Colpa grave dell’utilizzatore nella custodia del PIN e autenticazione SCA (ABF Collegio di Bari n. 1391 del 17.02.2026)

Principi di diritto (Massima)
Il rischio di utilizzazione illecita dello strumento di pagamento grava in prima battuta sull’intermediario, tenuto a provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata. L’uso dello strumento registrato dal prestatore non è di per sé prova dell’autorizzazione dell’utente, né della sua frode o colpa grave. Se il PSP non ha richiesto un’autenticazione forte (SCA), il pagatore non sopporta alcuna perdita, salvo frode. Ove invece le operazioni ATM rechino regolare lettura del chip e corretta digitazione del PIN, e il dispositivo e le credenziali risultino custoditi insieme, integra colpa grave dell’utilizzatore ai sensi degli artt. 7 e 12, comma 4, d.lgs. n. 11/2010.

Il Fatto

La ricorrente, titolare di una carta di debito, agisce per il rimborso di € 1.560,00 sottrattile da terzi dopo il furto dello strumento. Il marito, cui aveva consegnato la carta, subiva il furto del portafoglio presso un’autostazione. La cliente tentava di bloccare lo strumento, riuscendovi solo alle ore 18:47. In filiale riscontrava tre prelievi ATM (€ 250,00, € 250,00 e € 1.000,00) tra le 16:18 e le 16:28 e due pagamenti POS da € 30,00 alle 18:15 e 18:16. Sporta denuncia e respinto il reclamo, adisce l’Arbitro.

L’intermediario si oppone: i tracciati informatici mostrano operazioni autorizzate con regolare lettura del microchip e corretto inserimento del PIN al primo tentativo, senza anomalie. La carta è stata bloccata solo dopo le transazioni. Eccepisce la colpa grave della titolare, presumibilmente per custodia del PIN insieme alla carta, e in subordine invoca il concorso di colpa o la franchigia.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo nel d.lgs. n. 11/2010, come modificato dal d.lgs. 218/2017 e integrato dal Regolamento Delegato (UE) n. 2018/389. L’art. 10 pone sul prestatore l’onere di provare autenticazione, registrazione e contabilizzazione, nonché la frode, il dolo o la colpa grave dell’utente. L’uso registrato dello strumento non è di per sé sufficiente a dimostrare l’autorizzazione.

Sul piano probatorio, le evidenze tecniche confermano per i tre prelievi ATM e per il pagamento POS delle 18:16:44 la lettura del chip e la digitazione del PIN. Per l’operazione POS contactless delle 18:15:50, invece, i tracciati riportano “Non authenticated, unknown”, verosimilmente per esenzione SCA. Qui opera l’art. 12, comma 2 bis, d.lgs. n. 11/2010: senza autenticazione forte il pagatore non sopporta perdite, salvo frode non ravvisata. La perdita di € 30,00 ricade quindi sull’intermediario.

Per le restanti operazioni il Collegio ritiene assolto l’onere del PSP. L’accertamento della regolarità formale è il prius logico per sindacare la colpa grave. Gli indizi convergono: assenza di anomalie nella digitazione del PIN; nessuna transazione immediatamente precedente idonea a configurare un furto visivo; distanza di circa 3 km tra il luogo del furto e gli ATM, percorribile in circa 13 minuti. Ne deriva che dispositivo e PIN erano custoditi insieme nel portafoglio trafugato, in un luogo ad alta frequentazione.

Integra così una tipica ipotesi di colpa grave ex artt. 7, comma 1, lett. a), e 12, comma 4. Il Collegio esclude però una responsabilità oggettiva del PSP e valuta l’apporto causale dell’intermediario quanto al servizio di sms alert. La ricorrente ha ammesso di non avere con sé il cellulare al momento del furto: un messaggio ex post non avrebbe prevenuto le operazioni successive alla prima. Il ricorso è pertanto accolto solo per l’operazione contactless di € 30,00. La ripartizione di responsabilità assorbe l’istanza di franchigia.