Colpa grave dell’utilizzatore per custodia del PIN con la carta e omesso controllo del conto (ABF Collegio di Milano n. 2372 del 17.03.2026)

Principi di diritto (Massima)
In tema di utilizzo fraudolento di strumenti di pagamento, qualora l’operazione risulti autenticata mediante lettura del microchip e corretta digitazione del codice PIN senza tentativi anomali, la verifica della responsabilità del prestatore di servizi di pagamento passa attraverso l’accertamento della colpa grave dell’utilizzatore. Il ridotto lasso temporale tra il furto e l’esecuzione dell’operazione, unitamente all’assenza di tentativi andati a buon fine, fa presumere che il PIN fosse custodito insieme alla carta, in violazione degli obblighi di diligenza imposti all’utilizzatore. Integra parimenti colpa grave l’omesso controllo del conto di appoggio per un apprezzabile periodo successivo al furto, poiché solo il monitoraggio consente di intercettare gli utilizzi non autorizzati.

Il Fatto

La ricorrente si era recata presso un supermercato e, dopo aver caricato la spesa, aveva lasciato la borsa sul sedile del passeggero dell’autovettura aperta per riporre il carrello. Al rientro constatava il furto della borsa, con carte di pagamento, denaro e telefono cellulare. Bloccava le carte e presentava denuncia; nei giorni successivi la borsa le veniva riconsegnata priva delle carte e del contante.

Veniva poi informata dall’intermediario di un prelievo di € 600,00 eseguito il 22 agosto 2025, che disconosceva chiedendone il rimborso. L’intermediario eccepiva la corretta autenticazione dell’operazione e la colpa grave della cliente, invocando in subordine l’applicazione della franchigia. La ricorrente replicava sostenendo di non aver mai custodito il PIN insieme alla carta e prospettando l’inadeguatezza degli attuali sistemi di autenticazione.

La motivazione del Collegio

Il Collegio ricostruisce la disciplina del d. lgs. n. 11/2010, come modificato dal d. lgs. n. 218/2017 di recepimento della direttiva 2015/2366/UE. Il quadro normativo distribuisce gli obblighi tra utilizzatore e prestatore: al primo impone l’uso diligente dello strumento e la segretezza dei codici personalizzati, oltre all’informazione tempestiva delle operazioni fraudolente; al secondo richiede sistemi di strong customer authentication e la tempestiva inibizione dello strumento dopo la comunicazione del cliente.

Sul piano probatorio, la decisione richiama gli artt. 97 e 98 della direttiva PSD2, l’art. 10-bis del d. lgs. n. 11/2010 e il Regolamento Delegato UE 2018/389. La SCA si realizza con almeno due fattori indipendenti tra conoscenza, inerenza e possesso. La responsabilità dell’impresa per gli utilizzi fraudolenti presuppone che essi non siano stati cagionati da frode, dolo o colpa grave del cliente.

Nel caso concreto, le tracciature informatiche dimostrano che il prelievo è avvenuto con corretta lettura del chip e immediata digitazione del PIN, senza precedenti tentativi. L’operazione risulta quindi autenticata mediante il fattore del possesso e quello della conoscenza. Accertata la conformità ai requisiti di autenticazione forte, il Collegio verifica i profili di colpa grave, rispetto ai quali la prova di autenticazione costituisce un prius logico, richiamando la Coll. coord., dec. n. 22745/2019.

Il furto è avvenuto tra le 15:15 e le 16:15; il prelievo alle 16:16 su un ATM distante 11 km, percorribili in circa 11 minuti. Secondo il consolidato orientamento dell’Arbitro, il ridotto intervallo temporale e l’assenza di tentativi anomali fanno presumere la custodia del PIN insieme alla carta. La ricorrente ha ammesso di aver lasciato la borsa nell’auto aperta e di non aver individuato soggetti sospetti, circostanze che escludono il furto con destrezza.

Depongono per la colpa grave anche la sottrazione di altre carte e l’apprendimento dell’operazione solo il 25 agosto 2025: l’omesso controllo del conto per un notevole lasso di tempo, specie dopo il furto della carta, è imputabile al cliente. Il ricorso è pertanto respinto.