeno i locali del prestatore stesso.

Su questa base, il comportamento prudente dell’intermediario è giudicato legittimo e giustificato dalla necessità di garantire il massimo di sicurezza per proteggere l’identità digitale del cliente e la riservatezza delle credenziali. Il Collegio sottolinea che l’intermediario è libero di individuare, sotto la propria responsabilità, i luoghi fisici o telematici e le procedure tecniche ritenute più idonee a garantire la protezione nelle operazioni di associazione alle credenziali necessarie per fruire dei servizi di pagamento.

Il richiamo all’art. 97 della PSD 2 conferma l’obbligo degli intermediari di adottare misure di sicurezza adeguate e proporzionate al rischio. Nel caso concreto, la modifica del canale di ricezione degli OTP è stata qualificata come operazione ad alto rischio, con conseguente necessità e proporzionalità del presidio dell’identificazione in presenza. Il Collegio conclude pertanto che non si è determinata alcuna violazione del diritto del ricorrente e non accoglie il ricorso.