Clonazione carta non provata e colpa grave dell’utente con POS microchip (ABF Collegio di Napoli n. 57 del 07.01.2026)

Principi di diritto (Massima)
In tema di operazioni di pagamento disconosciute dall’utente, il prestatore di servizi di pagamento deve provare l’autenticazione, la corretta registrazione e contabilizzazione dell’operazione, nonché la frode, il dolo o la colpa grave dell’utilizzatore. L’apparente corretta autenticazione non basta, di per sé, a dimostrare la riconducibilità dell’operazione al titolare. Tuttavia, quando le operazioni siano state eseguite con tecnologia a microchip e digitazione del PIN, l’ipotesi di clonazione è altamente improbabile e la pretesa clonazione va provata dall’utente con circostanze concrete e plausibili. In difetto, le operazioni si ascrivono alla colpa grave dell’utilizzatore.

Il Fatto

La ricorrente, titolare di una carta di credito emessa dall’intermediario in partnership con altro intermediario non convenuto, chiede il rimborso di quattro operazioni eseguite con la carta e da lei non autorizzate: tre transazioni da € 990,00 e una da € 500,00, per un totale di € 3.470,00, effettuate il 28.05.2025 in pochi minuti presso il medesimo esercizio. La ricorrente riferisce di aver ricevuto quattro SMS di avviso, di aver immediatamente bloccato la carta e disconosciuto le operazioni, ipotizzando una clonazione.

L’intermediario, costituitosi, conferma i fatti e sostiene che le transazioni sono state autenticate con microchip e PIN, che richiedono la presenza fisica della carta; che gli SMS di conferma risultano inviati; che i log del circuito di pagamento confermano la corretta autenticazione. Ritiene quindi che vi sia stata violazione degli obblighi di custodia della carta e di segretezza del PIN e chiede il rigetto del ricorso.

La motivazione del Collegio

Il Collegio inquadra la fattispecie nel d.lgs. n. 11/2010, come modificato dal d.lgs. n. 218/2017 di recepimento della PSD2, e richiama la disciplina della strong customer authentication degli artt. 97 e 98 PSD2, dell’art. 10-bis e del Regolamento Delegato UE 2018/389. Ribadisce il regime di speciale favor probatorio per l’utente: sul prestatore grava l’onere di provare l’autenticazione e la riconducibilità dell’operazione al cliente, nonché la frode, il dolo o la colpa grave di quest’ultimo, secondo gli artt. 7, 10 e 12 del d.lgs. n. 11/2010.

Nel caso concreto il Collegio rileva che l’intermediario ha prodotto log informatici e decodifiche del POS da cui risulta l’utilizzo della tecnologia EMV (microchip) e del PIN. Le operazioni risultano pertanto autenticate, correttamente registrate e contabilizzate. La carta integra l’elemento di possesso, il PIN quello di conoscenza, così realizzandosi la SCA.

Il Collegio richiama quindi l’orientamento del Collegio di Coordinamento n. 22745/2019, secondo cui la prova della formale regolarità dell’operazione non soddisfa di per sé l’onere probatorio, dovendo l’intermediario indicare elementi di fatto da cui trarre presuntivamente la colpa grave dell’utente, anche mediante presunzioni ex art. 2729 c.c. Sul punto richiama anche Cass. n. 654/2010, che ammette la prova indiziaria della colpa grave.

Quanto alla dedotta clonazione, il Collegio osserva che l’impiego della tecnologia a microchip la rende altamente improbabile. L’utente deve provare circostanze tali da rendere quantomeno plausibile l’ipotesi di clonazione; non basta affermare di non aver mai perso l’uso della carta. La ricorrente non ha allegato alcun riferimento descrittivo e circostanziale idoneo: da tali mancate allegazioni il Collegio trae il convincimento circa la colpa grave della ricorrente (richiamando Collegio di Napoli nn. 9478/2024, 252/2025 e 6686/2025 e Collegio di Milano nn. 12728/2022 e 1061/2023).

Sugli sms alert, il Collegio richiama il Collegio di Coordinamento n. 24366/2019 e la decisione n. 8672/2024: le parti concordano sulla ricezione degli SMS e, in ogni caso, le operazioni sono state eseguite a un minuto di distanza l’una dall’altra, così che gli avvisi non avrebbero potuto scongiurarne il compimento. Il ricorso è pertanto rigettato.