Carta prepagata: SCA con app token e prova della colpa grave dell’utente (ABF Collegio di Roma n. 1369 del 16.02.2026)

Principi di diritto (Massima)
In materia di operazioni di pagamento online non autorizzate, l’art. 10, comma 1, d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2, pone a carico del prestatore di servizi di pagamento la prova che l’operazione sia stata autenticata, correttamente registrata e contabilizzata e che non abbia subito malfunzionamenti. Per escludere la propria responsabilità, l’intermediario deve dimostrare il rispetto della Strong Customer Authentication mediante l’impiego di almeno due fattori di autenticazione tra conoscenza, possesso e inerenza. Qualora la SCA risulti correttamente eseguita tramite app token installata sul dispositivo dell’utente, l’operazione si considera autorizzata, e la mancata contestualizzazione dei fatti da parte del ricorrente può essere valutata dal Collegio quale elemento ulteriore ai fini del convincimento sulla colpa grave dell’utente, con esclusione di responsabilità dell’intermediario.

Il Fatto

La ricorrente ha adito l’Arbitro Bancario Finanziario chiedendo la restituzione dell’importo di due operazioni di pagamento online, eseguite in data 01/08/2025 tramite carta prepagata, che assumeva non autorizzate e riconducibili a una frode. Il ricorso era preceduto da reclamo del 07/08/2025.

L’intermediario resistente, nelle proprie controdeduzioni, eccepiva in via preliminare la genericità del ricorso e, nel merito, sosteneva che le operazioni erano state correttamente autorizzate mediante digitazione della password all’interno dell’app token installata sullo smartphone della cliente, a seguito della ricezione della notifica push. Nelle repliche, la ricorrente osservava che l’autenticazione tramite il proprio smartphone non escludeva l’ipotesi che un terzo frodatore si fosse insinuato senza la sua cooperazione. L’intermediario replicava che le due operazioni erano state eseguite a venti minuti di distanza l’una dall’altra e che la stessa ricorrente, nella querela, aveva dichiarato di aver ricevuto la notifica push, che avrebbe dovuto indurla al blocco precauzionale della carta.

La motivazione del Collegio

Il Collegio di Roma ha respinto il ricorso muovendo dal quadro normativo applicabile ratione temporis, costituito dalla direttiva 2015/2366/UE, recepita con il d.lgs. n. 218/2017, e dal Regolamento Delegato (UE) n. 2018/389, trattandosi di operazioni successive alla loro entrata in vigore.

Il Collegio ha richiamato la regola di riparto dell’onere probatorio contenuta nell’art. 10, comma 1, d.lgs. n. 11/2010: qualora l’utente neghi di aver autorizzato un’operazione già eseguita, spetta al prestatore di servizi di pagamento provare che l’operazione è stata autenticata, correttamente registrata e contabilizzata e che non ha subito conseguenze di malfunzionamenti. Il comma secondo della medesima disposizione precisa che il mero utilizzo di uno strumento di pagamento registrato non è di per sé sufficiente a dimostrare l’autorizzazione dell’operazione, né che l’utente abbia agito in modo fraudolento o con dolo o colpa grave, dovendo il prestatore fornire la prova di tali circostanze.

Il Collegio ha richiamato l’orientamento del Collegio di Coordinamento, decisione n. 22745/19, secondo cui la produzione documentale volta a provare l’autenticazione e la regolarità formale dell’operazione non soddisfa di per sé l’onere probatorio, essendo necessario che l’intermediario indichi specificamente gli elementi di fatto che caratterizzano le modalità esecutive dell’operazione, dai quali possa trarsi la prova in via presuntiva della colpa grave dell’utente.

Nel caso concreto il Collegio ha escluso l’anomalia delle operazioni e l’onere di monitoraggio preventivo, trattandosi di un importo complessivo modesto. Le due operazioni risultavano autorizzate mediante digitazione della password, elemento di conoscenza, all’interno dell’app token installata sullo smartphone della ricorrente, elemento di possesso, a seguito della ricezione della notifica push. Dai log depositati in atti emergeva l’utilizzo del token in uso alla ricorrente in fase di autenticazione. Inoltre, la stessa ricorrente non aveva ricostruito le modalità della truffa, limitandosi ad affermare la ricezione delle due notifiche.

Secondo il richiamato orientamento del Collegio di Roma (decisioni n. 13177/2024 e n. 8058/2022), ai fini dell’applicazione della PSD2 è sufficiente che il cliente neghi di aver autorizzato la transazione; dopo aver verificato la SCA, il Collegio può tuttavia valutare la mancata allegazione dei fatti quale elemento ulteriore per il convincimento circa la colpa grave del ricorrente. Su queste basi il Collegio ha escluso la colpa dell’intermediario, ravvisando una responsabilità esclusiva della ricorrente, e ha respinto il ricorso.