Carta tokenizzata senza autenticazione forte e obblighi di rimborso del prestatore (ABF Collegio di Bari n. 718 del 27.01.2026)

Principi di diritto (Massima)
Ai sensi dell’art. 10-bis, comma 1, d.lgs. n. 11/2010, il prestatore di servizi di pagamento è tenuto a utilizzare l’autenticazione forte del cliente ogni volta che l’utente accede al conto on-line o dispone un’operazione di pagamento elettronico. La tokenizzazione dello strumento non esonera l’intermediario da tale obbligo: i pagamenti eseguiti con carta tokenizzata senza SCA vanno rimborsati. Ove la SCA sia stata correttamente applicata, residua comunque in capo al prestatore il dovere di dotarsi di misure organizzative idonee a reagire ai segnali di anomalia di cui all’art. 8 del D.M. n. 112/2007, parametro di riferimento per l’efficiente organizzazione dell’impresa bancaria. La mancanza di denuncia alle Autorità e l’assenza di chiarimenti sulla frode subita giustificano una redistribuzione equitativa del pregiudizio.

Il Fatto

Il ricorrente riferisce di aver constatato, il 31/08/2025, una serie di pagamenti non autorizzati sul proprio conto intrattenuto con l’intermediario convenuto. Lamenta un ammanco complessivo di € 8.000,00 rispetto al saldo disponibile prima delle operazioni contestate e chiede il rimborso di € 2.500,00 per le operazioni non autorizzate, oltre al rimborso dell’ammanco di € 8.000,00, agli interessi e alle spese di ricorso.

L’intermediario eccepisce l’inammissibilità della domanda da € 8.000,00 per mancanza di preventivo reclamo e per carenza probatoria, rilevando che il conto risulta attivato solo il 16/08/2025. Nel merito precisa che le operazioni contestate sono tredici, per un controvalore di € 1.768,00: quattro autorizzate con notifica push e riconoscimento biometrico facciale, le altre eseguite mediante carta tokenizzata. Invoca l’art. 7 del d.lgs. n. 11/2010 e la presunzione di colpa grave dell’utilizzatore.

La motivazione del Collegio

Il Collegio esamina anzitutto l’eccezione preliminare e la ritiene infondata. Dal reclamo prodotto in allegato emerge che la richiesta di € 8.000,00 era già stata avanzata in quella sede, con riferimento a una dichiarazione di saldo non accreditato. La domanda è dunque ammissibile, ma nel merito non può trovare accoglimento per carenza di prove: il ricorrente non identifica le operazioni che avrebbero generato il danno e non produce né il modulo di disconoscimento né la denuncia alle Autorità.

Passando ai quattordici pagamenti online contestati, compresi tra il 16/08/2025 e il 31/08/2025, il Collegio ne ridetermina il controvalore in € 1.768,00. La disciplina applicabile è quella del d.lgs. n. 11/2010 come modificato dal d.lgs. n. 218/2017 di recepimento della PSD 2. Il primo accertamento riguarda la prova dell’autenticazione forte: l’intermediario ammette di non averla assicurata per dieci dei quattordici pagamenti.

La giustificazione dell’intermediario — operazioni eseguite mediante carta tokenizzata, “al di fuori del controllo della scrivente” — non è condivisa dal Collegio. L’art. 10-bis, comma 1, d.lgs. n. 11/2010 impone la SCA quando l’utente accede al conto on-line e dispone un’operazione di pagamento elettronico; né la tokenizzazione né i pagamenti successivi possono esserne privi. Il richiamo al Collegio di Coordinamento n. 9559/2024 conferma che l’intermediario deve dimostrare l’uso della SCA in tutte le fasi rilevanti. I pagamenti eseguiti senza SCA, per € 1.410,00, vanno quindi rimborsati.

Quanto alle prime quattro operazioni, per € 358,00, autorizzate con notifica push e riconoscimento biometrico facciale, il Collegio ritiene il presidio necessario ma non sufficiente. Anche in caso di prova della SCA, il prestatore deve dotarsi di misure organizzative atte a reagire ai segnali di anomalia dell’art. 8 del D.M. n. 112/2007, benchmark per l’organizzazione dell’impresa bancaria, e ai sensi dell’art. 2 del Regolamento EBA n. 2018/389. Nel caso di specie l’indice di anomalia è integrato: quattro pagamenti consecutivi, in meno di mezz’ora, presso il medesimo merchant il 16/08/2025. Al terzo ordine l’intermediario avrebbe dovuto attivarsi.

Il ricorrente, però, non chiarisce le circostanze della frode e non risulta aver sporto denuncia. L’allegato denominato “Denuncia_Carabinieri” contiene solo una sintetica esposizione dei fatti. L’utente ha l’onere di disconoscere l’operazione e darne notizia al prestatore, che deve rimborsare salvo dolo o colpa grave dell’utente ai sensi dell’art. 11 d.lgs. n. 11/2010. Il Collegio fissa pertanto equitativamente il dovuto in € 1.500,00, oltre interessi legali dal reclamo, respingendo l’istanza di rifusione delle spese per mancanza di prova. L’intermediario è condannato al contributo di € 200,00 alla Banca d’Italia e al rimborso di € 20,00 al ricorrente.