Carta prepagata e bonifico istantaneo non autorizzato prova SCA e colpa grave (ABF Collegio di Palermo n. 1375 del 16.02.2026)

Principi di diritto (Massima)
A fronte del disconoscimento di un’operazione di pagamento, il prestatore di servizi di pagamento ha l’onere di provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione e l’assenza di malfunzionamenti. Tale prova costituisce il prius logico rispetto alla dimostrazione della colpa grave dell’utilizzatore. Quando l’intermediario dimostra che l’operazione è stata autorizzata mediante autenticazione forte a due fattori, il sistema è conforme alla normativa SCA e non emergono indici di anomalia, la mancata allegazione da parte del cliente delle circostanze di fatto della frode assume rilievo ai fini del convincimento sulla colpa grave. La sola assenza di un servizio di alert non è decisiva quando si tratti di un’unica operazione o di operazioni ravvicinate.

Il Fatto

Il ricorrente, titolare di una carta prepagata con residuo di circa duemila euro, si accorge in data 25 agosto 2025 di un bonifico SEPA istantaneo di euro 1.900,00 eseguito il 22 agosto 2025 e da lui disconosciuto. Esperita senza esito la fase di reclamo, propone ricorso all’Arbitro Bancario Finanziario chiedendo la restituzione della somma.

L’intermediario resiste sostenendo che l’operazione è stata correttamente autenticata mediante sistema di autenticazione forte, senza malfunzionamenti o compromissioni dei sistemi. Secondo la banca, la frode sarebbe riconducibile a un classico schema di phishing, con conseguente colpa grave del cliente, non essendo mutate l’utenza telefonica né la configurazione del dispositivo.

La motivazione del Collegio

Il Collegio ricostruisce il quadro normativo richiamando il d.lgs. 27 gennaio 2010, n. 11, come modificato dal d.lgs. 15 dicembre 2017, n. 218 di recepimento della direttiva (UE) 2015/2366 (PSD 2). L’art. 10 del d.lgs. 11/2010 pone a carico del prestatore di servizi di pagamento l’onere di provare l’autenticazione, la registrazione e la contabilizzazione dell’operazione e l’assenza di inconvenienti tecnici, oltre al comportamento gravemente colposo dell’utente.

Richiamando l’orientamento condiviso dei Collegi, e in particolare il Collegio di Coordinamento n. 22745/2019, la decisione ribadisce che la prova dell’autenticazione precede logicamente la prova della colpa grave: solo una volta assolto l’onere probatorio sull’autenticazione l’intermediario può invocare la condotta dell’utente. Il Collegio verifica quindi che la SCA sia stata rispettata, richiamando gli artt. 97 e 98 della PSD 2, il Regolamento Delegato UE 2018/389 e il parere EBA del 21 giugno 2019.

Dalla documentazione emerge che l’accesso in app del 22 agosto 2025 è avvenuto mediante digitazione del codice personale (fattore di conoscenza) sul dispositivo in uso al ricorrente (fattore di possesso), senza modifiche dell’utenza telefonica. Anche il bonifico risulta disposto tramite la modalità di autenticazione primaria in app, con evidenza del device, del canale e del metodo utilizzato. Il Collegio richiama altresì il Collegio di Coordinamento n. 21285/21, secondo cui la SCA deve presidiare non solo le operazioni dispositive ma anche quelle idonee a incidere sulla sicurezza dello strumento.

Superato il vaglio sull’autenticazione, il Collegio esamina la colpa grave. Il ricorrente non chiarisce le modalità con cui la frode si sarebbe realizzata e riferisce di aver notato l’addebito solo tre giorni dopo. In presenza di prova dell’autenticazione, conformità del sistema alla SCA e assenza di indici di anomalia, la mancata allegazione delle circostanze della frode diventa elemento di convincimento sulla colpa grave.

Quanto al blocco dello strumento, avvenuto il 28 agosto 2025 e seguito da nessuna ulteriore operazione, e alla mancata attivazione del servizio di alert, il Collegio ritiene quest’ultima circostanza irrilevante trattandosi di un’unica operazione. La banca non ha domandato la franchigia. Il ricorso è quindi respinto.