Autenticazione biometrica e onere di allegazione nel disconoscimento della carta di credito (ABF Collegio di Roma n. 1549 del 19.02.2026)

Principi di diritto (Massima)
Le operazioni di pagamento online eseguite con autenticazione forte basata su fattore di possesso (device del titolare) e fattore di inerenza (dati biometrici) si considerano autorizzate e non sono soggette al regime di responsabilità del prestatore di servizi di pagamento previsto dal d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017. Spetta all’intermediario provare la conformità del sistema di autenticazione alla PSD2 e alle norme tecniche del regolamento delegato (UE) n. 2018/389. Il titolare della carta non può limitarsi a disconoscere le operazioni: grava su di lui un onere di allegazione di circostanze che offrano almeno un’ipotesi alternativa attendibile rispetto all’utilizzo, diretto o per colpa grave, a lui imputabile. In mancanza, la domanda di rimborso è rigettata.

Il Fatto

Il ricorrente, intestatario di una carta di credito emessa dall’intermediario, ha disconosciuto due operazioni contabilizzate il 31.07.2024, dell’importo complessivo di € 2.064,26, eseguite su un sito indonesiano. Ha riferito di essersi accorto delle transazioni solo il 04.09.2024, in occasione di un controllo del conto, e di aver bloccato carta e conto il giorno successivo. Ha negato di aver mai rivelato il PIN, di aver smarrito la carta o di essersi recato in Indonesia, chiedendo il rimborso con interessi e rivalutazione.

L’intermediario ha eccepito che nessun documento, oltre alla denuncia sporta oltre un mese dopo le operazioni, prova la frode. Ha sostenuto che le transazioni erano state autenticate tramite notifiche push sul dispositivo del ricorrente e fattore biometrico, come risultante dai LOG, e ha chiesto il rigetto del ricorso.

La motivazione del Collegio

Il Collegio ha anzitutto verificato il quadro normativo applicabile ratione temporis, rilevando che le operazioni, eseguite nel luglio 2024, ricadono a pieno nel perimetro della direttiva 2015/2366/UE e del d.lgs. n. 218/2017, nonché del regolamento delegato (UE) n. 2018/389, efficace dal 14.09.2019.

La questione centrale attiene alla nozione di autenticazione forte del cliente, definita dall’art. 1, comma 1, lett. q-bis), d.lgs. n. 11/2010: due o più elementi indipendenti tra conoscenza, possesso e inerenza. Il Collegio richiama l’Opinion EBA del 21.06.2019, che ha chiarito come l’OTP via sms integri un elemento di possesso valido, mentre i dati stampati sulla carta non costituiscano né elemento di possesso né di conoscenza.

Nel caso concreto, dai LOG prodotti dall’intermediario emerge che l’app era stata installata sul device del ricorrente due anni prima, con doppio fattore (password e OTP), senza successive modifiche del DeviceId né installazioni su altri dispositivi. Le due operazioni erano state autorizzate tramite push notification e riconoscimento biometrico, come attestato dalla colonna “Tipo di Autorizzazione” recante la voce “FINGERPRINT_FACEID”.

Il Collegio richiama l’orientamento condiviso dei Collegi ABF secondo cui, quando l’operazione è eseguita per intero dal pagatore con tutti i fattori di autenticazione, essa deve considerarsi autorizzata e non è configurabile una responsabilità oggettiva del prestatore. Viene esclusa anche una responsabilità concorrente, non emergendo dalla documentazione alcun apporto causale dell’intermediario. Parimenti irrilevanti sono gli indici di anomalia invocati dal ricorrente, non applicabili al caso.

Il Collegio afferma infine che, fermo l’onere probatorio a carico dell’intermediario, sul ricorrente grava un onere di allegazione di circostanze atte a offrire un’ipotesi alternativa attendibile all’utilizzo imputabile al titolare. Non avendo il ricorrente descritto le modalità della frode né nel ricorso né nella denuncia, il ricorso è stato respinto.