Colpa grave del cliente e custodia del PIN nelle operazioni disconosciute su carta di debito (ABF Collegio di Milano n. 4843 del 28.05.2026)

Principi di diritto (Massima)
Nel contenzioso sulle operazioni di pagamento disconosciute, accertata la conformità dell’autenticazione alla strong customer authentication mediante i fattori del possesso e della conoscenza, l’onere di dimostrare la frode, il dolo o la colpa grave del cliente grava sul prestatore di servizi di pagamento. Il ristretto arco temporale intercorrente tra l’ultima operazione legittima e la prima operazione fraudolenta integra un indizio idoneo a fondare la presunzione che i malfattori avessero a disposizione anche i codici dispositivi dello strumento. Non integra invece colpa grave, di per sé, l’eventualità che il PIN sia stato carpito durante l’utilizzo della carta da parte del cliente, alla luce degli standard di diligenza ragionevolmente esigibili dagli utilizzatori.

Il Fatto

La ricorrente aveva effettuato alcuni acquisti presso la cassa automatica di un centro commerciale pagando con carta. Durante le operazioni riceveva sul cellulare notifiche di un prelievo di € 1.000,00; ritenendo si trattasse di clonazione, contattava la banca per il blocco della carta, ma prima che il blocco fosse completato veniva eseguita una seconda operazione fraudolenta di € 1.249,00. Solo il giorno successivo si accorgeva della sottrazione del borsellino e sporgeva denuncia, precisando che il codice PIN non era annotato né custodito nel portafoglio sottratto.

L’intermediario eccepiva la corretta contabilizzazione delle operazioni, autenticate mediante lettura del microchip e digitazione del PIN, e sosteneva la colpa grave della cliente per l’incauta custodia del codice segreto insieme alla carta. In via subordinata invocava il concorso di colpa ex art. 1227 cod. civ. e l’applicazione della franchigia di legge.

La motivazione del Collegio

Il Collegio ricostruisce la disciplina del d. lgs. n. 11/2010, come modificato dal d. lgs. n. 218/2017 di recepimento della direttiva 2015/2366/UE (PSD2), soffermandosi sugli obblighi reciproci di utilizzatori e prestatori e sulla strong customer authentication disciplinata dagli artt. 97 e 98 della direttiva PSD2, dall’art. 10-bis del d. lgs. n. 11/2010 e dal Regolamento Delegato UE 2018/389. La SCA richiede almeno due fattori indipendenti tra conoscenza, inerenza e possesso.

Dalla documentazione emerge che entrambe le operazioni, per complessivi € 2.249,00, sono state eseguite mediante lettura del chip e inserimento del PIN: l’autenticazione è dunque conforme a SCA, con fattori del possesso e della conoscenza. Superato questo vaglio, resta da verificare la colpa grave del cliente, rispetto alla quale la prova di autenticazione costituisce un prius logico.

Il Collegio richiama il proprio orientamento, secondo cui la circostanza che il PIN sia stato carpito durante l’utilizzo della carta non assume rilevanza come indice di colpa grave. Assume invece rilievo assorbente il ristretto arco temporale tra l’ultima operazione legittima e la prima operazione disconosciuta: tra le ore 11:50 e le ore 11:59. Tale circostanza fonda la presunzione che i malfattori avessero a disposizione anche i codici dispositivi.

Quanto alla tempestività dell’avviso per il blocco, la ricorrente non ha versato il registro delle chiamate né altri elementi idonei a provare l’orario della telefonata. L’intermediario ha prodotto una schermata che colloca il blocco alle ore 18:23, mentre le operazioni risultano eseguite alle 17:59 e alle 18:12: non è pertanto possibile stabilire con certezza la tempestività della comunicazione, circostanza che l’utilizzatore è tenuto a provare.

Il ricorso è quindi non accolto.